配信基盤の設計では、想定した通りのアクセスが届くという前提で容量を組むことがあります。ところが観測データを見ると、1つのIPアドレスに年間で約250万パケットが届いており³、その届き方は年を追うごとに姿を変えています。量も宛先も、こちらの想定より先に外側で決まっているという見方が必要です。この記事では、その実測値をもとに設計の起点をどこに置くかを整理します。

1. 届く量を決めているのは外側です

想定の外から、常に一定量の通信が届いている

配信基盤やCDNの案件では、ピーク時のアクセスをどう捌くかが主な論点になります。ここで見落とされやすいのが、正規の利用者以外から常時届いている通信の量です。トラフィック予測は正規利用者の伸びを軸に組まれることが多く、外側から届く通信は別枠で扱われがちです。国立研究開発法人情報通信研究機構(NICT)は、実際には使われていないIPアドレス帯である「ダークネット」と、実際に応答する模擬的な機器である「ハニーポット」の観測結果から、2025年に確認したサイバー攻撃関連事象をまとめています¹。

2025年の年間総観測パケット数は約7,010億、観測対象のIPアドレス数は284,305でした²。1つのIPアドレスあたりに換算すると、年間で約250万パケットが届いており、これは2024年から約7万7千パケット増えて、観測を始めて以来もっとも多い数値です³。

出典：NICTER観測レポート2025（国立研究開発法人情報通信研究機構）をもとに作成

この図が示すのは、量そのものだけでなく、その半分以上が調査目的と推測されるスキャンだという点です⁵。すべてを同じ脅威として身構えるより先に、性質の違う通信をふるい分けられる体制が土台になります。

量も宛先も、外側の都合で決まる

ピーク時の正規アクセスをどう捌くかだけを見るよりも、母数に左右されない指標で外側の圧力を継続的に把握できているかのほうが、設計の土台としては強くなります。届く量だけでなく、宛先がどこに向かっているかも外側の都合で決まっています。次の章では、その内訳をもう少し細かく見ていきます。

配信基盤やCDNの経路設計を担当する案件では、キャパシティプランニングの土台に、正規のアクセス以外から届く定常的な通信量を組み込んでおく視点が求められます。帯域や台数を積み増す判断だけでなく、宛先ごとの通信の性質を継続的に観測できる仕組みを合わせて提案できると、設計の完成度が上がります。

2. 半分以上は調べに来る通信です

「調査目的のスキャン」とはどんな通信か

NICTの観測は、ダークネットとハニーポットという2つの手法を組み合わせています¹。ここに届く通信のすべてが、特定の対象を狙った攻撃というわけではありません。観測された全パケットのうち、約55.0%は調査目的と推測されるスキャンで占められています⁵。

「攻撃」と「調査」を混同しない

脆弱性の有無を機械的に調べに来る通信と、実害を狙った攻撃の通信では、設計側が備える対応は変わります。届いた通信をすべて一律の脅威として扱うよりも、まず調査目的の通信がどれくらいの比率で常時届いているかを前提に置くほうが、監視のしきい値を現実的に設計できます。

この区別を怠ると、調査目的のスキャンにまで実害を想定した対応を割り当ててしまい、監視の運用コストが必要以上に膨らみます。逆に、調査目的の通信を根拠なく無害と決めつけると、そこに紛れた実害のある通信を見逃しかねません。比率で全体像を把握したうえで、個別の通信を判断する二段構えが現実的です。

観測された通信の内訳を数値で確認する

ここまでの内容を数値で整理すると、観測の手法・調査目的のスキャンが占める比率・最多だった宛先ポートの変化という3つの軸で、届く通信の性質がつかめます。とくに宛先ポートの割合は、次の章で扱う「宛先の散らばり」を裏づける手がかりにもなります。件数そのものよりも比率の変化に注目すると、配信基盤側で警戒すべき範囲の広がりが見えてきます。3つの軸をあわせて見ることで、単一の数字だけでは分からなかった通信の性質が立体的に見えてきます。

区分	内容	数値
観測手法	ダークネットとハニーポットを組み合わせて収集1	—
調査目的と推測されるスキャン	脆弱性の有無などを機械的に調べに来る通信	約55.0%5
最多観測ポート(23/TCP)の割合	前年から2025年にかけての変化	17.9%→14.4%6

3. 宛先は1つに集中しなくなっています

特定ポートへの集中が緩んでいる

最も多く観測されたポートは23/TCP、Telnetなどで使われる古い管理用のポートでした。その割合は前年の17.9%から2025年は14.4%へ下がり、多様なポート番号宛の通信が増えています⁶。

「1つを固めれば安心」という設計は崩れている

宛先が1つのポートに偏っていた時期は、そこを重点的に固めれば守れる範囲が見えやすい状態でした。宛先が散らばるいまは、限られたポートだけを固める設計よりも、開いている範囲全体を前提に監視の網を広げる設計のほうが、実態に近づきます。配信基盤やCDNの経路設計を任される案件では、この変化を数字で説明できるかどうかが、提案の説得力を左右します。

