Akamai はオンラインライフの力となり、守っています。世界中のトップ企業が Akamai を選び、安全なデジタル体験を構築して提供することで、毎日、いつでもどこでも、世界中の人々の人生をより豊かにしています。 Akamai Connected Cloudは、超分散型のエッジおよび クラウドプラットフォームです。ユーザーに近いロケーションからアプリや体験を提供し、ユーザーから脅威を遠ざけます。
ICMP フラッド DDoS 攻撃について
インターネット制御通知プロトコル（ICMP）フラッドは、サービス妨害攻撃（DoS 攻撃）の一種であり、以前は攻撃者の間で極めて人気の高い攻撃でした。主要な 攻撃ベクトルとしての優位性は低下しているものの、緩和がさらに難しい非常に複雑な攻撃（マルチベクトル攻撃）を仕掛けるために、他の方法と併用されることが多くなっています。
ICMP フラッドは、エコー要求とエコー応答（ping）を使用してデバイスの健全性と接続性をチェックするインターネット制御通知プロトコルを利用します。「ping フラッド攻撃」とも呼ばれる ICMP フラッド攻撃では、攻撃者がターゲットのネットワークルーターまたは IP アドレスの帯域幅を過負荷にしたり、巧妙に作成した ICMP パケットでトラフィックをあふれさせ、デバイスがネクストホップのダウンストリームに転送できないようにしたりします。デバイスが応答しようとすると、そのリソース（メモリー、処理能力、インターフェースレート）のすべてが消費され、正当な要求やユーザーにサービスを提供できなくなります。
Akamai は、ICMP フラッド攻撃やその他の DDoS 攻撃を、アプリケーション、データセンター、インフラに到達する前にクラウドで即座にブロックできる DDoS 防御ソリューションのスイートを提供しています。Akamai の目的に特化したソリューションは、高パフォーマンスの緩和を提供し、今日の最大規模で非常に複雑な DDoS 攻撃から防御します。Akamai は、Always-on の緩和を実現するためにハイブリッド環境全体のアタックサーフェスとリスクをプロアクティブに削減することにより、生産や業務のインターネットリソースに混乱を引き起こす前に、それらをゼロ秒で阻止することができます。
犯罪者が ICMP フラッドを実行する方法
本来、インターネット制御通知プロトコル（ICMP）は、ICMP のエコー要求または ping を送信してからエコー応答を受信するまでの時間を測定し、2 台のデバイス間の接続をテストするために設計されたものです。ICMP は長年にわたり、サービスプロバイダーやクラウドプロバイダーのインターネットリソースの健全性と状態を監視する機能の一部となっており、攻撃者はそのことを知っています。攻撃者は、実際の送信元 IP から多数の ICMP パケットを設定したり、スプーフィング手法を用いて、ターゲットデバイスやターゲットサーバーに対して、一定数のエコー要求パケット、ping 要求、ICMP パケット、またはデータパケットを生成したりすることができます。エコー応答は、同じ数の応答パケットにより、元の要求元 IP に返信されます。攻撃者は大量の攻撃トラフィックを生成することで、ターゲットデバイス上の使用可能な帯域幅を消費し尽くします。これにより、通常のトラフィックや正当なトラフィックだけでなく、ターゲットエンドポイントに接続されているネットワークデバイスやネクストホップのアップストリーム／ダウンストリームデバイスにもアクセスできなくなります。
ICMP フラッドは、サービス妨害攻撃では 1 台のマシンから、分散型サービス妨害（DDoS）攻撃では ボットネット から開始されることがあります。ICMP DDoS 攻撃は、他の多くの攻撃ベクトルほど危険ではなく、また緩和するのもさほど困難ではありませんが、UDP フラッド、RESET フラッド、SYN フラッド TCP 異常、PUSH フラッドやその他の攻撃の脆弱性と組み合わせることにより、非常に大規模で複雑な DDoS 攻撃を仕掛けることができます。通常のトラフィックの一部が ICMP であり、ICMP フラッドを受信した場合、緩和はやや複雑になります。フォールス・ポジティブ（誤検知）が多いことから、緩和の品質または一貫性を確保するためにより高度な制御が必要になります。ICMP 増幅は Smurf 攻撃とも呼ばれ、従来の ICMP と同じ手法を用いるものの、攻撃者が自身のハッキングしたリソースを活用する必要はなく、オープンリゾルバーや DNS 悪用に対して脆弱なその他のインフラを利用することができます。
Akamai の DDoS 防御
Akamai のセキュリティソリューションは、DDoS 防御に対して総合的なアプローチを取っています。Akamai は防御の最前線として機能し、専用のエッジ、分散 DNS、巻き添え被害や Single Points of Failure を回避するためのクラウド緩和戦略で IT 環境を防御します。他のクラウド・セキュリティ・プロバイダーのアーキテクチャが「オールインワン」ソリューションとして構築されているのとは異なり、Akamai の専用 DDoS クラウドは増強された耐障害性、専用のスクラビング機能や高品質の緩和機能を備えています。
Akamai の DDoS 防御は、次のことを提供します。
