# サービス妨害攻撃とネットワークプロトコルの悪用 ## 定義 サービス妨害攻撃とネットワークプロトコルの悪用とは、BGP・DNS・TCP/UDPといったインターネットの基盤プロトコルが本来的に持つ「送信元・経路情報の正当性を検証しない」という設計上の弱点を突いて、対象の可用性を奪ったりトラフィックを乗っ取ったりする攻撃手法群を指す。代表例として、BGP経路のハイジャック(経路広告に検証機構がないため、悪意ある経路広告がそのまま世界中に伝播する)、DNSを踏み台にした増幅攻撃(署名付きDNSSECレコードのような大きな応答を偽装した送信元へ送りつけさせる)、TCPの3ウェイハンドシェイクを悪用したSYNフラッド/SYNリフレクションが挙げられる。攻撃の手口が一つずつ塞がれるたびに、攻撃者はより単純な力任せの手法(大量の感染機からのトラフィック洪水、すなわちDDoS)へ回帰するといういたちごっこの構造を持つ。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.2, §21.2.1, §21.2.3, §21.2.4, §21.2.5) ## 横断的知見 (本概念は現時点では [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] 単独からの立ち上げである。今後、ネットワークプロトコル・セキュリティを扱う他ソースが ingest された際、この分野の突き合わせ知見をここに蓄積する。) - **同一書籍内で、第21章が技術的に解説するBGPハイジャックを、第23章は国家安全保障・地政学の文脈に位置づけ直す**: 第21章は「送信元・経路情報の正当性を検証しない」という設計上の弱点そのものを論じたのに対し、第23章はこの弱点が実際に国家間の情報戦の手段として使われた事例(2008年パキスタンによるYouTube遮断が世界的なBGP障害に発展した事案、2010年中国電信による世界のIPアドレスの15%を18分間ハイジャックした事案)を挙げ、後者を一部の観測者が「サイバー核」の試験と解釈したと述べる。両章を合わせると、第21章が示す技術的な検証機構の欠如という設計上の弱点が、第23章では国家が意図的に行使しうる攻撃手段として読み替えられており、同一の技術的脆弱性が「うっかりミス」と「意図的な地政学的行使」の両方の姿を取りうることが確認できる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.2.1, [[@2020__Wiley__Security Engineering 3e - Chapter 23 Electronic and Information Warfare]] ch.23 §23.8.2) - **国家によるインターネット遮断への対抗策(自国インフラの分離)は、逆説的に大規模なサービス妨害攻撃への耐性を生む**: 第23章は、中国がグレートファイアウォールで自国インフラを世界のインターネットから切り離しているため、他国からの大規模な破壊的攻撃をほぼ免れると指摘し、ロシアも2019年の法律で同様の「主権インターネット」化を進めていると述べる。これは第21章が論じるBGP・DNSの脆弱性(グローバルな相互接続性そのものに起因する)への対策が、技術的な修正(RPKI・Peerlock等)ではなく政治的な自国インフラの分離という形でも実現しうることを示し、第21章が未解決の問いとして残した「技術的対策の限界」に対する、技術以外の解の存在を示唆する。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 23 Electronic and Information Warfare]] ch.23 §23.8.2) - **同じ増幅攻撃という現象を、Security Engineering 3e は脆弱なプロトコル設計として、Building Secure and Reliable Systems ch.10 は攻撃者・防御者の経済的非対称として捉え直す**: 第21章は BGP・DNS・TCP に共通する「送信元・経路情報の正当性を検証しない」という設計上の弱点そのものを論じ、対策として RPKI や Peerlock といったプロトコルレベルの検証機構を挙げる。これに対し BSRS ch.10 は、DoS を「攻撃・防御」ではなく「敵対者が需要をサービス容量という供給以上に押し上げる経済攻撃」と定義し直し、増幅攻撃についても防御側の対応を個別プロトコルの修正ではなく、既知の送信元ポートを持つ UDP トラフィックを network ACL でスロットリングするという、より汎用的な監視・フィルタリング層の設計に落とし込む。同じ技術的現象(送信元検証の欠如を突く増幅攻撃)に対し、前者はプロトコル設計の脆弱性修正、後者は経済的コストの再配分という異なる解決の軸を提示しており、両者は代替ではなく補完関係にある。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.2.4, [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 10 Mitigating Denial-of-Service Attacks]] ch.10 §Amplification Attacks) - **「攻撃者が支配すべき資源量」という指標が、両ソースで独立に防御優先度の判断基準として使われている**: 第21章は BGP ハイジャックについて、悪意ある広告が正しい AS を経路の末尾に付け加えるだけで検知を回避できるという「攻撃者に必要な操作の少なさ」を脆弱性の深刻さの根拠として述べる。