--- title: "DDoS対策製品の比較と選び方｜5つの導入形態・公開料金・国内サービスの位置づけ" url: "https://www.issoh.co.jp/column/details/2705/" published: 2024-06-21 updated: 2026-11-01 categories: ["セキュリティ"] publisher: "株式会社一創" --- # DDoS対策製品の比較と選び方｜5つの導入形態・公開料金・国内サービスの位置づけ DDoS対策製品は、機能一覧を横に並べても選べません。防御装置をトラフィック経路のどこに入れるか、つまり導入形態によって、必要なネットワーク変更も、受け止められる攻撃の規模も、攻撃を受けた月の請求も変わるからです。 規模の目安として、Cloudflareが2026年10月29日に公開した[DDoS Threat Report 2026 Q3](https://blog.cloudflare.com/ddos-threat-report-2026-q3/)を見ると、同社が7〜9月に緩和したネットワーク層の攻撃は1,820万件でした。そのうち96%は10分以内に終わり、98%は1Gbps未満です。一方で1Tbpsを超える攻撃も四半期で251件ありました。1Gbps未満の攻撃でも100Mbpsの企業回線なら単独で埋まり、1Gbps回線でも平常時の通信と重なれば余裕は残りません。大半を占める小さな攻撃を回線の手前で止めるのか、Tbps級まで想定するのか。この見積もりが製品選びの起点です。 以下、導入形態の5分類、公開料金、国内サービスの位置づけの順に一次情報で整理します。DDoS攻撃そのものの仕組みや種類は[DDoS攻撃とは？仕組み・種類とDoS攻撃との違い、企業が取るべき対策を解説](/column/details/13260/)で扱っています。 ## まとめ - 選定の起点は製品名ではなく**導入形態**です。クラウドプロキシ型・スクラビングセンター型・回線型・クラウド事業者付帯型・オンプレミス機器型の5つで、必要な設定変更と守れる層が決まります。 - 国内の比較サイトで上位に並ぶ攻撃遮断くん・PrimeWAF・BLUE Sphereなどは、DNSを切り替えて使う**クラウドプロキシ型**です。Web以外のプロトコルを守る製品ではありません。 - 公開価格はハイパースケーラー3社とCloudflare、一部の国内サービスに限られます。海外の上位プランは**月額3,000ドル前後**、国内のクラウドWAF型は月額1万円台から、回線型のOCNは1Gbpsで月額70万円（税抜）です。 - HTTP/HTTPSだけを公開しているなら、Cloudflareの無料プランでもレイヤー3〜7の防御は**unmetered**で付きます。GoogleのProject Shieldも無料ですが、報道・人権・選挙などを主目的とするサイトに限られ、一般の商用サイトは対象外です。 - 比較表に載らない選定軸は4つです。攻撃中の従量課金の負担者、SLAが保証している時間の定義、緊急時窓口の前提契約、オリジンIP隠蔽の設計可否を見積段階で確かめます。 ## DDoS対策製品の5つの導入形態と適用条件 | 導入形態 | 経路への入れ方 | 主に守る層 | 代表サービス | | ----------- | --------------- | --------------- | ------------------------------------- | | クラウドプロキシ型 | DNSレコードを付け替え | L3/L4/L7（HTTP） | Cloudflare、攻撃遮断くん、PrimeWAF | | スクラビングセンター型 | BGP経路広告・GREトンネル | L3/L4（全プロトコル） | Akamai Prolexic、Imperva、Magic Transit | | 回線型（ISP提供） | 契約回線側で検知・遮断 | L3/L4 | IIJ、OCN DDoS対策サービス | | クラウド事業者付帯型 | 対象リソースで有効化 | L3/L4（製品によりL7も） | AWS Shield、Cloud Armor、Azure DDoS | | オンプレミス機器型 | 自社回線の内側に設置 | L3/L4（回線帯域内） | Radware DefensePro、A10 Thunder TPS | ### クラウドプロキシ型：HTTP/HTTPSの保護範囲とDNS設定 DNSの設定で通信を対策事業者経由に切り替える形態です。設定方法はサービスごとに違い、対策事業者のホスト名へCNAMEを向けるものもあれば、CloudflareのようにDNSを預けたうえでWeb向けのA・AAAA・CNAMEレコードを「Proxied」にするものもあります。