DDoS対策製品の比較と選び方｜導入形態・料金体系・レイヤー7対応で絞り込む

DDoS対策製品は、機能一覧を横に並べても選べません。防御装置がトラフィック経路のどこに入るか、つまり導入形態によって、必要になるネットワーク変更も、受け止められる攻撃の規模も、攻撃中の課金の跳ね方も変わるからです。Cloudflareは2026年上半期だけでネットワーク層のDDoS攻撃2,320万件を緩和し、そのうち1Tbpsを超える攻撃が935件ありました。第1四半期から第2四半期にかけての1Tbps超攻撃の増加率は519%です。一方、国内ISPが提供する回線型サービスの防御帯域は拡張しても40Gbpsどまりという例があります。この桁の違いが、製品選定の最初の分かれ目になります。

本記事では、DDoS対策製品を導入形態で4分類したうえで、公開されている料金体系を実額で並べ、レイヤー7への対応範囲とWAFとの守備範囲の違いまで一次情報から整理します。DDoS攻撃そのものの仕組みや攻撃の種類についてはDDoS攻撃とは？仕組み・種類とDoS攻撃との違い、企業が取るべき対策を解説で扱っているため、ここでは製品の選定に絞ります。

まとめ

• 選定の起点は製品名ではなく導入形態です。クラウドプロキシ型・スクラビングセンター型・回線型・クラウド事業者付帯型の4つで、必要なネットワーク変更と守れる層が決まります。
• 公開価格で横並びにできるのはハイパースケーラー3社とCloudflareだけです。上位プランは月額3,000ドル前後で、AWSとGoogle Cloudは1年コミット、Azureはコミットなしです。専業ベンダーと国内ISPはいずれも個別見積です。
• 小規模なら定額3,000ドルは過剰です。保護対象の数で課金する下位プランならコミットなしで始められ、Azureの場合はパブリックIPが14個までは保護IP単位のプランのほうが安く、15個で定額プランが逆転します。
• HTTP/HTTPSだけを公開しているなら、Cloudflareの無料プランでもレイヤー3・4・7の防御自体はunmeteredで付きます。有料プランで買っているのは防御の有無ではなく、適応型防御のチューニング範囲と誤検知の扱いです。
• 比較表に載らない選定軸が4つあります。攻撃中の従量課金の負担者、SLAが保証している時間の定義、緊急時窓口に到達するための前提契約、オリジンIP隠蔽の設計可否です。

以下、それぞれの根拠と、専用製品の導入を見送ってよい条件まで順に見ていきます。

DDoS対策製品の4つの導入形態と適用条件

製品カタログの機能欄はどれも似た文言が並びます。実際の差は、防御装置をトラフィック経路のどこに割り込ませるかにあります。

4行目は同じ付帯型でも中身が割れます。AWS ShieldとAzure DDoS Protectionはレイヤー3・4が主で、レイヤー7はそれぞれAWS WAF・Azure WAFの併用が前提です。対してGoogle Cloud Armorは、事前構成のWAFルールとレイヤー7向けの適応型防御を単体で内包します。

クラウドプロキシ型：HTTP/HTTPSに限定される代わりに導入が最も軽い

DNSレコードを対策事業者のホスト名へ向けるだけで経路上に入る形態です。Cloudflareの公式ドキュメントは、レイヤー3・4・7のDDoS防御を「unmetered and unlimited」として全プラン・全サービスの契約者に提供すると明記しています。無料プランでも防御の有無に差がない点は、他形態にない特徴です。

制約はプロトコルです。HTTPリバースプロキシとして動く以上、この形態が守れるのはWebとAPIに限られます。Amazon CloudFrontとは？仕組み・料金プランとエッジ機能・採用判断を実装者目線で解説で扱うCDN経由の構成も、同じ制約を共有します。ただしゲームサーバのUDP通信やVoIPを守りたい場合でも、事業者ごと変える必要はありません。CloudflareはTCP/UDPアプリケーション向けのSpectrum、ネットワーク単位で保護するMagic Transitを別メニューとして持っています。

スクラビングセンター型：BGP運用の可否でメニューが分かれる

自社のIPアドレス範囲を対策事業者側から広告し、全トラフィックを洗浄拠点に迂回させる形態です。プロトコルを問わずレイヤー3・4を守れるため、Web以外を公開している事業者の選択肢になります。

