11-1 入口に人が押し寄せる（DDoS とは）
店を開けると、誰でも入口の前に立てます。買う気のない人が大勢そこに立ち止まると、本物のお客さんは入口までたどり着けません。
いま読んでいるこのサイト（Cloudflare Lab）も、Phase 1 で住所を公開しました。公開した瞬間から、誰が来るかを選べなくなります。来る相手を選べない以上、押し寄せられたときの備えが要ります。
この節では、攻撃の呼び名、起きる段、受け止める場所、押し寄せた側の見分け方の順に見ます。
Learning goals
この節でできるようになること
- DDoS 攻撃がどんな状態かを日常語で説明できる
- 攻撃が L3/4 と L7 のどちらでも起きることを言える
- Cloudflare がどこで攻撃を受け止めるかを説明できる
- 押し寄せた側の特徴を控えて狙い撃つ流れを説明できる
1. 押し寄せる群衆（DDoS 攻撃）
Section titled “1. 押し寄せる群衆（DDoS 攻撃）”入口を塞ぐ人が 1 人なら、声をかければ済みます。困るのは、示し合わせた大勢が別々の方向から同時に来る場合です。誰が本物のお客さんか、その場では見分けがつきません。
Cloudflare では、この状態を distributed denial-of-service (DDoS) 攻撃と呼びます。日本語では「分散型サービス妨害」で、多数の相手から一斉に用件を送りつけ、本来の利用者がサービスを使えなくする攻撃です。公式は、この攻撃に対する保護を、すべてのプランとサービスの利用者に、量を測らず上限も設けずに提供していると説明しています。
多数の相手から一斉に用件票が届き、窓口が本来の仕事をできなくなっています。
つまり、DDoS 攻撃は「壊す」攻撃ではなく「入れなくする」攻撃です。
2. 通路と用件票、二つの段（L3/4 と L7）
Section titled “2. 通路と用件票、二つの段（L3/4 と L7）”押し寄せ方には二つあります。建物までの通路そのものを埋める押し寄せ方と、窓口に用件票だけを大量に積む押し寄せ方です。前者は建物に近づけず、後者は窓口のスタッフの手が止まります。
Cloudflare では、この段を OSI モデルの層で呼び分けます。通路の段が L3/4（layers 3/4）、用件票の段が L7（layer 7）です。公式は、DDoS Attack Protection の managed rulesets が L3/4 と L7 の両方を守ると説明しています。
公式が挙げる例では、L3/4 に SYN floods や UDP flood attack が、L7 に HTTP flood attack や HTTP/2 Rapid Reset が含まれます。守られる範囲は、申し込んだサービスがどの層で動くかで決まります。HTTP を扱うサービスは L7 から下、つまり L3/4 も含めて守られます。
下の段が通路（L3/4）、上の段が用件票（L7）です。Cloudflare Lab は HTTP を扱うので、上の段から下の段まで守られます。
つまり、攻撃は 2 つの段で起こり、上の段で使っていれば下の段も一緒に守られます。
3. どの窓口でも受け止める（Autonomous Edge）
Section titled “3. どの窓口でも受け止める（Autonomous Edge）”1 か所の入口に全員が来れば、その入口の前は人で溢れます。ところが窓口が世界中にあり、来た人が一番近い窓口へ向かうなら、群衆も同じように分かれます。
Cloudflare では、この受け止め役を Autonomous Edge と呼びます。公式は、その中心にある dosd というソフトウェアが、世界中のデータセンターのすべてのサーバーで動いていると説明しています。それぞれの dosd は、中央の合意を待たずに自分の判断で攻撃を検知し、緩和できます。
さらに、Cloudflare のネットワーク全体を見張る中央の仕組みも別にあります。各地の窓口から集めた標本を分析し、攻撃を見つけたら緩和の指示を自動で送ります。第 1 章で見たとおりお客さんは一番近い窓口につながるので、群衆も自然に分散します。
群衆は世界中の窓口に分かれて向かい、それぞれの建物がその場で受け止めます。
つまり、攻撃は 1 か所で受けるのではなく、ネットワーク全体で分けて受け止められます。
4. 押し寄せた側の特徴を控える（signature）
Section titled “4. 押し寄せた側の特徴を控える（signature）”大勢を追い返すときに困るのは、本物のお客さんまで巻き込むことです。押し寄せた側だけに共通する特徴を見つけたいところです。
公式は、攻撃の通信がルールに当たると、その場で signature（押し寄せた側だけに共通する特徴の控え）を作ると説明しています。控えは fingerprint としてネットワーク上の最適な場所へ配られ、そこで攻撃だけを止めます。特徴の選び方は攻撃ごとに変わり、たとえば送り元が多数に分散している場合、送り元の住所は手がかりとして弱いので控えに使われません。
この控えは一時的で、当てはまる通信が来なくなるとまもなく期限切れになります。検知から緩和までは、L7 の攻撃で平均 3 秒以内とされています。
Cloudflare Lab での使われ方
Section titled “Cloudflare Lab での使われ方”ここで紹介した DDoS 攻撃が、いま読んでいる Cloudflare Lab にどう関わるかを見ます。
Cloudflare Lab は Phase 1 で公開したので、押し寄せられる側に立っています。ただしこの章で扱う保護は申し込みも設定も不要で、公開した時点ですでに効いています。自分のドメイン（zone）を持った後に設定画面から状態を確かめ、そのときの実測をこの節へ追記します。
つまずきやすいところ
Section titled “つまずきやすいところ”この節のまとめ
Section titled “この節のまとめ”- DDoS 攻撃は、大勢が一斉に押し寄せて本物のお客さんを入れなくする攻撃です。
- 攻撃は L3/4 と L7 の両方で起こり、HTTP のサービスは L7 から下まで守られます。
- Cloudflare は世界中の窓口で受け止め、押し寄せた側の特徴を signature として控えて狙い撃ちます。
この節で出てきた言葉を、つながりの順に並べると次のようになります。
図のラベル: 大勢が一斉に来る DDoS 攻撃 / 通路の段と用件票の段 L3/4 と L7 / 世界中の窓口で受ける Autonomous Edge / 各サーバーの見張り役 dosd / 攻撃の特徴を控える signature / 最適な場所で止める fingerprint
次の節では、この保護が申し込みなしで最初から効いていることを確かめます。
この節のチェック
© 2026 osdse