読み方：エイチティーティーピーフラッドこうげき

HTTPフラッド攻撃【HTTP flood DDoS attack】

概要

HTTPフラッド攻撃とは、サイバー攻撃の手口の一つで、Webサーバに対して大量の閲覧リクエストを送りつけ、機器や回線に過剰な負荷をかけることでサービスの提供を妨害したり停止に追い込む手法。分散型サービス拒否攻撃（DDoS攻撃）の代表的な手法の一つである。

攻撃者は管理下の多数の端末や、マルウェアなどで乗っ取った機器を組織化したボットネットを一斉に遠隔操作し、Webページの取得や検索リクエスト、API呼び出しなどを大量に発生させる。これらのリクエストは形式上は正規のアクセスと区別しにくいため、単純な通信遮断では防御が難しい。

Webサーバ側では、CPUの計算能力やメモリ領域、データベース接続数などのリソースが消費され、応答遅延や接続不能といった障害が発生する場合がある。特に、データベースから情報を引き出す検索機能や、大きな画像を動的に生成する機能など、処理負荷の高い機能が狙われることが多い。

主な対策

基本的な対策としては、利用者や機器ごとのアクセス頻度の制限や、異常なトラフィックの検知、Webアプリケーションファイアウォール（WAF）の導入などがあるが、多数の端末が動員されると一台一台は自然な挙動を取ることもあるため、通常のDoS攻撃と同様の単純なルールによる検知・排除が有効でない場合もある。

このため、動的な処理を伴う領域には人間による操作であることを確認するパズル（CAPTCHA）をパスしないとアクセスできないようにしたり、世界中に分散されたサーバでデータ配信を肩代わりするCDN（コンテンツ配信ネットワーク）を利用して、攻撃を分散・吸収するなど、DDoS攻撃に特化した対策が必要になる場合もある。