Akamai Prolexicは製品ページで、32か所のanycastグローバルスクラビングセンターと20Tbps超の専用DDoS防御キャパシティ、そしてゼロ秒緩和SLAと100%プラットフォーム可用性SLAを掲げています。事前に設定したプロアクティブな緩和コントロールにより攻撃の98%超を即時に遮断する、というのが同社の説明です。オンプレミス側はCorero製品との連携でカバーする構成になります。

BGP経路広告を使うProlexic Routedは、/24以上の広告可能な自社IPブロックとBGP運用体制が前提です。これを満たせない組織でも選択肢が消えるわけではありません。Akamaiは、IPアドレス空間が分散している顧客やクラウドホスティング利用者向けに、anycast VIPへDNSを向ける方式のProlexic IP Protectを別に用意しています。見積依頼の段階で、自社が Routed と IP Protect のどちらの前提を満たすかを先に切り分けてください。

回線型：運用を任せられる代わりに防御帯域に上限がある

ISPがバックボーン側で異常トラフィックを検知・遮断する形態です。IIJ DDoSプロテクションサービスは、保護対象を契約回線帯域の全アドレスとし、24時間365日の運用・監視を事業者側が担います。自社に専任の監視体制がない組織にとって、この運用移管が最大の価値です。

一方で、公表されているメニューには明確な帯域上限があります。一般企業向けのタイプEは500Mbps（オプション拡張で最大1Gbps）、タイプPは1Gbps（同10Gbps）、タイプXは1Gbps（同40Gbps）です。またタイプDは自動検知通知のみで、自動防御機能を持ちません。冒頭で触れた1Tbps級の攻撃は、この形態の想定外だと理解しておく必要があります。想定する攻撃規模が回線帯域を大きく超えるなら、Tbps級のキャパシティを持つスクラビングセンター型かクラウドプロキシ型を併用してください。

契約条件にも固有の制約があります。IIJの場合、法人向けインターネット接続サービスの契約が前提で、最低利用期間は1年です。「回線型はISPを乗り換えられなくなるのでは」という懸念には、他事業者の接続サービスのトラフィックも監視対象にできるマルチISP対応オプションが用意されています。検知後に経路を切り替える方式のタイムラグが許容できない場合は、通信を常時DDoS対策設備経由にする常時防御オプションを見積に含めてください。

クラウド事業者付帯型：既存環境に閉じる代わりにマルチクラウドを守れない

AWS・Google Cloud・Azureがそれぞれ自社リソース向けに提供する形態です。ネットワーク変更が不要で、対象リソースを指定して有効化するだけで済みます。AWS Shield Standardに至っては設定自体が不要で、全AWS利用者に自動適用されます。

弱点は保護範囲がその事業者の中で閉じることです。AWS Shield Advancedの保護対象はEC2・ELB・CloudFront・Global Accelerator・Route 53に限られ、他社クラウドやオンプレミスの資産は守れません。複数のクラウドにまたがって公開エンドポイントを持つなら、事業者付帯型を積み上げるより、経路の外側に立つプロキシ型かスクラビングセンター型で束ねたほうが管理も課金も単純になります。

主要DDoS対策サービスの料金体系比較【2026年8月時点】

公開価格で横並びにできるのはハイパースケーラー3社とCloudflareだけです。専業ベンダーと国内ISPはいずれも個別見積で、公式サイトに金額の記載がありません。

金額そのものより、課金単位の違いが実務では効きます。3つの型に分けて見ます。なお国内のクラウドWAF型サービスは料金を公開していないベンダーが多く、この公開価格の比較には載せていません。

定額サブスクリプション型：上位プランの相場は月額3,000ドル・1年コミット

AWS Shield Advancedは月額3,000ドルで、支払アカウント単位の課金です。契約には1年のコミットが伴います。これに加えてデータ転送料が別建てで、最初の100TBまでの単価はELBとElastic IP（EC2・Network Load Balancer）が0.050ドル/GB、CloudFrontとGlobal Acceleratorが0.025ドル/GBです。Route 53には追加費用がかかりません。いずれも段階制で、ELBの場合は次の400TBが0.040ドル/GB、500TB超が0.030ドル/GBまで下がります。

