DDoS の増幅攻撃：DNS/NTP リフレクションの原理

なぜ「小さな入力」が「巨大な攻撃」になるのか

分散型サービス妨害（DDoS）の増幅攻撃は、2つの性質を同時に悪用します。1つは 送信元 IP の偽装（spoofing） が容易なこと、もう1つは 要求より応答が大きいサービス（増幅器） が公開されていることです。攻撃者は被害者の IP を送信元に偽装した小さなクエリを増幅器へ大量に撒き、増幅器は「正規の問い合わせに答えただけ」のつもりで、巨大な応答を被害者へ送りつけます。攻撃者自身の上り帯域は小さくてよく、増幅器の数だけ攻撃量が積み上がる——これが少数のリソースで回線を飽和させられる理由です。

リフレクション（reflection）は経路の偽装、アンプリフィケーション（amplification）はサイズの拡大を指します。両者は別概念で、リフレクションは「誰が攻撃しているか」を隠し、アンプリフィケーションは「攻撃量」を増やします。実際の攻撃は両方を組み合わせます。

コネクションレスな UDP だから成立する

この攻撃が UDP 系サービスに集中するのは偶然ではありません。TCP と UDP の違いに根があります。

TCP では、偽装した送信元へサーバーが SYN-ACK を返し、その ACK が返ってこない限りデータ転送に進めません。偽装した相手（被害者）は身に覚えのない SYN-ACK を破棄するだけなので、攻撃者は会話を完成できず、大きな応答を引き出せません。対して UDP は握手がなく、サーバーは送信元 IP を一切確かめずにそのアドレスへ応答を返します。だからこそ DNS・NTP・SSDP・memcached といった UDP サービスが標的になります。

増幅係数：応答÷要求で決まる威力

威力の核心は 増幅係数（amplification factor） です。

増幅係数 = 応答のバイト数 / 要求のバイト数
攻撃者から見た実効増幅 = 増幅器へ送ったバイト × 増幅係数 = 被害者が受ける攻撃トラフィック

要求が 60 バイト、応答が 3000 バイトなら係数は約50です。攻撃者が 1Gbps の偽装クエリを撒ければ、被害者には理論上 50Gbps が降り注ぎます。代表的な増幅器の係数は次の通りで、桁が大きく違う点に注目してください。

memcached が桁違いなのは、本来内部ネットワーク用のキャッシュが UDP かつ無認証でインターネットに露出した結果、攻撃者が事前に巨大な値を set で仕込み、小さな get で吐き出させられるためです。2018年に観測された 1.3Tbps 級の攻撃はこの仕組みによります。

NTP の monlist：1要求で600件を返す古傷

NTP リフレクションが一時猛威を振るったのは、モード7の monlist コマンドが原因でした。これは NTP の動作原理 で扱う時刻同期とは別の、サーバー監視用の管理機能です。

要求:  get monlist        ← 数十バイトの小さな UDP パケット1個
応答:  直近に問い合わせた最大600クライアントの一覧
       → 100バイト×複数の応答パケットに分割されて返る
       → 合計で要求の数百倍のバイト数

monlist は1つの小さな要求に対し、サーバーが記録している直近クライアント群を最大600件まで返します。応答は複数の UDP パケットに分かれ、合計サイズが要求の200〜500倍を超えます。対策は単純で、noquery などでモード6/7の管理クエリを外部から無効化し、NTP デーモンを最新版にする（monlist 廃止版へ）ことです。

緩和：偽装を止める層と増幅を絞る層

対策は 送信元偽装を止める層 と 増幅を絞る層 の2つに分けて考えると整理できます。両方が必要で、片方だけでは穴が残ります。

BCP38：送信元アドレス検証

最も根本的なのは BCP38（RFC 2827）の送信元アドレス検証 です。ネットワークの入口（顧客側に向いたルータのインターフェース）で、そのインターフェースから来るはずのない送信元 IP を持つパケットを破棄します。

入口フィルタの原則（顧客 198.51.100.0/24 を収容するインターフェース）:
  if パケットの送信元 IP が 198.51.100.0/24 の外:
    破棄          # このリンクから出てよい送信元ではない＝偽装
  else:
    転送

実装は uRPF（Unicast Reverse Path Forwarding） が一般的で、「この送信元 IP 宛のパケットを返すとき、いま受け取ったのと同じインターフェースへ戻るか」を経路表で逆引きし、整合しなければ破棄します。これが全 AS で徹底されれば送信元偽装は成立せず、リフレクション攻撃は原理的に不能になります。問題は自分が実施しても他者が実施しなければ偽装パケットは流入する点で、デプロイのインセンティブが偏る「共有地の悲劇」になっています。

まとめと検証

増幅 DDoS は「送信元偽装で経路を偽る（リフレクション）」×「要求より大きい応答を引き出す（アンプリフィケーション）」の積で成立し、被害量は増幅係数と動員した増幅器数に比例します。係数は DNS で数十倍、NTP monlist で数百倍、露出した memcached で1万倍超に達します。根治は BCP38/uRPF による送信元検証ですが全網の協調が要り、現実には増幅源を絞る運用（公開停止・認証・レート制限・最小応答）と被害側の分散・破棄を重ねます。

疑わしい増幅トラフィックの実体は パケットキャプチャ で送信元ポート（53/123/11211 など）と応答サイズを確認し、自網が踏み台化していないかは応答先 IP の偏りで見分けます。回線飽和か到達性かの層別の切り分けは ネットワークの切り分け の手順に乗せてください。