【TESオンライン】ESOのサーバーが不安定だったのはDDoS攻撃が原因… 実は当サイトも週末に503を吐きまくりました（お詫び+追記）

久し振りの更新になりますが…（今、もう一つサイトを立ち上げる為に明日までにそのサイト・デザインをやらなくてはいけなくて、本当にすみません。ゲームとは全然関係ないサイトですw）

それでここ数日、ESOに起きていた事がゲーム以上に自分の関心の高い出来事だっただけに、それを書いておきます。
 

3/9追記　　

3/5（日）から3/6（月）にかけてDDoS攻撃のため発生した障害について、補償として該当期間にESO Plusメンバーシップにご加入頂いていた方全員に2日間の期間延長を、本日17:00に行わせて頂きました。#ESO_JP#ESODMM

— ESO-DMM日本語版公式 (@TESOnline_JP) March 9, 2017

ESOの公式は、サーバーが安定しなかった保証をしてくれる…と言ってます。
 

ESOのサーバーに何が起きていたのか?

先週末からESOのサーバーが不安定で、かなりメンテナンスの情報が出ていたりしていたけど、今日、こういうTweetが公式から来てました。

土曜日から断続的に発生しているログイン障害について、DDoS攻撃を検知いたしましたので、ご報告いたします。詳しくはお知らせをご確認下さい。https://t.co/0fzySgojYW#ESO_JP#ESODMM

— ESO-DMM日本語版公式 (@TESOnline_JP) March 6, 2017

断続的に発生しているログイン障害について（公式）

3/5（日）から本日3/6（月）[日本時間]にかけて断続的に発生した障害につきまして、
不特定な第三者によるDDoS攻撃が行われていることを確認いたしました。

このDDoS攻撃により、ゲームサーバー、ネットワーク回線等が高負荷な状態に陥ったため、
一部のお客様にゲームプレイ中の強制切断や、ログインしづらい問題が発生しております。
この問題に対する復旧のため、メンテナンス作業を行わせて頂きましたが、
現在も一部のお客様に問題が発生している事が確認されたため、
現在実施中のメンテナンスでも対応作業を行っております。

この問題につきましては調査、監視を継続しておりますので、進展があり次第ご連絡させて頂きます。

 
このDDoS攻撃と言うのは、公式も書いている通り、一斉にどこかからアクセスを集中させ、サーバーに高負荷を掛けてサーバーダウンに陥れる攻撃の事で、昔はこの攻撃主と言うのは主にPCだった。

しかし、今はそういう攻撃も変わりつつあって、最近よく耳にするIoT機器のセキュリティの問題。家に普通にあるルーターとかウェブカメラとかがその攻撃の踏み台にされて、大規模ネットワークを形成して一斉に特定のサーバーに向けてアクセスして負荷を掛けて来る事例も増えて来ました。

だから、今の時代のDDoS攻撃と言うのは、IoT機器で大規模ネットワークを組みやすい事から、昔より簡単になって、その危険性がますます増えたとも言えます。
 

これは去年起きた大規模DDoS攻撃の被害の事例だけど…

IoT機器を踏み台にした史上最大規模のDDoS攻撃が続々発生

Krebs氏は、Googleの「Project Shield」の保護下で同サイトを復旧した後に投稿した記事の中で、次のように説明している。「あらゆる痕跡から考えて、今回の攻撃は、いわゆる『モノのインターネット』（IoT）デバイスを膨大にハッキングして奴隷化したボットネットを利用したものだ。主なデバイスは、ルーター、ネットワークカメラ、デジタルビデオレコーダー（DVR）だ。インターネットに接続されていて、脆弱なパスワードやハードコーディングのパスワードでしか保護されていない機器である」

(略）

Symantecのデータによると、感染したシステムの多くは、高度な脆弱性やデバイス固有の脆弱性を突かれたわけではなく、基本的なセキュリティ統制を行っていないせいで感染に至っている。攻撃者は一般に、インターネットをスキャンして、TelnetやSSHのポートが開いているデバイスを見つけ、デフォルトの管理者アカウントでログインを試みる。残念ながら、それだけのことで、巨大なIoTボットネットを構築できてしまうのだ。