Shield-protectedリソースについては月500億リクエストまでAWS WAFの標準料金が含まれます。ただし内包されるのは1,500 WCUと既定のボディサイズまでで、Bot and Fraud ControlやWCU上限の引き上げは対象外です。自動アプリケーション層緩和を有効にすると150 WCUを消費する点も、WCU上限の計算に入れてください。

Google Cloud側は名称が整理されています。かつてのManaged Protection Plusは現在Cloud Armor Enterpriseで、年間契約版のAnnualが月額3,000.00ドル・保護リソース100個まで・1年コミットと、AWSとほぼ同じ設計です。101個目以降は1リソースあたり30.00ドル/月が加算されます。詳細な機能差はCloud Armorとは？Google CloudのWAF/DDoS防御の仕組み・料金・実装判断を実装者向けに解説【2026年版】で整理しています。

保護対象の数で決まる従量型：パブリックIP14個までは定額より安い

定額3,000ドルは、守るエンドポイントが数個の環境には過剰です。Azure DDoS IP ProtectionはパブリックIP1個あたり199ドル/月で、コミットもありません。パブリックIPが5個なら995ドル/月です。Network Protectionは約2,943.55ドル/月なので、14個（2,786ドル）まではIP Protectionが安く、15個（2,985ドル）で逆転します。Azureの公式FAQも15個を目安として案内しています。

Google Cloud側の同等ポジションがCloud Armor Enterprise Paygoで、200.00ドル/月・保護リソース2つまで・コミットなしです。3つ目以降の保護リソースには最初の2か月の無料枠があり、以降はプロジェクト単位で月額200.00ドル相当が加算される料金表になっています。課金がリソース単位ではなくプロジェクト単位で積み上がる点は、複数プロジェクト構成の見積で見落としやすい箇所です。Cloud Armor Standardに留めるなら定額部分は発生せず、セキュリティポリシーが0.006849315ドル/時、ルールが0.001369863ドル/時、リクエストがグローバルスコープで0.75ドル/100万件という純粋な従量課金になります。

プラン内包型と個別見積型：金額比較が成立しない2つの型

Cloudflareは防御に対する従量課金を持ちません。全プランでunmeteredのため、攻撃量が増えても防御費用の請求は増えない設計です。プラン差が出るのはチューニングの範囲で、トラフィック傾向を学習するAdaptive DDoS Protectionは、Free・Pro・Business・Enterpriseの4プランとも「error adaptive rules」のみが有効です。クライアント国やUser Agent、機械学習スコアを使う全ルールが有効になるのは、EnterpriseにAdvanced DDoS Protectionアドオンを追加した契約に限られます。マネージドルールセットのオーバーライドも標準では1個までで、同アドオンで10個へ拡張されます。新規ルールの誤検知を事前に検出する機能はEnterprise以上です。金額として比較すべきなのはプラン料金であり、DDoS防御の価格ではありません。

Akamai ProlexicとIIJ DDoSプロテクションサービスはいずれも公式サイトに金額の記載がなく、要件に応じた個別見積です。相見積もりを取る際は、防御帯域の上限、保護対象アドレス数、監視ポリシー数、緩和時間のSLA、そして最低利用期間を見積依頼書に明示しないと、各社の提示が比較可能な形で揃いません。

レイヤー7 DDoS対策とWAFの守備範囲の違い

「WAFを入れているからDDoSは大丈夫」という誤解は、レイヤーの取り違えから生まれます。ここは製品選定を誤らせる箇所なので、切り分けを明確にします。

L3/L4とL7で防御位置が変わる理由

SYNフラッドやUDPリフレクションのようなレイヤー3・4の攻撃は、パケットが自社の回線に到達した時点で帯域を埋めます。回線帯域を飽和させる規模の攻撃に対しては、自社設備より上流、つまりISPまたは対策事業者のネットワーク側で遮断しなければ間に合いません。オンプレミスに設置した機器の役割は、飽和に至らない規模の攻撃やコネクション枯渇型の攻撃を手元で止めることであり、上流の防御と多段で組み合わせる前提の装置です。IIJが回線型サービスとは別に社内センサー設置型のメニューを持つのも、この二段構えを想定しているためです。

