製品ドキュメント
Application Delivery Management
14.1 - Current Release 13.1 13.0
PDFを表示

ネットワーク違反の詳細

December 12, 2025
寄稿者: 
C

HTTP Slow Loris

Slow Lorisは、HTTPヘッダーを可能な限り低速でターゲットアプリケーションに送信するサービス拒否攻撃です。ターゲットアプリケーションはヘッダーの到着を待機することを強制され、複数の同様の接続が開かれると、リクエストを処理できなくなる可能性があります。NetScalerインスタンスが大量のHTTPリクエストを受信すると、HTTPヘッダーが増加し、リクエストの完了に時間がかかります。このプロセスは、アプリケーションサーバーリソースを使い果たし、HTTP Slow Loris攻撃を引き起こす可能性があります。

HTTP Slow Lorisインジケーターを使用すると、Slow Loris攻撃につながったリクエストを分析できます。

攻撃

問題をトラブルシューティングするための推奨されるアクション

  • 不完全ヘッダー遅延 (incompHdrDelay) の設定をより小さい値に調整することを検討します
  • デフォルトでは、NetScalerインスタンスはこれらの不完全なリクエストをドロップします

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションが違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • すべての違反を示すグラフ
  • 違反発生時刻
  • 不完全なリクエストの総数をSlow Loris攻撃として示す検出メッセージ

DNS Slow Loris

DNS Slow Lorisインジケーターは、NetScalerが複数のパケットにまたがる多数のDNSリクエストを受信したときに検出します。このプロセスは、DNSサーバーリソースを使い果たし、DNS Slow Loris攻撃を引き起こす可能性があります。デフォルトでは、NetScalerインスタンスはこれらのDNS Slow Lorisリクエストをドロップするため、この問題のトラブルシューティングにそれ以上の対応は不要です。

DNS攻撃

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションが違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • すべての違反を示すグラフ
  • 違反発生時刻
  • DNSリクエストの総数をSlow Loris攻撃として示す検出メッセージ

HTTP Slow Post

Slow Postは、HTTP POSTヘッダーをターゲットアプリケーションに送信するサービス拒否攻撃です。ヘッダーでは、ボディメッセージサイズは正しく指定されていますが、メッセージボディは低速で送信されます。ターゲットアプリケーションは待機を強制され、複数の同様の接続が開かれると、リクエストを処理できなくなる可能性があります。

このプロセスは、アプリケーションサーバーリソースを使い果たし、HTTP Slow Post攻撃を引き起こす可能性があります。

HTTP Slow Postインジケーターを使用すると、Slow Post攻撃につながったリクエストを分析できます。

HTTP Slow Post

この問題をトラブルシューティングするための推奨されるアクションは、NetScaler HTTPプロファイルでリクエストタイムアウトを有効にして構成することです。詳細については、「HTTP構成」を参照してください。

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションが違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • すべての違反を示すグラフ
  • 違反発生時刻
  • POSTリクエストの総数をSlow Loris攻撃として示す検出メッセージ

NXDOMAIN Flood攻撃

NXDOMAIN Flood攻撃は、DNSサーバーまたはADCインスタンス (DNSプロキシサーバーとして構成されている) をターゲットとし、大量の存在しない、または無効なリクエストを送信する分散型サービス拒否 (DDoS) 攻撃です。この攻撃は、DNSサーバーまたはADCインスタンスに影響を与え、速度低下やリクエストが応答を受信しない結果となる可能性があります。

NXDOMAIN Flood攻撃インジケーターを使用すると、NXDOMAIN攻撃につながったリクエストを分析できます。

NXDOMAIN

問題をトラブルシューティングするための推奨されるアクション

  • DNSサーバーとDNSプロキシサーバーの両方で異常に高いリソース消費がないか確認します
  • NetScalerインスタンスでリクエストレートの制限を適用します
  • 不審なクライアントIPアドレスを分離してブロックします
  • ほとんどの名前がNXDOMAINになる場合、識別可能なパターンに従い、そのようなリクエストをドロップするようにDNSポリシーを構成します
  • 正当なDNSレコードのメモリを節約するために、NetScalerインスタンスでネガティブレコードの制限を構成します。詳細については、「DNS DDoS攻撃の軽減」を参照してください

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションが違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • すべての違反を示すグラフ

HTTP Desync攻撃

HTTP Desync攻撃では、単一のHTTPリクエストが次のように解釈されます

  • フロントエンドサーバー (仮想サーバー) への単一のリクエスト
  • バックエンドサーバーへの2つのリクエスト

このシナリオでは、バックエンドサーバーは2番目のリクエストが異なるクライアントからのものであると解釈します。仮想サーバーとバックエンドサーバー間の接続は、異なるリクエストに対して再利用されます。最初のクライアントリクエストが悪意のあるクライアントから悪意のあるデータで処理された場合、次のクライアントリクエストはカスタマイズされたリクエストを持つ可能性があります。このアクティビティは、コンテンツ長と転送エンコーディングという2つのヘッダーの組み合わせを悪用することで攻撃を引き起こす可能性があります。

HTTP Desync攻撃インジケーターを使用すると、NetScalerインスタンスが次のいずれかの存在によって発生したHTTP Desync攻撃を受けている可能性があるかどうかを分析できます

