DDoS攻撃とDoS攻撃：主な違いを解説

要点

• DoSは単一のシステムから別のシステムへの攻撃です。攻撃元は1つです。DDoSには複数のシステムが関与し、複数の攻撃元から実行されます。
• DoSでは、攻撃者が標的に大量のトラフィックを送り込み、脆弱性を悪用してサービスを妨害します。DDoSでは、攻撃をより大規模に分散し、複数の地域から実行します。
• DDoS攻撃はDoS攻撃よりはるかに強力で、複雑です。DDoS攻撃はすべてDoS攻撃の一種ですが、DoS攻撃がすべてDDoS攻撃とは限りません。DDoS攻撃者はボットネットを使い、DoS攻撃の威力を増幅します。
• 単純なDoS攻撃でもDNSサーバーを停止させることがあります。一方、DDoSは大量のトラフィックで攻撃するため、暗号化や入力検証だけでは防げません。

Ubuntuでは最近、DDoS攻撃による障害が発生しました。公開インフラは完全に停止しました。Blueskyもサーバー障害の原因としてDDoS攻撃を挙げています。影響を受けるのは大企業だけではありません。世界中のスタートアップや中小企業も、事業継続の確保に苦慮しています。評判が傷つき、サービスが停止すれば、顧客の信頼を失い、顧客は離れていきます。こうした脅威への対処には、正しい方法と誤った方法があります。DDoS攻撃にはDoS攻撃と共通する点も多く、この分野に不慣れな人は両者の手法を混同しがちです。

DoS攻撃とDDoS攻撃の違いが分からない方に向けたガイドです。法的な複雑さを含め、知っておくべきことを解説します。

DoS攻撃とは？

サービス拒否（DoS）攻撃は、マシン、ネットワーク、ウェブサイトをユーザーが利用できない状態にするサイバー攻撃です。大量のトラフィックやリクエストで負荷をかけ、サイトやシステムの動作遅延、停止、応答不能を引き起こします。

知っておくべき主なDoS攻撃の種類を紹介します。

DoS攻撃の種類

DoS攻撃の発信元は常に単一のシステムです。その攻撃元が悪意あるトラフィックで標的を飽和させるか、プロトコルの弱点を悪用し、サービスを応答不能にします。攻撃者は複数の手法を使います。特によく見られるのは次の4つです。

Teardrop攻撃

Teardrop攻撃では、IPパケットを断片化し、重複部分のある不正なフラグメントを送信します。標的はこれを再構成できません。古いオペレーティングシステムは、こうしたパケットを受け取るとクラッシュまたは再起動します。最新のシステムは通常拒否しますが、ネットワーク内の保護されていない旧式のサーバーは依然として標的になります。

フラッディング攻撃

フラッディング攻撃は、サーバー、ネットワーク回線、アプリケーションに大量のトラフィックを送り込みます。攻撃者はICMPエコー要求（pingフラッド）、UDPパケット、HTTPリクエストなどを使います。トラフィックが利用可能な帯域幅やサーバーリソースを使い尽くします。設定が不十分なウェブサーバーなら、1台のマシンからHTTP GETリクエストを送り続けるだけで、数分以内に処理能力を使い果たすことがあります。

IPフラグメンテーション攻撃

この攻撃は、ネットワーク機器が断片化されたIPパケットを再構成する仕組みを悪用します。攻撃者はオフセットが重複するフラグメントや、不完全な連続フラグメントを送信します。再構成のためにフラグメントをバッファリングするルーターやファイアウォールはメモリを使い果たし、正規のトラフィックを遮断します。検査エンジンにはデータの一部しか見えないため、フラグメンテーション攻撃はパケット検査をすり抜けることがあります。

SYNフラッド

SYNフラッドはTCPの3ウェイハンドシェイクを悪用します。攻撃者は、送信元IPアドレスを偽装したSYNパケットを大量に送りつけます。標的はハーフオープン接続ごとにリソースを確保し、届かないACKを待ち続けます。接続テーブルが埋まると、サーバーはすべての新規リクエストを拒否します。SYNフラッドは、単一の送信元によるDoS攻撃で最も一般的な手法の一つです。攻撃者はPing of Deathやアプリケーション層DoSも使います。アプリケーション層DoSでは、Webアプリケーションのリソースを大量に消費する機能を悪用し、単一のエンドポイントから可用性を失わせます。

DDoS攻撃とは？

分散型サービス拒否（DDoS）攻撃は、DoS攻撃と同じ目的を、侵害された数百から数千のシステムを使って達成します。攻撃者はデバイスをマルウェアに感染させ、トラフィックの送信元として使うボットネットを構築します。また、設定に不備のあるDNS、NTP、Memcachedサーバーを経由させてリクエストを増幅します。リフレクターとアンプを使えば、小さなリクエストからはるかに大きな応答を生み出し、被害者に向けられます。

