DDoS攻撃とは？仕組み・種類・被害例・防御策を徹底解説

DDoS攻撃は、ウェブサイトやサーバー、オンラインサービスを利用できなくさせることを目的とした攻撃であり、インフラが処理できないほど大量のリクエストを発生させることでシステムを圧倒します。システムのハッキングやデータ窃盗を行うのではなく、攻撃者は膨大な数のリクエストを送り、ネットワークや計算リソースを使い果たします。

DDoS攻撃の特徴と仕組み

最大の特徴は分散型であることです。トラフィックは同時に数千、数百万台ものデバイスから発生し、単一の発信元をブロックしても効果がありません。ネットワーク帯域やCPU、メモリ、接続数の上限を超えると、一般ユーザーはエラーや遅延に悩まされ、サービスにアクセスできなくなります。

DDoS攻撃とは何かを簡単に解説

DDoS（分散型サービス拒否）攻撃は、ウェブサイトやサーバー、ネットワーク機器に過剰な負荷をかけ、通常のユーザーへのサービスを妨害する攻撃です。

例えば、同時に数千人を処理できるECサイトに、突然数十万台の端末からリクエストが殺到すると、サーバーのリソースが圧迫され、ページ表示の遅延やエラー、最悪の場合は完全に応答しなくなります。

通常のDoS（Denial of Service）攻撃は単一または少数の発信元から行われますが、DDoS攻撃は多数の端末から同時に行われるため、「分散型」と呼ばれます。

なお、DDoS攻撃は必ずしもサーバーの侵入を意味するものではなく、サービスの可用性を損なうことが主な目的です。データベースやファイルが無事でも、攻撃中はサイトやアプリ、APIが利用困難になります。

攻撃対象となるインフラの要素は様々です。ネットワーク帯域の占有、ネットワーク機器の接続枠の枯渇、CPUやメモリ、DBの高負荷など、多様な方法でリソースを使い果たします。

ユーザーからは「サイトが遅い」「接続が切れる」「サーバーエラー」といった同様の症状に見えますが、インフラ内部では原因が異なるため、攻撃タイプごとに最適な防御策も異なります。

DDoS攻撃がサーバーを過負荷にする仕組み

どんなサーバーにもリソースの限界があります。1秒あたりの処理能力や同時接続数、ネットワーク帯域には上限があり、DDoS攻撃はこれらの制限を超えようとします。

攻撃時にサーバーで何が起こるのか

ユーザーがサイトにアクセスすると、端末からリクエストがサーバーへ送信され、アプリケーションやデータベースを経由してレスポンスが返されます。

各リクエストには必ず処理時間やリソースが必要です。たとえ1件の処理が一瞬で終わっても、同時に処理できる件数には上限があります。処理しきれないリクエストは待機列に入り、リソース開放待ちとなります。

DDoS攻撃ではこのリクエスト数が急激に増加し、数千から数百万件ものリクエストが一斉に殺到します。キューが膨れ上がり、接続が埋まり、CPUやメモリの負荷が高まる上、ネットワーク回線も埋め尽くされます。

結果として、一般ユーザーのリクエストも他と区別されず、リソースの解放待ちとなります。サーバーが限界に達すると、タイムアウトや502/503/504エラーが発生します。

場合によっては、サーバー自体は動作していても攻撃トラフィックがネットワーク帯域を使い切るため、ユーザーのリクエストがサーバーまで到達しません。たとえば10Gbps回線に対し50Gbpsのトラフィックが来ると、余分なリクエストはアプリケーションに到達する前に破棄されます。

必ずしも複雑なリクエストは不要

DDoS攻撃は、複雑なリクエストや脆弱性を使う必要はありません。大量の通常リクエストだけでもサービスを過負荷にできます。

特にリソース消費の多い操作（巨大DB検索、複雑なページ生成、複数サービスとの連携、動的レスポンスの計算など）が対象となると、1リクエストあたりの負荷が高くなります。

