DoS攻撃への適切な対応、IPAが手引き公開、岡崎市立図書館の事例にも言及

「サービス妨害攻撃の対策等調査」報告書

　独立行政法人情報処理推進機構（IPA）は16日、「サービス妨害攻撃の対策等調査」の報告書を公開した。IPAのサイトからPDFファイル（全96ページ）をダウンロードできる。

　この調査は、企業や組織におけるサービス妨害（DoS）攻撃への適切な対策を促すために行ったもの。報告書では、DoS攻撃の定義や、どのように対応すべきかについて、経営者やセキュリティ担当者が知っておくべき必要最小限の内容をまとめたという。

　具体的には、まずは運用しているウェブサービスの日常的なアクセス状況や負荷などについて把握しておくことが必要だとし、トランザクションの処理能力やデータベースのセッション数などの性能を把握するためのチェックシートの例を提示。その上で、処理能力を超えるアクセス集中が発生した場合に、意図的なDoS攻撃か、あるいは攻撃意図のない発信者による誤操作や誤設定などによるものか判断するためのチャートの例も示し、判断がつかない場合やDoS攻撃と予想される場合は、IPAや一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）に相談することが望ましいとしている。

　実際に被害を受けた組織へのインタビューや文献調査に基づく、国内外9件の事例について、概要や被害状況、実施した対策などをまとめているのも特徴だ。IPAでは「被害を受けた組織へのインタビュー調査では、一連の攻撃および対処から得られた知見についても記載している。自組織におけるDoS攻撃対策を検討する上での参考とすることができる」としている。この中には、一般社団法人コンピュータソフトウェア著作権協会（ACCS）のサイトを標的とした、ウイルス「Antinny」の亜種によるDDoS攻撃（2004年～）の事例もある。

DoS攻撃か否かの判断チャートの例

　また、いわゆる「岡崎市立図書館事件」も事例の1つとして解説している点が注目される。

　報告書では、この事例の場合は攻撃の意図がなかったことから「DoS攻撃」の定義には該当せず、そもそもアクセスの質的・量的な面からみて「DoS」とすることの妥当性にも疑問があるが、図書館側は「DoS攻撃」により業務を妨害されたとの認識を持つという不整合が生じていると指摘。

　こうした事例が今後も発生するようであれば、マッシュアップなどの技術開発のモチベーションに深刻なダメージを与えるかもしれないといった危ぐもあるとした上で、「どの程度のリクエストが許容範囲であるか明確でない以上、仮に法的な解決を図るにしても、刑事的な手続きより、民事で解決を図る方がより妥当な場合もある。どのように対応すべきか不明な場合には、IPAの相談窓口に相談することが推奨される」と述べている。

　このほか、中国における反日デモに呼応して日本の政府機関などが標的となったDDoS攻撃（2005年2月～9月）、韓国などからの「２ちゃんねる」へのF5攻撃（2010年3月）なども解説している。