第6章 · ネットワークセキュリティ·v1.0.0·更新 2026/7/10·読了目安 約17分
変更要約: 初版
6.4攻撃と対策
この節の要点
大量のリクエストでサービスを停止させるDoS/DDoS（SYN Flood・リフレクション攻撃・増幅攻撃）、DNS応答を偽装するDNSキャッシュポイズニング、LAN内でMACアドレスを偽装するARPスプーフィングとそれによる中間者攻撃、事前調査に使われるポートスキャン、そしてこれらへの対策となるDNSSEC・DHCPスヌーピング・送信ドメイン認証（SPF/DKIM/DMARC）、境界を前提としないゼロトラスト・SASEを学びます。
ネットワーク運用者にとって、観測された異常な事象（急な通信量増加、DNSの応答異常、LAN内の不審な通信）から攻撃の種類を正しく診断し、適切な対策を選ぶ能力は、障害対応・インシデント対応の核心です。この節では代表的な攻撃手法の仕組みを理解した上で、事象から原因を推定し対策につなげる思考の型を身につけます。
6.4.1DoS/DDoS攻撃
- DoS攻撃＝標的のサービスを提供不能にすることを目的とした攻撃。DDoS攻撃＝多数の踏み台端末（ボットネット等）から分散して同時に攻撃を仕掛ける方式で、送信元が分散するため単純なIPアドレス遮断では防ぎにくい。
- SYN Flood攻撃＝TCPの3ウェイハンドシェイクのSYNパケットのみを大量送信し、ACKを返さず接続確立を完了させない攻撃。サーバ側は半開接続（ハーフオープン）の管理テーブルを大量に消費し、正規の接続要求を処理できなくなる。対策にはSYN Cookie（接続情報をサーバ側に保持せず暗号学的に生成したシーケンス番号に埋め込む方式）がある。
- リフレクション攻撃＝送信元IPアドレスを標的のIPアドレスに偽装したリクエストを多数の中継サーバ（DNSサーバ等）へ送り、応答を標的に集中させる攻撃。応答パケットのサイズがリクエストより大きいプロトコル（DNS・NTP等）を悪用すると、少ない送信量で大きな攻撃トラフィックを生み出す増幅（アンプリフィケーション）攻撃になる。