「DDoS攻撃は元から断たなきゃダメ」記事へのコメント

みんなが使わなきゃ意味ない？

[toguma (8579)]

この MovingFW をインストールしたサーバ/ルータを、インターネット上のできるだけ多くの場所で使わないと意味がないんですよね？

たとえば、ある ISP（仮に A とします）が MovingFW を使っていて、それである日 DDoS を受けたとします。
すると MovingFW が攻撃を受けていることを検出します。
このとき、攻撃パケットは ISP B の方から送られてきているようだ、とわかったとします。
すると、ISP A の MovingFW 上の"攻撃されている"という情報が、ISP B の MovingFW 上に"移動"するわけですよね？
その情報を受け取った ISP B の MovingFW が、そこからさらに攻撃元を突き止めつつ、ISP A の方には攻撃パケットを流さないようにする、と。
そうすることで、ISP A の方ではとりあえず攻撃は回避できましためでたしめでたし、ということですよね？

同様に ISP B からも攻撃パケットが送られてくる方に近づいて行きながら遮断する。という仕組みがうまい具合に成り立つならば、結構使えるんじゃないかと思いました。

でも、このとき、ISP B のサーバに MovingFW がインストールされていなかったら、ISP A の MovingFW からは移動できないわけですよね？

それだと意味がないわけで、今後開発される OS には標準機能として MovingFW がある、ってくらいにならないと役に立たないのかな。
とか思ってみたりしました。

Re:みんなが使わなきゃ意味ない？

[Anonymous Coward]

意味が無いという事は無いと思いますよ。
使う相手が増えれば増えるほど効果は増しますが、小数であってもそれなりの効果はある。
ISP一社だけで採用したとしても、バックボーンに無駄なパケットを流さずに済めば、それなりに意味はあります。
他ISPも導入してくれればバックボーンだけじゃなくてIXでの帯域浪費も防げるというメリットはありますが。

みかかならでは

[Anonymous Coward]

MovinFWを実装したISP ＞ 実装していないISP
という図式でなければ意味が無いですよね。

MovinFWを実装したISP ＜ 実装していないISP
だと、ただの自閉症モードです。
いいだしっぺに、「自分は大勢側である」という自信があることが、この技術の大前提だと思います。

Re:みかかならでは

[Anonymous Coward]

> だと、ただの自閉症モードです。

仮に自閉症モードだとしても、MovingFWを実装したISPなら、
そのISPの顧客は外部からのDoSなりを受けなくなるわけだから、
それはそれで意味があるのでは？

ネット全体から見りゃそりゃ完全ではないでしょうが。

Re:みんなが使わなきゃ意味ない？

[parsley (5772)]

ぶら下げる場所に悩みながら…
これを採用して、設定するポリシーって難しそうですね。どのようにきめ細かく設定するのかがまだわかりませんが（てか実験を通じてだんだん洗練されていくんでしょうが）、host全体の通信が止まるようなことでは、ISPとしては使えない。納得できる線をみつけるのが面倒だったら、採用したくない。
新技術って、難しければ難しいほど、その技術を持った人が潤う傾向があるけれど、どの辺が落としどころでしょうか？Port番号ぐらいで簡単にわかるような単純な攻撃を「攻撃側が」しなくなる、ぐらいの効果はあるんでしょうが。

--
Copyright (c) 2001-2014 Parsley, All rights reserved.

Re:みんなが使わなきゃ意味ない？

[null (224)]

> 今後開発される OS には標準機能

今後開発される IOS と JUNOS にはいってれば, それで十分かも :-)
サーバとかに入れるのであれば必要に応じて管理者がいれればいいわけなので, ルータの OS にはいれば影響力は大きいと思いますが…。

# プロトコル標準化への動きはあるのかな?