新規投稿のお知らせを受信されたい方は、サブスクリプションをご登録ください:

もしもし、どなたですか?最近増加が著しいVoIPへのDDoS攻撃

2021-10-01

5分で読了
この投稿はEnglish繁體中文FrançaisDeutsch한국어EspañolIndonesiaTiếng Việtไทย简体中文でも表示されます。

ここ1か月ほど、複数のVoice over Internet Protocol(VoIP)プロバイダーが、REvilを名乗る主体による分散型サービス妨害 (DDoS)攻撃の標的にされました。クリティカルなHTTP WebサイトやAPIエンドポイントを狙ったL7攻撃と、VoIPサーバーのインフラストラクチャを狙ったL3/4攻撃とを組み合わせたマルチベクトル型攻撃でした。結果として、狙われたVoIPサービスやWebサイトまたはAPIの可用性に多大な影響が出たケースもありました。

Cloudflareのネットワークは、グローバルに広がる     高度なトラフィックフィルタリングスイート、攻撃パターンと脅威の知能に関するユニークな視点により、     音声・動画インフラを効果的に保護し、迅速化     することができます。

お客様、または     組織がDDoS攻撃やランサムウェア攻撃、恐喝攻撃の標的となった場合は、すぐさま支援を要請して自社のインターネットプロパティを保護してください。身代金(ランサム)は支払わず、地域の法執行機関に通報することをお薦めします。

IPを利用した音声(     および動画、絵文字、カンファレンス、猫のおもしろ画像     、リモート教室)サービス

Voice over IP(VoIP)は、インターネット上のマルチメディアコミュニケーションを可能にする一連の技術を     指す用語です。この技術によって、友人とのFaceTime通話やZoomを使ったバーチャル教室での授業が可能となります。     携帯電話からかける「通常の」電話ですら、一部はこの技術で実現しています。

VoIPの基本原則は、回線交換方式のネットワークを使った従来のデジタル通話と似ています。主な相違点は、符号化されたメディア(たとえば音声や動画)が小さな単位のビットに分割され、特別に定義されたメディアプロトコルに従ってIPパケットのペイロードとしてインターネット上を転送されることです。

Child on a video conference all

この音声データの「パケット交換」は、従来の「回線交換」より遥かに効率的にネットワークリソースを使うことができます。そのため、VoIPを使った通話はPOTS(「plain old telephone service(普通の電話サービス)」)よりコスト効率が断然よくなります。企業はVoIPへの切り換えによって50%以上の通信コスト削減ができますので、3社に1社が既にVoIP技術を採用しているのも不思議ではありません。VoIPは柔軟性とスケーラビリティに     優れ、パンデミック中に離れていながら、     人々がオンラインで集う際に特に有用でした。

たいていのVoIP通話は、広く普及した     セッションイニシエーションプロトコル (SIP)を使っています。SIPはもともとRFC-2543 (1999)     で定義され、音声通話かビデオ通話か、あるいは、二者通話か三者以上かを問わず通話(「セッション」)開始のための柔軟なモジュラープロトコルとしてデザインされました。

VoIPではスピードが命

人々のリアルタイムコミュニケーションには、自然な印象と即時性、即応性が     不可欠です。そのため、     良好なVoIPサービスの最重要要素の1つがスピードになります。ユーザーはこれを、ずれ     や音切れ     がなく自然に聞こえるオーディオや高精細度動画として体感します。ユーザーが感じる通話品質は通常、Perceptual Evaluation of Speech Quality(PESQ:音声品質の知覚評価)Mean Opinion Scores(MOS:平均オピニオン評点)などの評価尺度を用いて綿密に測定し、追跡しています。SIPや他のVoIPプロトコルは、TCPUDPを下層プロトコルとして実装することができます。UDPはルーターやサーバーでの処理が速いため、広く     使われています。

UDPは信頼性の低いステートレスプロトコルで、サービス品質(QoS)の保証はありません。つまり、通常、ルーターとサーバーでUDPパケットの処理に使われるメモリーと計算能力が     少ないため、秒あたりのパケット処理量が多くなります     。パケットの処理が速いため、パケットのペイロード(符号化されたメディア)の組み立てが速く、より良い通話品質が実現できます。

VoIPサーバーは     速いことを良しとし、      パケットを先着順で出来るだけ早く処理しようとします。UDPはステートレスであるため、どのパケットが現行の通話に属するのか、どれが新しい通話を開始しようとしている     かの区別がつきません。そうした詳細情報はSIPヘッダー内にリクエストと応答の形で記載され、ネットワークスタックの上層に行くまで処理されません。

