Velvet DDoSと絨毯爆撃とは？

NETWORK INFRASTRUCTURE SECURITY

Velvet DDoSと絨毯爆撃とは？

単一IPだけを見ていると見逃す、新しいDDoS防御の考え方

WebサイトやAPIを運用していると、避けて通れない脅威のひとつがDDoS攻撃です。DDoSとは、複数の送信元から大量の通信を送りつけ、サーバ、回線、ロードバランサ、ファイアウォールなどを過負荷にして、サービスを使えない状態にする攻撃です。

従来のDDoSは、特定のIPアドレスや特定のWebサービスに通信を集中させるイメージが一般的でした。たとえば、1台のWebサーバや1つのログイン画面に大量アクセスをぶつけるような形です。この場合、防御側は「このIPへの通信量が急増している」「このURLへのリクエストが異常に多い」といった形で比較的検知しやすい面がありました。

しかし、近年はより検知しにくいDDoS手法として、絨毯爆撃、英語ではCarpet Bombing DDoSと呼ばれる攻撃が問題になっています。さらに、その発展形としてVelvet DDoSという考え方も紹介されています。

この記事では、攻撃の実行方法ではなく、防御・監視・設計の観点から、絨毯爆撃とVelvet DDoSを分かりやすく整理します。

絨毯爆撃とは何か

絨毯爆撃DDoSを一言でいうと、単一のIPを集中攻撃するのではなく、ネットワーク範囲全体へ薄く広く通信を分散させるDDoSです。

たとえば、通常のDDoSが「203.0.113.10」という1つの宛先に大量通信を送る攻撃だとします。一方で絨毯爆撃では、「203.0.113.0/24」のようなIP範囲全体に対して、複数の宛先へ通信を分散させます。

ここが厄介です。

1IPあたりで見ると、通信量はそこまで大きく見えない場合があります。
しかし、/24などのCIDR単位で合計すると、ネットワーク全体には大きな負荷がかかっています。

つまり、防御側が「IPアドレス単位の通信量」だけを見ていると、異常に気づくのが遅れる可能性があります。1台ずつ見れば小さな波でも、ネットワーク全体で見ると大きな津波になっている、というイメージです。

なぜ検知しにくいのか

絨毯爆撃が検知しにくい理由は、攻撃トラフィックが分散されるためです。

通常の監視では、次のような条件でアラートを出すことが多いです。

• 1つのIPへの通信量が急増した
• 1つのURLへのアクセス数が急増した
• 1つの送信元IPから大量リクエストが来た
• 1台のサーバのCPUやメモリが急上昇した

しかし、絨毯爆撃では複数の宛先IPに薄く広く通信が流れます。そのため、1つのIPだけを見ると「まだ閾値を超えていない」と判断されることがあります。

ところが、実際には回線、ファイアウォール、ロードバランサ、WAF、Nginx、アプリケーション全体には負荷が蓄積します。結果として、ユーザーから見ると「サイトが重い」「ログインできない」「APIがタイムアウトする」「一部のページだけ不安定になる」といった現象が起こります。

