2018 年 2 月、GitHub は 1.35 Tbps の DDoS 攻撃を受けた——数千のボットではなく、2,000 台未満の露出 Memcached サーバーによるものだ。攻撃者は小さなリクエストを送り、最大 5.1 万倍に増幅された応答を受け取った。それが反射／増幅だ：攻撃者が払う帯域と被害者が吸収する帯域をきれいに切り離す。本稿は 10 年にわたる軍拡競争を解き明かす。
1.増幅率：攻撃のテコ
増幅率（AF）は極めて単純だ：AF = 応答サイズ / リクエストサイズ。前提は IP 送信元スプーフィング——攻撃者は被害者の IP を送信元として偽造するので、サーバーの巨大な応答は被害者に向かい、攻撃者はほとんど何も払わない。
| ベクトル | ポート | 典型的 AF | 状態 |
|---|---|---|---|
| Memcached | UDP/11211 | 約 5,000〜51,000× | ほぼ封じ込め済み |
NTP monlist | UDP/123 | 約 556× | 大半が無効化 |
| CLDAP | UDP/389 | 約 56〜70× | 2017–2019 主流 |
| WS-DD | UDP/3702 | 約 15〜50× | 2021 年から急増 |
| SSDP（UPnP） | UDP/1900 | 約 30× | ホームルーター多い |
| DNS（ANY） | UDP/53 | 約 28〜54× | オープンリゾルバ持続 |
| SNMP | UDP/161 | 約 6.5× | v3 で軽減 |
この表が示す不都合な真実：インターネット上の 1 台の開いた UDP サービスさえ、スプーフィング送信元で問い合わせられれば、攻撃者の「無料増幅器」になる。
2.なぜ UDP か？コネクションレスが原罪
反射／増幅は UDP のコネクションレス性に依存する：ハンドシェイクも送信元検証もなく、スプーフィング送信元のリクエストでも応答を得る。US-CERT は TA14-017A で 14 の UDP ベース増幅ベクトルを挙げた。TCP の 3 ウェイハンドシェイク（SYN は実送信元に ACK される必要がある）のため、古典的反射はほぼ不可能——だから増幅はほぼ専ら UDP 現象だ。
重要な洞察：増幅器のテコは計算能力ではなく設定ミスのサービスの在庫だ。攻撃者はボットを育てるのではなく、インターネットの設定ミスを「レンタル」する——攻撃コストをほぼゼロにする。
3.ベクトル移行：モグラ叩きゲーム
防御側がベクトルを潰すたび、攻撃者はピボットする。
- 2013–2014：NTP
monlist（約 556×）が每个事件で数百 Gbps を支配。NTP コミュニティは後に monlist を既定無効化。 - 2017–2018：CLDAP（約 70×）と Memcached（約 5.1万×）が台頭。後者が 1.35 Tbps 記録を生んだ。
- 2021 年以降：WS-DD（UDP/3702、デバイス発見プロトコル）が爆発——Microsoft は WS-DD 増幅が前年比 3,300% 増としたと報告。無数の IoT 機器・プリンタ・カメラが既定で有効にしているため。
- 2024–2025：Cloudflare 年次レポートでは純粋な反射が L3/4 攻撃の大きな比率を占めるが、単一ベクトルのピークは 多ベクトル・ハイブリッド（反射＋直接フラッド＋L7）と Mirai 変種主導の Tbps 級直接攻撃に譲った。
4.根本原因 vs 症状：BCP 38 の約束の喪失
理論上の究極の治療は BCP 38 / RFC 2827（入力フィルタリング）：各事業者が自プレフィックス外の送信元を持つパケットをエッジで廃棄し、送信元スプーフィングをインターネット全体で不可能にする。しかし 30 年経っても BCP 38 は遠く及ばない——すべての事業者が動き、単独展開には直接の見返りがないからだ。
これは共通資源の悲劇だ：各事業者は他がフィルタし、自分はフリーライドすることを望む。結果——2014 年の同じ脆弱性と 2025 年にも戦う。
5.防衛側の二正面作戦
BCP 38 が普遍化するまで、防衛側は二正面で戦う必要がある。
- 潜在的増幅器として（ hardening）：NTP
monlistを無効化、DNS リゾルバをローカル再帰に制限、エッジで入力 UDP/3702 を ACL 廃棄、Memcached を localhost にバインド。自サーバーを攻撃者の共犯にするな。 - 潜在的被害者として（吸収）：Tbps 級吸収を持つ全球分散スクラビング網に依存、IP を盲滅尽にブロックせず振る舞いで UDP 反射をレート制限、Anycast でエッジ希釈。
- 能動的インテル：Shadowserver を購読し、自らの露出 UDP サービスを走査・修正して「増幅可能資産」リストに載る前に対処。
結論
反射／増幅は、インターネットの責任分散問題を映す鏡だ。開いた UDP サービスと送信元スプーフィングが残る限り、軍拡は終わらない。防衛側の真の壁は単一 ACL ではなく、コアで Tbps 級を吸収し、秒単位で異常 UDP 振る舞いを識別するアーキテクチャだ。全世界が明日 BCP 38 を展開することは期待できない。