複数の攻撃元から届くトラフィックは、検知と緩和を難しくします。トラフィックの送信元が単一のIPなら、遮断できます。しかし、世界中の住宅用IPアドレス5万件と偽装アドレスから届く場合、シグネチャベースのフィルターや単純なレート制限では対応できません。

DDoS攻撃の種類

DDoS攻撃はインフラのさまざまな階層を標的にし、大規模に展開されます。知っておくべきDDoS攻撃の種類を紹介します。

アプリケーション層DDoS攻撃

アプリケーション層攻撃はレイヤー7を標的にします。攻撃者は低速のHTTP POSTリクエスト、リソースを大量に消費するAPI呼び出し、正規のユーザー行動に見せかけたHTTPフラッドを送信します。リクエストが正常に見えるため、単純なトラフィック量のしきい値では見逃されます。ログイン試行を処理するサーバーも、攻撃を受けているのではなく、単に高負荷に見えることがあります。

大容量攻撃

大容量攻撃は、利用可能な帯域幅をすべて使い尽くすことを狙います。攻撃者はボットネットを使い、大量のUDPトラフィック、ICMPフラッド、増幅されたDNS応答をネットワークの境界に送り込みます。回線が飽和すると、正規のパケットもデータセンターに届く前に破棄されます。こうした攻撃のトラフィック量は、毎秒ギガビットまたはテラビット単位で測定されます。

プロトコル攻撃

プロトコル攻撃はレイヤー3と4の弱点を悪用します。SYNフラッド、Smurf攻撃、ping of deathが該当します。攻撃者はサーバーの接続テーブルを使い尽くすか、ステートフルファイアウォールやロードバランサーに過剰な負荷をかけます。ネットワークインフラを標的とするため、上流または専用のトラフィック浄化装置でフィルタリングする必要があります。

DDoS攻撃とDoS攻撃：実際の事例

実際のインシデントを見ると、DoS攻撃とDDoS攻撃の違いが分かります。最近発生した両者の事例を紹介します。

DoS攻撃とDDoS攻撃の主な違い
• 2026年第1四半期には、Operation Sindoorや中東での紛争が発生しました。地政学的な緊張を背景に、国家と連携したDDoS攻撃が相次ぎました。わずか72時間で、16カ国の110社がハクティビストによる149件超のDDoS攻撃を受けました。攻撃者は広範囲を狙うカーペットボミング戦略で金融機関を標的にしました。ある中東の金融機関には、6日間で1兆2,500億件を超えるリクエストが届きました。すべて正規のトラフィックに見えたため、従来のフィルターをすり抜けました。
• 現在、低強度のDoS攻撃は15分ごとに発生しています。昨年、偵察目的の探索活動を伴う脅威により、DoS攻撃は4倍に増加しました。攻撃者は単一のVPNインスタンスからSYNフラッド攻撃を仕掛け、特定の認証・ログイン用エンドポイントを標的にしました。サーバーのリソースを枯渇させ、認証エラーを引き起こし、正規ユーザーのTLSハンドシェイクをタイムアウトさせました。AIを使ってDDoS攻撃やDoS攻撃を仕掛けると、事態はさらに複雑になります。こうしたDDoS攻撃とDoS攻撃の実例は、組織が近い将来直面する事態(これらの攻撃への防御と被害軽減に備えない場合)の氷山の一角にすぎません。

DoS攻撃とDDoS攻撃の主な違い

DoS攻撃とDDoS攻撃のパターンや手法を比較すると、4つの要素が際立ちます。主な違いは次のとおりです。

攻撃元の分布とトラフィック量

DoS攻撃に使われるデバイスやIPは1つだけです。一方、DDoS攻撃ではボット、アンプ、リフレクターを使い、地理的に分散したトラフィックを生成します。DoS攻撃のトラフィック量は毎秒ギガビットに達することがありますが、DDoS攻撃では毎秒数テラビットに及ぶ場合があります。

速度と影響

DoS攻撃の影響は、サービスの性能が低下する速さや、サービスを即座に停止させる脆弱性を悪用するかどうかによって異なります。一方、DDoS攻撃は大量のリクエストを一気に送り込み、わずか数分でサービスを停止させることがあります。ISPのネットワークにも波及し、ほかの顧客に影響を与えることもあります。

追跡可能性と法的対応

DoS攻撃に関与するIPは1つです。偽装されることもありますが、法執行機関による追跡は可能です。DDoS攻撃では、指令・制御サーバーの特定が困難です。IPを特定し、その背後にいる人物まで追跡するには、複数の法域にまたがる捜査と、多数のデバイスのフォレンジック分析が必要です。そのため、DoS攻撃より時間がかかり、手続きも複雑です。