1秒あたりに処理できるパケットの数(pps)が増えてルーターやサーバーの容量を超えると、「速いことを良しとする         指針が裏目に出ます。従来の回線交換方式なら、容量に達した時点で新たな接続を拒否し、障害を起こさずに現行の接続を維持しようとします。VoIPサーバーは、できるだけ多くのパケットを処理しようと急ぐ     あまり、容量を越えた時点で、     すべてのパケットや通話に対応できなくなってしまいます。その結果、現行の通話に遅延や途絶     が起き     たり、新たな通話の開始や受信     に失敗したりするのです。

きちんとした保護策を講じなければ、優れた通話体験の提供に躍起になるうちにセキュリティが疎かになり、そこを攻撃者に突かれてしまいます。

VoIPサーバーに対するDDoS攻撃

攻撃者がUDPとSIPプロトコルを利用して特製のUDPパケットを怒涛のように送り付け、保護されていないVoIPサーバーを圧倒する可能性があります。VoIPサーバーを圧倒する手口の1つが、通話を開始するふりをするというもの。悪意のある通話開始リクエストが被害者に送られるたびに、サーバーは     そのリクエストの認証に計算能力とメモリーを使います。攻撃者が狙いを定めたサーバーを圧倒するのに十分な数の通話     開始リクエストを作成でき     れば、被害者のサーバーは圧倒され、正当な通話の処理ができなくなります。これが、典型的なDDoS攻撃のテクニックをSIPに適用したケースです。

このテクニックのバリエーションが、SIPリフレクション攻撃です。先ほどのテクニックと同様に、悪意のある通話開始リクエストを利用しますが、このバリエーションでは、攻撃者は悪意のあるトラフィックを被害者に直接送ることはしません。その代わり、インターネット上の何千もの無防備なサーバーにリクエストをランダムに送りつけ、悪意あるトラフィックの送信元が意図する被害者の送信元であるかのように装います。すると、何千ものSIPサーバーが被害者に求められてもいない返答を送り始めます。被害者は、それらの正当性を見極めるために計算能力を使わなければならなくなります。この場合も、被害者のサーバーは正当な通話を処理するのに必要なリソースが奪われて、ユーザーにとっては広範なサービス妨害事象となります。きちんとした保護策を講じなければ、VoIPサービスはDDoS攻撃に極めて弱いのです。

Illustration of a DDoS attack preventing access to legitimate clients

下のグラフは、CloudflareのMagic Transitサービスで保護されたVoIPインフラストラクチャ     に照準を定めた     最近のマルチベクトルUDP DDoS攻撃を示しています。攻撃のピークは70 Gbps強、毎秒1600万パケットでした。私たちが知る最大の攻撃というわけではありませんが、この規模の攻撃でも保護されていないインフラには大きな影響を及ぼす可能性があります。この攻撃は10時間ちょっと続き、自動検出されて緩和されました。

以下の2つのグラフは、先週SIPインフラに仕掛けられた同様の攻撃です。最初のチャートで、複数のプロトコルが攻撃に使われ、トラフィックの大部分が(なりすました)DNSリフレクションその他のよくあるアンプ・リフレクションベクトルから来ていることがわかります。これらの攻撃のピークは130 Gbps強、1740万ppsでした。

Graph of a 70 Gbps DDoS attack against a VoIP provider

パフォーマンスを犠牲にすることなくVoIPサービスを保護する

Graph of a 130 Gbps DDoS attack against a different VoIP provider

品質の良いVoIPサービスを提供するために最も重要な要素はスピードです。遅延が低ければ低いほどよいのです。CloudflareのMagic Transitサービスは、遅延や通話品質に影響を及ぼすことなく、クリティカルなVoIPインフラストラクチャ     を保護するのに役立ちます。

Cloudflareのエニキャストアーキテクチャと当社ネットワークの規模とスケールのおかげで、Cloudflareでルーティングされたトラフィックは遅延が最小に抑えられ、パブリックインターネットに比べてさらに低遅延も実現できます。その仕組みの詳細については、Cloudflareのスピードウィーク     にあたって最近投稿した記事をお読みください。現実にMagic Transitをご利用のお客様のネットワークで、世界平均36%のパフォーマンス向上を実証したテストの結果などがご覧になれます。

