• 会社情報

プレスリリース

ラドウェア、2013年のDoS/DDoS攻撃の「セキュリティレポート」をリリース

2014.02.26

統合アプリケーションデリバリーソリューションのリーディング・プロバイダーである日本ラドウェア株式会社(東京都目黒区、以下ラドウェア)は、Radware, Ltd.の緊急対策チーム(ERT)が作成した「2013年 グローバルアプリケーション&ネットワーク セキュリティレポート」日本語版の公開を発表しました。本報告書では、2013年は、広範にわたる分散型サービス拒否(DDoS)攻撃の手法が、ますます高度化かつ機敏になり、サービス停止やサービスの低下、収益への致命的な打撃、顧客満足度およびブランドの認知の低下につながっており、2014年においても深刻な問題であり続けることを示しています。また、本報告書では、攻撃者が攻撃軽減ツールを回避するスピードが速くなってきていることを明らかにしています。

本報告書は、ラドウェアの緊急対応チーム(ERT)により作成されました。ERTは、DoS/DDoS攻撃を監視および分析し、顧客への脅威情報の提供とリアルタイムの攻撃軽減を行う組織です。2013年にERTが扱った300以上の事例と、セキュリティーに関する中立的な調査に回答を頂いた198名の回答結果、および15名(組織)のセキュリティー担当エグゼクティブへのインタビューによって得られた情報を集計および分析したものです。

本レポートの主な調査結果は次のとおりです。

●サービスレベルの低下が即ビジネスの中断につながる
調査回答者の87%が攻撃によるサービスレベルの低下を経験し、60%はサービスレベルの低下は大きな問題であると述べました。サービスの低下は、完全な停止と同様の損害にはならないと考えられるかもしれませんが、オンライン消費者の57パーセントは、ページのロードで3秒待たされるとサイトから離れ、その80%は戻って来いないことを示しています。オンライン事業者などオンラインが直接収益につながる組織の場合は、サービス低下は即座に損失につながることになります。

●攻撃者のレスポンスタイムが短縮
攻撃者の適応能力が増しており、被攻撃者の防御策に対して、HTTPフラッド攻撃や「Kill' em All」などの新しい攻撃ベクトルを利用してさらなる攻撃を仕掛けています。それにより防御―攻撃のサイクルが短くなっており、また、全体的な攻撃期間は長くなっています。

●DOS/DDoS攻撃のリスクはさらに増している
大規模なDOS/DDoS攻撃は2011年と2012年に発生しましたが、派手では無いにしろ攻撃の全体的な攻撃の強さと危険度はここ数年増加しています。ラドウェアのDoS/DDoS攻撃リスクスコアの評価によると、2013年は危険度が20%増加しています。

●攻撃「ターゲットリスト」が拡大
被攻撃リスクが最も高い組織は、政府機関のみでしたが、金融サービス業も最高リスクに位置づけられました。リスクが高くなった理由として、ハクティビスト(主義主張を伴ったハッカー)によるOperation AbabilやBitCoin取引所などへのDDoS攻撃が挙げられますが、最終目的が攻撃対象の破壊というわけではありません。また、不正行為につながる他の侵入や破壊を隠すためにDDoS攻撃が同時平行的に行われる場合もあります。Webホスティング企業やインターネットサービスプロバイダへの攻撃のリスクも、2013年に増加しています。

●新しい攻撃ベクトル
調査結果によるとDNS攻撃は、組織が攻撃に晒されている頻度が現在二番目に高い攻撃ベクトルとなっています。攻撃者が少ないリソースで膨大なトラフィックを生成する攻撃を行うことができ、攻撃者の追跡を困難にするマルチレイヤーの構造になっているため攻撃者にとって都合が良いためです。また、暗号化されたアプリケーションベースの攻撃は、すべてのWeb攻撃の50パーセントを占めています。さらにWebアプリケーションのログインページへの攻撃は、15%の組織が日常的に攻撃を受けています。

2014年もこの状況は改善することはなく、各組織は迅速な対応が求められています。今後起こりえるかも知れない攻撃を予測し緩和するために、以下を推奨します。

●攻撃緩和までの時間を短縮すること
組織は、攻撃を検出し、可能な限り最短時間で緩和策を実施できるようにする必要があります。

●攻撃への包括的な対策を準備すること
 マルチベクトルのDoS/DDoS攻撃が、より一般的になっています。組織は、あらゆるタイプやサイズの攻撃を検知して保護するために、DoS/DDoS攻撃対策へのより包括的な投資を行う必要があります。

●攻撃緩和のために一本化された高度なセキュリティチームを組織すること
攻撃が発生した際に、即座に対応し正しい攻撃緩和策を実施するために、組織内にDOS/DDoS攻撃のエキスパートを採用しセキュリティチームを設けるか、外部の緊急対応チームと契約しておくなど準備が必要です。

本レポートは日本ラドウェアのWebサイトからダウンロードできます。
http://www.radware.co.jp/product/dp/