DDoS攻撃の対策は？CDNとクラウドサービスで始める現実的な手順

DDoS攻撃の対策は、自社で機器を買う前に、CDNやクラウドの防御サービスをサイトの前に置くことから始めます。全ての攻撃は防げないので、止まったときの動きも一緒に決めます。

今日やることは、公開しているサービスを書き出し、止まってよい時間を横に書くことです。会社案内は1日止まっても許容できるのか、問い合わせフォームはどうか、受発注はどうかを、営業や購買の担当にも聞きます。ここが決まると、かける費用の上限が見えてきます。

この記事は政府の資料と各社の公式資料を整理したものです。私たちが各サービスの防御を試したものではありません。サイトの守り方全体はWebサイト・サーバー防御のカテゴリ⁠にあります。

DDoS攻撃で何が起きる？

DDoS攻撃とは、攻撃者が不正に操作した多数の機器から、一斉に大量の問い合わせを送り、相手のサービスを使えなくする攻撃です。定義は2023年⁠の政府資料の概要⁠によります。

国内では、内閣サイバーセキュリティセンター（現在の国家サイバー統括室）⁠が2025年2月4日⁠に注意喚起⁠を出しました。2024年12月から2025年1月⁠の年末年始に、航空事業者、金融機関、通信事業者への攻撃が相次いだためです。乗っ取られたルーターやIPカメラなどのIoT機器が使われました。

IPAの情報セキュリティ10大脅威 2026でも、組織編の9位⁠に入っています。警察庁の令和8年上半期の情勢は、代金と引き換えに攻撃を請け負うサービスの存在にも触れています。

ただし、自社が狙われる可能性は、これらの資料からは読み取れません。注意喚起に挙がる業種も大手の事業者が中心です。だから、怖さでなく「止まると何が困るか」⁠で判断します。

自社で機器を買う前に、なぜクラウド側で受ける？

攻撃の通信を、自社の回線に届く前の場所で受けられるからです。社内に機器を置いても、それは自社の回線の内側にあります。回線そのものが埋まると、中の機器では対処しにくくなります。

先の2025年⁠の注意喚起は、対策には多くの費用と時間が必要なものがあり、全てのDDoS攻撃を未然に防げるわけではないと述べています。そのうえで、機器やシステムの設定見直しと更新など、身近な対策を進めるよう求めています。

専用機器も同じ資料に選択肢として並びますが、中小企業の公開サイトで最初に買うものとは言いにくいでしょう。製品の違いはDDoS対策サービスの製品比較で確かめられます。

どの順番で進める？

次の6段階で進めます。費用は構成で変わるので、見積もりは2の結果を見てから取ります。

使っているサービスの標準の防御を確かめる

大手のクラウドには、追加費用なしで働く防御があります。範囲が違うので、自社の使い方と照らします。

• AWS：Shield Standardは自動で、追加費用なしで適用されます。料金ページによると、一般的なネットワーク層とトランスポート層の攻撃が対象です。より高い防御は有料のShield Advancedです
• Azure：仮想ネットワーク以外のサービスには、基盤側の標準の防御⁠が働きます。Webアプリの層まで守るにはWAFを足します
• Cloudflare：全プランでレイヤー3、4、7のDDoS防御を提供すると公式に示しています

レンタルサーバーや制作会社に任せたサイトなら、攻撃時の扱いを契約先に聞きます。守ってくれるのか、一時的に止める運用なのかで、次の準備が変わります。

公開サイトの前にCDNを置く

CDNは、利用者とサイトの間に入って通信を受け持つサービスです。普段からページの表示を速くする目的でも使われるので、会社案内や製品紹介のサイトと相性が合います。

導入ではDNSの設定を変えます。DNSが止まればサイトにも届かなくなるので、DNSの委託先の防御も見ておきます。DNSセキュリティの製品比較で確かめられます。

元のサーバーを隠し、通信を絞る

ここを飛ばすと、CDNを置いた意味が薄れます。CDNを通らず元のサーバーへ直接届くと、守りの外から狙われるからです。先の注意喚起も、オリジンサーバーのIPアドレスを隠す必要があるとしています。

Cloudflareの資料は、具体的な確認の例を挙げています。

最後の点は見落としがちです。DNSの記録は公開情報で、過去の記録も残るからです。メールを同じサーバーから送っている場合は、この切り分けが難しくなるので、制作会社や保守会社に相談してください。

大量のアクセスを制限する

注意喚起は、同じIPアドレスからしきい値を超えた大量のリクエストを遮断する機能の利用も挙げています。CDNやWAFの機能で設定できる場合があります。WAFの製品比較が入口です。

海外からの遮断も選択肢です。2023年⁠の注意喚起では、攻撃元のIPアドレスの約99%⁠が海外に割り当てられたものでした。サービスの対象が国内に限られるサイトなら有効です。

ただし、製造業ではここで注意が要ります。海外の工場や代理店、海外の取引先が製品情報や受発注のサイトを使っていることがあるからです。アクセスの記録と現場への確認で、海外からの利用を確かめてから設定します。

止まったときの知らせ方を用意する

注意喚起は、SNSでの告知、別のサーバーに置くお知らせページ、通報先と代替手段をまとめた手順書を挙げています。費用がほとんどかからないので、先に済ませてもかまいません。

たとえば取引先の受発注サイトが止まる場合なら、代わりにメールかFAXで受ける手順、誰が取引先へ連絡するかを決めておきます。止まった時に初めて考えるのでは、対応が遅れます。

サイトを分ける意味はある？

あります。注意喚起は、コストをかけて守るサービスと、一定の停止を許容できるサービスを選び分け、重要なシステムを分離することも求めています。

会社案内、採用サイト、受発注システムが同じサーバーに載っていると、会社案内が狙われただけで受発注も止まります。最初に作った「止まってよい時間」⁠の表を見て、差の大きいものから分けます。全てを一度に移す必要はありません。

攻撃する側に加担しないためには？

自社の機器が踏み台にならないよう確かめます。注意喚起は、DNSサーバーで外部からの再帰的な問い合わせを許可しないこと、セキュリティパッチの適用、IoT機器の設定と更新を挙げています。工場や事務所のルーターやIPカメラも対象に含めます。

日常の更新はサーバーのセキュリティ対策に、攻撃の裏で別の侵入がないかを確かめるなら不正アクセスをログで調べる方法⁠にまとめました。

進み具合は、経営者に2つ⁠の数字で伝えます。守る対象に決めたサービスの数と、そのうちCDNや防御サービスの内側に入った数です。