DoS攻撃とは？ わかりやすく10分で解説

はじめに

インターネットが当たり前のインフラになり、買い物、予約、仕事のやり取りまで、日常の多くがオンラインで動くようになりました。便利になった一方で、サービスを止めたり、使いづらくしたりする攻撃も増えています。 その代表例がDoS攻撃（Denial of Service Attack）です。この記事では、DoS攻撃がどんな仕組みで起きるのか、DDoSとの違いはどこか、被害が出たときに何が困るのか、そして現実的な対策は何かを、順を追って整理します。読み終えたときに「自社（自分）の環境なら、どこを優先して守るべきか」が判断できる状態を目指します。

DoS攻撃の基本

DoS攻撃の定義

DoS攻撃（Denial of Service Attack）は、システムが提供しているサービスを、正当な利用者が使えない状態に追い込む攻撃です。典型的には、サーバーやネットワーク機器に対して大量の通信を送りつけたり、処理が重くなる要求を繰り返したりして、CPU・メモリ・回線・同時接続数などのリソースを使い切らせます。

結果として起きる現象は「完全停止」だけではありません。表示が極端に遅い、ログインできない、決済が失敗する、APIがタイムアウトするなど、サービス品質が大きく落ちる形で表面化することもあります。利用者から見ると、理由は分からなくても「使えない」「不安」と感じる状態になり、それがそのまま信用の低下につながります。

DoS攻撃の目的と動機

DoS攻撃の動機はさまざまです。愉快犯的に「止めてみたい」というケースもありますが、組織や企業を狙う場合は、より現実的な目的が絡むことがあります。

• 業務妨害：問い合わせ窓口や予約サイト、ECサイトなどを止め、売上や業務を混乱させる
• 抗議・主張：政治的・社会的な理由で特定組織のサイトを落とし、注目を集める
• 脅迫・恐喝：攻撃を止める見返りに金銭を要求する（DDoS恐喝など）
• 別攻撃の隠れみの：ログイン侵害や情報窃取など、別の攻撃を目立たせないために混乱を起こす

「サービス停止」は分かりやすい被害ですが、実務的に怖いのは、停止そのものだけでなく、復旧対応に追われることで通常業務が止まる点です。さらに、顧客対応や説明、再発防止策の調整まで含めると、攻撃が終わった後も負担が残ります。

DoS攻撃の具体的な手法

DoS攻撃は大きく、回線や帯域を詰まらせるタイプと、サーバーやアプリの処理を詰まらせるタイプに分けて考えると理解しやすくなります。

• ネットワークフラッディング：大量のトラフィックで回線や機器を飽和させ、正常な通信を通しにくくする
• プロトコル悪用：通信の仕組み上、相手側に負荷がかかる動きを利用してリソースを消費させる
• アプリケーション層攻撃：検索やログイン、重いAPI呼び出しなどを繰り返し、CPUやDBを枯渇させる
• 脆弱性悪用：異常なリクエストでアプリやサービスをクラッシュさせ、停止させる

同じ「大量アクセス」でも、単純に通信量が多いだけとは限りません。小さな通信でも、サーバー側の処理が重いと、少量の攻撃でサービスが詰まることがあります。対策を考えるときは「どこがボトルネックになるか」を先に押さえるのが大切です。

DoS攻撃とDDoS攻撃の違い

DDoS攻撃の概要

DDoS攻撃（Distributed Denial of Service Attack）は、複数の端末やサーバーを使って一斉に攻撃するDoS攻撃です。攻撃者は、マルウェアなどで乗っ取った端末群（ボットネット）や、外部の仕組みを悪用して、ターゲットに対して大量の通信を集中させます。

複数の送信元から同時に来るため、単純に「このIPを遮断する」といった対策では追いつきにくく、規模も大きくなりがちです。さらに、攻撃トラフィックが世界中に分散することで、出所の特定や遮断が難しくなります。

DoS攻撃とDDoS攻撃の比較

DoSとDDoSの違いは、ひと言で言えば攻撃の出所が単一か分散かです。違いを整理すると、現場の見え方も変わります。

• DoS：送信元が比較的限定されるため、遮断やレート制限が効きやすい場合がある
• DDoS：送信元が多く、トラフィック量も増えやすいため、防御に専用の仕組みや外部サービスが必要になりやすい

ただし「DoSだから軽い」「DDoSだから必ず大規模」と決めつけるのは危険です。小規模でも要所を突かれると止まりますし、大規模でもうまく吸収できれば影響を抑えられます。重要なのは攻撃の名前より、自社の弱点がどこにあるかです。

DoS攻撃による被害事例

企業における被害事例

企業がDoS/DDoS被害を受けた場合、目に見える影響は「サイトが落ちた」「ログインできない」といった障害です。しかし実務的には、その裏で次のような損失が積み上がります。

