四半期 DDoS 脅威レポート

四半期 DDoS 脅威レポートは、3 か月間の DDoS attack の動向と傾向をまとめたものです。

Cloudflare は大規模なネットワークを活かし、攻撃規模や手法の変化、主な送信元国、主な標的国、標的になった業種など、脅威の状況を把握できます。各レポートでは世界全体の見通しを示し、大きな攻撃やキャンペーンを掘り下げ、DDoS の戦術の変化を分析します。データ分析と考察を組み合わせ、サイバー脅威の状況を理解しやすくします。

最新の四半期 DDoS 脅威レポートは、Cloudflare Radar の Reports ↗ セクションで確認できます。

Cloudflare の主要な DDoS システムである DDoS Managed Ruleset は、自動検出して緩和した DDoS 攻撃に対し、リアルタイムのフィンガープリントを生成します。1 回の DDoS 攻撃、または攻撃キャンペーンに対して複数のフィンガープリントが生成されることがあります。ある期間の DDoS 攻撃件数を把握するため、緩和につながった一意のフィンガープリントを数えます。ランダム化された DDoS 攻撃ではフィンガープリントが急増することがありますが、おおむね、この数値は時系列で追う信頼できる指標になります。

現時点では、DDoS 攻撃の件数に Advanced TCP Protection system と Advanced DNS Protection system は含めていません。お客様が作成したルールや設定による緩和も、件数には含めません。

Cloudflare のシステムはトラフィックを常時分析し、DDoS 攻撃を検出すると自動で緩和を適用します。攻撃を受けたお客様には、攻撃の性質と緩和の成否を把握するための自動アンケートが表示されます。Cloudflare は 2 年以上にわたり、攻撃を受けたお客様にアンケートを実施しています。設問の 1 つは、脅迫や身代金の要求を受け取ったかどうかです。過去数年、1 四半期あたり平均で約 200 件の回答を得ています。このアンケートの回答から、身代金目的の DDoS 攻撃の割合を算出します。

アプリケーション層では、攻撃元の国を把握するために、攻撃に使われた IP アドレスを使います。この層では、IP アドレスを偽装 ¹（または改変）できないためです。一方、ネットワーク層では送信元 IP アドレスを偽装できます。そのため、送信元の把握に IP アドレスは使わず、攻撃パケットを受信したデータセンターの所在地を使います。Cloudflare は世界 300 以上の拠点に広がるため、地理的な精度を確保できます。

アプリケーション層とネットワーク層の DDoS 攻撃のどちらでも、攻撃とトラフィックをお客様の請求先の国でグループ化します。これにより、どの国がより多く攻撃を受けているかを把握できます。

アプリケーション層とネットワーク層の DDoS 攻撃のどちらでも、攻撃とトラフィックを、社内の顧客管理システム上のお客様の業種でグループ化します。これにより、どの業種がより多く攻撃を受けているかを把握できます。

送信元と標的の分析では、全トラフィックに対する攻撃トラフィックの総量を 1 つのデータポイントとして見ます。加えて、特定の国から、特定の国へ、または特定の業種への攻撃トラフィックの割合も見ます。これにより、国や業種ごとの「攻撃活動率」が得られ、トラフィック全体の規模で正規化されます。もともとトラフィックが多く、攻撃トラフィックも多い国や業種による偏りを除くためです。

送信元、標的、業種の分析では、各軸に Rank を算出することがあります。算出では、HTTP DDoS 攻撃、ネットワーク層 DDoS 攻撃、各攻撃タイプの全トラフィックに占める DDoS 攻撃トラフィックの総量と割合を考慮します。Ranking により、たとえばある業種がどれだけ攻撃されているかを、1 つのスコアで示せます。グラフでは Rank の値を反転して表示します（棒が長いほど Rank が高く、攻撃が多いことを意味します）。

攻撃の規模、継続時間、攻撃ベクター、新たに現れた脅威を算出するため、Cloudflare は攻撃を区間に分け、各軸の合計に対する各区間の割合を示します。

ただし、Security & Attacks ↗ の Radar ページにある Network layer attack distribution グラフでは、これらの傾向をバイト数で算出します。攻撃ごとのバイト数は大きく異なることがあるため、四半期レポートと Cloudflare Radar 上のグラフで傾向が違うことがあります。

Cloudflare が「上位の国」を攻撃の送信元または標的として述べる場合、その国そのものが攻撃されたという意味ではありません。その国を請求先としている組織が攻撃の標的になった、という意味です。

同様に、「ある国から発生した攻撃」は、その国が攻撃を仕掛けたという意味ではありません。その国に割り当てられた IP アドレスから攻撃が始まった、という意味です。攻撃者は世界各地のノードを持つボットネットを運用し、VPNs (virtual private networks) やプロキシで本当の所在地を隠すこともよくあります。そのため、送信元の国は、その国内に出口ノードやボットネットのノードがあることを示す場合があります。

四半期レポートの分析と傾向では、統計的に意味のある洞察を出せるデータが足りない国や業種は除外しています。

地図チャートでは、国と地域を、白（最小値）から赤（最大値）までの段階で色分けします。色の範囲は、選択した世界の大陸グループによって変わります。