DDoS攻撃の種類

代表的なDoS / DDoS攻撃手法とは？

大量通信だけではない、現代型DDoSの見分け方と対策

Webサービスを運営していると、「DDoS攻撃」という言葉を聞く機会が増えます。DDoSとは、複数の端末やサーバーから大量の通信を送りつけ、WebサイトやDNS、アプリケーションサーバーを遅くしたり、停止させたりする攻撃です。

昔ながらのDDoSは、「大量の通信で回線を埋める」というイメージが強いものでした。しかし最近はそれだけではありません。HTTP/2の仕様を悪用する攻撃、キャッシュをすり抜けてオリジンへ負荷を集中させる攻撃、DNSを疲弊させる攻撃、さらにIP範囲へ薄く広く攻撃する手法など、攻撃の種類はかなり多様化しています。

この記事では、代表的なDoS / DDoS攻撃手法を、Web運用者やエンジニアが理解しやすいように整理します。

1. DoS / DDoS攻撃の基本構造

DoS攻撃は、サービスを利用できない状態にする攻撃です。DDoSは、その攻撃を多数の端末から分散して行うものです。

攻撃の流れは単純です。まず攻撃者は、ボット化された端末やクラウド上のサーバーなどを使い、標的のWebサイト、DNS、ネットワークへ大量のリクエストを送ります。その結果、回線帯域、サーバーCPU、メモリ、DB接続、アプリケーションワーカー、DNSサーバーなどが圧迫されます。

正常なユーザーから見ると、ページ表示が遅い、ログインできない、APIがタイムアウトする、画像が表示されない、名前解決に失敗する、といった現象として表れます。

重要なのは、DDoSの目的が必ずしも「完全停止」だけではない点です。最近では、サービスを少しずつ遅延させる、防御側の監視や対応を疲弊させる、CDNやWAFを回避してオリジンへ負荷を集中させる、といった攻撃も増えています。

2. 代表的なDDoS攻撃手法

Hyper-volumetric DDoS

Hyper-volumetric DDoSは、Tbps級の超大規模トラフィックを送り込む攻撃です。とにかく通信量が大きく、標的の回線やL3/L4機器、ファイアウォール、ロードバランサーなどを先に詰まらせます。

このタイプは、アプリケーションのコードをいくら最適化しても、そもそも通信がサーバーまで届かない、または上流回線で詰まる可能性があります。そのため、CDN、ISP、DDoS Scrubbingサービスなど、上流で吸収する対策が重要になります。

HTTP/2 Rapid Reset系

HTTP/2 Rapid Reset系は、HTTP/2のストリーム制御を悪用する攻撃です。HTTP/2では、1本の接続の中で複数のリクエストを効率よく扱えます。これは本来、高速化のための仕組みです。

しかし攻撃者は、リクエストを大量に作成してすぐにリセットすることで、通信量の見た目以上にサーバー側の処理負荷を増やします。アクセスログ上では通常の大量通信ほど分かりやすくない場合もあり、L7層、つまりWebアプリケーション層の防御が重要になります。

HTTP Continuation Flood

HTTP Continuation Floodは、HTTP/2などの継続処理を狙う攻撃です。リクエストを一気に大量送信するというより、ヘッダーや接続の継続処理を長引かせ、サーバーのCPUやメモリ、コネクション、ワーカーを消費させます。

1本1本の通信は細く見えても、同時に多数発生すると大きな負荷になります。対策としては、HTTP/2実装の更新、タイムアウト設定、最大ヘッダーサイズ、接続数制限、リバースプロキシ側での防御が重要です。

3. キャッシュ・DNS・IP分散を狙う攻撃

Cache Busting DDoS

Cache Busting DDoSは、CDNやリバースプロキシのキャッシュを効かせないようにする攻撃です。

例えば、本来なら /news/1 のようなページはキャッシュされ、オリジンサーバーに毎回アクセスしなくても済みます。しかし攻撃者が毎回異なるクエリ文字列を付けると、CDNが「別のURL」と判断し、キャッシュを使わずオリジンへ取りに行ってしまうことがあります。