緩和ツールと必要な対策

DoS攻撃の防止には、攻撃者のIPをブロックするか、その通信を破棄し、アプリケーションの不具合を修正します。DDoS攻撃の防止には、トラフィック浄化センターの設置、クラウドベースのトラフィックフィルタリングツールやWAFの利用、ISPとの連携が必要です。トラフィックを浄化ネットワークに迂回させ、正常なトラフィックだけを転送することも含まれます。

DoSとDDoS：主な違い

DoS攻撃とDDoS攻撃の違いは、次の比較表で確認できます。主な比較項目を一覧にまとめました。

DoS攻撃とDDoS攻撃の影響

サービスが停止すれば、必ず収益が失われます。ECサイトが1時間停止すると、数十万ドルの売上を失うだけでなく、SLA違反によるクレジットの提供義務が生じる可能性があります。企業のリアルタイムデジタルサービスへの依存が高まるにつれ、今年からこうした損失額はさらに増えるでしょう。サービス停止は社会的な評価にも影響し、顧客データに間接的な被害が及べば法的問題にもつながります。

DoS攻撃やDDoS攻撃は、金銭的な損失に加えて、ほかのすべてのサービスにも影響します。大量のトラフィックを伴うDDoS攻撃は、主要なインターネット回線を停止させるだけでなく、VPNやクラウドAPIサービスを介したサイトへの接続も遮断し、利用不能にします。従業員は社内アプリケーションにアクセスできず、自動監視システムも機能しなくなります。DDoS攻撃は、実際の侵入を隠す煙幕として機能します。

DDoS攻撃は注意をそらし、ネットワークの復旧を難しくします。攻撃者は混乱に乗じてさらに深く侵入し、より重大なデータ侵害を引き起こします。マルウェアをインストールし、複数の地域で障害を引き起こすこともあります。こうした被害は、顧客の信頼を長期的に損ないます。企業のシステムや重要インフラに加え、政府ポータルや銀行のサービス・アプリも影響を受けます。

2026年のDoS攻撃・DDoS攻撃を防止・検知するためのベストプラクティス

DoS攻撃とDDoS攻撃への効果的な対策は、ネットワーク設計と継続的な監視から始まります。単一の攻撃元からの悪用と、分散した攻撃元からの大量トラフィックの両方を捉える制御が必要です。今年、DoS攻撃とDDoS攻撃の両方を防止・検知するために実践すべきベストプラクティスを紹介します。

進行中のDoS攻撃とDDoS攻撃への対応方法
• エニーキャストでトラフィックを複数の地域に分散し、単一のオリジンサーバーへの集中を防ぎます。
• ネットワーク境界に到達する前にトラフィックを処理・フィルタリングするクラウドスクラビングサービスを導入します。
• 重要なアプリの前段にWebアプリケーションファイアウォール（WAF）を配置し、悪意あるレイヤー7のリクエストをフィルタリングします。
• オリジンサーバーに負荷がかかった際に、急増するトラフィックを吸収してキャッシュ済みコンテンツを配信できるよう、CDNを設定します。
• 通常のトラフィックパターンを基準として設定し、リクエストの急増、通常と異なる地域分布、プロトコルの不一致を検知します。
• 冗長化したエニーキャスト対応リゾルバーでDNSインフラを強化し、応答レート制限を有効にします。
• DoS攻撃と複数の手法を組み合わせたDDoS攻撃の両方を想定し、定期的に負荷テストとレッドチーム演習を実施します。
• スクラビングサービスへの切り替え時期とISPとの連絡方法を定めた対応手順書を作成します。
• 攻撃者はDDoS攻撃の混乱に乗じることが多いため、攻撃中はエンドポイントとワークロードのテレメトリを監視し、便乗した侵入の兆候を探します。

進行中のDoS攻撃・DDoS攻撃への対応方法

進行中のDoS攻撃やDDoS攻撃への対応に迷ったら、次の手順を実行してください。

SentinelOneはDoSおよびDDoSへのレジリエンスをどのように向上させるのか？
• ISPまたはクラウドプロバイダーに連絡してトラフィックのサンプルを共有し、上流でのフィルタリングを開始してもらいます。
• スクラビングセンターまたはDDoS緩和サービスを導入済みの場合は、受信トラフィックをそちらへ迂回させます。
• 単一の送信元からのDoS攻撃には、ネットワークの境界で攻撃元IPのトラフィックを破棄するか、ブラックホールに転送します。
• ログ、フローデータ、パケットキャプチャを保存します。インシデント後のフォレンジックや法執行機関への通報に役立ちます。
• SOC、ネットワーク担当者、アプリケーションの責任者、広報担当者など、社内の関係者に通知します。状況報告の準備や次の対応方針の決定につなげます。
• 顧客向けサービスに影響が出ている場合は、復旧見込み時刻を含む簡潔で事実に基づいた情報をステータスページに掲載します。
• 攻撃手法の変化を監視しながら、WAFルールやACLで明らかな攻撃パターンをブロックします。
• 攻撃後は一連の証拠を収集し、法執行機関や国のCERTに報告するか判断します。
• 48時間以内にインシデント後のレビューを実施します。確認した内容に基づき、対応手順書を更新し、レート制限を厳格化して、アラートのしきい値を調整します。