このタイプのDDoSは、サーバ単体ではなく、ネットワーク全体の健康状態を見る必要があります。

Velvet DDoSとは何か

Velvet DDoSは、絨毯爆撃の発展形として紹介されている考え方です。

絨毯爆撃が「IP範囲全体へ薄く広く分散する攻撃」だとすると、Velvet DDoSはさらに「時間差で標的となるIPグループを移動させる」点が特徴です。

たとえば、ある時間帯はAグループのIP群に負荷がかかり、次の時間帯ではBグループ、さらに次はCグループへと、攻撃の中心が移っていくような見え方になります。

防御側がAグループに対して対策を始めると、次は別のIP群に負荷が移る。
このように、攻撃対象がなめらかに移動していくため、検知や緩和がさらに難しくなります。

「Velvet」という名前のとおり、急激に一点を叩くというより、滑らかに範囲を変えながら負荷を与えるイメージです。

WebPアニメーションで見ると分かりやすい

絨毯爆撃やVelvet DDoSは、文章だけだと少し分かりにくい攻撃です。そこで、攻撃イメージをWebPアニメーションとして可視化すると理解しやすくなります。

アニメーションでは、次の流れを表現すると効果的です。

1. 通常DDoS
   1つのIPに大量の通信が集中する。
2. 絨毯爆撃
   複数のIPへ通信が薄く広く分散される。
3. CIDR単位の負荷
   1IPごとは小さく見えても、/24全体では負荷が大きい。
4. Velvet DDoS
   時間の経過とともに、攻撃対象のIPグループが移動する。
5. 防御観点
   IP単位ではなく、CIDR単位・時系列単位で監視する必要がある。

ブログ記事内では、ここにWebPアニメーションを配置すると、技術者だけでなく非エンジニアにも伝わりやすくなります。

防御で重要になる監視ポイント

絨毯爆撃やVelvet DDoSに対しては、単純なIP単位のレート制限だけでは不十分です。もちろん、IP単位の監視は必要ですが、それだけでは見逃す可能性があります。

重要なのは、次のような観点です。

1. CIDR単位で見る

/24、/20などのネットワーク範囲ごとに、合計リクエスト数、bps、pps、宛先IP数を集計します。

「1IPあたりは少ないが、範囲全体では異常に多い」という状態を検知するためです。

2. unique(dst_ip)を見る

短時間でアクセス先の宛先IP数が急増している場合は注意が必要です。通常アクセスでは限られたサーバやサービスに通信が集まりやすいですが、絨毯爆撃では広いIP範囲に通信が散らばります。

3. 時系列で標的グループの移動を見る

Velvet DDoSでは、攻撃対象が時間とともに移動する可能性があります。1分窓、5分窓などで、どのIP群に負荷が集中しているかを追跡することが重要です。

4. WAF・LB・Nginx・IPSログを相関分析する

1つのログだけでは見えない異常も、複数のログを重ねると見えてきます。

たとえば、CloudflareやCDN側のログ、Nginxのアクセスログ、アプリケーションログ、IPSの検知イベント、ロードバランサのメトリクスを同じ時間軸で見ることで、攻撃の全体像を把握しやすくなります。

CloudflareやCDNを使う場合の注意

CloudflareやCDN、DDoS保護サービスを使うことは有効です。ただし、オリジンIPが直接アクセス可能な状態だと、保護サービスを迂回されるリスクがあります。

そのため、オリジンサーバ側では、Cloudflareなどの正規プロキシ経由の通信だけを許可し、直IPアクセスを制限する設計が重要です。

また、WAFやRate Limitを使う場合も、いきなり強いブロックを入れるのではなく、detect、challenge、rate limit、blockのように段階的に強める設計が安全です。正常ユーザーを巻き込む誤検知を避けるためです。

まとめ

絨毯爆撃は、単一IPではなくネットワーク範囲全体を狙うDDoSです。1IPごとの通信量が小さく見えるため、従来の閾値監視では見逃す可能性があります。

Velvet DDoSは、そこに時間差で標的グループを移動させる要素が加わったものです。防御側が対応している間に、攻撃対象が別のIP群へ移っていくため、さらに検知と緩和が難しくなります。

これからのDDoS対策では、IP単位だけでなく、CIDR単位、時系列単位、サービス全体の負荷を見ることが重要です。

つまり、見るべきポイントは次の3つです。

• どのIPが攻撃されているか
• どのネットワーク範囲に負荷が集まっているか
• 時間とともに標的が移動していないか

DDoS対策は、単にブロックすればよいというものではありません。正常ユーザーを守りながら、攻撃だけを段階的に抑える設計が必要です。絨毯爆撃やVelvet DDoSを理解することは、今後のWebサービス運用、防御設計、SOC監視において重要な視点になります。