ネットワーク攻撃

増幅攻撃ぞうふくこうげき

DDoS攻撃リフレクション攻撃DNS増幅NTP増幅帯域幅枯渇UDP

増幅攻撃について教えて

簡単に言うとこんな感じ！

「ちょっとつついたら巨大な岩が転がってきた！」みたいな攻撃だよ。攻撃者が小さなリクエストを送るだけで、その何十〜何千倍もの大きなデータが標的に殺到するように仕掛けるんだ。まるでレバーひとつで巨大なものを動かす「てこの原理」みたいな攻撃ってこと！

増幅攻撃とは

増幅攻撃（Amplification Attack）とは、攻撃者が少量のリクエストを送るだけで、標的に対して何倍・何百倍もの大量データを届かせるネットワーク攻撃の手法です。攻撃者自身はほんの少ししか通信していないのに、第三者のサーバーを「踏み台」として使うことで、標的の回線やサーバーをトラフィックで溢れさせてサービスを停止させます。

この攻撃は多くの場合、リフレクション攻撃（Reflection Attack） と組み合わせて使われます。リフレクションとは「反射」のことで、攻撃者は自分のIPアドレスを標的のIPアドレスに偽装してリクエストを送ります。すると、踏み台サーバーは「標的から問い合わせが来た」と思い、大量のレスポンスを標的に送りつける仕組みです。

実務的には、DDoS攻撃（分散型サービス妨害攻撃）の一種として企業のWebサービスやネットワーク機器を狙って行われます。自社のサービスが突然つながらなくなった、という障害の裏にこの攻撃が潜んでいるケースも少なくありません。

増幅攻撃の仕組み

増幅攻撃が成立するには「増幅率（Amplification Factor）」が鍵になります。小さいリクエストに対して大きなレスポンスを返すプロトコルを悪用することで、てこの原理のように攻撃規模を膨らませます。

ステップ	内容
① 送信元偽装	攻撃者は送信元IPを標的のIPに偽装して踏み台サーバーにリクエストを送る
② 踏み台サーバーが応答	踏み台サーバーはリクエストに対して大きなレスポンスを返す
③ 標的に殺到	レスポンスが標的のサーバーや回線に大量に届き、帯域を埋め尽くす
④ サービス停止	正規ユーザーの通信が処理できなくなりサービスが停止する

覚え方：「てこの原理」でイメージする

「小さな力（攻撃リクエスト）→ 支点（踏み台サーバー）→ 大きな力（大量レスポンス）が標的に刺さる」

増幅率が高いほど、攻撃者の少ない手間で大きなダメージを与えられます。「増幅率1,000倍」なら、1Mbpsの攻撃通信で1Gbpsの攻撃トラフィックを発生させることができます。

主な悪用プロトコルと増幅率

プロトコル	用途	代表的な増幅率
DNS	ドメイン名解決	約28〜54倍
NTP	時刻同期	約556倍（monlistコマンド）
SSDP	UPnP機器の検索	約30倍
Memcached	キャッシュサービス	約5万〜10万倍（！）
CHARGEN	テスト用プロトコル	約358倍

歴史と背景

1990年代後半〜2000年代初頭：DDoS攻撃が注目され始め、単純なフラッド攻撃が主流だった
2002年頃：DNS増幅攻撃の手法が研究者によって報告される
2013年：Spamhausへの攻撃でDNS増幅攻撃が使われ、約300Gbpsの記録的規模を達成。世界的なニュースになる
2014年：NTP増幅攻撃が急増し、400Gbpsを超える攻撃が観測される
2018年：Memcachedを悪用した増幅攻撃が登場し、1.7Tbps（テラビット毎秒）という当時最大規模の攻撃が発生（GitHub社が被害）
現在：クラウド事業者やISPが対策を強化しているが、新たな増幅可能プロトコルの発見と悪用が繰り返されている

リフレクション攻撃との関係と対策

増幅攻撃は「リフレクション攻撃」と合わせて「リフレクション増幅攻撃（Reflected Amplification Attack）」と呼ばれることが多く、実際の攻撃ではほぼセットで使われます。

攻撃の被害規模の比較

攻撃種別	攻撃者のコスト	標的へのトラフィック
通常のフラッド攻撃	高（多数のボットが必要）	攻撃者の帯域に依存
増幅攻撃（DNS）	低	攻撃者の約50倍
増幅攻撃（Memcached）	非常に低	攻撃者の約10万倍

ビジネスパーソン向け実務ポイント

自社サーバーが「踏み台」にされることもある。公開しているDNSサーバーやNTPサーバーが外部からの増幅攻撃に悪用される可能性がある
クラウド上のサービスでも対象になりうるため、DDoS保護オプション（AWSのShield、CloudflareのMagic Transit等） の導入を検討する
攻撃を受けた際はISPや上流プロバイダーへの早期連絡が重要

規格・RFC番号	内容
RFC 2827	BCP38：ネットワーク侵入防止策（IPスプーフィング防止）
RFC 7039	SAVI（Source Address Validation Improvements）の概要
RFC 5358	DNSサーバーをリフレクターとして悪用することへの対策
RFC 4732	インターネットDenial-of-Service考察