• 売上機会の損失：EC、予約、問い合わせなど、入口が止まるとそのまま機会が消える
• 顧客対応コストの増加：問い合わせ増、返金対応、説明対応が発生する
• ブランド・信頼の低下：「この会社は大丈夫か」という不安が残りやすい
• 復旧・調査の工数：原因切り分け、再発防止、関係部署調整に時間が取られる

なお、DoS/DDoSそのものは「サービス妨害」が主で、必ず情報漏えいが起きるとは限りません。一方で、障害対応の混乱に乗じて別の攻撃が進む可能性はあるため、インシデント対応では両面を意識する必要があります。

個人における被害事例

個人のサイトやブログ、配信環境なども攻撃対象になり得ます。個人の場合は「売上」だけでなく、活動そのものが止まることが痛手になります。

• 情報発信やコミュニティ運営が止まり、継続性が崩れる
• 広告収益や販売など、収益機会が途切れる
• 復旧のための知識・時間・費用が負担になる

個人は専任チームを置けないぶん、外部サービスを使って吸収する、守る範囲を絞るといった割り切りが現実的な対策になりやすいです。

DoS攻撃の対策

DoS/DDoS対策は「これだけやれば安心」という単発の施策ではなく、入口で減らす／中で耐える／外で吸収するを組み合わせて整えるのが基本です。ここでは、技術・組織・個人の観点で整理します。

技術的な対策

技術面では、まず自社の構成で「どこが詰まるか」を把握することが出発点です。回線が先に詰まるのか、ロードバランサやWAFが詰まるのか、アプリやDBが詰まるのかで、優先順位が変わります。

• トラフィック監視：平常時の傾向を把握し、異常（急増・偏り）を早めに検知する
• レート制限：IPやユーザー単位で過剰な要求を抑える（ただし正当利用への影響に注意）
• WAF/CDNの活用：不審なリクエストを遮断し、静的コンテンツは分散配信で負荷を逃がす
• DDoS対策サービス：大規模トラフィックを上流で吸収し、回線到達前にフィルタする
• 冗長化とスケール：単一点障害を減らし、負荷増に耐える設計にする

アプリケーション層の攻撃に対しては、WAFだけでは足りない場合があります。例えば、ログインや検索、重いAPIに対しては、キャッシュやキューイング、要求の軽量化、ボトルネックの解消（DB負荷対策）など、アプリ側の改善も効きます。

組織的な対策

DoS/DDoSは「起きてから慌てる」と被害が伸びやすいタイプのインシデントです。組織としては、技術対策と同じくらい、判断と連携の準備が効きます。

• 守る対象の優先順位：止められないサービスは何か（決済、問い合わせ、基幹APIなど）を決める
• 連絡体制：社内（情シス・開発・広報・CS）と社外（回線事業者・クラウド・対策ベンダー）の窓口を明確にする
• インシデント対応手順：遮断方針、切り戻し、告知、ログ保全などを事前に手順化する
• 訓練：机上演習でもよいので、「誰が何を決めるか」を一度回しておく

特に「遮断してよいか」「どの範囲で制限するか」は、現場判断が難しいポイントです。正当な利用者も巻き込む可能性があるため、事前に方針があるだけで対応の速さが変わります。

個人レベルでの対策

個人でできる対策は、守る範囲を絞り、外部の仕組みを使って耐性を上げることが中心になります。

• ブログや小規模サイトは、CDNやWAF付きのサービスを使い、直でサーバーに当てない
• 管理画面やログイン画面は公開範囲を狭め、不要なら外から触れないようにする
• 運営に必須のデータはバックアップし、復旧手順を簡単でも用意しておく

また、DoS対策とは別に、アカウント侵害を防ぐための二要素認証や端末の更新も重要です。DoSで混乱しているときほど、別経路の侵入が起きても気づきにくくなるためです。

サイバーセキュリティの重要性

サイバーセキュリティの現状

オンライン化が進むほど、「止まる」こと自体がリスクになります。DoS/DDoSは情報窃取のように派手さはない一方で、ビジネスや生活への影響が分かりやすく、攻撃者にとっても成果が見えやすい攻撃です。

また、サービスが止まると、利用者の不満だけでなく、社内の運用・問い合わせ対応・復旧作業まで含めて負荷が広がります。だからこそ、技術だけではなく、運用や体制まで含めたセキュリティが求められます。

セキュリティ意識の向上

セキュリティを高めるうえでは、専門チームだけが頑張るのではなく、関係者が「何が起きると困るのか」を共有しておくことが効きます。DoS/DDoSの場合、次のような意識合わせが実務で役立ちます。

• 障害時に最優先で守るのは何か（最重要サービスの特定）
• 制限や遮断の判断は誰が行うのか（意思決定の整理）
• 顧客への案内や説明はどうするか（広報・CSとの連携）

