アプリケーション層攻撃はプロトコル準拠 — 通常のリクエストに見える。古典的なWAF閾値は騙される。
L7 DDoS攻撃のコアな課題はプロトコル準拠性です。攻撃者は有効なHTTPリクエストを送信し、各リクエスト単独では正規ユーザーが行うことと変わらないように見えます。トラフィックの集計だけを見るシステムは、攻撃を遅れて検出するか（ダメージが発生した後）、正規トラフィックをブロックしなければなりません。
SlowlorisとR.U.D.Y.は問題を極限まで押し上げます。攻撃者は多くの半開き接続を開き、各接続で毎秒数バイトを送信します。毎秒リクエスト数の閾値は決してトリガーされませんが、一方でサーバーのワーカースレッドプールが満杯になります。古典的な保護はこれを認識しません。
Cache-bustingとrecursive GET攻撃はキャッシュ層をバイパスします。各リクエストに異なるURLパラメータがあり、キャッシュをスキップしてバックエンドが再計算します。「リクエストが多すぎる」と言うだけでは不十分で、動作の構造的なパターンが重要です。
ボットDDoSキャンペーンは分散したIPプールから来て、各ソースは低レートですが、総合的に高いエラーレートや標的エンドポイント密度を示します。攻撃は単一シグナルには現れず、複数シグナルのAND/OR/NOT組み合わせで検出する必要があります。
私たちのアプローチ
L7 DDoSアドオンは行動スコアリング+複合条件ロジック+適応型アクション+vServiceごとの粒度で動作します。古典的な「毎秒リクエスト数」閾値ではなく、構造的な攻撃パターンを見ます。
行動スコアリングエンジン
1つのシグナルではなく — 接続レート、セッションライフタイム、リクエスト/レスポンス比率、パス密度、IP reputation、ボットスコア、エラーレートが同時に評価されます。攻撃モデルはボリュームではなく構造的パターンで検出されます。
ddosCond複合条件（AND/OR/NOT）
vServiceごとに複合条件を定義できます。例：「高リクエストレート AND SSLコネクション増加 AND /api/loginパス密度 AND 低IP reputation」。単一シグナルではなく — 構造的攻撃パターンがトリガーになります。
Smart Learning + オペレーター承認フロー
システムはトラフィック動作を観察し、ベースラインを生成してオペレーターに提示します。オペレーターはレビュー、承認、または変更してポリシーとして有効化します。プロファイルが進化するにつれて、Smart Learningが新しい提案を提示します。
適応型アクション — 段階的レスポンス
攻撃検出時、アクションは攻撃モデルによって選択されます：deny（オープン攻撃）、redirect（代替パス）、制御されたコンテンツ配信、ローカルCAPTCHA（ボット/人間の区別）、rate-limit。画一的ではなく段階的なレスポンスです。
カバーされる攻撃ベクター
L7 DDoSアドオンはWAAPポリシーチェーン内で最も高度なアプリケーション層攻撃ベクターを処理します。
HTTP flood（GETおよびPOST）— 行動スコアリングによる認識
攻撃者は毎秒何千もの本物らしいHTTPリクエストを送信します。リクエストレートだけでは正規のキャンペーントラフィックに似ることがあります。TR7の行動スコアリングエンジンはリクエストレートをセッションライフタイム、IP reputation、ターゲットパス密度とともに評価し、構造的攻撃パターンが認識されるとアクションが適用されます。
ソフトリミットはチャレンジ、ハードシーリングは遮断 — 急な人だかりは攻撃ではない
HTTPフラッドと成功したキャンペーンは、リクエスト数のカウンター上では見分けがつきません。だからこそL7の各防御は二つのしきい値を持ちます。ソフトリミットは段階的な対応 — 遅延、装置内蔵のCAPTCHAによるチャレンジ、順番待ち — を呼び込み、リクエストを拒むのはハードシーリングだけです。本物の顧客はチャレンジを越えて残り、スクリプトは残りません。モニターモードは自社トラフィックに対して両者を示すので、数字はベンダーの既定値ではなく、実際の月曜の朝から決まります。
Slowloris — 半開き接続の枯渇
攻撃者は多くの半開きHTTP接続を開き、各接続で毎秒数バイトのみを送信します。毎秒リクエスト数の閾値は決してトリガーされません。TR7は異常なセッションライフタイム+低リクエスト/レスポンス比率+高アクティブ接続数を組み合わせて評価し、攻撃接続をフィルタリングします。
Slow POST（R.U.D.Y.）— ボディが遅く届くリクエスト
攻撃者はPOSTリクエストを開始し、Content-Lengthを大きく宣言しますがボディは毎秒1バイトで届きます。ワーカースレッドは何時間も待機します。TR7はContent-Length不整合とスレッド待機時間でslow-bodyの送信者を検出します。
Recursive GETとcache-busting攻撃
攻撃者は各リクエストに異なるURLパラメータを追加し、キャッシュをバイパスしてバックエンドがすべてのリクエストを再計算します。TR7はキャッシュヒット/ミス比率とURLパラメータの多様性動作を観察し、cache-bustingの構造的パターンが検出されるとアクションが適用されます。
Recursive GET — サブURLへの順次リクエスト
攻撃者は大きなページのすべてのサブURLに順次アクセスしてバックエンドを枯渇させます。行動エンジンは再帰的パターンを検出します — 同じセッションからの順次高密度リクエスト+一貫したuser-agent。
ボットDDoS — 分散IPプールからの低レート攻撃
攻撃者は何千ものIPから低レートのリクエストを送信し、総合的には構造的パターンを示しますが、各IPは普通に見えます。TR7はIP reputation+ボットスコア+パス密度の複合条件でボットプールを検出し、段階的なアクション（CAPTCHA→ブロック）を適用します。
