ホワイトペーパー

F5 DDoSプロテクション・
リファレンス・アーキテクチャ
F5は、ますます高度化するアプリケーション層のDDoS攻撃を防御
するためのアーキテクチャの設計、導入、管理についてのガイダンス
を、セキュリティ・アーキテクトやネットワーク・アーキテクト向けに
提供しています。
White Paper
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
目次
はじめに
3
DDoSの4つのカテゴリ
3
DDoSプロテクション・ソリューションの構築
3
DDoSプロテクション・アーキテクチャのコンポーネント
4
マルチティアDDoSプロテクション・アーキテクチャ
6
F5の各種コンポーネントとその機能
7
代替のシングルティア・アプローチ
8
DDoSプロテクション・アーキテクチャによる可用性の確保
ティア1 – ネットワーク防御
8
8
ティア2 – アプリケーション防御
10
DNS DDoS攻撃の緩和
11
リファレンス・アーキテクチャの使用例
12
大規模FSIのDDoSプロテクション・リファレンス・アーキテクチャ
13
エンタープライズのDDoSプロテクション・リファレンス・アーキテクチャ
14
SMBのDDoSプロテクション・リファレンス・アーキテクチャ
15
サイジングの仕様
17
まとめ
18
2
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
はじめに
2012 年以降、金融機関とその顧客は次から次へと DDoS 攻撃の被害を受け、金融機関で
は DDoS からの保護を含む、ネットワークの再設計を余儀なくされています。F5 は、金融
機関向けにマルチティア DDoS プロテクション・アーキテクチャを開発しました。ティア 1
では、DNS、レイヤ 3 およびレイヤ 4 に対する DDoS を緩和します。ネットワーク攻撃への
対処から解放されたティア 2 では、CPU リソースを使用してより高位のレイヤのアプリケー
ション・プロトコルを保護することができます。複数の F5 カスタマデータセンタに導入済
みのこの戦略は、すべての種類の DDoS 攻撃に対して防御することができます。
DDoS の 4 つのカテゴリ
猛烈な勢いで増し続けている DDoS の脅威は、4 つの種類に分類されると F5 は考えてい
ます（大量、非対向、演算処理、脆弱性ベース）。これらの攻撃の分類には、以下の特徴
があります。
•
大量̶レイヤ 3、4、または 7 が対象のフラッドベース攻撃
•
非対向̶タイムアウトまたはセッション状態の変化を引き起こす攻撃
•
演算処理̶ CPU とメモリを消費する攻撃
•
脆弱性ベース̶ソフトウェアの脆弱性を利用する攻撃
これらのカテゴリに対処するための防御メカニズムは進化しており、今日の知名度の高い企
業は特定の方法でこれらを導入して、セキュリティの確保に最大限取り組んでいます。この
ような企業と連携して各社のコンポーネントの調整を繰り返し、F5 は特定規模や業界要件
を持つデータセンタに対する DDoS を緩和するアーキテクチャを開発してきました。
DDoS プロテクション・
ソリューションの構築
次のアーキテクチャは、定評のあるコンポーネントで構築されたマルチティア DDoS プロテ
クション・システムです。一部のデバイスは F5 以外のベンダおよびサプライヤが提供して
いますが（ファイアウォールおよびクラウドベースのスクラビングデバイス）、代替製品をお
勧めできない F5 ならではのコンポーネントもあります。
3
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
DDoS プロテクション・アーキテクチャのコンポーネント
表 1 は、4 つのカテゴリの DDoS 攻撃と DDoS アーキテクチャのコンポーネントを対応させ
たものです。
攻撃のカテゴリ 攻撃緩和コンポーネント
大量
非対向
演算処理
脆弱性ベース
推奨サプライヤ
クラウドベースのスクラビングサービス
Prolexic、Verizon、VeriSign
Webアプリケーション・ファイアウォール
F5
Webアプリケーション・ファイアウォール
F5
アプリケーション・デリバリ・コントローラ F5