「技術的に守る」と「ビジネスとして守る」はセットです。止まったときに何が起きるかを具体的に想像できるだけで、準備の質が上がります。

サイバーセキュリティの今後

技術の進化と新たな課題

技術が進化すると、防御側の手段も増えますが、攻撃側も同じように手口を変えます。クラウド利用が増えることで、守るべきポイントが「サーバー」だけでなく、CDN、WAF、API、認証基盤などへ広がり、攻撃の当たりどころも増えました。

また、IoT機器の増加は、攻撃者にとって「使える端末（ボット）」が増えることにもつながります。結果としてDDoSの規模が大きくなる可能性があり、個社だけで耐えきれないケースも想定しておく必要があります。

社会全体でのセキュリティ強化

DoS/DDoSのような大規模な攻撃は、単一組織の努力だけで完全に抑え込むのが難しい場合があります。回線事業者、クラウド事業者、対策サービス提供者、業界団体などと連携し、早期検知や情報共有、遮断の仕組みを整えることが、社会全体の耐性を上げる方向になります。

組織側としては「全部自前で抱える」よりも、外部サービスの活用や連携の設計を含めて、現実的な守り方を選ぶことが重要です。

サイバーセキュリティと法制度

現行のサイバーセキュリティ法制度

サイバーセキュリティは、技術の問題であると同時に、社会的なルールとも深く関わります。個人情報の保護、委託先管理、事故時の報告、犯罪としての取締りなど、法制度は「最低限守るべきライン」を定める役割を持っています。

DoS/DDoSはサービス妨害であるため、被害側は「障害対応」だけでなく、状況によっては関係者への説明や、証跡の保全、届け出などの観点も必要になります。いざというときに慌てないために、社内でどのルールに従うべきかを把握しておくと安心です。

法制度の課題と今後の展望

サイバー領域は技術の変化が速く、法制度が追いつきにくいという課題があります。さらに、攻撃が国境をまたぐことが多いため、国内の仕組みだけで完結しないケースもあります。

今後は、被害の広がりやすい攻撃に対する連携の枠組みや、事業者間の情報共有のあり方、国際協力などが重要なテーマになっていきます。

法制度を活用したセキュリティ強化

法制度は「守らされるもの」と捉えられがちですが、運用の視点では「社内を動かす根拠」にもなります。例えば、外部委託先の管理やログ保全、インシデント対応体制の整備などを進めるとき、法制度やガイドラインの要件を根拠にすると、合意形成が進めやすくなります。

そのうえで大事なのは、法対応だけに寄せすぎず、実際の攻撃に耐える設計（技術・運用）に落とし込むことです。書類上の整備と、現場での実効性は別物になりやすいためです。

サイバーセキュリティの教育とキャリア

サイバーセキュリティのスキルセット

サイバーセキュリティの専門性は、技術だけで完結しません。DoS/DDoSのような「止める攻撃」に対しても、ネットワークやクラウドの知識に加え、運用設計や関係者調整、説明力が重要になります。

• ネットワーク、ログ、トラフィックの読み解き
• クラウドやCDN/WAFなど、外部サービスの設計・運用
• リスク評価と優先順位付け
• 経営層・現場・委託先とのコミュニケーション

「攻撃を技術で止める」だけでなく、「止まったときにどう立て直すか」を設計できる人材が重宝されます。

サイバーセキュリティの学習

学習は、用語や理論の理解に加え、実際のログや構成を想像できるようになると身につき方が変わります。例えば、トラフィック監視の考え方、レート制限の影響、WAF/CDNの役割など、運用に直結するテーマから入るのも有効です。

オンライン講座や書籍、ウェビナーなど学習手段は多くありますが、可能であれば「自分の環境ならどこが弱いか」を考えながら学ぶと、知識が道具として使えるようになります。

サイバーセキュリティのキャリアパス

セキュリティのキャリアは多様で、監視・分析を担うアナリスト、設計・実装を担うエンジニア、全体最適を支援するコンサルタントなど、役割が分かれます。資格は理解の土台づくりや対外的な説明材料として役立つことがありますが、実務では「運用できるか」「状況判断できるか」が大きく効きます。

DoS/DDoSのような領域は、ネットワークと運用の両方をまたぐため、経験を積むほど強みになりやすい分野です。

まとめ

DoS攻撃は、サービスを使えない状態に追い込むことで、業務や生活に直接的な影響を与える攻撃です。DDoS攻撃はそれを分散して大規模に行う形で、防御が難しくなる傾向があります。

対策の基本は、異常を早く検知する、入口で減らす（制限・遮断）、外部で吸収する（WAF/CDN/DDoS対策）、止まっても立て直せる体制を用意するの組み合わせです。攻撃名に振り回されるより、自社のボトルネックと優先順位を明確にし、現実的な守り方を選ぶことが、継続的な防御力につながります。