別の方法としては、同時接続数を大量に確保するケースもあります。たとえ1件あたりのデータ量が少なくても、接続情報を保持するためのリソースが消費されます。

そのため、ネットワーク帯域の占有・接続枠の枯渇・アプリケーションの過剰処理、といった様々な方法でインフラは過負荷となり、ボトルネックとなるリソースに応じて攻撃タイプや防御策が変わります。

DDoS攻撃の種類と違い

DDoS攻撃は、攻撃者が枯渇させたいインフラのリソースによって分類されます。データ量によるネットワーク帯域の圧迫、ネットワーク機器の接続枠の占有、アプリケーション側への過負荷など、目的によって手法が異なります。

ボリューム型攻撃

主な目的はネットワーク帯域の占有です。大量のデータトラフィックをサーバーやネットワークに送り込み、通常トラフィックの通過を妨げます。

この場合、ウェブサーバー自体は正常動作していても、ネットワーク回線が詰まっているためユーザーはサイトにアクセスできません。攻撃トラフィックはbps（ビット毎秒）で測定され、流量が大きいほどインフラ側の対応が難しくなります。

この種の攻撃では、サーバーに届く前にトラフィックをフィルタリングすることが極めて重要です。データセンター到達前に回線が占有されてしまうため、アプリケーション側でのブロックは効果が薄いです。

ネットワークプロトコル型攻撃

このタイプは、データ量ではなくネットワーク機器やOSの接続管理リソースを狙います。

ルーターやファイアウォール、ロードバランサー、サーバーは、接続維持のための状態情報を保持しています。新規接続が急増すると、状態管理テーブルやキューが溢れ、正常な接続も処理不能となります。

少量のデータでも、条件次第で深刻な負荷を与えることが可能です。

アプリケーション層攻撃

アプリケーション層の攻撃は、見た目は正規ユーザーとほとんど変わらないHTTP/HTTPSリクエストを大量に発生させます。ページ表示や検索、API など各種機能に対してリクエストが集中します。

このタイプの問題は、各リクエストの処理に多くのリソースが必要な点です。サーバーはアプリケーションのコード実行、DBアクセス、計算・レスポンス生成を行い、リクエスト数が増えるとCPU・メモリ・DB接続プールなどが限界に近づきます。

帯域の増加が目立たないため、データ転送量だけでは発見しにくいのが特徴です。

これらの分類は、防御策を選ぶ上で重要です。ネットワーク帯域対策が強いシステムでも、アプリケーション層の正規風リクエストには無力な場合があるため、現代の防御システムはトラフィック量や接続数、HTTPリクエストの挙動まで多層的に分析します。

ボットネットによる分散型攻撃の実現

DDoS攻撃の対策が難しいのは、トラフィックの発信元が非常に多いことにあります。このため、攻撃者は「ボットネット」と呼ばれる遠隔操作可能なデバイスのネットワークを利用します。

ボットネットには、感染したPC・サーバー・ルーター・監視カメラ・NASなど様々なIoTデバイスが含まれます。各デバイスは少量のリクエストしか発しなくても、数千台が同時に動くことで膨大なトラフィックとなります。

例えば1台が毎秒数十件のリクエストを送るだけでも、大規模なボットネットなら毎秒数十万〜数百万件のリクエストが発生します。攻撃先からはIPアドレスやネットワークがバラバラに見えるため、正規ユーザーとの区別が難しくなります。

こうした分散性により、IPアドレス単位でのブロックはほとんど効果がありません。しかも、保護システムが過度に厳しいフィルタリングをすると、同じネットワークや地域の正規ユーザーまで巻き添えにしてしまう恐れもあります。

ボットネットは事前に構築され、脆弱なデバイスにマルウェアを感染させ、管理インフラに接続します。オペレーターが一斉指令を送ることで、狙ったターゲットに攻撃を仕掛けられます。