ネットワーク・ファイアウォール
F5
IPレピュテーション・データベース
Webroot
侵入検知 /侵入防止システム（IDS/IPS）
Sourcefire
アプリケーション・デリバリ・コントローラ F5
表 1: DDoS 緩和コンポーネントと攻撃の種類
クラウドベースの DDoS スクラビングサービス
外部のクラウドベースの DDoS スクラビングサービスは、
あらゆる DDoS 緩和アーキテクチャ
の重要なコンポーネントです。攻撃者が組織の 1 Gbps 入力ポイントで 50 Gbps のデータを
送信した場合、オンプレミスの装置ではこの問題に対処できません。この問題は、沢山の人
が一度にドアに殺到することに似ています。このクラウドサービスは、実際のパブリックク
ラウドまたは組織の帯域サービスプロバイダでホストされ、良好とみられるデータから明ら
かな不良データを大まかに仕分けして、問題に対処します。
現在のところ、使用可能な入力帯域幅をすべて消費するほど大量な攻撃はごくわずかですが、
クラウド・サービス・サプライヤとの合意が必要になる可能性は十分あり、ソリューション全
体の中でクリティカルになることがあります。ただし、クラウドベースのスクラビングは、ク
ラウド・サービス・ベンダが推奨したとしても適切ではありません。
クラウドベースの DDoS スクラビング
サービスを選択する方法 :
· 攻撃される前に選びます。攻撃発生
後に支払う料金は倍増します。
· 頻繁に攻撃される業種の場合、定額
の月極めプランを選びます。
· 攻撃の頻度がそれほど高くないと予
測される場合は、攻撃単位で支払い
ます。ポリシーは定期的に見直します。
· プロバイダとの交 渉時には、サービ
スの毎年テストを認める条件を追加
します。
今日の多くの組織が認識しているように、ハッカーはこれらのクラウドサービスすべてを理
解しています。攻撃対象にサービスのコスト上昇をもたらしたり、クラウドサービスが認識
しないアプリケーションレイヤの攻撃を行います。低速なゆっくりとした攻撃は、クラウド
ベースのスクラビングサービスによる検出を回避するのに特に効果があります。また、スク
ラビングサービスでは一般的に、トラフィックや Web フォーム POST の暗号化を処理でき
ません。
4
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
DDoS 対応ネットワーク・ファイアウォール
ネットワーク・ファイアウォールは長い間、境界のセキュリティの要となってきました。しかし、
DDoS 攻撃にはまったく対抗できません。実際、数多く導入されているファイアウォールは、
単純なレイヤ 4 の攻撃でも無効になる可能性があります。ファイアウォールが攻撃を認識し
て緩和しなければ、大量のスループット能力では対処できません。
レイヤ 3 および 4 ベースのセキュリティ制御デバイスの場合は、DDoS 対応の大容量ネット
ワークデバイスを選択されることをお勧めします。特に、
（数千単位ではなく）数百万の同
時接続をサポートし、正規のトラフィックに影響せずに SYN フラッドを撃退できるデバイス
を探してください。
アプリケーション・デリバリ・コントローラ
アプリケーション・デリバリ・コントローラは、ネットワークにコントロールの戦略的ポイン
トを提供します。選択、プロビジョニングおよび管理を適切に行えば、DDoS への防御を劇
的に強化します。たとえば、フルプロキシの F5 アプリケーション・デリバリ・コントローラは、
HTTP や DNS などの一般的なプロトコルを検証することによって、演算処理および脆弱性ベー
スの脅威を軽減します。F5 がフルプロキシのアプリケーション・デリバリ・コントローラをお
勧めするのはこのためです。
DDoS プロテクションが統合されている Web アプリケーション・ファイアウォール
この種類の Web アプリケーション・ファイアウォールは、アプリケーションのセキュリティ
ポリシーを理解して適用する高レベルのコンポーネントです。このコンポーネントは大量型
の HTTP フラッドでも脆弱性ベースの攻撃でも、アプリケーションレイヤの攻撃を認識して
緩和します。Web アプリケーション・ファイアウォールは複数のベンダが提供しています。
