BGPフロー仕様（BGP Flowspec / RFC 5575）によるリアルタイムDDoS防御自動化――エッジルータ連携SOP
要旨：数百Gbpsに達する大規模ボリューム攻撃や、特定のIP/ポートを狙った分散型サービス拒否（DDoS）攻撃に対し、従来のブラックホールルーティング（RTBH）では対象IP全体の通信が遮断され、二次被害（サービス停止）を免れなかった。本SOPでは、攻撃トラフィックのフロー条件（送信元IP、プロトコル、宛先ポート、パケット長等）をBGP経由で動的にエッジルータへ注入し、ハードウェアACLで線速ドロップまたはレートリミットを行う「BGP Flowspec」の実践構成手順を解説する。
1. 従来のRTBHとBGP Flowspecの決定的差異
Remotely Triggered Black Hole（RTBH: RFC 3882/5635）は、攻撃対象のIPアドレス（宛先プレフィックス）をBGPコミュニティ値（例: 65001:666）を用いて上流プロバイダやコアルータへ広報し、ルータのNext-HopをNull0へ向けることで攻撃トラフィックを破棄する。しかし、この方式では正規ユーザーのアクセスを含む対象IP宛ての全通信が遮断されてしまう。
これに対し、RFC 5575（IPv4）およびRFC 8955で標準化された「BGP Flowspec（Flow Specification）」は、L3（IP）だけでなくL4（TCP/UDPフラグ、ポート番号、パケット長）にまたがる精緻なパケットマッチング条件と、アクション（Drop、Rate-limit、DSCPマーキング、VRFリダイレクト）をBGPアップデートメッセージとして動的に配布できる。これにより、ピンポイントで不正パケットのみを破棄し、正規サービスの稼働を完全に継続可能となる。
2. ルータ（FRR / Cisco IOS-XR / Juniper Junos）におけるFlowspec設定
オープンソースのFRRouting 9.xやArista EOSでは、Flowspecアドレスファミリを有効化し、フロー仕様ルールをピアリングルータへ安全に配信する。
router bgp 65001 address-family ipv4 flowspec neighbor 192.0.2.254 activate exit-address-family ! # NTPアンプ攻撃（UDP 123発、パケット長400バイト以上）の線速ドロップルール flowspec address-family ipv4 match destination 203.0.113.50/32 match protocol udp match source-port 123 match packet-length > 400 then traffic-rate 0
BGP Flowspecルールを受信したエッジルータは、自律的にフォワーディングエンジン（ASIC TCAM）へACLエントリを展開し、CPUに負荷をかけることなくハードウェアワイヤレート（400Gbps）で攻撃トラフィックを消滅させる。