SentinelOneはDoS・DDoS攻撃への耐性をどう高めるのか？Singularity™ Endpointには、ネットワークトラフィックを自律的にフィルタリングし、ポートスキャンなどのDoS攻撃パターンをプロアクティブにブロックする組み込みファイアウォールと侵入防止システム（IPS）が含まれています。

SentinelOneのSingularity Platformは、Autonomous Security Intelligence（ASI）を基盤としています。ASIはプラットフォームの中核に組み込まれたインテリジェンス基盤です。悪意のある振る舞いを特定し、重要な作業を自動化して、マシン速度で脅威に対応します。エンドポイント、クラウド、アイデンティティ、AIの各領域で、セキュリティチームがDoS・DDoSの脅威を深刻化する前に検知・阻止するためのツールを提供します。 は、AIと機械学習を使用して異常な挙動パターンをマシンスピードで検知します。エンドポイントからのテレメトリ、アイデンティティデータ、クラウド可視性を相関分析し、どのデバイスがいつボットネットのリレーノードのように振る舞っているかを特定します。 にはファイアウォールと侵入防止システム（IPS）が組み込まれています。ネットワークトラフィックを自律的にフィルタリングし、ポートスキャンなどのDoS攻撃パターンを先回りしてブロックします。

攻撃者がAIツールを使用してDDoSまたはDoS攻撃を仕掛けている場合、 はAIと機械学習を使い、異常な振る舞いのパターンをマシン速度で検知します。エンドポイントのテレメトリ、アイデンティティデータ、クラウドの可視化情報を関連付け、どのデバイスがいつボットネットの中継ノードのように振る舞っているかを特定します。はそれらを排除し、不正なエージェント型AIアクションの実行を防止できます。

攻撃者がAIツールを使ってDDoS攻撃やDoS攻撃を仕掛けている場合、 は、ネットワークトラフィックを監視し、分散攻撃に加担する未承認または不正なデバイスを特定できます。SentinelOneはまた、Impervaのようなサードパーティパートナーとも統合し、大規模なボリューム型攻撃に対する専用のDDoSスクラビングとAPI保護を提供します。 がそれを検出し、許可されていないエージェンティックAIのアクションを阻止します。

より詳細な調査のために、 はネットワークトラフィックを監視し、分散型攻撃に加わる未承認のデバイスや不正なデバイスを特定します。SentinelOneはImpervaなどのサードパーティパートナーとも連携し、大規模なボリューム型攻撃に対応する専用のDDoSトラフィック除去とAPI保護を提供します。では、アナリストがセキュリティスタック全体に対して自然言語クエリを実行でき、複雑なクエリ言語を知らなくても攻撃パターン、挙動シグナル、対応ワークフローを明らかにできます。IDCの調査によると、Purple AIは組織によるセキュリティ脅威の特定を63%高速化し、修復時間を最大55%短縮し、3年間で最大338%のROIを実現します（IDC, July ‘25）。また、組み込みの脅威ハンティング機能により、エンタープライズセキュリティスタック全体にわたる最も広範な可視性をチームに提供します。

より詳しく調査するには、 Purple AI アナリストが複雑なクエリ言語を知らなくても、セキュリティスタック全体に自然言語で問い合わせ、攻撃パターン、振る舞いの兆候、対応ワークフローを把握できるようにします。IDCの調査によると、Purple AIは組織のセキュリティ脅威の特定を63%迅速化し、修復時間を最大55%短縮し、3年間で最大338%のROIをもたらします（IDC、2025年7月）。また、組み込みの脅威ハンティング機能により、企業のセキュリティスタック全体を最も広く可視化します。

結論

まとめ

DoS攻撃は単一のシステムから発生する一方でDDoS攻撃は数千台の侵害されたデバイスを利用し, はるかに強力で追跡も困難です. こうした攻撃を阻止するには攻撃そのものより速く機能する防御が必要です — ツール間に隙間を残さずネットワーク, エンドポイント, クラウド, アイデンティティを横断する自律型の保護です. SentinelOneはAI-nativeの検知, マシン速度での対応, 統合された可視性をひとつのプラットフォームに集約し, 攻撃が長期にわたる被害をもたらす前にチームが対応できる体制を築きます. ライブデモを予約してSentinelOneがDoSとDDoSの脅威からどのように保護するかご覧ください.