その結果、表面上はCDNを使っていても、背後のDjango、Rails、Laravel、Node.js、DB、APIサーバーなどに負荷が集中します。対策としては、キャッシュキー設計、不要なクエリの無視、WAFルール、レート制限、オリジン保護が重要です。

DNS Water Torture

DNS Water Tortureは、ランダムなサブドメインを大量に問い合わせる攻撃です。例えば、存在しない abc123.example.com や x9z88.example.com のような名前を大量に問い合わせます。

ランダムな名前はキャッシュに乗りにくいため、再帰DNSや権威DNSが毎回処理を迫られます。Webサーバー自体が正常でも、DNSが疲弊すると、ユーザーはサイトのIPアドレスを引けなくなります。つまり、Webサーバーを直接落とさなくても、名前解決を止めればサービス全体に影響が出ます。

対策としては、DNSの冗長化、Anycast、権威DNSの分散、NXDOMAINの監視、異常なサブドメイン問い合わせの検知が有効です。

Carpet Bombing

Carpet Bombingは、1つのIPアドレスに集中攻撃するのではなく、IP範囲全体へ薄く広く攻撃する手法です。

従来の防御では、「1つのIPに大量通信が来たら遮断する」という考え方が多く使われます。しかしCarpet Bombingでは、1IPあたりの通信量をしきい値以下に抑えながら、複数IPへ分散して攻撃します。そのため、単一IP単位の監視では見逃しやすくなります。

同じサービス群、同じAS、同じ拠点、同じロードバランサー配下の複数IPにじわじわ負荷がかかる場合は、このタイプを疑う必要があります。

Velvet DDoS

Velvet DDoSは、標的IP群を時間で移動しながら攻撃する考え方です。あるIPを攻撃し、防御側が遮断やチューニングを進めている間に、次のIPへ攻撃対象を移していきます。

攻撃の強さだけでなく、「どこを、いつ、どの順番で狙うか」によって防御側の運用を揺さぶる点が特徴です。監視対象が複数IP、複数拠点、複数サービスに分かれている環境では、点ではなく面で見る監視が必要になります。

4. 見分け方と対策の考え方

DDoS対策で大切なのは、「どこが疲弊しているか」を切り分けることです。

通信量が急増しているなら、回線やL4層が狙われている可能性があります。リクエスト数のわりにCPUやワーカーが詰まるなら、HTTP/2 Rapid Reset系やContinuation FloodのようなL7攻撃を疑います。URLクエリが異常にばらつくならCache Busting、ランダムサブドメインが急増しているならDNS Water Tortureを疑います。複数IPに薄く広く来るならCarpet Bombing、時間帯によって標的が移るならVelvet DDoSのような動きを考えます。

対策は1つでは足りません。CDNやISPによる上流吸収、WAFやBot対策、HTTP/2設定の見直し、接続数とタイムアウト制御、キャッシュ戦略、DNS冗長化、ログ監視、自動遮断を組み合わせる必要があります。

特に重要なのは、アプリケーションだけで抱え込まないことです。DjangoやNginxだけでTbps級の攻撃を受け止めるのは現実的ではありません。上流、CDN、WAF、DNS、アプリ、監視基盤を役割分担させることが、実運用では一番重要です。

まとめ

DDoS攻撃は、単なる「大量アクセス」ではありません。現在の攻撃は、通信量で押すもの、HTTP/2の処理を悪用するもの、キャッシュを回避するもの、DNSを疲弊させるもの、IP範囲へ薄く広く分散するもの、標的を時間で移動するものなど、複数のパターンに分かれています。

防御側は、攻撃を1つのグラフだけで判断せず、回線、L4、L7、DNS、キャッシュ、オリジン、複数IPの動きをまとめて見る必要があります。

「どこが詰まっているのか」「なぜキャッシュが効いていないのか」「単一IPではなく面で攻撃されていないか」を見分けることで、DDoS対策はかなり現実的になります。サービスを守るには、CDN、WAF、DNS、アプリケーション、監視運用を組み合わせた多層防御が欠かせません。

用語と出典

最終確認日: 2026年7月22日。Velvet DDoSは標準化された攻撃分類ではなく、絨毯爆撃を時間方向にも分散させる挙動を説明する比較的新しい呼称です。 用語の背景と観測例はIIJ Engineers Blogを参照してください。