導入要件

企業・SaaS ネットワーク向け DDoS 対策

公開サービスの維持には、到達できるネットワーク経路と正規処理を行えるアプリケーションの両方が必要です。保護した通信の提供方法を選ぶ前に、制御できるアドレスと経路を確認します。

どの資源が利用できなくなっているかを特定

ネットワーク飽和と高負荷リクエストは別問題: 回線があふれると、アプリケーションに届く前にアクセスできなくなります。一方、処理の重い認証済み要求は、回線を埋めずにバックエンド資源を使い尽くせます。一つの帯域グラフだけで両方は診断できません。
オリジンの前に複数の提供層がある場合: CDN、アプリケーションプロキシ、ファイアウォール、オリジンは異なる通信を観測します。保護を変える前に、主サイト以外も含めて公開名、公開アドレス、戻り経路を整理します。
アドレスが他社に属する場合: ホスティングやクラウドの割り当てアドレスを、新しい BGP サービスへ自動的に移せるわけではありません。所有関係と提供者の経路・トンネル制約を確認し、各社が許可する範囲で設計します。

保護付き Transit IP または互換性のあるローカルフィルターがネットワーク層に対応します。HTTP の認可、要求予算、アプリ固有の制御は適切なアプリケーションまたはセキュリティ部品が担当します。万能な WAF サービスを意味しません。

導入手順の一例です。実際のサービスは見積書と受入記録で定義します。

変更できるのは経路ですか、アプリケーションの公開先だけですか？: その答えで、トランジット、互換トンネル、別の提供層を検討できるかが変わります。構成選定前に提供者の制約を確認します。
このサービスの可用性とは何ですか？: 開いたポートだけでなく、業務操作の成功で定義します。ネットワーク担当とアプリ担当が同じ事象を比較できるよう、期待応答、タイムアウト、依存先の動作を記録します。
ネットワークが到達可能な場合、誰が調査しますか？: 同じ時間帯のアプリケーションエラー、資源使用、ネットワークカウンターを参照できるようにします。正常な経路は、認証、データベース、外部依存先の正常性を証明しません。

ネットワーク DDoS 保護は WAF やアプリケーション認可を代替しますか？

いいえ。ネットワーク提供と対応するパケットフィルターは、アプリケーションを理解したアクセス判断を代替しません。各層を個別に評価してください。

アプリケーションを新しいサーバーへ移す必要がありますか？

互換性のある提供経路と現在の事業者の制約次第です。移行を約束する前に、経路とオリジン到達性を確認してください。