BSRS ch.10 は防御戦略として「攻撃者がユーザー影響を出すために制御する必要のあるマシン数」で脅威を比較し、依存関係の連鎖の中で最も少ない資源で崩せる環に工数を集中すべきだと明示的に定式化する。前者が個別の脆弱性の深刻さを論じる文脈で暗黙に使う基準を、後者は防御優先度づけの一般原則として明文化しており、両者を合わせると「敵対者の必要資源量」がネットワーク層のセキュリティ設計を横断する共通の優先度指標であることが確認できる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] ch.21 §21.2.1, [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 10 Mitigating Denial-of-Service Attacks]] ch.10 §Defender's Strategy) ## 未解決の問い - BGPの正当性検証機構であるRPKIは「うっかりミス」は検知できるが、悪意ある攻撃者が正しいASを経路の末尾に付け加えることで検知を回避できると本章は指摘する。Peerlock(主要ASが自ら広告する経路を相互に共有する仕組み)はこの限界にどこまで対処できるか、本章では「今後の実用化に期待」という段階の記述にとどまり定量評価はない。 - SYNフラッドは1996年のPanix攻撃から数十年を経てなお完全には根絶されていない。SYNcookieという技術的対策があるにもかかわらず攻撃が「減衰しつつ長年残存した」理由(採用の遅れか、リフレクション型への進化か)は本章単独では明確でない。 - 「攻撃手口が塞がれるたびにより単純な力任せの手法へ回帰する」という本概念の構造は、[[サイバー犯罪の産業化と分業]] が記録するDDoS-for-hire業者の商業化とどう結びつくか。ボットネットの供給(産業化)と攻撃手法の単純化(本概念)という2つの独立した傾向が、なぜ同時期に進行したのかは未接続。 - BGP・DNS・TCPという異なるプロトコル層での「検証機構の欠如」という共通パターンは、なぜインターネットの基盤プロトコル設計に共通して見られるのか。信頼できる少数の学術機関を接続するという初期の設計前提(第7章・[[ネットワークセキュリティアーキテクチャ]] が記録する歴史認識と同型)がどこまで説明できるかは、本概念では未検証。 - BSRS ch.10 が示す「経済的非対称」の視点(攻撃者の限られた資源をどう効率的に使うか、防御者はどこに投資すべきか)を、Security Engineering 3e が挙げる個々のプロトコル脆弱性(BGP・DNS・TCP)の深刻度評価に定量的に適用するとどうなるか。両ソースを合わせて「1ドルの防御投資あたりの攻撃コスト増加量」のような共通指標を構築できるかは未検証。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]](§21.2 BGP・DNS・TCP/UDPの悪用とサービス妨害攻撃全般) / [[@2020__Wiley__Security Engineering 3e - Chapter 23 Electronic and Information Warfare]](§23.8.2 BGPハイジャックの国家安全保障・地政学的文脈) / [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 10 Mitigating Denial-of-Service Attacks]](DoSを経済的非対称として捉え直し、階層防御・増幅攻撃対策・自作の攻撃を論じる) - 概念: [[ネットワークセキュリティアーキテクチャ]](セキュリティを個々のメカニズムでなくアーキテクチャの問題として捉える視点との対比) / [[ネットワーク監視]](攻撃検知の手前にある可観測性の問題) / [[サイバー犯罪の産業化と分業]](DDoS-for-hire・ボットネット供給という産業側面) / [[情報戦]](国家によるBGPハイジャック・DDoSがインフラ攻撃としての情報戦の一手段であるという文脈) / [[敵対者の類型論]](国家主体による行使という敵対者類型との対応) / [[過負荷制御]](需要超過への防御側の受付制御という隣接領域) / [[自作のサービス妨害]](敵対者不在で正規需要がDoS化する場合との対比) - 実体: [[Project Shield]](共有インフラによるDDoS防御の規模の経済の実例) - 章: [[@2020__Wiley__Security Engineering 3e - Chapter 21 Network Attack and Defence]] / [[@2020__Wiley__Security Engineering 3e - Chapter 23 Electronic and Information Warfare]] / [[@2020__OReilly__Building Secure and Reliable Systems - Chapter 10 Mitigating Denial-of-Service Attacks]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 21, §21.2. - Heather Adkins et al. (eds.), *Building Secure and Reliable Systems*, O'Reilly Media, 2020, Chapter 10. - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 23, §23.8.2.