正解：ウ
各選択肢の解説
ア自社のファイアウォールで、攻撃元のIPアドレスを見つけるたびに遮断する。
誤り。送信元が多数に分散しているので、1つずつ遮断しても追いつきません。 さらに、ファイアウォールは自社回線の内側にあるため、そこで捨てても 回線はすでに攻撃通信で埋まっており、正規の利用者の通信は入れないままです。
イWebサーバに修正プログラムを適用して、既知の脆弱性を塞いでおく。
誤り。脆弱性対策としては大切ですが、今回の攻撃は弱点を突いているのではなく、 通信の量で回線をあふれさせています。脆弱性が1つもないサーバでも、 回線が埋まれば利用者は接続できません。
ウ通信事業者などの対策サービスで、自社回線に届く前に攻撃通信を除去する。
正解。詰まっているのは自社の回線なので、その手前（上流）で攻撃通信を 取り除くしかありません。通信事業者やDDoS対策サービスは、自社より大きな 設備で攻撃通信を受け止めて選り分けます。
エIDSを導入して攻撃の通信を検知し、管理者へ速やかに通知させる。
誤り。IDS（侵入検知システム）は攻撃を見つけて知らせる仕組みで、 通信を止めるものではありません。検知できても回線のあふれは続くので、 サービスの停止という被害は防げません。
理解を深めるために
道が渋滞しているのに、門番を増やしても車は入れない
店の前の道路が、偽の客を乗せた大量の車で埋め尽くされた場面を考えます。 店の入口で門番が偽の客を追い返しても、道路の渋滞は解消せず、本物の客は 店にたどり着けません。渋滞を解くには、道路の手前で車を止めてもらう必要があります。
なぜ上流で止めるのか
DDoS攻撃は、多数の送信元から一斉に通信を送りつけ、サービスを使えなくする攻撃です。 単一の送信元から行うDoS攻撃と違い、送信元が分散しているので、 特定のIPアドレスを遮断するだけでは止まりません。
今回のように回線の帯域そのものがあふれているときは、対策をどこに置くかが決め手です。
- 自社のファイアウォールやサーバは、詰まった回線の内側にある
- 内側で攻撃通信を捨てても、回線を埋めている量は減らない
- 自社回線に入る前の通信事業者やDDoS対策サービスで、攻撃通信を取り除いてもらう
こうしたサービスは事前の契約が要ることが多いので、攻撃を受けてから探すのではなく、 可用性が重要なサービスでは平時に備えておくのが現実的です。
混同しやすいものとの違い
| 対策 | 何に効くか・限界 |
|---|---|
| 上流での攻撃通信の除去 | 回線に届く前に量を減らす。帯域のあふれに効く |
| ファイアウォールでの遮断 | 内側で止めるので回線のあふれは解消しない。分散した送信元に追いつかない |
| 修正プログラムの適用 | 脆弱性を突く攻撃に効く。通信量で押す攻撃には効かない |
| IDS | 検知して通知するだけで、通信は止めない |
試験では、攻撃が「弱点を突く」のか「量で押す」のかを先に見極め、 量で押す攻撃なら、詰まっている場所より手前で止める対策を選びます。