経路ごとに監視ルールを個別に組んでいく設計は、宛先が1つに集中していた時期には効率的でした。宛先が広がった状態でも同じ発想を続けると、ルールの数だけが増えて運用が追いつかなくなります。個々の宛先を追うよりも、通信全体の傾向を捉える指標を軸に据える設計のほうが、長く運用できます。

出典：NICTER観測レポート2025（国立研究開発法人情報通信研究機構）をもとに作成

図で示した散らばりは、特定の攻撃者だけの傾向ではなく、観測全体の集計から見えてきたものです⁶。監視対象のポートをあらかじめ絞り込む設計から、範囲を広めに取っておき、通信の性質で絞り込む設計へと、考え方を切り替える材料になります。案件で経路設計を提案する際も、この切り替えの理由を数字で示せると説得力が増します。

4. 総数ではなく1つあたりで見ます

総数は観測対象の数に左右される

2025年の年間総観測パケット数は約7,010億、観測対象のIPアドレス数は284,305でした²。観測対象のIPアドレス数が増減すれば、総数もそれにつられて動きます。総数だけを見ていると、外側の圧力が強まったのか、観測範囲が広がっただけなのかを区別できません。

「1つあたり」に揃えると比較できる

そこでNICTは、1つのIPアドレスあたりの年間パケット数を、サイバー攻撃関連活動の活発さを把握するための指標として使っています⁴。2025年のこの指標は約250万パケットで、2024年から約7万7千パケット増え、観測を始めて以来もっとも多い数値になりました³。総数の大小よりも、1つあたりの値が伸びているかどうかのほうが、外側の圧力を継続的に見ていくうえでは頼りになります。配信基盤を扱う案件の見積もりでも、総トラフィックの予測だけでなく、送信元1つあたりの挙動という視点を持ち込めると、監視設計の説明に厚みが出ます。

この指標は、案件の初期設計だけでなく、稼働後の定点観測にも使えます。1つあたりの値を継続的に記録しておけば、しきい値を超えたときに「量そのものが増えた」のか「観測対象が増えただけ」なのかを、後から切り分けられます。設計時点の一度きりの見積もりで終わらせず、運用フェーズでも同じ物差しを使い続けられる点が、この数え方の実務的な強みです。

2つの数え方を並べて比べる

総数・観測対象数・1つあたりの値という3つの数字を並べると、NICTが1つあたりの指標を使う理由が分かりやすくなります。総数は観測対象の規模に応じて増減する一方、1つあたりの値は規模の影響を受けにくく、年ごとの比較に向いています。次の表は、この3つの数字と前年からの変化をまとめたものです。案件の見積もり資料に載せる数字を選ぶときも、どちらの性質を持つ数字かを意識しておくと、説明の一貫性が保てます。

指標	2025年の値	特徴
年間総観測パケット数	約7,010億2	観測IPアドレス数の影響を受ける
観測IPアドレス数	284,3052	この数が変わると総数も変わる
1IPアドレスあたりの年間パケット数	約250万3	活発さを把握する指標として使用4
前年からの変化	約7万7千パケット増加3	観測開始以来もっとも多い数値

5. 数え方で見え方が変わります

DRDoS攻撃の件数は年ごとに大きく振れる

DRDoS攻撃のうち日本宛のものは、2025年は累計で約90万件、1日平均では約2500件でした⁷。この数字だけを見ると2024年の約17万件・1日平均約467件からの増加に見えますが、2023年は約896万件・1日平均約2.4万件と、さらに大きな値を記録した年もあります⁷。

急増の裏には「絨毯爆撃型」という数え方の癖がある

NICTは、攻撃件数が急増する期間には、送信元を装って多数の宛先に同時に送りつける絨毯爆撃型のDRDoS攻撃が観測されており、本レポートは攻撃件数をIPアドレス単位で集計しているため、この型が発生すると件数は見かけ上膨らむと注記しています⁸。単年の増減だけを切り取って傾向を語るよりも、集計の単位を確かめたうえで数字の背景を見るほうが、案件の提案資料としても説得力を持ちます。

クライアントへの報告資料でも、この視点は生きます。件数が増えた月だけを切り出して「急増した」と伝えると、翌年に数値が落ち着いたときに説明が食い違います。集計の単位と、急増を起こしうる要因の存在をあわせて示しておくほうが、数字への信頼を長く保てます。

出典：NICTER観測レポート2025（国立研究開発法人情報通信研究機構）をもとに作成

図で並べた3年分の数字は、絨毯爆撃型の有無によって振れ幅が生まれることを示しています⁸。単年の件数だけを根拠に対策の優先度を決めるのではなく、複数年の推移と集計方法をあわせて確認する姿勢が、配信基盤の設計や監視の提案には求められます。

