DDos Attack(DDos攻撃)

[Ron-Yohei]

We would like to install software to counter DDOS attacks on our Firepower 1120.
Which product should we use?

現在利用しているFirepower1120にDDOS攻撃への対策ソフトウェアを導入したい。
どの製品を利用すべきかご教示いただきたい。

[Akira Muranaka]

こんにちは！ DDoS対策はソフトウェアベースでサポートされてます。

ASAの場合、MPFを利用した「set connection」コマンドで設定が可能です。私のお客様も大規模な所は設定してます。
https://www.cisco.com/c/ja_jp/support/docs/security/asa-5500-x-series-next-generation-firewalls/100830-asa-pix-netattacks.html#topic1

https://community.cisco.com/t5/-/-/ta-p/3158482#toc-hId-1822553668

 
FTDの場合は バージョン 7.2以降でサポートの「Portscan Detection and Prevention」機能で、GUIで簡単にDDoS防御設定が可能です。
https://www.cisco.com/c/en/us/td/docs/security/secure-firewall/management-center/device-config/720/management-center-device-config-72/threat-detection.html

ご参考になれば・・！

[Ron-Yohei]

Akira Muranakaさん

早速ありがとうございます。
レイヤー3.4の保護の部分で参考にさせていただきます！
ちなみにレイヤー7へのDDos攻撃対策(もし他もあれば)はどういったものがあるかもしわかればご教示いただけますと幸いです！

[Akira Muranaka]

こんにちは！  

ASAのMPFは「アプリケーションレイヤーゲートウェイ（ALG）」ですので、TCP80/443など利用する HTTP Syn Flood も防御できます。

なお、ASA/FTDのDDoS対策機能は簡易機能ですので、より柔軟で細かな制御や監視をされたい場合はRadwareさんなど専用の DDoS対策装置を入れられるケースが多いかと思います。

私のお客様の場合は、中～大規模の場合は ASA/FTDのDDoS対策機能で済ませ（※追加投資不要で運用も楽なので）、それよりも大規模なSPや商用サイトクラスになると 専用のDDoS対策装置を入れられてるケースが多いです。

ただ、実際のところ、DDoS攻撃は8割は「SYN Floodや UDP Flood」攻撃ですので、ASA/FTDのデフォルト保持機能で多くのDDoS攻撃を対処可能です。

https://nsfocusglobal.com/ddos-attack-landscape-and-smart-protection/