Cloudflareでレコードが「DNS-only」のままだと、HTTP/HTTPSの通信は同社のネットワークを通らず、DDoS防御も効きません。Cloudflareの[DDoS Protectionドキュメント](https://developers.cloudflare.com/ddos-protection/)は、レイヤー3〜7の「unmetered DDoS protection」をFreeからEnterpriseまで全プランで提供すると明記しています。 制約はプロトコルです。HTTPリバースプロキシとして動く以上、守れるのはWebとAPIに限られます。CDN経由の構成を検討しているなら[Amazon CloudFrontとは？仕組み・料金プランとエッジ機能・採用判断を実装者目線で解説](/tech/details/15431/)も同じ制約を持ちます。ゲームサーバのUDP通信やVoIPを守りたい場合、CloudflareならTCP/UDP向けのSpectrumやネットワーク単位のMagic Transitという別メニューになります。 ### スクラビングセンター型：BGP運用とIPアドレスの要件 自社のIPアドレス範囲を対策事業者側から経路広告し、全トラフィックを洗浄拠点に迂回させる形態です。プロトコルを問わずレイヤー3・4を守れるため、Web以外を公開している事業者の選択肢になります。 Akamai Prolexicは、世界32超の拠点に置いたスクラビングセンターと20Tbps超の防御キャパシティ、ゼロ秒緩和SLAを製品ページで掲げています。[Imperva DDoS Protection](https://www.imperva.com/products/ddos-protection-services/)はスクラビング容量13Tbpsで、レイヤー3・4の攻撃に3秒以内の緩和SLAを付けています。GRE接続のProlexic Routedは、割り当て済みで経路広告できるIPv4の/24以上かIPv6の/48以上のアドレスブロック、BGPでの経路広告、オリジン側ネットワーク機器のGRE対応が前提ですが、満たせない組織向けにanycast VIPへDNSを向けるProlexic IP Protectも用意されています。見積依頼の前に、自社がどちらの前提を満たすかを切り分けてください。 ### 回線型：保護対象回線の帯域と運用委託の条件 ISPがバックボーン側で異常トラフィックを検知・遮断する形態です。[IIJ DDoSプロテクションサービス](https://www.iij.ad.jp/biz/ddos/)は契約回線帯域の全アドレスを保護対象とし、24時間365日の運用・監視を事業者側が担います。専任の監視担当がいない組織には、この運用移管が最大の価値です。 メニューは保護対象にできる回線の帯域で分かれます。IIJの一般企業向けタイプEは500Mbps（拡張で最大1Gbps）、タイプPは1Gbps（同10Gbps）、タイプXは1Gbps（同40Gbps）で、拡張オプションは「保護対象の回線帯域」を広げるものです。タイプDは検知通知のみで自動防御を持ちません。この数値は契約回線の帯域であり、遮断できる攻撃量の上限ではないので、Tbps級の攻撃にどこまで対応できるかは見積時に別途確認してください。冒頭のQ3データの「98%が1Gbps未満」も攻撃の観測値で、この帯域で防げる割合を示すものではありません。 契約条件にも固有の制約があります。IIJは法人向け接続サービスの契約が前提で、最低利用期間は1年です。他事業者の回線も監視するマルチISP対応オプションと、検知後の経路切り替えのタイムラグをなくす常時防御オプションは、必要なら見積に含めてください。 ### クラウド事業者付帯型：保護の入口になるリソースとバックエンドの配置 AWS・Google Cloud・Azureが自社リソース向けに提供する形態です。既存の構成が対応リソースを使っていれば、対象を指定して有効化するだけで済みます。Cloud Armorの場合、WAFルールを書くセキュリティポリシーは対応するロードバランサのバックエンドに付ける仕組みで、ロードバランサを通さない構成なら変更が要ります。Cloud Armor Enterpriseの高度なネットワークDDoS対策は、ネットワークロードバランサやパブリックIPを持つVMも対象です。AWS Shield Standardは設定自体が不要で、全AWS利用者に自動で適用されます。 同じ付帯型でも中身は割れます。AWS ShieldとAzure DDoS Protectionはレイヤー3・4が主で、レイヤー7はAWS WAF・Azure WAFの併用が前提です。Google Cloud ArmorはWAFルールとレイヤー7の適応型防御を単体で持ちます。注意したいのは、保護を適用する入口がその事業者のリソースに限られる点です。