6. 悪用されるサービスには偏りがあります

DRDoS攻撃で狙われるサービスには偏りがある

DRDoS攻撃で悪用されたサービスのうち、攻撃件数がもっとも多かったのは389/UDPで動くCLDAPで31,926,706件、次いで123/UDPで動くNTPが4,267,386件でした⁹。特定のサービスに攻撃が集中している状況が読み取れます。

地理的な集中も同時に起きている

国・地域別で見ると、被攻撃件数の多い上位5カ国だけで、攻撃件数全体の4分の3を占めています¹⁰。地域を絞った対応だけでは、残る経路への備えが抜け落ちる可能性があります。特定のサービスや地域だけを見張るよりも、悪用されやすいサービスの傾向を把握したうえで、配信経路全体を俯瞰する設計のほうが、抜け漏れが少なくなります。

配信基盤の案件では、どのポートやプロトコルが悪用されやすいかという知識が、監視対象の優先順位づけに直結します。すべてのサービスを同じ重みで見張るのではなく、悪用の実績が多いサービスから重点的に観測を組み立てる考え方のほうが、限られた工数で効果を上げやすくなります。

攻撃件数の多いサービスを数値で確認する

ここまでの内容を、実際の件数で振り返ります。DRDoS攻撃で悪用されたサービスの件数と、国・地域別の集中度を並べると、配信基盤が受け止める通信は、特定のサービスや特定の地域だけに偏っているわけではないことが分かります。数値そのものは年によって変わりますが、偏りが生じるという構造は、設計を見直す際の前提として押さえておく価値があります。表を見るときは、件数の大小だけでなく、上位に集まる比率にも目を向けると、偏りの大きさがつかみやすくなります。

サービス/ポート	攻撃件数	備考
CLDAP(389/UDP)	31,926,706件9	もっとも多く悪用された
NTP(123/UDP)	4,267,386件9	次に多く悪用された
国・地域の集中度	上位5カ国で全体の4分の310	特定地域への集中も並行して発生

出典：NICTER観測レポート2025（国立研究開発法人情報通信研究機構）をもとに作成

図で比べた2つのサービスは、悪用される通信の量に大きな差があることを示しています⁹。すべてのサービスを均等に監視するのではなく、悪用の実績に応じて観測の密度を変える設計のほうが、限られた工数を有効に使えます。

7. よくある質問

観測されるスキャンは、すべて攻撃だと考えるべきですか

そうとは限りません。観測された全パケットのうち、約55.0%は調査目的と推測されるスキャンで、実害を狙った攻撃とは区別されています⁵。届いた通信の性質を分けて見ることが、監視のしきい値を設計する出発点になります。すべてを同じ重さで扱うと、監視の運用コストが必要以上に膨らみます。

特定のポートだけを固めれば十分ですか

十分とは言えません。最も多く観測された23/TCP宛の割合は前年の17.9%から2025年は14.4%へ下がり、多様なポート番号宛の通信が増えています⁶。宛先が固定されていた前提で設計すると、想定外の経路が抜け落ちます。守る範囲を1つのポートに絞るよりも、開いている範囲全体を前提に置く設計のほうが、変化に耐えやすくなります。

攻撃件数の増減だけを見て、対策の優先度を決めてよいですか

件数の単純な増減だけで判断すると、数え方の癖を見落とします。攻撃件数が急増する期間には絨毯爆撃型のDRDoS攻撃が観測されており、本レポートは件数をIPアドレス単位で集計しているため、この型が起きると件数は見かけ上膨らみます⁸。増減の背景にある集計方法まで確認したうえで、優先度を決める姿勢が必要です。件数の大きさだけを根拠に予算や工数を決めると、集計方法が変わったときに判断の前提ごと崩れてしまいます。

経路上のどこを優先して観測すればよいですか

悪用の実績が多いサービスや、割合が高い宛先から優先的に観測範囲を広げる考え方が現実的です。389/UDPのCLDAPや123/UDPのNTPのように、悪用件数が突出しているサービスは、優先度を判断する材料になります⁹。すべてを均等に見張るよりも、実績に基づいて優先度をつける設計のほうが、限られた工数で効果を上げやすくなります。

配信基盤の案件に、この視点はどう役立ちますか

総数ではなく1つあたりの値で圧力を捉える視点⁴や、集計方法まで確認したうえで数字を読む姿勢は、配信基盤の設計や監視の提案資料に厚みを持たせます。Remoguでは、案件の90%以上がフルリモート可能です¹¹。経路設計や監視の実務で積み上げてきた経験を、場所を選ばずに活かせる案件と照らし合わせてみましょう。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊2 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊3 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊4 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊5 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊6 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊7 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊8 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊9 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊10 国立研究開発法人情報通信研究機構「NICTER観測レポート」2025年の観測結果（2026年2月）
＊11 Remoguサイト公開情報（案件の90%以上がフルリモート可能）