DDoS アーキテクチャの有効性を高めるために、F5 独自の Web アプリケーション・ファイ
アウォールをお勧めします。その理由は以下のとおりです。
•
F5 の Web アプリケーション・ファイアウォールは、アンチハッキング、Web スクレ
イピング保護、PCI 準拠などの追加のサービスを提供します。
•
アプリケーション・デリバリ・コントローラと Web アプリケーション・ファイアウォー
ルを組み合わせて使用することで、アプリケーション・デリバリとアプリケーション・
セキュリティ・ポリシーを同時に利用できます。
•
F5 アプリケーション・デリバリ・コントローラは SSL トラフィックをオフロードお
よび検査します。Web アプリケーション・ファイアウォールと組み合わせることで、
SSLL ターミネーションと暗号化されたペイロードのセキュリティ分析を 1 つのデバイ
スに統合できます。
5
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
侵入検知 / 侵入防止システム
侵入検知 / 侵入防止システム
（IDS/IPS）が DDoS の緩和で担う役割はわずかです。IDS/IPS は
（レ
イヤ 4 ファイアウォールへの統合など）1 カ所に導入しないことをお勧めします。IDS/IPS は、
データベースや特定の Web サーバなど、追加の特別な保護が必要になるバックエンド・コ
ンポーネントの前面にある特定のインスタンスに実装してください。
IP レピュテーション・データベース
IP レピュテーション・データベースは、DDoS 攻撃者があとで利用して侵入するために既知
のスキャナを使用してアプリケーションを探るのを防ぐことで、非対向 DoS 攻撃に対する
防御力を高めます。IP レピュテーション・データベースは F5 が推奨する 2 層アーキテクチャ
のどちらの層とも連携可能で、内部で生成することも、外部のサブスクリプション・サービ
スから利用することもできます。
マルチティア DDoS プロテクション・
アーキテクチャ
高帯域環境には、2 層の DDoS ソリューションをお勧めします。境界上の第 1 層はレイヤ 3
および 4 のネットワーク・ファイアウォール・サービスで構成し、第 2 層への単純なロード
SSL ターミネーションや Web アプリケーション・ファ
バランシングを組み込みます。第 2 層は、
イアウォール・スタックなど、より高度で CPU 負荷の高いサービスで構成します。
REFERENCE ARCHITECTURE: DDoS Protection
CONTENT TYPE: Architecture Diagram
AUDIENCE: IT Director/Security Engineer
CUSTOMER SCENARIO: Enterprise Data Center
次世代
ファイアウォール
ティア2
ティア1
ネットワーク攻撃:
CMPフラッド、
UDPフラッド、
SYNフラッド
複数のISP戦略
企業ユーザ
金融サービス
SSL攻撃:
SSL再ネゴシエーション、
SSLフラッド
正規ユーザ
E-コマース
ISPa/b
DNS攻撃:
DNS増幅、
クエリフラッド、
辞書攻撃、
DNSポイゾニング
DDoS
攻撃者
クラウド・
スクラビング・
サービス
ネットワーク
およびDNS
HTTP攻撃:
Slowloris、
スローPOST、
再帰POST/GET
アプリ
ケーション
サブスクライバ
IPS
脅威フィード情報
スキャナ
匿名
プロキシ
匿名要求
ボット
ネット
攻撃者
コントロールの戦略的ポイント
図 1: 2 層の F5 DoS プロテクション・リファレンス・アーキテクチャ
6
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
マルチティアアプローチには明確な利点があります。
1.
各層を個別にスケーリングできます。
たとえば、Web アプリケーション・ファイアウォー
ルの使用が増えたら、第 1 層に影響を及ぼさずに、第 2 層に別のアプライアンス（ブ
レード）を追加できます
2.
各層には異なるハードウェア・プラットフォームを使用できます。バージョン違いのソ
フトウェアも使用できます。
3.