AWS Shield Advancedの保護対象はEC2・ELB・CloudFront・Global Accelerator・Route 53で、入口がここにあれば背後のサーバは他社クラウドでも構いません。[Cloud Armorの概要](https://docs.cloud.google.com/armor/docs/cloud-armor-overview)も、ロードバランサの背後にあればハイブリッドやマルチクラウドのアプリケーションを保護できると説明しています。逆に、各クラウドに別々の入口を持つ構成では、事業者ごとに契約と設定が分かれます。入口を1つにまとめられないなら、経路の外側に立つプロキシ型かスクラビングセンター型で束ねたほうが管理は単純です。 ### オンプレミス機器型：回線飽和への限界と上流防御との併用 Radware DefenseProやA10 NetworksのThunder TPSのような専用アプライアンスを、自社のインターネット回線の内側に置く形態です。通信を自社の機器で解析できるため、遮断ルールを細かく持てます。 ただし機器は回線の内側にあるため、回線帯域を超える攻撃は機器に届く前に回線を埋めます。100Mbps回線なら、1Gbps未満の攻撃でも十分に飽和します。機器の役割は、飽和しない規模の攻撃やコネクション枯渇型の攻撃を手元で止めることで、回線型やスクラビングセンター型と多段で組む前提の装置です。IIJが回線型とは別に社内センサー設置型の「/エッジ」を用意しているのも、この二段構えのためです。 ## 主要DDoS対策サービスの料金体系比較【2026年11月時点】 公開価格で横並びにできるのはハイパースケーラー3社とCloudflareです。専業ベンダーのAkamai・ImpervaとIIJは個別見積で、公式サイトに金額がありません（国内サービスの公開価格は次章の表にまとめています）。 | サービス | 月額（公開価格） | 課金単位 | 従量課金 | コミット | | ----------------------------- | ---------- | -------------- | ---------------------------- | ----- | | AWS Shield Standard | 0ドル | 全AWS利用者 | なし | なし | | AWS Shield Advanced | 3,000ドル | 支払アカウント | 転送 最初の100TBは0.025〜0.050ドル/GB | 1年 | | Cloud Armor Standard | 定額なし | ポリシー・ルール・リクエスト | 0.75ドル/100万件 | なし | | Cloud Armor Enterprise Paygo | 200.00ドル | 保護リソース2つ込み | 処理 0.075ドル/GiB | なし | | Cloud Armor Enterprise Annual | 3,000.00ドル | 保護リソース100込み | 処理 0.05ドル/GiB | 1年 | | Azure DDoS IP Protection | 199ドル | パブリックIP 1個 | なし | なし | | Azure DDoS Network Protection | 約2,944ドル | パブリックIP 100個込み | 101個目から約29ドル/個 | なし | | Cloudflare | 全プランに内包 | プラン料金のみ | なし | プラン次第 | | Akamai Prolexic・Imperva | 非公開 | 個別見積 | 非公開 | 個別 | | IIJ DDoSプロテクション | 非公開 | 個別見積 | 非公開 | 最低1年 | 金額そのものより、課金単位の違いが実務では効きます。3つの型に分けて見ます。 ### AWS Shield AdvancedとCloud Armor Enterprise Annualの定額料金 [AWS Shield Advancedの料金](https://aws.amazon.com/shield/pricing/)は月額3,000ドルで、支払アカウント単位・1年コミットです。データ転送料が別建てで、最初の100TBまではELBとElastic IP（EC2・Network Load Balancer）が0.050ドル/GB、CloudFrontとGlobal Acceleratorが0.025ドル/GB、Route 53は追加費用なしです。ELBの場合は次の400TBが0.040ドル/GB、500TB超が0.030ドル/GBと段階的に下がります。 保護リソースには月500億リクエストまでAWS WAFの標準料金が含まれますが、内包は1,500 WCUと既定のボディサイズまでです。