ここから第2章「Webセキュリティ」に入ります。第1章では、CloudflareがDNS・CDN・プロキシとしてWebサイトの「通り道」に立つ仕組みを学びました。第2章では、その通り道でCloudflareが果たすもう1つの大きな役割、すなわち「サイトを守る」機能を順番に見ていきます。
最初のテーマはDDoS攻撃です。ニュースで「〇〇のサイトがDDoS攻撃で停止」といった見出しを目にしたことがある方も多いでしょう。DDoS攻撃はWebサイトに対する攻撃の中でもっとも古典的でありながら、現在も規模を拡大し続けている脅威です。このページでは、DDoS攻撃がどういう仕組みで成立するのか、そしてCloudflareがなぜ「無料・無制限」でそれを防げるのかを解説します。
このページで分かること
- DoS攻撃とDDoS攻撃の違い
- ボットネットとは何か、攻撃がどうやって実行されるのか
- DDoS攻撃の主な種類（L3/L4攻撃とL7攻撃）
- CloudflareのDDoS Protectionが攻撃を防ぐ仕組み（Anycastによる分散）
- 全プラン無制限で提供される理由と、初心者が注意するポイント
DDoS攻撃とは
DoSとDDoSの違い
まず言葉の整理から始めます。DoS攻撃（Denial of Service attack：サービス拒否攻撃）とは、サーバーに処理しきれない量のアクセスやデータを送りつけて、サービスを提供できない状態に追い込む攻撃です。お店にたとえるなら、1人の人が電話を何百回もかけ続けて、本当のお客さんからの電話がつながらなくする嫌がらせです。
DDoS攻撃（Distributed Denial of Service attack：分散型サービス拒否攻撃）は、その攻撃元を多数に分散させたものです。1人ではなく、世界中の何万台ものコンピューターから一斉に電話をかけさせるイメージです。攻撃元が1か所であれば、その相手だけ着信拒否すれば済みますが、何万か所から同時に来ると、正規の利用者と攻撃者の区別が難しくなり、防御は格段に難しくなります。現在の攻撃はほぼすべてこの分散型です。
ボットネット：乗っ取られた機器の軍団
攻撃者は何万台ものコンピューターをどうやって用意するのでしょうか。答えは「他人の機器を乗っ取って使う」です。マルウェア（悪意あるソフトウェア）に感染したパソコン、初期パスワードのまま放置された防犯カメラやルーターといったIoT機器が、持ち主の知らないうちに攻撃者の指令で一斉に動く軍団に組み込まれます。この乗っ取られた機器のネットワークをボットネットと呼びます。
ボットネットの構成機器は世界中の家庭や企業に散らばった「普通の機器」なので、送信元を見ただけでは攻撃と判別しにくく、台数の力で膨大な通信量を生み出せます。近年の大規模攻撃の多くは、セキュリティの甘いIoT機器で構成されたボットネットによるものです。
攻撃の規模は年々拡大している
DDoS攻撃の規模は毎秒何ビットのデータを送りつけたか（bps）などで表されます。Cloudflareの観測では、2025年には毎秒31.4テラビット（Tbps）というそれまでの記録を大きく更新する攻撃が発生しました。これは一般的な家庭の光回線（1Gbps）の3万倍以上の通信量が、1つの標的に集中する規模です。攻撃ツールが安価に貸し出される「DDoS代行サービス」の存在もあり、大企業だけでなく個人サイトや中小企業のサイトも標的になり得るのが現状です。
DDoS攻撃の主な種類
DDoS攻撃は、ネットワークのどの階層を狙うかで大きく2つに分けられます。ここでは厳密なOSI参照モデルの説明には立ち入らず、「配管を詰まらせる攻撃」と「窓口を疲れさせる攻撃」という比喩で押さえておきましょう。
L3/L4攻撃：回線と機器を詰まらせる
L3/L4攻撃（ネットワーク層・トランスポート層への攻撃）は、大量のデータや接続要求を送りつけて、回線の帯域やサーバー・ネットワーク機器の処理能力そのものを飽和させる攻撃です。代表例に、UDPというプロトコルで大量のパケットを送りつけるUDPフラッド、TCP接続の開始要求だけを大量に送って接続待ちの席を埋め尽くすSYNフラッドがあります。中身の意味は問わず、量で押し切るタイプです。
L7攻撃：Webサーバーの処理を疲れさせる
L7攻撃（アプリケーション層への攻撃）は、一見正常なHTTPリクエストを大量に送りつける攻撃で、HTTPフラッドとも呼ばれます。たとえば検索ページやログインページのような「サーバーが処理に手間のかかるURL」を狙って毎秒数百万回のリクエストを送れば、回線には余裕があってもWebサーバーやデータベースが先に力尽きます。1つ1つのリクエストが正規の閲覧と同じ形をしているため、単純な通信量の監視では見分けにくいのが厄介な点です。
CloudflareのDDoS Protection
なぜ防げるのか：Anycastによる「受け止めて薄める」防御