新しいポリシーを第 2 層に適用した場合、新しいポリシーの検証が完全に終わるま
で、トラフィックの一部だけを第 1 層から第 2 層に転送できます。
F5 の各種コンポーネントとその機能
表 2 は、特定の機能を提供するために必要なコンポーネントを示しています。F5 の DDoS
プロテクション・リファレンス・アーキテクチャのコンポーネントは以下のとおりです。
•
BIG-IP® Advanced Firewall Manager ™ (AFM)
•
BIG-IP® Local Traffic Manager ™ (LTM)
•
BIG-IP Global Traffic Manager ™ (GTM)
•
BIG-IP Application Security Manager ™ (ASM)
7
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
ティア1
ティア2
F5のコンポーネ
ント
BIG-IP AFM
BIG-IP LTM
DNS
BIG-IP GTM
OSIモデル
レイヤ3-4
レイヤ7
BIG-IP ASM
およびDNS Express™
機能
ネットワーク・ファイアウォール
SSLターミネーション
ティア1ロードバランシング
Webアプリケーション・ファイ DNSSEC
アウォール
BIG-IP LTM
IPレピュテーションのブラック
リスト
緩和される攻撃
SYNフラッド
セカンダリ・ロード・バラン
シング
DNS
DNS解決
Slowloris
UDPフラッドDNSフラッド
スローPOST
NXDOMAINフラッド
マルフォームパケット
Apache Killer
DNSSEC攻撃
TCPフラッド
RUDY/Keep Dead
既知の不良アクター
SSL再ネゴシエーション
ICMPフラッド
表 2: F5 のコンポーネントと DDoS 緩和機能
代替のシングルティア・アプローチ
高帯域環境には 2 層アーキテクチャが推奨されますが、低帯域環境にはマルチティア DDoS プロテ
クションは過剰です。そのような環境には、アプリケーション・デリバリにネットワーク /Web アプリ
ケーション・ファイアウォール・サービスを統合した、境界用の DDoS 緩和デバイスを導入します。
この場合にもこのドキュメントでお勧めしている方法は有効です。代替アーキテクチャでは、ティア 1
およびティア 2 への参照は統合された単一の層に適用されます。
DDoS プロテクション・アーキテクチャに
よる可用性の確保
ティア 1 – ネットワーク防御
第 1 層はネットワーク・ファイアウォール周辺に構築します。SYN フラッドや ICMP フラグメントフラッ
ドなどの演算処理攻撃を緩和する設計です。この層は、入力ポイントを輻輳させる大量攻撃も緩和
します
（一般的に、
仕様のパイプサイズの 80 ∼ 90%）。F5 のお客様の多くが IP レピュテーション・デー
タベースをこの層で統合し、DDoS 攻撃中に IP アドレスを制御します。
8
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
組織によっては、DNS を第 1 層から DMZ の DNS サーバに渡します。この構成では、レイ
ヤ 4 のコントロールで、サーバに送信する前に DNS パケットを検証できます。
ティア1：L3-4とDNSの保護
ネットワーク・
ファイアウォール・サービス
+ ティア2への単純な
ロードバランス
AFM
LTM
VIPRIONプラットフォーム
+ IPインテリジェンス（IPI）モジュール
DNSサービス
GTM
BIG-IPプラットフォーム
図 2: ネットワークレイヤの DDoS 攻撃に対するティア 1 の保護
演算処理の DDoS 攻撃に注目する : TCP 接続フラッドおよび
SSL 接続フラッドの緩和
TCP 接続フラッドはレイヤ 4 の攻撃であり、ネットワーク上のステートフルデバイス、特に
DDoS 防御機能がないファイアウォールに影響します。この攻撃は各ステートフルデバイス
上にある、フロー接続テーブルのメモリを消費します。このような接続フラッドには、コン
テンツが含まれていないことがあります。ティア 1 は、接続を大容量の接続テーブルに吸収
することで、この攻撃を緩和できます。TCP 接続フラッドは、フルプロキシ・ファイアウォー
ルで緩和することができます。
SSL 接続フラッドは、暗号化されたトラフィックをターミネートするデバイスを特に攻撃す
るように設計されています。SSL 接続は暗号化コンテキストを保持しなければならないため、
メモリを 50,000 ∼ 100,000 バイト消費します。そのため、SSL 攻撃は特に影響が大きい攻
撃と言えます。TCP 接続フラッドと SSL 接続フラッドを緩和するには、容量とフルプロキシ
技術の両方を使用されることをお勧めします。
9
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