ESOのサーバーに仕向けられたDDoS攻撃がどのタイプかわからないけど、これはサーバーで何かを運営してる側からすると防御も対処も難しい攻撃で、しかし、一つだけはっきりさせておくと、この攻撃によってESOに預けられているプレイヤーの個人情報が漏洩する…とか言うものではありません。

だから、ゲームが不安定でムカつく事もあるかもしれないけど、プレイヤーには被害は無いし、DDoSの被害にあったESOの大変な立場も理解してあげてほしいと思います。

このサイトも土曜日に503エラーが多発する

ところで、自分のところもESOの事を悠長に語ってられる状態ではなくて、3月4日の土曜日をピークにその前後で503エラーが多発してました。迷惑を掛けてしまった人にはお詫びします。

503エラーと言うのは、アクセスがサイトに集中した時等に出るもので、よくSteamのセールが始まった直後に行くと、お客さんのアクセスが集中しすぎてSteamのサーバーが不安定になる…あれと同じ現象。

このサイトはブログサービスではなくサーバーで運営してるものだから、こういう事が起こるとすぐにわかるようになっているものの、この3月4日の503エラーの発生の仕方が異常。

これがその時のサーバーの状態の記録。

3月4日に503エラーの発生回数が750回以上、このエラーで迷惑を被ったお客さんが300人超…と言う事で、せっかく来てくれたのに本当にすみませんでした。

早く気付けば告知が出せたんだけど、確かに週末はサイトが重い…と言う気がしてたし、自分のところは有線で回線を繋いでいてもそう思った位だから、無線LANとかの環境だとかなり繋がりにくくなったんじゃないかと思います。

それで、これがDDoS攻撃のせいだ…とは、エラーログをまだ完全に把握していない手前から断言は出来ないものの、2月に殆ど503が発生していない事を考えると、週末でアクセスが集中してこうなった…とかあり得ない気もしてる。まして新しい記事も書いてない状態だし、それよりサーバーはかなり容量がある筈で、お客さんが少々殺到した程度ではそれほど不安定になるとは思えない。

週末と言うのは、サーバーのエラーログを監視してると、怪しい動きをするIPも集中して来てたり（こちらはログインを試みてサイト乗っ取りを企む方）、こういう攻撃と言うのは、気付いていないだけでどのサイトであっても同様に起きている事だと理解しても間違いない筈です。

いや、2月にもWordpressで運営するアップデートをしていなかったサイトの100万件以上が、その脆弱性からページの改ざんをされる…と言う前代未聞の被害が出たばかり。日本でも国立大学の何校かをはじめ、オリンピック担当大臣のサイトまでが改ざんせれる…と言う事例もありました。

WordPressサイトの改ざん被害は150万件超に　「最悪級の脆弱性」

自分のサイトは、Wordpressのセキュリティ記事をいつも書いてる手前、こういう被害には遭わなかったけど、それでもセキュリティには全く手を抜けない状態で、サイト構築系のスキルが高くない人やセキュリティに興味が無い人がサーバーを借りて個人管理でWordpressでサイト運営するのは、かなりリスクが多くなる時代になった事を痛感してます。（自分はWordpressのキャリアは10年目）

なぜDDoS攻撃を防ぐのが難しいのか?

ESOは個人情報等も預かる為に最高レベルのセキュリティを持ってるだろうし、それでもDDoS攻撃と言うのは、所持者でも感知していないようなPCやIoT機器等の思いも寄らぬような所からのアクセス集中攻撃の為、防ぐのも対処も難しい場合がある。

DDoS攻撃を防ぐ為の基本は、そのアクセスを仕掛けて来るIPアドレスを制限して、それをサーバーの方で弾くように設定すれば良いけど、今の時代、あちこちのIoT機器からアクセスして来るIPアドレスを全部調査して弾く事はマジで大変。それに迂闊にそのIPを制限すれば、そのIoT機器を所持してる実は罪の無い人のIPが禁止登録される可能性もあって、非常に難しいところ。