第1章のプロキシのページで学んだとおり、オレンジ雲を有効にしたサイトへの通信は、すべてCloudflareのネットワークを経由します。攻撃の通信も例外ではありません。つまり攻撃は、あなたのサーバーではなく、まずCloudflareにぶつかります。
ここで効いてくるのが、CDNのページで登場したAnycastという技術です。Cloudflareは世界300都市以上のデータセンターを同じIPアドレスで運用しており、通信は送信元から見てもっとも近いデータセンターに届きます。世界中に分散したボットネットからの攻撃は、発信地ごとに最寄りのデータセンターへ自動的に振り分けられ、1か所に集中しません。毎秒数テラビットの攻撃も、世界中のデータセンターで手分けすれば、それぞれにとっては処理可能な量に薄まるのです。
各データセンターでは、自動検知システムが通信のパターンを常時分析し、攻撃と判定した通信をその場で遮断します（ミティゲーション＝緩和と呼びます）。正規の訪問者のリクエストだけがオリジンサーバーに転送されるため、攻撃の最中でもサイトは動き続けられます。人間の管理者が気づく前に、検知から遮断までが数秒単位で自動実行されるのが特徴です。
L7攻撃への対応
一見正常なリクエストで押し寄せるL7攻撃に対しては、リクエストの頻度・パターン・送信元の振る舞いなどから疑わしい通信を識別し、必要に応じて「あなたはブラウザーを操作する人間ですか」を確かめるチャレンジ（確認画面）を挟みます。ボットはこの確認を通過できないため、正規の訪問者への影響を抑えながら攻撃だけを排除できます。この仕組みは、後のページで学ぶWAFやボット対策とも連携しています。
全プラン無制限・追加料金なし
CloudflareのDDoS Protectionの最大の特徴は、Freeプランを含む全プランで、攻撃の規模・回数・時間によらず無制限（unmetered）で提供されることです。料金プランのページで触れたとおり、他社では攻撃時の転送量に応じた課金や上位プラン限定になりがちな部分が、Cloudflareでは無料の範囲に含まれています。
これは慈善事業というより、Cloudflareのネットワーク構造の帰結です。攻撃を防ぐ仕組みがネットワーク全体に最初から組み込まれているため、「守る顧客が増えても追加コストがほとんどかからない」構造になっているのです。逆に攻撃データが世界中から集まることで検知精度が上がり、全顧客の防御が強くなるという好循環もあります。
初心者が注意するポイント
- オレンジ雲が前提：DDoS Protectionが働くのは、プロキシ（オレンジ雲）を有効にしたトラフィックだけです。グレー雲（DNS only）のレコードは保護されません
- オリジンIPの露出に注意：Cloudflare導入前のDNS情報などから本当のサーバーIPが知られていると、Cloudflareを迂回してサーバーを直接攻撃される可能性があります。導入後にサーバーのIPアドレスを変更し、Cloudflare経由以外の通信を遮断しておくのが理想です
- 「Under Attack Mode」を知っておく：攻撃を受けている最中の緊急手段として、全訪問者に確認画面を挟むUnder Attack Mode（Security Levelの設定）があります。普段はオフでよく、いざというときのスイッチとして覚えておきましょう
- メール・SSHなどは対象外：保護されるのはCloudflareを経由するWebトラフィック（HTTP/HTTPS）が基本です。メールサーバーなどHTTP以外のサービスの保護は、第4章で扱うSpectrumやMagic Transitの領域です
- サーバー側の対策が不要になるわけではない：DDoSは防げても、ソフトウェアの脆弱性を突く攻撃は別問題です。サーバーやCMSの更新は引き続き必要です（次ページのWAFで詳しく扱います）
関連サービス
- WAF：脆弱性を突く攻撃からアプリケーションを守る機能。DDoS対策と並ぶWebセキュリティの柱です（次ページ）
- Rate Limiting：特定のIPからの過剰なアクセスを制限する機能。小規模なL7攻撃や不正ログイン対策に使います（このあとのページ）
- Spectrum / Magic Transit：Web以外のサービスやネットワーク全体をDDoSから守る上位サービス（第4章）
まとめ
- DDoS攻撃は、多数の攻撃元から一斉にアクセスを送りつけてサービスを停止させる攻撃で、乗っ取られた機器の軍団「ボットネット」が実行役を担う
- 回線や機器を量で飽和させるL3/L4攻撃と、正常な形のリクエストでWebサーバーを疲れさせるL7攻撃がある
- Cloudflareは、Anycastで攻撃を世界中のデータセンターに分散させて「受け止めて薄め」、自動検知で攻撃だけを遮断する
- DDoS Protectionは全プランで無制限・追加料金なし。ただしオレンジ雲有効のトラフィックが対象
- オリジンIPの露出には注意。Cloudflareを迂回した直接攻撃は防げない
次に読む
※本記事の情報は 2026年8月時点のものです。