  • 単一のHTTPトランザクションにおけるコンテンツ長と転送エンコーディングヘッダー
  • 単一のHTTPトランザクションにおける異なる値を持つ複数のコンテンツ長ヘッダー

HTTP Desync攻撃

推奨されるアクションは、無効なHTTPトランザクションをドロップすることを検討するよう示唆しています。

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションがこの違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • 違反の詳細を示すグラフ。棒グラフにマウスポインターを重ねると、無効なリクエスト/応答の総数を表示できます

  • 違反の検出メッセージ。リクエスト/応答の総数を示します

    • 異なる値を持つ複数のコンテンツ長ヘッダーを含む
    • コンテンツ長と転送エンコーディングの両方のヘッダーを含む

Bleichenbacher攻撃

NetScalerインスタンスは、暗号化されたメッセージの指定されたバイトシーケンスが、復号化時に正しいパディング形式を持っているかどうかを検出します。

Bleichenbacher攻撃インジケーターを使用すると、NetScalerインスタンスがエラーのある暗号化データを含むSSL/TLSハンドシェイク接続を受信したかどうかを分析できます。

Bleichenbacher

推奨されるアクションは、NetScalerインスタンスがハンドシェイク接続を終了し、この攻撃を軽減するため、それ以上の対応は不要であることを示します。

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションがこの違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • 違反の詳細を示すグラフ。棒グラフにマウスポインターを重ねると、検出されたエラーのあるハンドシェイク接続の総数を表示できます
  • 仮想サーバー上のエラーのある暗号化データを含むハンドシェイク接続の総数を示す、違反の検出メッセージ

Segment Smack攻撃

Segment Smack攻撃は、攻撃者がTCPセッション中に順序付けされていない小型パケットを送信できるサービス拒否 (DoS) 攻撃です。これらのカスタマイズされたTCPパケットは、CPUとメモリに影響を与え、NetScalerインスタンスでサービス拒否を引き起こす可能性があります。

Segment Smack攻撃インジケーターを使用すると、NetScalerインスタンスが構成されたキュー制限よりも多数のTCPパケットを受信したかどうかを分析できます。詳細については、「TCP構成」を参照してください。

Segment Smack攻撃

管理者として、NetScalerインスタンスはそれらの過剰なTCPパケットをすべてドロップすることでこの攻撃を軽減するため、それ以上の対応は不要です。

イベントの詳細で表示できる項目

  • 影響を受けるNetScalerインスタンス
  • 違反の詳細を示すグラフ。棒グラフにマウスポインターを重ねると、検出された不正なクライアント接続の総数を表示できます

  • ドロップされたクライアント接続の総数を示す、違反の検出メッセージ

    Segment Smack攻撃1

SYN Flood攻撃

SYN Flood攻撃は、スプーフィングされたIPアドレスを使用して数千の接続リクエストを送信することで、ターゲットマシンに影響を与えるサービス拒否 (DoS) 攻撃です。NetScalerインスタンスがSYN Flood攻撃を受けている場合、インスタンスは悪意のあるリクエストごとに接続を開こうとし、その後、決して届かない確認応答パケットを待機します。

TCPプロファイルのSYNCOOKIEは、NetScalerアプライアンスでのSYN攻撃を防止します。デフォルトでは、ADCインスタンスのSYNCOOKIEは有効になっています。NetScalerインスタンスがSYN Flood攻撃を受ける可能性は、SYNCOOKIEが無効になっている場合にのみ高くなります。

SYN Flood攻撃インジケーターを使用すると、NetScalerインスタンスがSYN攻撃を受けているかどうかを分析できます。

SYN Flood攻撃

管理者として、推奨されるアクションは、TCPプロファイルでSYN COOKIEを有効にすることです。

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションがこの違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • SYN攻撃の詳細を示すグラフ
  • アプリケーションでSYN攻撃が検出された総回数を示す検出メッセージ

Small Window攻撃

Small Window攻撃は、より小さいサイズのウィンドウまたはウィンドウサイズ0のTCPパケットを数千送信することで、ターゲットマシンに影響を与えるサービス拒否 (DoS) 攻撃です。ウィンドウサイズ0は、ターゲットマシンがそれ以上の通知があるまでデータの送信を停止する必要があることを示します。ターゲットマシンに同様の接続を多数送信することで、ターゲットマシンのメモリが最大限に利用され、応答しなくなります。

Small Window攻撃インジケーターを使用すると、NetScalerインスタンスがSockstress攻撃を受けているかどうかを分析できます。

Small Window攻撃

デフォルトでは、NetScalerインスタンスはこのようなTCP Small Windowパケットをすべてドロップすることでこの攻撃を軽減します。したがって、管理者として、それ以上の対応は不要です。

イベントの詳細で表示できる項目

  • 影響を受けるアプリケーション。2つ以上のアプリケーションがこの違反の影響を受けている場合は、リストからアプリケーションを選択することもできます
  • 攻撃の詳細を示すグラフ。棒グラフにマウスポインターを重ねると、検出されたTCP Small Windowパケットの総数を表示できます
  • ドロップされたTCP Small Windowパケットの総数を示す検出メッセージ
ネットワーク違反の詳細
December 12, 2025
寄稿者: 
C
December 12, 2025
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.