レイヤー7の自動緩和は移行の途中で、[AWSの告知](https://aws.amazon.com/blogs/security/aws-shield-advanced-is-embracing-the-aws-waf-anti-ddos-managed-rule-group-what-changes-and-how-to-prepare/)によれば、旧方式が150 WCUを使っていたのに対し、後継のAnti-DDoSマネージドルールグループは50 WCUです。条件を満たすweb ACLは2026年10月25日から自動で移行され、満たさないものは自分で移行する必要があります。旧方式は2027年1月29日以降、性能の更新と優先サポートを受けられなくなります。WCUの見積もり方は[WAFルールの書き方：マネージドルールの当て方と誤検知の切り分け・カスタムルールの判断](/tech/details/19041/)で扱っています。 Google Cloudは、旧Managed Protection PlusがCloud Armor Enterpriseに整理されています。[Cloud Armorの料金表](https://cloud.google.com/armor/pricing)では、Annualが月額3,000.00ドル・保護リソース100個込み・1年コミットで、101個目以降は1リソース30.00ドル/月が加わります。機能差は[Cloud Armorとは？Google CloudのWAF/DDoS防御の仕組み・料金・実装判断を実装者向けに解説【2026年版】](/tech/details/15566/)で整理しています。 ### 保護対象の数で決まる下位プラン：Azure IP ProtectionとCloud Armor Paygo 守るエンドポイントが数個で、緊急対応の支援やコスト保護も要らないなら、月額3,000ドル級の基本料金は過剰です。[Azure DDoS Protection](https://azure.microsoft.com/en-us/pricing/details/ddos-protection/)のIP ProtectionはパブリックIP1個あたり199ドル/月で、コミットはありません。Network Protectionは時間単価4.032258ドルを月730時間で換算して約2,943.55ドル/月（100個込み・101個目から1個約29.44ドル/月）なので、14個（2,786ドル）まではIP Protectionが安く、15個（2,985ドル）で逆転します。ただしDDoS緊急対応の支援、コスト保護、WAFの割引はNetwork Protectionにしか付きません。 Google Cloudで同じ位置にあるのがCloud Armor Enterprise Paygoで、200.00ドル/月に保護リソース2つが含まれ、コミットはありません。料金表には、3つ目以降の保護リソースに1時間0.273972603ドル（月200ドル相当）の追加課金が載っています。データ処理料は保護リソースからインターネットへ送信したデータが対象で、0〜102,400GiBが0.075ドル/GiBとAnnualの0.05ドルより高く、キャッシュ可能なCloud CDN経由の配信には0.0375ドル/GiBからの別単価が適用されます。Standardに留めれば定額は発生せず、ポリシー0.006849315ドル/時、ルール0.001369863ドル/時、リクエスト0.75ドル/100万件（グローバル）の純粋な従量課金です。 ### Cloudflareのプラン内包型と個別見積型の比べ方 Cloudflareは防御に従量課金を持たず、攻撃量が増えても防御費用は増えません。プラン差はチューニングの範囲で、トラフィック傾向を学習するAdaptive DDoS Protectionは、Free・Pro・Business・Enterpriseの4プランとも「Only error adaptive rules」です。国・User Agent・機械学習スコアまで使う全ルールは、EnterpriseにAdvanced DDoS Protectionアドオンを足した契約だけで有効になります。ルールセットのオーバーライドも標準は1個で、アドオンで10個です。比較すべきはプラン料金であって、DDoS防御の価格ではありません。Akamai・Imperva・IIJのような個別見積型は、後述の導入手順で挙げる見積項目を各社にそろえて依頼しないと、金額を並べても比較になりません。 ## 国内で比較サイトに並ぶDDoS対策サービスの位置づけ 「DDoS対策 ランキング」で上位に出る国内の比較サイトには、攻撃遮断くん、BLUE Sphere、PrimeWAF、DDoS OWLなどが並びます。各社の公式ページを当たると、これらの多くはWAFにDDoS対策を組み合わせたクラウドプロキシ型です。