表 3 は、F5 ベースのネットワーク・ファイアウォールに関する接続容量の一覧です。
プラットフォーム・シリーズ
TCP 接続テーブルサイズ
SSL 接続テーブルサイズ
VIPRIONシャーシ
12∼144百万
1∼32百万
ハイエンド・アプライアンス
24∼36百万
2.5∼7百万
ミドルレンジ・アプライアンス
24百万
4百万
ローレンジ・アプライアンス
6百万
0.7∼2.4百万
Virtual Edition
3百万
0.7百万
表 3: F5 ハードウェア・プラットフォームの接続容量
ティア 2 – アプリケーション防御
第 2 層にはアプリケーションを識別する CPU 負荷の高い防御メカニズムを展開することを
お勧めします。たとえば、ログインウォール、Web アプリケーション・ファイアウォール・
ポリシー、および F5® iRules® を使用する動的なセキュリティ・コンテキストなどのメカニズ
ムです。これらのコンポーネントはしばしば、この層でターゲットの IDS/IPS デバイスとラッ
クスペースを共有します。
ティア 2 では、通常、SSL ターミネーションも処理します。ティア 1 で SSL をターミネートす
る場合もありますが、SSL キーおよびポリシーの機密をセキュリティ境界で維持するため、
この方法は一般的ではありません。
ティア2：L7の保護
WEBアプリケーション・
ファイアフォール・サービス
+ SSLターミネーション
ASM
LTM
BIG-IPプラットフォーム
図 3: アプリケーションレイヤの DDoS 攻撃に対するティア 2 の保護
10
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
非対向の DDoS 攻撃に注目する : GET フラッドの緩和
再帰 GET および POST は、今日最も有害な攻撃となっています。正規のトラフィックと区
別することが極めて難しいためです。GET フラッドはデータベースやサーバに過大な負荷を
かけ、
「フルパイプのリバース」の原因ともなります。F5 の記録では、1 人の攻撃者が 100
Mbps の GET クエリをターゲットに送信して 20 Gbps のデータを引き出した事例があります。
GET フラッドの緩和戦略には以下のものが含まれます。
•
ログインウォールの防御
•
DDoS 保護プロファイル
•
リアル・ブラウザ・エンフォースメント
•
CAPTCHA
•
リクエスト・スロットリング iRules
•
カスタム iRules
これらの戦略に対する構成と手順については、F5 DDoS の推奨プラクティスに関するドキュ
メントに記載しています。これらの各戦略は、ティア 2 で Web アプリケーション・ファイア
ウォール・デバイスのスタックを使用することで利用できます。
DNS DDoS の緩和
DNS は、HTTP の後の第 2 のターゲット・サービスです。DNS が中断されると、すべての
外部データセンタサービス（単一のアプリケーションだけではなく）が影響を受けます。こ
の重大な単一障害点は、その他の処理能力が十分ではない DNS インフラストラクチャとと
もに、DNS が攻撃を受けやすい原因になっています。
クエリフラッドに対する DNS サービスのオーバー・プロビジョニング
DNS サービスは、歴史的に処理能力が十分ではありません。DNS デプロイメントの大部分
が処理能力が十分ではなく、小規模から中規模の DDoS 攻撃にも耐えることができません
でした。
DNS サービスのパフォーマンスを飛躍的に向上させ、標準の DNS クエリ攻撃に対する回復
（Non-Existent
力を増すため、DNS キャッシュが一般的になりました。攻撃者は NXDOMAIN
Domain）と呼ばれる攻撃をするようになり、パフォーマンスに関するキャッシュの利点は
あっという間になくなっています。
11
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
これに対処するため、フロントエンドの BIG-IP GTM DNS サービスを、高パフォーマンスの
特別な DNS プロキシモジュール（DNS Express）とともに使用されることをおすすめします。
DNS Express は既存の DNS サーバの前面で、高機能リゾルバとして動作します。ゾーン情
報をサーバから読み込み、各要求を解決するか NXDOMAIN を返します。キャッシュではな
いため、NXDOMAIN クエリフラッドでは空にできません。
DNS サービスの配置の検討
DNS サービスを、最初のセキュリティ境界から離して、デバイスセットとして配置することが
あります。これは、提供するアプリケーションから DNS を独立させておく方法で行われます。
たとえば、セキュリティ境界の一部がダウンすると、DNS はリクエストをセカンダリ・データ・
センタまたはクラウドに転送します。DNS をセキュリティ層およびアプリケーション層から分
