Baiduクローラーが暴走！中国重慶発の疑似DDoS攻撃とその防御記録

当サイト「Vedfolnir（鷹眼観察）」は昨日から突如として挙動が極めて不安定になり、ページの読み込み遅延やHTTP 500内部サーバーエラーが頻発するようになりました。サーバー管理者がシステムを調査したところ、CPU使用率が100%に達したまま高負荷状態が数時間も継続していることが判明しました。

この異常事態を解消すべく、まずはウェブサーバーのプロセスを再起動して復旧を試みました。しかし、復旧は束の間のことで、再起動からわずか数秒で再びサーバーがダウン。この時点で、外部からの何らかの攻撃や異常アクセスに晒されている可能性を疑い始めました。

詳細なログ解析を進めると、中国・重慶地区のIPアドレス群（下表参照）から、当サーバーのポートに対して猛烈な勢いでスキャンが仕掛けられていることが突き止められました。この集中アクセスこそが、CPU使用率を高騰させ、サーバーを麻痺させていた主因でした。

• 183.69.137.80
• 183.69.137.71
• 183.69.137.65
• 183.69.137.91
• 183.69.137.94
• その他多数

ファイアウォールでCPU 100%の負荷を遮断する

この疑似DDoS[1]攻撃への緊急措置として、管理者はまず最も直接的な手段であるファイアウォールでの送信元IPブロックを実施しました。

ところが確認してみると、1つのIPを遮断しても同セグメントの無数のIPから次々と猛烈なスキャンが継続します。そこで、CIDR表記[2]「183.69.137.0/24」を用いて、このサブネット全体を一括遮断する手段を取りました。

ファイアウォールで遮断した後、実際にどれほどのアクセスが来ているのか観測ログを確認したところ、驚愕の数字が判明しました。ピーク時には5分間に最大2,000回ものブロックを記録し、アクセスが落ち着く時間帯でも5分あたり平均1,000回近くブロックされていたのです。これは1分間に200〜400ものIPが連続して当サーバーをスキャンし続けていた計算になります。

Baidu（百度）クローラーによるアクセス遮断ログ

大規模なDDoS攻撃の規模には及ばないとはいえ、当サイトのような小規模サーバーにとっては実質的にサイトを停止させるのに十分な破壊力です。さらに、これほどの通信量による帯域消費は、サーバーの運用コスト面でも看過できない打撃となります。

その後、ファイアウォールが機能してCPU負荷が正常値に戻ったため、一体どこの誰がこのようなアクセスを仕掛けてきたのかを追跡調査しました。

そこで明らかになったのは、なんとも皮肉で苦笑いするしかない事実でした。これらのIPは悪意あるハッカーの攻撃ではなく、強いて言うなら「善意の」サイバー攻撃（？）だったのです。

アクセスの正体は、中国の大手検索エンジン「Baidu（百度）」のウェブクローラー（スパイダー）でした。本来は検索エンジンのインデックス作成のためにウェブサイトを巡回するものですが、何らかの理由でこのクローラー群が狂乱状態に陥り、制御不能な猛烈スキャンを行っていたのです。

しかも、被害者は当サイトだけではありませんでした。

ネット上で検索してみると、現地のウェブ管理者たちも同様のトラブルに頭を抱えている事例が多数見つかりました。さらに厄介なことに、BaiduのIP帯を遮断すると、Baidu検索エンジンから「サイトがアクセス不能」とみなされてペナルティを受け、検索順位が大幅に落とされるリスクがあります。検索経由の流入に依存するメディアにとって、これは致命傷になりかねません。

中国本土からご覧いただいている読者の皆様は、ぜひお早めに鷹眼観察サイトのご購読をお願いいたします！近いうちにBaiduの検索結果から「消滅」してしまうかもしれませんので……。

付録

1. DDoS（Distributed Denial of Service：分散型サービス拒否攻撃）：多数の分散した端末（ボットネットなど）から特定のターゲットサーバーに向けて一斉に大量のリクエストを送信し、処理能力を超過させてサービスを停止させる代表的なサイバー攻撃手法。送信元が分散しているため防御や追跡が難しく、オンラインサービスに甚大な影響を及ぼします。
2. CIDR（Classless Inter-Domain Routing）表記法：IPアドレスとサブネットマスクを簡潔に表記する方法。スラッシュ（/）の後にネットワークプレフィックスのビット数を記述することで、ネットワークの規模や範囲を指定します。