料金を公開しているサービスも多く、海外製品より小さく始められます。 | サービス | 導入形態 | 公開料金（月額） | 課金の基準 | | ----------------- | -------------- | ------------------ | ------------ | | 攻撃遮断くん DDoSタイプNeo | クラウドプロキシ型 | 1サイト15,000円〜（税抜） | ピーク時の通信量で段階制 | | PrimeWAF | クラウドプロキシ型 | 1サイト14,300円〜（税込） | 月間通信量の段階制 | | BLUE Sphere | クラウドプロキシ型 | 価格ページに金額なし | 送信データ量の3か月合計 | | DDoS OWL | クラウド型（TCP/UDP） | 最小95,000円〜 | 送信データ量のみ | | OCN DDoS防御オプション | 回線型 | 1Gbps 700,000円（税抜） | 回線速度別の定額 | ### クラウドWAF型の1サイト向け料金と通信量課金 [攻撃遮断くんの料金表](https://www.shadan-kun.com/plan/)では、DDoSセキュリティタイプNeoが1サイト月額15,000円から（税抜）、サイト入れ放題が90,000円からで、導入方法はDNS切り替えです。[PrimeWAF](https://security.valtes.co.jp/primewaf/pricing/)は1サイト限定プランが初期費用55,000円・月間通信量160GB未満で月額14,300円（税込）で、160GB以上10TB未満になると33,000円に上がります。中小企業がWebサイト1つを守るなら、AWSやGoogle Cloudの月額3,000ドル級の契約より、この価格帯から入るのが現実的です。 選ぶときに確かめたいのは、守れる範囲がWebとAPIに限られる点と、課金が通信量に連動する点です。攻撃遮断くんはWebサイトのピーク時のトラフィック量に応じて料金が段階的に変わる「トラフィック連動」なので、攻撃で通信量が跳ねた月の扱いを契約前に聞いてください。BLUE SphereとDDoS OWLは課金対象をアウトバウンド（送信側）のデータ量だけにしており、DDoS OWLは攻撃時の流入トラフィックの費用を「制限なく無償」としています。攻撃で大きく膨らむのは流入側なので、この設計なら流入分は請求に乗りません。ただしHTTPの攻撃に応答を返せば送信量も増えるため、攻撃時の請求がまったく変わらないわけではありません。 ### OCN DDoS防御オプションの回線速度別料金と契約条件 回線型で料金を公開している例が、NTTドコモビジネスの[OCN DDoS対策サービス](https://www.ntt.com/business/services/network/internet-connect/ocn-business/security/ddos.html)です。DDoS防御オプションの月額は100Mbpsが350,000円、1Gbpsが700,000円、10Gbpsが1,400,000円（いずれも税抜）、100Gbpsは個別見積です。初期費用50,000円、検知閾値を通信実態に合わせる閾値チューニングが1回500,000円、最低利用期間は1年で、対象はスーパーOCN回線です。1サイト月額1万円台のクラウドWAF型とは約50倍の差がありますが、守る対象がWebサイト1つか回線全体か、Web以外のプロトコルを含むか、監視運用が付くかと比較条件がそもそも違います。金額だけで並べず、守る範囲を揃えてから比べてください。 ## 無料で使えるDDoS対策の範囲 無料で使える代表的な防御を4つ挙げます。どれも使える条件が決まっています。 - **Cloudflare Free**：レイヤー3〜7のunmeteredな防御が付きます。守れるのは、DNSレコードを「Proxied」にしてCloudflareを経由させたWebサイトとAPIです。適応型防御はエラー率に基づくルールだけで、誤検知を事前に見つける機能はEnterprise以上です。 - **AWS Shield Standard**：AWS上のリソースに自動で適用されます。Shield Standard自体の対象はレイヤー3・4の一般的な攻撃です。レイヤー7には通常AWS WAFの利用料がかかりますが、[CloudFrontのFAQ](https://aws.amazon.com/cloudfront/faqs/)によれば、月額0ドルの定額プランにはCDN・WAF・DDoS保護・DNSが含まれます。 - **Azure DDoS Infrastructure Protection**：[Microsoftの説明](https://learn.microsoft.com/en-us/azure/security/fundamentals/operational-best-practices)では、追加費用なしで既定で組み込まれ、設定なしでネットワーク層の一般的な攻撃からAzureのサービスを守ります。