Credential-stuffing波
攻撃者は侵害されたクレデンシャルリストを分散IPからログインフォームに送信します。高4xxエラーレート+ログインパス密度+IP reputation+分散ソースが組み合わせて評価され、攻撃波が開始直後に停止されます。
APIエンドポイント標的のボット攻撃
モダンAPIを標的にするボットは人間のようなレートでリクエストを送信します。単一接続シグナルからのボット検出は困難です。TR7はボットスコア+行動フィンガープリント+パス密度の複合評価で構造的なボットを検出します。
ローカルCAPTCHA — サードパーティSaaSなしのボット/人間の区別
攻撃が構造的に認識された場合、ローカルCAPTCHAチャレンジをトリガーできます。TR7プラットフォームの一部として動作し、サードパーティのreCAPTCHAや類似サービスは不要です。データローカリティが保護されます。
vServiceごとの粒度のあるスコープ
各アプリケーションサービスは異なるトラフィックプロファイルを持ちます。vServiceごとに別々の行動ベースラインと緩和ポリシーがあります。あるvServiceへの攻撃が別のvServiceに影響しません。あるvServiceの通常トラフィックが別のvServiceの攻撃プロファイルに似ることがあります。容量ティア：1、10、25、100、1000 vService、または無制限保護。
運用の深さ
L7 DDoSアドオンは統合された運用モデルを提供します：行動スコアリング+ddosCond複合条件+Smart Learning+適応型アクション+監査証跡。
Smart Learningとオペレーターフロー
Smart Learningはトラフィック動作を観察し、vServiceごとのベースラインを生成してオペレーターに提示します。オペレーターはレビュー、承認、または変更してポリシーとして有効化します。プロファイルが進化するにつれて新しい提案が提示されます。
ddosCond複合条件ライブラリ
動作シグナルはAND/OR/NOTで組み合わせられます。接続レート、セッションライフタイム、リクエスト/レスポンス比率、パス密度、HTTPメソッド分布、ボディサイズ動作、IP reputation、ボットスコア、エラーレート — すべてが条件定義の入力になります。
アクションライブラリ
deny、redirect、コンテンツ配信、ローカルCAPTCHA、rate-limit。攻撃モデルによって、オペレーターは段階的なアクションを定義できます：第1閾値でCAPTCHA、第2閾値でrate-limit、第3閾値でブロック。
WAAPポリシーチェーン統合
L7 DDoSのddosCond条件は同じWAAPポリシーチェーン内で動作します。ボット管理スコアとAPI攻撃コンテキストがddosCond の入力としてフィードされ、攻撃検出時にイベントがWAAP攻撃レポートと同じ監査チェーンに流れます。
ローカルCAPTCHAメカニズム
TR7プラットフォームの一部として動作します。サードパーティのreCAPTCHAや類似SaaSサービスは不要で、クライアントデータが別のクラウドに流れることはありません。視覚的、数値的、行動的チャレンジオプション。
攻撃レポートとSIEMフロー
検出された各攻撃、実行されたアクション、ソースIPプールの地理、ターゲットvService、継続時間が監査証跡に書き込まれます。L7 Reportingアドオンが有効な場合はダッシュボードで可視化され、SIEMストリーミングが設定されている場合はエンタープライズSIEMに流れます。
適用シナリオ
Slowlorisキャンペーン — 半開き接続の枯渇
攻撃者が5,000の半開き接続を開き、各接続が毎秒2バイトを受け取ります。毎秒リクエスト数の閾値は決してトリガーされませんが、サーバーのワーカープールが満杯になります。TR7は異常なセッションライフタイム+低リクエスト/レスポンス比率の複合条件を検出し、攻撃接続をフィルタリングしながら正規ユーザーを可視状態に保ちます。
Credential-stuffing波 — 分散ボットネット
攻撃者が50,000のIPからログインフォームに侵害されたクレデンシャルを送信します。各IPは毎秒1〜2リクエストで動作し、単一IPプロファイルはボットネットを明かしません。ddosCond：高4xxレート AND ログインパス密度 AND 低IP reputation → 段階的アクション（CAPTCHA→ブロック）。
AIエージェント駆動のAPI攻撃
AIエージェント駆動の攻撃者がAPIエンドポイントに人間のようなレートのリクエストを送信します。単一接続シグナルからのボット検出は困難です。ボットスコア+行動フィンガープリント+パス密度の複合評価がAIエージェントの構造的パターンを検出し、rate-limitまたはローカルCAPTCHAが適用されます。
キャンペーン日のトラフィックスパイク
Eコマースキャンペーン開始時にトラフィックが10倍スパイクします。静的閾値はサイトをホワイトページにするか正規トラフィックをブロックしてビジネスに損害を与えます。TR7 Smart Learningはキャンペーン日の期待値も学習しています（週次サイクル）。閾値は動的です。正規トラフィックは影響を受けず、ボット/攻撃者トラフィックは区別されます。
よくある質問
L7 DDoS保護はベースバンドルに含まれますか？
ddosCond複合条件はどのように定義しますか？
ローカルCAPTCHAはどのように機能しますか？サードパーティサービスに依存していますか？
vService制限を超えた場合はどうなりますか？
攻撃レポートはどこで確認できますか？
行動的L7防御を確認
お客様の環境でddosCond複合条件、Smart Learning提案、適応型アクションライブラリをライブで確認しましょう — パイロットvServiceでのデプロイメントセッション。