対してHTTPフラッドのようなレイヤー7の攻撃は、リクエスト単体としては正常な形をしています。判別にはリクエストの中身と振る舞いの解析が必要で、ここを担うのがWAFの領域です。WAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説で整理しているとおり、WAFの本来の役割はSQLインジェクションやクロスサイトスクリプティングといったアプリケーション層の攻撃遮断であり、帯域枯渇型の攻撃は守備範囲外です。

WAFで止まらない攻撃と、DDoS対策単体で止まらない攻撃

実際の製品では両者が抱き合わせで提供されます。AWS Shield Advancedの契約にAWS WAFの標準料金が含まれるのも、Azure DDoS Network ProtectionにWAF割引が付くのも、この2層をセットで運用させる設計だからです。単体で契約すると穴が空きます。

攻撃側の主流も動いています。CloudflareのDDoS Threat Report H1 2026では、DNSフラッドがネットワーク層攻撃に占める割合が四半期で25.7%から40.0%へ伸び、CLDAPフラッドは580%増で第3位のベクトルになりました。権威DNSサーバ宛のUDP/53クエリフラッドは、HTTPリクエストを検査するWAFの対象を通りません。権威DNSをどこでホストし、そこにどの事業者の防御が効いているかを、Webサーバとは別に確認してください。

比較表に出ない選定軸4項目

ここからは、製品比較サイトの一覧表にほぼ載らない一方で、契約後に効いてくる観点です。相見積もりの段階で確認しておくと、後から追加費用や運用の詰まりが出にくくなります。

攻撃中に膨らむ従量課金を誰が負担するか

DDoS攻撃を受けると、防御が成功していてもデータ転送量やオートスケールの課金は増えます。AWS Shield Advancedにはこれを想定したDDoSコスト保護があり、保護対象のEC2・ELB・CloudFront・Global Accelerator・Route 53が攻撃でスケールした分の請求について、AWS Supportからクレジットを申請できます。Azure側では、コスト保護はNetwork Protectionにのみ付き、IP Protectionには付きません。Cloudflareは防御自体がunmeteredなので、この論点が構造的に発生しません。見積時に「攻撃を受けた月の請求はどうなるか」を必ず聞いてください。

SLAの「緩和時間」が何を保証しているか

SLAの数値は、測っている対象がベンダーごとに違います。Akamai Prolexicが掲げるゼロ秒緩和SLAは、事前に設定したプロアクティブな緩和コントロールが効いている状態を指すもので、100%プラットフォーム可用性SLAとは別物です。前者は攻撃への反応、後者は基盤の稼働を保証しています。稼働率だけの保証を緩和時間の保証と読み違えると、実際に攻撃を受けたときの期待値がずれます。検知から遮断までの所要時間を契約上の数値で押さえたいなら、製品ページの文言ではなくベンダーの正式なSLAドキュメントを取り寄せて確認してください。

緊急時窓口に到達するための前提契約

見落とされやすい追加要件です。AWS Shield Advancedに含まれるShield Response Team（SRT）への24時間365日アクセスは、BusinessまたはEnterpriseサポートプランの契約者に限られます。Developerサポートのままでは月額3,000ドルを払ってもSRTを呼べません。Azure DDoS Protectionのrapid response supportも同様にNetwork Protection専用で、IP Protectionでは利用できません。緊急時に人を呼べるかどうかは、製品の価格表とは別のページに条件が書かれています。

オリジンIP隠蔽が設計に組み込めるか

クラウドプロキシ型を導入しても、オリジンサーバのグローバルIPが判明していれば、攻撃者はプロキシを迂回して直接叩けます。DNSの過去履歴、証明書の透明性ログ、メールヘッダのReceived行は、いずれもオリジンIPの露出経路です。導入時にオリジン側のファイアウォールを対策事業者のIPレンジからの通信だけに絞れるか、絞った場合に既存のバッチ連携や監視系が壊れないかを、設計段階で確認してください。ここを詰めないと、契約した防御が迂回されます。