離しておくことは、柔軟性と可用性を最大限に維持するための効果的な戦略です。
複数のデータセンタを持つ大規模企業では、BIG-IP GTM と DNS Express および BIG-IP
AFM ファイアウォール・モジュールを組み合わせて、DNS をメインのセキュリティ境界の外
部に置く場合があります。このアプローチの主な利点は、DDoS でティア 1 のファイアウォー
ルがオフラインになっても DNS サービスを利用できることです。
DNS が DMZ の内側と外側のどちらにあっても、BIG-IP GTM または BIG-IP AFM が、DNS
リクエストが DNS サーバに到達する前に検証できます。
リファレンス・アーキテクチャの使用例
リファレンス・アーキテクチャを使用する一般的な顧客シナリオの例を 3 つご紹介します。
1. 大規模金融サービス機関（FSI）データセンタ
2. エンタープライズ・データ・センタ
3. 中小規模企業（SMB) データセンタ
以下の使用例ごとに、導入シナリオの図、個別の使用例の簡単な説明、そのシナリオでの
F5 コンポーネントの推奨されるサイジングを記載しています。追加のサイジング情報につい
ては表 7 をご覧ください。
12
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
REFERENCE ARCHITECTURE: DDoS Protection
CONTENT TYPE: Product Map
AUDIENCE: Security Architect
CUSTOMER SCENARIO: Large FSI Data Center
大規模 FSI の DDoS プロテクション・リファレンス・
アーキテクチャ
ISPa
DDoS攻撃
ネットワーク・ファイア
ウォール・サービス
+ ティア2への単純な
ロードバランス
AFM
パートナ
DDoS攻撃
ティア2:L7の保護
ティア1:L3-4とDNSの保護
顧客
Webアプリケーション・
ファイアウォール・
サービス
+ SSLターミネーション
LTM
ASM
BIG-IPプラットフォーム
ISPb
複数の
ISP戦略
LTM
VIPRIONプラットフォーム
+ IPインテリジェンス（IPI）モジュール
クラウド・
スクラビング・
サービス
SSL
再暗号化
DNSサービス
ネットワークHSM（FIPS140）
GTM
両方の層でのSSLインスペクション
BIG-IP Advanced Firewall Manager
BIG-IPプラットフォーム
BIG-IP Local Traffic Manager
BIG-IP Global Traffic Manager
BIG-IP Application Security Manager
シンプルなビジネスモデル
良
優良
最高
+ IP情報
図 4: 大規模な FSI のデータセンタ展開シナリオの F5 DDoS プロテクション
FSI のカスタマシナリオ
大規模 FSI データセンタのシナリオは、DDoS に対して成熟した、よく知られている使用例
です。FSI が現在構築しているものです。一般的に、FSI は複数のサービスプロバイダを持っ
ていますが、クラウドベースのスクラビングサービスを選んで、これらのサービスプロバイ
ダの大量 DDoS サービスの利用を避けることがあります。FSI のデータセンタはスタッフが
少数であることが多いため、次世代ファイアウォールは必要ありません。
FSI は連邦 / 軍以外では最も厳格なセキュリティポリシーを持っています。たとえば、ほぼ
すべての FSI は、データセンタ全体でペイロードを暗号化しています。FSI は価値が最も高
い情報資産クラス（銀行口座）をインターネット上に持っているため、高い頻度で攻撃の対
象になります。DDoS だけではなくハッキングの対象にもなります。2 層のアーキテクチャで
は、ティア 1 への投資とは切り離して、ティア 2 で CPU 負荷の高い包括的なセキュリティポ
リシーを拡張できます。
この使用例では、既存のセキュリティ設備を維持（活用）しながら、DDoS に耐えられる
ソリューションを作成できます。ティア 1 のファイアウォールは機能したまま、ティア 2 の
BIG-IP ASM がセキュリティ侵害を防ぎます。
13
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
場所
F5の装置
ティア1
VIPRIONシャーシ（ペア）
VIPRIONアドオン: BIG-IP AFM
ティア2
ミドルレンジBIG-IPアプライアンス
ライセンスアドオン: BIG-IP ASM
DNS
ミドルレンジBIG-IPアプライアンス（ペア）
表 4: FSI のカスタマ導入シナリオに対する推奨サイジング
エンタープライズの DDoS プロテクション・リファレンス・
アーキテクチャ
REFERENCE ARCHITECTURE: DDoS Protection