個々のリソースに合わせたチューニングは有料のIP Protection・Network Protectionの範囲です。 - **Google Project Shield**：[申込条件](https://support.google.com/project-shield/answer/17043664?hl=ja)では、報道・人権・選挙監視や選挙情報・一部の国の政治団体・非営利の芸術や科学などのサイトが対象です。ゲーム・商用・個人のサイトは受け付けず、運営主体ではなくサイトの内容で手動審査されます。 一般の商用サイトで使えるのは、Project Shieldを除く3つです。防御が付くこと自体は有料プランと変わりませんが、有料との差は製品ごとに違います。比べるときは、攻撃中に人を呼べる窓口、誤検知を減らすチューニングの範囲、可用性のSLA、攻撃時の費用の扱いを項目にして各社の料金表を見てください。売上がサイトの稼働に直結しているなら、これらのために有料プランを検討する価値があります。 ## レイヤー7 DDoS対策とWAFの守備範囲の違い 「WAFを入れているからDDoSは大丈夫」という誤解は、レイヤーの取り違えから生まれます。 ### L3/L4とL7で防御位置が変わる理由 SYNフラッドやUDPリフレクションのようなレイヤー3・4の攻撃は、パケットが自社の回線に着いた時点で帯域を埋めます。回線を飽和させる規模なら、ISPか対策事業者のネットワーク側、つまり自社設備より上流で止めないと間に合いません。 HTTPフラッドのようなレイヤー7の攻撃は、リクエスト単体では正常な形をしており、中身と振る舞いの解析で見分けます。そこがWAFの領域です。[WAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説](/tech/details/13275/)で整理しているとおり、WAFの本来の役割はSQLインジェクションなどアプリケーション層の攻撃遮断で、帯域を埋める攻撃は守備範囲外です。1つのIPから大量に送られるリクエストを抑えるなら、アプリケーション側のレート制限も併用します。 ### WAFとDDoS対策の併用理由とUDP攻撃への備え 実際の製品は両者を抱き合わせで提供します。AWS Shield AdvancedにAWS WAFの標準料金が含まれるのも、Azure DDoS Network ProtectionにWAFの割引が付くのも、2層をセットで運用させる設計だからです。片方だけの契約では穴が空きます。 攻撃側の手口も四半期ごとに動きます。Cloudflareの2026年Q3レポートでは、上半期に急増したCLDAPフラッドが前期比99.5%減となった一方、DNSアンプ攻撃が215%増え、その他のUDPフラッドはネットワーク層攻撃の14.06%から31.31%に広がりました。UDPで来る攻撃は、HTTPリクエストを検査するWAFを通りません。権威DNSサーバをどこでホストし、そこにどの事業者の防御が効いているかを、Webサーバとは別に確かめてください。 ## 比較表に出ない選定軸4項目 ### 攻撃時の従量課金とコスト保護の適用範囲 防御に成功しても、データ転送量やオートスケールの課金は増えます。AWS Shield AdvancedにはDDoSコスト保護があり、保護対象が攻撃でスケールした分をAWS Supportにクレジット申請できます。Azureのコスト保護はNetwork Protectionにだけ付きます。Cloudflareは[FAQ](https://developers.cloudflare.com/ddos-protection/frequently-asked-questions/)で、DDoS攻撃のトラフィックを利用量の計算から自動で除外すると説明しています。ただしこれはCloudflare側の請求の話で、防御を抜けてオリジンに届いた通信によるクラウド側の費用までは対象外です。国内のクラウドWAF型は前章のとおり課金の基準が送信量か通信量全体かで分かれます。見積時に「攻撃を受けた月の請求はどうなるか」を必ず聞いてください。 ### SLAの緩和時間・可用性と保証条件 SLAの数値は、測っている対象がベンダーごとに違います。Akamai Prolexicのゼロ秒緩和SLAは、事前に設定した緩和コントロールが効いている状態を前提にした数値で、100%プラットフォーム可用性SLAとは別物です。Impervaの3秒SLAは、対象をレイヤー3・4の攻撃に限っています。稼働率の保証を緩和時間の保証と読み違えると、攻撃を受けたときの期待値がずれます。