DDoSインシデント対応のランブックをどのように構築しますか？

ランブックの手順

1. 検知と宣言 — アラートまたは相関した異常（DDoS検知を参照）がインシデントを発動させる。直ちにインシデントコマンダーを割り当てる。
2. 攻撃の種類とターゲットの特定 — それはLayer 3/4（ボリューム型）か、Layer 7（HTTPフラッド）か？どのエンドポイント、IP、またはリージョンか？種類によって、どのコントロールを発動させるかが決まる。
3. 防御の発動 — CDNの「攻撃時」モード/スクラビングを有効にし、WAFルールを強化し、レートリミットを引き下げる。最も安価で広範なコントロールから始める。
4. 送信元のブロック/ヌルルーティング — 攻撃元のIPレンジやジオをエッジでブロックする。最後の手段として、ISPに依頼して対象のIPをヌルルーティングし、プラットフォームの残りを守る。
5. コミュニケーション — ステータスページに投稿し、ステークホルダーに更新を伝え、タイムラインを記録し続ける。明確なコミュニケーションは、混乱という第二の危機を防ぐ。
6. 必要に応じたスケール — フィルタを強化している間にすり抜けてくるトラフィックを吸収するため、オリジンの容量をオートスケールまたはオーバープロビジョニングする。
7. インシデント後のレビュー — 安定したら、非難なし（blameless）のふりかえりを実施する。何がうまくいったか、何が遅かったか、どのルールを恒久化すべきか、どのギャップを埋めるべきか。

なぜ重要なのか

実際の攻撃を受けると、レイテンシとアドレナリンによって人は手順を飛ばし、事態を悪化させてしまいます。ランブックは既知の手順、事前に構築されたツール、明確な役割を提供するため、チームはサイトがダウンしている間に選択肢を議論するのではなく、数分のうちに被害を軽減できます。あらゆるDDoSランブックで最も価値のある一行は、事前に行われた準備です。攻撃で溢れかえっている最中に、スクラビングプロバイダを統合したり、ISPの緊急連絡番号を探したりすることはできないのです。