乗っ取りとかアカウント情報漏えいとかの被害が無いから、一見軽い部類の攻撃に見えるかもしれないけど、しかし、サイト運営側からすれば、例えば公告収入とかを主な収入源にしていたりするサイトがダウンしてアクセス数が減れば、間違いなく会社の収益に関わってくる死活問題にもなりかねない。それにランサム型と言って、これ以上攻撃されて欲しくなかったら、金を寄越せ…と揺すってくるDDoS攻撃もある。

自分のサイトなんてサイトからの収益とか殆どないし、ダウンしても「ムカつく」と言う個人的な感情が残るだけで誰も損はしないだろうけど、企業のサイトやESOのような大規模なゲームとかだと信用問題にも関わって来る。

この記事には、基本的なDDoS攻撃の防御の対処が書いてあります。

DDoS攻撃への対策と最適ツールの選択方法とは！？

この防御の一つとして、海外からのアクセスを制限する対処が書いてあるけど、自分のサイトでもその施行をしてます。日本の場合は世界から見れば言語も特殊だし、島国と言う特殊な環境がネット・セキュリティを高めている…と言うのも本当のところで、殆どの日本の大手ブログサービスでも、海外からのアクセスを今は遮断している筈。

しかし、ESOのような多国籍に色々な国の人がサーバーに存在する環境では、国によるアクセス制限は設ける事も出来るわけがない。

Nortonの調査によれば、「2016年の攻撃元IPアドレスは中国（34％）、米国（28％）、ロシア（9％)」と言う事で、この3国はネットのセキュリティいおいていつも問題になる。しかし、自サイトにおいては、現在は中国からの攻撃は殆ど感知せず、ロシアからはセコいリファラースパムばかりだけど、アメリカからの攻撃が一番深刻。

前にも書いたけど、アメリカと言うのはIT先進国とも言われていて、ITにおいても優秀な大学が沢山ある。そういう技術が良い方面に生かされてくれるなら、本当の意味でのIT先進国だろうけど、世界のITの脅威の多くもこの国から発せられている…と言う現実をどう捉えればいいのか?　

アメリカは、よその国の脅威ばかりに目を向けてないで、ITの高い技術が伴って世界に発せられている脅威について、真剣に目を向けて対処して欲しい…と思う事も多いです。

自分のIoT機器がDDoS攻撃の踏み台にならない為には?

サイトとか持ってない人は、DDoS攻撃とは縁遠いものに感じるかもしれないけど、しかし、誰でも他人事では無いのは、自分の家にあるIoT機器がDDoSのネットワークに組み込まれて、主人が知らぬ間にどこかのサイト攻撃に加わっている可能性…と言う事。

IoT機器の脆弱性の恐ろしさを本当に想像してみてほしいと思うけど、家の住人が寝静まった時、その部屋でどこかの通信を受けたルーターとかウェブカメラがどこかのサーバー目掛けて攻撃を始める…とか、マジでこれはホラー以外のなにものでも無いといつも思う。

所有しているIoT機器がそうならない為の対処については、この記事が幾らか詳しいように思います。

シマンテック、IoT機器をDDoSの踏み台として悪用するマルウェアの拡大を警告

IoTマルウェアへの対策として、デバイスの特徴やセキュリティ機能を確認した上、デフォルトのログイン情報を変更することや、無線LAN使用時にはWPA暗号化を利用し、可能であれば有線LANを用いることを推奨している。また、リモートアクセスなどの不要な機能やサービスなどの無効化、Telnetの代わりに可能な限りSSHを利用する、ファームウェア更新の定期的チェックと実行などを対策方法として挙げている。

この記述でさえ防御についての漠然とした答えでしか無いんだけど、無線LANと言うのは、今新たなセキュリティ対策の対象になってて、このサイトもSSL化せざるを得なかったのは、無線LAN（特に公共）からのアクセス側のリスクを減らす為…と言うのがありました。
 

話が長くなってしまったけど、ネット上で何かを構築して行く…と言うのは、開発で前に進む一方で、これらの攻撃といつも戦い続けなければいけない。ESOの技術者の人達も大変だろうけど、DDoS攻撃と言うのは現状では対処や防御も難しい為、プレイヤーの人達は、ESOに起きているこの状況を理解してあげてほしいと思います。

この手の話はいつも違うサイトでしてるんで、ネット・セキュリティに興味がある人はそのサイトにも遊びに来て下さい。