DoS/DDoS の増幅原理と緩和アーキテクチャ

増幅攻撃の核心：非対称性を作る

DoS/DDoS 攻撃の威力は、攻撃者が投じたリソースに対して被害者が受ける負荷がどれだけ大きいかという非対称性で決まります。反射増幅攻撃（reflection/amplification）は、この非対称性を2段階で作り出します。

1. 反射（reflection）：攻撃者は送信元 IP アドレスを被害者のものに詐称したパケットを、第三者の公開サーバー（リフレクタ）へ送ります。サーバーは応答を「送信元」すなわち被害者へ返すため、攻撃者の素性が隠れ、トラフィックが被害者へ集中します。
2. 増幅（amplification）：要求は小さく、応答は大きいプロトコルを選びます。増幅率は次の比で定義されます。

増幅率 (BAF: Bandwidth Amplification Factor)
  = リフレクタが返す応答のバイト数 / 攻撃者が送る要求のバイト数

成立条件は2つです。第一に、送信元 IP の詐称が可能であること。これはネットワーク側で送信元検証（BCP 38 / uRPF）が行われていない経路で成立します。第二に、コネクションレスである UDP を使うこと。TCP はハンドシェイクで往復するため送信元詐称が事実上困難ですが、UDP は1パケットで応答を引き出せるため反射に向きます。

代表的リフレクタと増幅率

どのプロトコルを選ぶかで増幅率が大きく変わります。小さな要求で巨大な応答を引き出せるものほど凶悪です。

memcached が突出するのは、攻撃者が事前に巨大な値をキャッシュへ書き込み、それを数バイトの get 要求で繰り返し引き出せるためです。要求と応答のバイト比が構造的に跳ね上がり、増幅率が4桁〜5桁に達します。2018年に観測された 1.3 Tbps 級の攻撃はこの手口でした。

SYN フラッドと SYN cookie

増幅とは異なる枯渇軸を突くのが SYN フラッドです。これは帯域ではなく接続状態テーブルを枯渇させるプロトコル型攻撃です。

TCP の3ウェイハンドシェイクでは、サーバーは SYN を受け取ると SYN/ACK を返し、最後の ACK が来るまでその接続を SYN-RECV（半開き） 状態で保持します。この半開き接続は バックログキューという有限の領域を占有します。攻撃者は送信元を詐称した SYN を大量に送り、最後の ACK を返さないことで、キューを半開き接続で埋め尽くします。キューが満杯になると、正規ユーザーの SYN が捨てられ、新規接続ができなくなります。

正常: SYN ------>            (state: SYN-RECV をメモリ確保)
      <------ SYN/ACK
      ACK ------>            (state: ESTABLISHED へ昇格)

攻撃: SYN(詐称) --->          (state: SYN-RECV を確保したまま)
      <------ SYN/ACK        (詐称先へ飛び、ACK は永遠に来ない)
      ... これを大量に繰り返しバックログを枯渇させる

ここで効くのが SYN cookie です。発想は「半開き接続の状態をサーバー側に持たない」こと。サーバーは SYN-RECV のメモリを確保する代わりに、接続情報を SYN/ACK の初期シーケンス番号(ISN)そのものへ符号化して返し、状態を破棄します。

SYN cookie の ISN 構成（概念）:
  ISN = (t)         : 一定周期で進む時刻カウンタ（数ビット）
      | (mss_idx)   : MSS をテーブル番号に圧縮（数ビット）
      | hash(secret, src_ip, src_port, dst_ip, dst_port, t)
                      : 4タプルと秘密鍵から計算した暗号学的ハッシュ

正規クライアントの ACK が返ると、その ack番号 = ISN+1 を検証。
ハッシュが再計算と一致すれば、状態を持たずに接続を復元して ESTABLISHED 化。

詐称された SYN には ACK が返らないので状態を確保せず、キューは枯渇しません。正規クライアントだけが正しい ACK（ISN+1）を返すため、ハッシュ検証を通って接続が成立します。

L7（アプリ層）攻撃：少量で刺す

帯域も接続テーブルも飽和させず、アプリケーションの重い処理を正規リクエストの形で突くのが L7 攻撃です。検索、ログイン、全文集計、動的レンダリングなど、1リクエストあたりのサーバー処理コストが高いエンドポイントを連打します。

L7 攻撃が厄介なのは、個々のリクエストが正規のものと区別できない点です。HTTP として完全に正しく、TLS ハンドシェイクも正規に完了し、レート自体も穏当に見えることがあります。回線(bps)もパケット(pps)も余裕があるのに、アプリの CPU やデータベース接続プールが先に枯渇する――「サーバー負荷は高いのに回線は空いている」状態が典型的なサインです。Slowloris のように、HTTP リクエストをわざと小出しに送り続けて接続を長時間占有し、ワーカースレッドを枯渇させる低速攻撃もこの系統です。

緩和アーキテクチャ：容量・洗浄・選別を重ねる

容量で殴ってくる攻撃には、より大きな容量で受け止めるしかないという非対称性があります。緩和は単一の魔法ではなく、層の異なる仕組みを重ねます。

Anycast は緩和の土台です。同じ IP アドレスを複数拠点から BGP で広告すると、各拠点はインターネットの経路上「最も近い」発信元からのトラフィックだけを受けます。これにより、世界中から集まる攻撃トラフィックが自動的に各拠点へ分割吸収され、被害者の単一拠点に全量が集中する事態を避けられます。総容量が攻撃量を上回れば、各拠点は自分の取り分だけを捌けばよくなります。

スクラビングは、攻撃検知時にトラフィックを専用の洗浄設備へ BGP 再経路や DNS 切替で迂回させ、シグネチャや振る舞い解析で悪性パケットを除去し、正常分だけをサーバーへ返します。レート制御はレート制限の原理で単位時間あたりの量を抑え、L7 ではボット選別（JavaScript チャレンジ、Proof-of-Work、CAPTCHA）で自動化トラフィックをふるい落とします。

まとめ

反射増幅攻撃は、UDP と送信元 IP 詐称を前提に、応答／要求のバイト比すなわち**増幅率(BAF)**で攻撃量を膨らませます。DNS で数十倍、NTP の monlist で200倍超、memcached で数千〜数万倍に達し、少ない元手で巨大なトラフィックを被害者へ集中させます。SYN フラッドは帯域ではなく半開き接続のバックログを枯渇させる攻撃で、SYN cookie が状態を初期シーケンス番号へ符号化することで「状態を持たずに正規接続だけ通す」フェイルセーフを実現します。L7 攻撃は正規リクエストの形で重い処理を突き、量的監視では検知できません。

緩和は Anycast による分散吸収、スクラビングによる洗浄、SYN プロキシによる状態代行、レート制御とボット選別による L7 の選別を重ねる多層構成が基本です。L3/L4 の物量は容量で、L7 の異常は指紋とチャレンジで――守る層ごとに手段を変えるのが要点です。全体像は DDoS 攻撃と対策 で、頻度ベースの防御は レート制限、TCP の下位層の挙動は TLS レコード層 と併せて押さえると、攻撃と防御の対応関係が原理から立体的に見えてきます。