キャパシティと規模。Akamai は、世界最大の成熟したグローバル DDoS 緩和クラウドを提供しているため、複数のクライアントに DDoS 防御サービスを提供しながら、同時に複数の DDoS 攻撃にも対処することができます。防御の対象がデータセンター全体、個々のアプリケーション、権威 DNS のいずれであっても、Akamai のソリューションは最高のキャパシティ、最速の緩和、最大の耐障害性を提供します。
確かな実績。Akamai はこれまで、史上最大規模の DDoS 攻撃のいくつかを緩和しました。Akamai は、プロアクティブな緩和制御により文字通りのゼロ秒緩和を可能にし、業界をリードする SLA も提供することができます。Akamai のソリューションは、ICMP DDoS 攻撃、SYN フラッドなどのプロトコル攻撃、Slowloris などのアプリケーションレイヤー攻撃など、さまざまな DDoS 攻撃に対して有効です。
攻撃ベクトルと同適度に迅速に進化する防御。DDoS 攻撃ベクトルは変化し続けており、DDoS 攻撃の規模と複雑さは年を追うごとに増しています。Akamai は、攻撃を検知、シミュレート、緩和するための新しいツールやルールへの投資、開発、展開を継続的に行い、進化する脅威に先手を打って対応しています。
クラウド戦略を強化するソリューション。 Akamai Connected Cloud が提供する DDoS 防御は、クラウドからエッジまでコア全体に防御を拡張することでリスクを最小限に抑えられるよう支援するだけでなく、クラウド戦略の将来的な進化に対応できる柔軟性も実現します。
ICMP フラッドを阻止するためのソリューションスイート
Akamai は、3 つの専用ソリューションを通じて ICMP フラッドと DoS に対する防御を提供します。IT 環境に適したソリューションやソリューションの組み合わせは、ユースケース、アプリケーション要件、緩和所要時間 SLA によって異なります。
Prolexic
Akamai Prolexic は、ゼロ秒 SLA と大規模に展開する最速かつ最も効果的な防御により、UDP フラッド攻撃を阻止します。Prolexic は、すべてのポートとプロトコルにわたってクラウド配信型の緩和機能を提供し、攻撃がビジネスに多大な影響を及ぼすイベントに発展する前にクラウドで阻止します。Prolexic では、ネットワークトラフィックが世界 20 か所の大容量スクラビングセンターの 1 つに配信されます。これにより、攻撃元に近い場所で攻撃を阻止し、ユーザーのパフォーマンスを最大化するとともに、クラウド配信を通じてネットワークの耐障害性を確保できます。各スクラビングセンターでは、Akamai Security Operations Command Center（SOCC）がプロアクティブな緩和制御やカスタムの緩和制御を使用して攻撃を即座に阻止し、クリーンなトラフィックを顧客オリジンに返します。
App & API Protector
Akamai App & API Protector は、包括的な Web アプリケーションと API 保護アーキテクチャであり、業界に先駆けて自動化とシンプル化に焦点を当て、TCP Web と API のすべてを防御するように設計されています。このソリューションには、API セキュリティ、Web アプリケーションファイアウォール、ボット緩和、DDoS 防御などのコアテクノロジーが統合されています。App & API Protector は、UDP フラッドや ICMP フラッドなどのボリューム型の DDoS 攻撃、インジェクションベースや API ベースの攻撃、Slowloris などのアプリケーションレイヤー攻撃、TCP out-of-state 攻撃、SYN フラッド、正当なユーザーが 3 ウェイハンドシェイクを完了する必要のある ACK フラッドなどのプロトコルベースの脅威を含め、さまざまな脅威から防御します。
Edge DNS
Akamai Edge DNS は、 Akamai Connected Cloud を利用して、世界中の 1,000 か所を超える Point of Presence にある数千台の DNS サーバーへのアクセスを提供するクラウドベースの DNS ソリューションです。一般的に、組織は 2～3 台のみの DNS サーバーに依存していますが、このような手法はデータセンターの停止や DDoS 攻撃に対して脆弱です。Edge DNS を利用することにより、このような手法に頼る必要がなくなります。この Akamai ソリューションは、最大規模の DDoS 攻撃を吸収しながら、正当なユーザー要求への対応を継続し、DNS の耐障害性と応答性を向上させます。
よくある質問（FAQ）
インターネット制御通知プロトコル（ICMP）フラッド攻撃は、一般的な分散型サービス妨害（DDoS）攻撃であり、攻撃者は ICMP ping またはエコー要求パケットを使用してサーバーまたはネットワークデバイスを過負荷にしようと試みます。通常、ICMP ping は、デバイスの健全性とデバイスへの接続性を判断するために使用されます。ICMP フラッド DDoS 攻撃によりターゲットデバイスに過剰な負荷をかけると、デバイスは同数の応答パケットで応答する能力を失い、リソースを大量に消費し、正常に機能しなくなります。
ICMP フラッド攻撃は、デバイスへの正当なリクエストを阻止します。これにより、ユーザーは、ICMP をヘルスモニターや可用性のビーコンとして使用する重要なアプリケーションやサービスにアクセスできなくなる可能性があります。