専用製品の導入を見送ってよい条件

すべての組織がDDoS専用製品を買う必要はありません。次の3条件をすべて満たすなら、専用製品の追加購入より優先すべき対策があります。

第一に、公開しているエンドポイントがHTTP/HTTPSだけであること。第二に、そのエンドポイントが既にCDNまたはリバースプロキシの背後にあり、事業者側でレイヤー3・4の増幅攻撃を吸収できていること。第三に、オリジンサーバのグローバルIPが外部から到達不能な設計になっていること。この状態であれば、追加で月額3,000ドルの定額契約を結んでも、防御能力の増分は限定的です。

優先すべきなのは、まだ露出しているオリジンIPを塞ぐ作業と、権威DNSの防御状況の確認です。どちらも追加の製品購入なしに着手できます。逆に、次のいずれかに当てはまるなら定額契約の価値があります。TCP/UDPの独自プロトコルを公開している場合、オンプレミスのグローバルIPで直接トラフィックを受けている場合、そして緩和時間をSLAとして契約上求められている場合です。特に3番目は、金額ではなく契約要件として発生するため、技術的な要否とは別に判断してください。

よくある質問

DDoS対策ツールを比較するとき、最初に見るべき項目は何ですか？

導入形態です。守りたいサービスがHTTP/HTTPSだけならクラウドプロキシ型、独自プロトコルを含むならスクラビングセンター型か回線型、というように形態が先に決まり、そのうえで初めて製品名の比較が意味を持ちます。機能一覧から入ると、DNS切り替えが必要かBGP広告が必要かという導入コストの差が見えないまま候補が並びます。

DDoS対策製品とWAFは、どちらを先に導入すべきですか？

公開しているのがWebサイトやAPIだけなら、実務上はWAFを含むクラウドプロキシ型を先に置くのが順当です。この形態はレイヤー3・4の防御を事業者側で吸収しつつ、レイヤー7の検査も同じ経路で行えるため、1つの導入で両方を満たせます。DDoS専用製品を単独で先に入れるべきなのは、Web以外のプロトコルを公開している場合か、回線帯域そのものを守る必要がある場合です。両者の役割分担はWAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説で詳しく整理しています。

AWS Shield StandardとAdvancedの違いは何ですか？

Standardは全AWS利用者に自動適用される無料の防御で、設定は不要です。守る範囲はレイヤー3・4の一般的なDDoSイベントに限られます。Advancedは月額3,000ドル・1年コミットの有料契約で、DDoSコスト保護、Route 53ヘルスチェックを使ったヘルスベース検知、Shield Response Teamへのアクセスが加わります。保護対象はEC2・ELB・CloudFront・Global Accelerator・Route 53です。プラン選択の詳しい判断材料はAWS Shieldとは？StandardとAdvancedの違い・料金と採用判断を実装者目線で解説にまとめています。

レイヤー7のDDoS攻撃は無料プランでも防げますか？

防げます。Cloudflareの場合、レイヤー3・4・7のDDoS防御自体は無料プランを含む全プランにunmeteredで付くためです。差が出るのは適応型防御のチューニング範囲で、Adaptive DDoS ProtectionはEnterpriseを含む標準プランでは「error adaptive rules」のみが有効です。プロファイリング信号もFreeとProはエラー率だけで、過去の傾向が加わるのはBusiness以上です。

DDoS対策の費用は、月額料金以外に何がかかりますか？

従量課金と前提契約の2つです。従量課金はAWSがデータ転送料、Google CloudとAzureがデータ処理料として別建てで請求します（単価は本文の料金比較表を参照）。Cloudflareにはこの種の課金がありません。見積から漏れやすいのはむしろ前提契約のほうで、AWSのShield Response Teamを呼ぶにはBusiness以上のサポートプラン、IIJの回線型サービスには法人向け接続サービスの契約と1年の最低利用期間が必要です。

関連記事

• DDoS攻撃とは？仕組み・種類とDoS攻撃との違い、企業が取るべき対策を解説
• AWS Shieldとは？StandardとAdvancedの違い・料金と採用判断を実装者目線で解説
• WAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説
• Cloud Armorとは？Google CloudのWAF/DDoS防御の仕組み・料金・実装判断を実装者向けに解説【2026年版】
• Amazon CloudFrontとは？仕組み・料金プランとエッジ機能・採用判断を実装者目線で解説