Diagram of Cloudflare Magic Transit routing

さらに、Cloudflareデータセンターに取り込まれた各パケットについて、遅延を回避するために、複数層のパス外検出によってDDoS攻撃の分析を行っています。攻撃が検出されると、エッジで、攻撃パケットの特性にマッチするフィンガープリントをリアルタイムで作成します。次にこのフィンガープリントをLinux kernel eXpress Data Path(XDP)と照合し、攻撃パケットを速攻でドロップして正当なパケットに巻き添え被害が及ばないようにします。また、当社では最近、UDPトラフィックを検査して有効なSIPトラフィックかどうかを見極めるための具体的な緩和ルールを追加でデプロイしました。

World map of Cloudflare locations

検出と緩和はCloudflareの各エッジサーバー内で自律的に行われますので、「スクラビングセンター」の容量やデプロイ範囲の限界という問題はここには存在しません。さらに、脅威インテリジェンスをネットワーク全体でリアルタイムで自動共有し、攻撃について他のエッジサーバーを「教育」します。

Conceptual diagram of Cloudflare’s DDoS mitigation systems

エッジ     での検出は一から設定可能です。Cloudflare Magic Transitをご利用のお客様はL3/4 DDoS Managed Ruleset を使ってDDoS攻撃対策設定の調整・最適化を行うことができ、Magic Firewall を使ってパケットレベル(ディープパケットインスペクションを含む)のファイアウォールルールをカスタムで作り、ポジティブセキュリティモデルを実行することもできます。

離れていても「会える」時代へ

Cloudflareの使命はより良いインターネットの構築に役立つことです。その使命の大     部分を占める     のが、世界中の人々が家族や友人、同僚と中断なくコミュニケーションをとれるようにすることです。これは、新型コロナウイ     ルス感染症のパンデミック中はとりわけ重要な役割です。当社のネットワークは、開発者がリアルタイムコミュニケーションシステムを構築するのに役立ったり、VoIPプロバイダーをオンライン状態に保ったり、世界中の人々がつながりを保てるようお手伝いできるユニークな立場にあります

当社のネットワークのスピードと、常にオンになっている自律的DDoS攻撃対策技術のおかげで、VoIPプロバイダーはパフォーマンスを犠牲にしたりDDoS攻撃者の身代金要求に屈したりすることなく、顧客へのサービスを継続できます。

詳しくは、Cloudflareのスペシャリストにご相談ください。https://www.cloudflare.com/lp/voip-ddos-protection/

攻撃されていますか? 当社のホットラインで今すぐご相談ください。

Cloudflareは企業ネットワーク全体を保護し、お客様がインターネット規模のアプリケーションを効率的に構築し、あらゆるWebサイトやインターネットアプリケーションを高速化し、DDoS攻撃を退けハッカーの侵入を防ぎゼロトラスト導入を推進できるようお手伝いしています。

ご使用のデバイスから1.1.1.1 にアクセスし、インターネットを高速化し安全性を高めるCloudflareの無料アプリをご利用ください。

より良いインターネットの構築支援という当社の使命について、詳しくはこちらをご覧ください。新たなキャリアの方向性を模索中の方は、当社の求人情報をご覧ください。
Device SecurityセキュリティDDoSVoIPTrendsRansom Attacks

Xでフォロー

Omer Yoachimik|@OmerYoahimik
Alex Forster|@alex_forster
Cloudflare|@cloudflare

関連ブログ投稿

2024年10月08日 13:00

Cloudflare acquires Kivera to add simple, preventive cloud security to Cloudflare One

The acquisition and integration of Kivera broadens the scope of Cloudflare’s SASE platform beyond just apps, incorporating increased cloud security through proactive configuration management of cloud services. ...

2024年10月06日 23:00

Enhance your website's security with Cloudflare’s free security.txt generator

Introducing Cloudflare’s free security.txt generator, empowering all users to easily create and manage their security.txt files. This feature enhances vulnerability disclosure processes, aligns with industry standards, and is integrated into the dashboard for seamless access. Strengthen your website's security today!...

2024年10月02日 13:00

How Cloudflare auto-mitigated world record 3.8 Tbps DDoS attack

Over the past couple of weeks, Cloudflare's DDoS protection systems have automatically and successfully mitigated multiple hyper-volumetric L3/4 DDoS attacks exceeding 3 billion packets per second (Bpps). Our systems also automatically mitigated multiple attacks exceeding 3 terabits per second (Tbps), with the largest ones exceeding 3.65 Tbps. The scale of these attacks is unprecedented....