CONTENT TYPE: Product Map
AUDIENCE: Security Architect
CUSTOMER SCENARIO: Enterprise Data Center
次世代
ファイアウォール
顧客
ISPa
DDoS攻撃
パートナ
DDoS攻撃
ISPb
ISPが大量
DDoSサービスを
提供
ティア1: L3-4とDNSの保護
ティア2: L7の保護
ネットワーク・
ファイアウォール・サービス
+ DNSサービス
+ ティア2への単純なロードバランス
Webアプリケーション・
ファイアウォール・サービス
+ SSLターミネーション
BIG-IPプラットフォーム
両方の層で
SSLを
検査可能
従業員
ユーザが発信保護に
NGFWを活用
BIG-IPプラットフォーム
+ IPインテリジェンス
（IPI）モジュール
クラウド・
スクラビング・
サービス
BIG-IP Advanced Firewall Manager
BIG-IP Local Traffic Manager
BIG-IP Global Traffic Manager
BIG-IP Access Policy Manager
BIG-IP Application Security Manager
シンプルなビジネスモデル
良
優良
最高
+ IP情報
図 5: エンタープライズのデータセンタ展開シナリオの F5 DDoS プロテクション
エンタープライズのカスタマシナリオ
エンタープライズのアンチ DDoS シナリオは大規模 FSI のシナリオと似ています。主な違いは、
エンタープライズではデータセンタ内にスタッフがおらず、次世代ファイアウォール（NGFW）
のサービスが必要な点です。入力 / 出力両方に単一の NGFW を使用することが一般的で
すが、そのため、DDoS 攻撃に脆弱です。もう 1 つの違いは、エンタープライズはしばしば
インターネット・サービス・プロバイダ（ISP）が提供する大量 DDoS サービスを使用する点
です。
14
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
推奨されるエンタープライズ・アーキテクチャでは、入力アプリケーション・トラフィックと
は別のパスに小規模の NGFW を組み込みます。2 つの層を使用するため、エンタープライ
ズは非対向スケーリングを利用できます。ティア 2 の CPU が高額な場合は、BIG-IP ASM
を追加する方法があります。
業種や会社が異なれば、要件も変わります。エンタープライズ・アーキテクチャでは、両方
の層で F5 装置を使用することで、SSL トラフィックを復号化する（および必要に応じて再暗
号化する）最適な場所を選択できます。たとえば、ティア 1 で SSL を復号化し、高度な脅威
を監視するネットワークタップに復号化したトラフィックをミラーリングすることができます。
場所
F5の装置
ティア 1
ハイエンドBIG-IPアプライアンス（ペア）
ライセンスアドオン: BIG-IP AFM
ミドルレンジBIG-IPアプライアンス
ティア2
ライセンスアドオン: BIG-IP ASM
ミドルレンジBIG-IPアプライアンス（ペア）
DNS
表 5: エンタープライズのカスタマ導入シナリオに対する推奨サイジング
REFERENCE ARCHITECTURE: DDoS Protection
CONTENT TYPE: Product Map
AUDIENCE: Security Architect
CUSTOMER SCENARIO: Small Business Data Center
SMB の DDoS プロテクション・リファレンス・アーキテクチャ
次世代
ファイアウォール
L3-7とDNSの保護
顧客
ISPa
DDoS攻撃
パートナ
DDoS攻撃
従業員
ユーザが発信保護に
NGFWを活用
ネットワーク・ファイアウォール・サービス
+ DNSサービス
+ Webアプリケーション・
ファイアウォール・サービス
+ コンプライアンス制御
ISPb
ISPが大量
DDoSサービスを
提供
BIG-IPプラットフォーム
BIG-IP Advanced Firewall Manager
BIG-IP Local Traffic Manager
BIG-IP Global Traffic Manager
BIG-IP Access Policy Manager
シンプルなビジネスモデル
良
優良
最高
BIG-IP Application Security Manager
図 6: 中小規模企業のデータセンタ導入シナリオの F5 DDoS プロテクション
15
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
SMB のカスタマシナリオ
SMB のデータセンタの使用例では、セキュリティを提供しつつ統合することがすべてであり、
