networking 8 分で読める更新日 June 12, 2026

DDoS protection explained

回答

DDoS保護は、攻撃トラフィックがサーバーに到達する前にフィルタリングします。レイヤー3および4のスクラビングは大量トラフィックによる攻撃を吸収し、11 Tbpsの容量を持つすべてのIncognito VPSプランに含まれています。レイヤー7攻撃はアプリケーションを標的とし、リクエストレベルのフィルタリングが必要で、月額12ドルのアドオンとして利用できます。

同じ名前の2つの異なる問題

大量トラフィック攻撃は、パイプを満たそうとします：UDPフラッド、オープンリフレクターを介した増幅、SYNフラッドなどです。トラフィックは明らかに不正または過剰であり、フィルタリングは容量の問題です。攻撃者の生成量よりも多くの吸収量が必要です。

レイヤー7攻撃は、個々には正常に見えるリクエストを大量に送信します。それぞれがアプリケーションが実際に処理しなければならない有効なHTTPリクエストです。帯域幅の容量を増やしても意味がありません。問題はトラフィックではなく、それが引き起こす処理だからです。

Tbpsの数字が実際に示すもの

当社の11 Tbpsはスクラビングネットワークの容量であり、フィルタリングインフラが取り込んで処理できる総量です。これは実際の数値であり、すべてのプロバイダーが引用する数値でもあります。最も魅力的な数値だからです。

実際には、緩和までの時間と誤検知率の方が重要です。90秒で検出された攻撃は、すでに停止を引き起こしています。正当なトラフィックの5%を落とすフィルターは、別の停止を引き起こしています。当社の検出は異常発生から約8秒でトリガーされ、緩和が自動的に作動します。これはどのプロバイダーにでも尋ねる価値のある数値です。

Scrubbing capacity: 11 Tbps
Detection to mitigation: ~8 seconds
Included on: every plan, always on
Layer 7 filtering: $12/mo add-on
Null-route policy: 決してブラックホール化せず、フィルタリングします

すべてのホストに尋ねるべきヌルルートの質問

安価なプロバイダーが攻撃を受けた場合、一般的な対応はターゲットアドレスへのnullルートです。これは攻撃トラフィックだけでなく正当なトラフィックも含めて全ての通信を攻撃が止むまで破棄します。これによりプロバイダーのネットワークは保護されますが、あなたのサービスは完全にオフラインになり、あなたの側から見ると攻撃が成功したのと区別がつきません。

当社は顧客アドレスへのnullルートを行いません。代わりにフィルタリングを行います。これは運用コストが高くなりますが、それが実際の製品です。ホスティング事業者を比較する際には、攻撃を受けた場合にどうなるかを直接尋ね、特にnullルートのポリシーについて確認してください。

レイヤー7アドオンが必要な場合

誰でもリクエストを送信できるパブリックWebアプリケーションを運用している場合、特に検索や動的なレポート生成など、データベースに負荷をかける高コストなエンドポイントがある場合は、レイヤー7の保護が必要です。また、過去に攻撃を受けたことがある場合も同様です。なぜなら、一度攻撃されたターゲットは再び攻撃されることが多いからです。

WireGuard経由でのみ到達可能なプライベートサービス、VPNエンドポイント、Torリレーを運用している場合、デフォルトのL3/L4保護で十分であり、アドオンは無駄になります。

FAQ

よくある質問

01 DDoS保護は含まれていますか？

はい、すべてのプランで常時有効なL3/L4スクラビング（容量11 Tbps）を追加費用なしで提供しています。レイヤー7のリクエストフィルタリングは月額12ドルのアドオンです。

02 攻撃を受けたサーバーをnullルートにしますか？

いいえ。ブラックホールにするのではなく、フィルタリングします。nullルートはプロバイダーを保護し、あなたのサービスを完全にオフラインにします。あなたの側から見ると、攻撃が成功したのと区別がつきません。

03 レイヤー7保護は必要ですか？

パブリックWebアプリケーションを運用していて高コストなエンドポイントがある場合、または過去に攻撃を受けたことがある場合は、必要です。VPNエンドポイント、Torリレー、WireGuardの背後にあるプライベートサービスの場合は、デフォルトで十分です。