契約上の数値で押さえたいなら、製品ページの文言ではなく正式なSLA文書を取り寄せてください。 ### 緊急時窓口に到達するための前提契約 AWS Shield Advancedに含まれるShield Response Team（SRT）へ問い合わせを上げられるのは、[AWSのDDoS対策ホワイトペーパー](https://docs.aws.amazon.com/whitepapers/latest/aws-best-practices-ddos-resiliency/support.html)によればBusiness Support+、Enterprise Support、Unified Operationsのいずれかの契約者です。それ以外のサポートプランのままでは、月額3,000ドルを払ってもSRTを呼べません。旧Businessサポートのまま契約している場合は、現行プランへの移行条件を確認してください。Azureの緊急対応支援もNetwork Protection専用です。IIJのタイプEでは、問い合わせ対応を24時間365日に広げるには拡張サポートオプションが要ります。人を呼べる条件は、価格表とは別のページに書かれています。 ### オリジンIPの露出経路と直接アクセスの制限 クラウドプロキシ型を入れても、オリジンサーバのグローバルIPが知られていれば、攻撃者はプロキシを迂回して直接狙えます。DNSの過去履歴、証明書の透明性ログ、メールヘッダのReceived行は、いずれもオリジンIPの露出経路です。オリジン側のファイアウォールを対策事業者のIPレンジからの通信だけに絞れるか（Cloudflareなら[公開されているIPレンジ](https://www.cloudflare.com/ips/)を許可リストにします）、絞ったときに既存のバッチ連携や監視が壊れないかを、設計段階で確かめてください。ここを詰めないと、契約した防御が迂回されます。 ## DDoS対策製品の導入手順：攻撃を受ける前に済ませる5つの作業 攻撃が始まってから契約しても、DNSの切り替えや経路広告の準備に日数がかかります。攻撃遮断くんの料金表でも、最短導入日数は1サイトプランで1営業日、入れ放題プランで10営業日です。次の順で、平時のうちに進めてください。 1. **公開エンドポイントの棚卸し**：外部に公開しているホスト名・グローバルIP・プロトコル（HTTP以外の有無）・権威DNSの置き場所・回線帯域を一覧にします。この表で導入形態がほぼ決まります。 2. **導入形態の決定**：HTTP/HTTPSだけならクラウドプロキシ型、独自プロトコルがあればスクラビングセンター型か回線型、特定のクラウドで閉じていれば付帯型を選びます。 3. **見積依頼**：防御帯域の上限・保護対象アドレス数・監視ポリシー数・攻撃時の課金・SLAの定義・緊急窓口の前提契約・最低利用期間を項目として指定し、2社以上から取ります。書かずに頼むと各社の提示が比べられる形で揃いません。 4. **切り替えとオリジン遮断**：事前にDNSのTTLを短くしてから切り替え、旧レコードのキャッシュが切れて正常に配信されていること、監視や外部連携の通信元を許可リストに入れたことを確かめてから、オリジン側で対策事業者以外からの通信を拒否します。古いAレコードの履歴が残っている場合は、オリジンのIP自体の変更も検討します。 5. **防御の試験と連絡体制**：自前で攻撃を模した試験を行う前に、事業者の規定を確認します。 5番目は規定違反になりやすい箇所です。AWSの[DDoSシミュレーションテストのポリシー](https://aws.amazon.com/security/ddos-simulation-testing/)は、試験をAWSが事前承認したパートナー（AWS DDoS Test Partner）に限り、対象もShield Advanced契約の保護リソースなどに限定しています。上限は20Gbps、パケット数はCloudFrontで毎秒500万、その他のリソースで毎秒5万、リクエストは毎秒5万件です。通常の負荷試験とは扱いが違うので、性能確認が目的なら[負荷試験とは？シナリオ設計と合否指標、本番相当環境の揃え方をk6の実例で解説](/tech/details/18987/)の範囲に留めてください。自社でどこまで試せるか判断がつかない場合は、[脆弱性診断・セキュリティ診断](/service/system/vulnerability/)の中でWAFやDDoS対策の設定を点検する方法もあります。 ## 専用製品の導入を見送ってよい条件 公開しているのがHTTP/HTTPSだけで、そのエンドポイントが既にCDNかリバースプロキシの背後にあり、オリジンのグローバルIPに外部から届かない。この3条件に加えて、使っているCDNやプロキシのDDoS防御の仕様・容量・攻撃時の対応体制が自社の要件を満たしていると確かめられたなら、月額3,000ドルの定額契約を足しても防御能力の増分は限られます。