ボットネットの仕組みや感染経路、リスクについてさらに詳しく知りたい方は、以下の解説記事をご覧ください。

ボットネットとは？仕組み・脅威・感染経路・対策を徹底解説

なお、ボットネットは必須要素ではなく、他にも様々な方法でDDoS攻撃は行われますが、分散したトラフィックこそDDoSの最大の特徴です。

DDoS攻撃への防御策

DDoS対策は複数レイヤーで構成されます。異常な負荷を素早く検知し、悪質なトラフィックを通常トラフィックから分離して、インフラの過負荷を防ぐことが目標です。

異常トラフィックの検出

まずは、急激な負荷増大の原因が攻撃なのか、単なるアクセス急増なのかを特定します。監視システムはリクエスト数、新規接続数、トラフィックのIPや地域など多角的にデータを取得します。

絶対的なトラフィック量だけでなく、通常と比較した行動変化も重要です。例えば普段は1分あたり数千件のリクエストしかないのに、突如数十倍に急増した場合はDDoSの兆候と言えます。

ただし、単一指標だけでは判断できません。大規模なニュース掲載や話題化によるアクセス急増も発生し得るため、複数のパラメータを比較し、通常のユーザー行動と似ているかどうかを分析します。

リクエストのフィルタリング・制限

怪しいトラフィックを検知したら、本来のサーバーに届く前に遮断することが大切です。ネットワークフィルターやレート制限、クライアント挙動分析システムが使われます。

基本的な方法の一つに「rate limiting（レートリミット）」があります。これは、一定時間内に一つの発信元が送れるリクエスト数に上限を設け、超過した場合は一時的にブロックまたは低優先で処理します。

ウェブアプリ層への攻撃にはWAF（ウェブアプリケーションファイアウォール）も有効です。HTTP/HTTPSリクエストを解析し、アプリケーションに届く前に怪しいアクションをブロックします。

最大の課題は、正規ユーザーまで一緒にブロックしないことです。したがって、厳格な制限やIPリストだけに頼らず、多角的な分析が不可欠です。

負荷分散

もう一つ重要なのは、一台のサーバーにトラフィックを集中させないことです。複数のサーバーやデータセンター、ネットワーク拠点間でトラフィックを分散させます。

そのためには、CDNやロードバランサー、分散ネットワークインフラを利用します。拠点やリソースが多いほど、一極集中の攻撃に強くなります。

ロードバランサーの仕組みやメリットについて、詳しくは下記記事を参照してください。

ロードバランサー徹底解説：仕組み・種類・アルゴリズムをわかりやすく

大規模インフラでは、Anycastという手法も活用されます。単一IPアドレスに複数拠点を紐づけ、トラフィックを最適なノードにルーティングすることで、攻撃トラフィックの一極集中を防ぎます。

Anycast DNSの詳細は、以下の解説記事を参考にしてください。

Anycast DNS徹底解説：仕組み・BGP・メリット・導入効果

DDoSを完全に防ぐことはできる？

どんなインフラにも物理的限界があるため、絶対的なDDoS防御は存在しません。十分な規模の攻撃であれば、強力なシステムでもダウンする可能性があります。

現実的な目標は、「攻撃を完全に防ぐ」ことではなく、インフラが耐えられる負荷を最大化し、悪質トラフィックを可能な限り早く排除して、一般ユーザーへの影響を最小限に抑えることです。

実際には、常時監視・自動フィルタリング・レート制限・負荷分散・外部トラフィッククリーニングサービスなどを組み合わせる多層防御が最も安定的です。このようにすれば、大規模攻撃時でも正規ユーザーへのサービス継続が可能となります。

まとめ

DDoS攻撃は、インフラの限られたリソースを過負荷にすることで、サイトやサービスの可用性を妨害します。トラフィックはネットワーク帯域や接続枠、アプリケーションの処理能力を圧迫します。

特に分散型攻撃では、多数のデバイスから同時にトラフィックが発生するため、単純なIPブロックは効果が薄く、リクエスト挙動の分析や負荷分散が重要となります。

実践的なDDoS対策は多層的に構築され、監視による早期発見、フィルタリングやレート制限による悪質リクエストの遮断、CDN・Anycast・ロードバランサーによる負荷分散などがポイントです。攻撃トラフィックをいかに早く切り分けるかが、サービス可用性維持の鍵となります。