投資の価値を最大限に高めることが非常に重要です。1 つのデバイスをできる限り機能さ
せ、DDoS 攻撃を受けた場合はオフラインにすることを望んでいます。
この使用例では、1 つの資産に投資を集中します。最もコスト効率に優れたソリューション
を導入しますが、可用性の最大化が課題となります。たとえば、BIG-IP ASM でポリシーを
発行する場合、またはアプリケーションの可視化およびレポート機能がトラフィックに追い
つかない場合、デバイス全体の機能が停止します。
ただし、大規模な 2 層アーキテクチャをサポートするスタッフがいない小規模組織では、1
層のアーキテクチャでリスクを軽減できます。担当するスタッフが 1 つのプラットフォームの
知識を深めていくことで効率を高めます。F5 は拡張性とパフォーマンスに優れた高可用性
システムを、リスクの低減を支援するワールドクラスのサポートとともに提供しています。
シングルティア・アーキテクチャの最大の利点は費用の節約です。優れた DDoS ソリューショ
ンを既存の設備で活用し、日常の業務で収益を創出するアプリケーションを提供します。
統合された環境は、ラックスペース、電力管理、およびその他のさまざまなコストの節約
を支援します。
場所
F5の装置
シングルティア
ミッドエンドからハイエンドのBIG-IPアプライアンスペア
ライセンスアドオン: BIG-IP GTM
ライセンスアドオン: BIG-IP ASM
ライセンスアドオン: BIG-IP AFM
ライセンスアドオン: BIG-IP APM
表 6: SMB のカスタマ導入シナリオに対する推奨サイジング
16
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
サイジングの仕様
表7は、スケーリング・リクエストを満たすためのF5の多様なハードウェアデバイスの仕様です。
スループット
SYNフラッド
SYNフラッド
（1秒あたり）
VIPRION
2400
4ブレード
シャージ
ICMP
フラッド
HTTPフラッド
SSLフラッド
（JavaScript
リダイレクト）
（2 万以上の攻撃
要求）
TCP 接続
SSL 接続
160 Gbps
196百万
100 Gbps
350,000* RPS
16,000 TPS
48百万
10百万
80 Gbps
80百万
56 Gbps
175,000* RPS
16,000 TPS
36百万
7百万
40 Gbps
40百万
32 Gbps
131,000 RPS
16,000 TPS
24百万
4百万
40百万
32 Gbps
131,000 RPS
16,000 TPS
24百万
4百万
10200V
アプライアンス
ハイエンド・ア
プライアンス
7200V
アプライアンス
ミドルレンジ・
アプライアンス
5200v
アプライアンス
30 Gbps
ローレンジ・ア
プライアンス
表7: DDoS保護のためのF5ハードウェアの仕様.特定の推奨サイジングについては、使用例のセクションをご覧ください。
17
ホワイトペーパー
F5 DDoSプロテクション・リファレンス・アーキテクチャ
まとめ
DDoS プロテクション・リファレンス・アーキテクチャの推奨事項では、F5 がお客様とともに
DDoS 攻撃の対策に長年取り組んできた経験を活用しています。中小規模企業は統合的なアプロー
チに勝機を見出しています。グローバル金融サービス機関は、推奨されている 2 層アーキテクチャ
が、すべてのセキュリティ・コントロールの理想的な配置であると考えています。エンタープライ
ズ企業でも、このアーキテクチャでセキュリティ・コントロールを再配置、再構築しています。2
層の DDoS プロテクション・アーキテクチャは、今日の DDoS の脅威に対抗するために必要な柔
軟性と管理性を継続して提供し、将来を予測可能にする必要があります。
東京本社
〒107-0052 東京都港区赤坂 4-15-1 赤坂ガーデンシティ 19 階
TEL 03-5114-3210 FAX 03-5114-3201
西日本支社
〒530-0012 大阪府大阪市北区芝田 1-1-4 阪急ターミナルビル 16 階
TEL 06-7222-3731 FAX 06-7222-3838
www.f5networks.co.jp
© 2013 F5 Networks, Inc. All rights reserved. F5、F5 Networks 、F5 のロゴは、米国および他の国における F5 Networks, Inc. の商標または登録商標です。本文中に記載されている製品名、および社名はそれぞれ各社の商標、または登録商標です。これらの仕様はすべて予告なく変更さ
れる場合があります。本発行物の記載内容に誤りがあった場合、あるいは記載内容を更新する義務が生じた場合も、F5 ネットワークスは一切責任を負いません。F5 ネットワークスは、本発行物を予告なく変更、修正、転載または改訂する権利を有します。
WP-SEC-13307-ddos-protection 1013