先にやるべきは、露出しているオリジンIPを塞ぐ作業と権威DNSの防御状況の確認で、どちらも製品の購入なしに着手できます。 逆に、TCP/UDPの独自プロトコルを公開している、オンプレミスのグローバルIPで直接トラフィックを受けている、緩和時間をSLAとして取引先から求められている、のいずれかに当てはまるなら有料契約の価値があります。3番目は技術的な要否ではなく契約要件なので、別枠で判断してください。 ## よくある質問 ### DDoS対策ツールを比較するとき、最初に見るべき項目は何ですか？ 導入形態です。最初の比較では、公開しているプロトコル（HTTP/HTTPSだけか）、守るグローバルIPの数、自社回線の帯域、権威DNSの置き場所、24時間の監視を自社で持てるかの5点を確かめると、候補が形態ごとに絞れます。製品名の比較はそのあとです。 ### DDoS対策製品とWAFは、どちらを先に導入すべきですか？ 公開しているのがWebサイトやAPIだけなら、WAFを含むクラウドプロキシ型を先に置くのが順当です。1回の導入でレイヤー3・4の吸収とレイヤー7の検査を両方満たせるためです。DDoS専用製品を単独で先に入れるべきなのは、Web以外のプロトコルを公開している場合か、回線帯域そのものを守る必要がある場合です。 ### 中小企業はどのDDoS対策から始めればよいですか？ 守る対象がWebサイトだけなら、Cloudflareの無料プランか、月額1万円台からの国内クラウドWAF型（攻撃遮断くん・PrimeWAFなど）から始められます。どちらもDNSの切り替えで導入でき、機器の設置は要りません。AWS上で動かしているなら、Shield Standardが自動で効いているので、まずAWS WAFの設定を見直します。回線型やスクラビングセンター型は、Web以外のサービスを公開している場合のほか、オフィスや自社設備のグローバルIPで直接トラフィックを受けている場合や、取引先から緩和時間のSLAを求められている場合に検討します。 ### レイヤー7のDDoS攻撃は無料プランでも防げますか？ Cloudflareなら防げます。レイヤー3〜7のDDoS防御は無料プランを含む全プランにunmeteredで付くためです。差が出るのは適応型防御のチューニング範囲で、Adaptive DDoS ProtectionはEnterpriseまでの標準プランでは「Only error adaptive rules」です。AWS Shield Standardはレイヤー3・4が対象なので、AWSでレイヤー7を防ぐにはAWS WAFを使います。従量課金なら別料金ですが、CloudFrontの月額0ドルの定額プランならWAFも含まれます。AWS Shield の2プランの違いは[AWS Shieldとは？StandardとAdvancedの違い・料金と採用判断を実装者目線で解説](/tech/details/15892/)にまとめています。 ### DDoS対策の費用は、月額料金以外に何がかかりますか？ 従量課金、初期費用、前提契約の3つです。従量課金はAWS Shield Advancedがデータ転送料、Cloud Armor Enterpriseがデータ処理料、Azure DDoS Network Protectionが101個目以降の保護IP料として別に請求し、国内のクラウドWAF型も通信量で月額が変わります。初期費用はPrimeWAFが55,000円（税込）、OCNが50,000円（税抜）です。見積から漏れやすいのは前提契約で、AWSのSRTを呼ぶにはBusiness Support+以上のサポートプラン、IIJとOCNの回線型には各社の接続サービスと1年の最低利用期間が要ります。 ## 関連記事 - [DDoS攻撃とは？仕組み・種類とDoS攻撃との違い、企業が取るべき対策を解説](/column/details/13260/) - [AWS Shieldとは？StandardとAdvancedの違い・料金と採用判断を実装者目線で解説](/tech/details/15892/) - [WAFとは？仕組み・ファイアウォール／IPS・IDSとの違いと企業の選び方を解説](/tech/details/13275/) - [Cloud Armorとは？Google CloudのWAF/DDoS防御の仕組み・料金・実装判断を実装者向けに解説【2026年版】](/tech/details/15566/) - [WAFルールの書き方：マネージドルールの当て方と誤検知の切り分け・カスタムルールの判断](/tech/details/19041/) --- 出典: [DDoS対策製品の比較と選び方｜5つの導入形態・公開料金・国内サービスの位置づけ]()（株式会社一創）