DDoSテストと負荷テストの違い：必要なのは？

DDoSテストと負荷テストは、どちらもシステムに大量のトラフィックを送るため、混同されがちです。しかし、目的は異なります。負荷テストは、多数の正規ユーザーが訪れたときにアプリケーションが許容できる性能を発揮するかを問います。DDoSテストは、防御を圧倒または消耗させるよう設計されたトラフィックに対して、防御が持ちこたえるかを問います。誤った方を選ぶと、本当の問いに答えが出ないままになりかねません。本ガイドでは両者を比較し、どちらを先に実施すべきかの判断を支援します。

何であるのか

負荷テストとストレステストは、現実的なユーザー行動をシミュレートします。閲覧、ログイン、検索、カートへの追加、購入手続き、APIの呼び出しなどです。テストではトラフィックを想定値やピーク値まで段階的に増やし、限界点を見つけるためにそれを超えることもあります。結果は、応答時間、エラー率、スループット、リソース使用量に焦点を当て、遅いデータベースクエリ、限られたコネクションプール、反応の遅いオートスケーリングなどのボトルネックの特定に役立ちます。DDoSレジリエンステストは、敵対的なトラフィックパターンをシミュレートします。ネットワークレベルのフラッド、接続の枯渇、キャッシュを回避するよう設計された大量のアプリケーションリクエストなどです。結果は、対策サービス、レート制限、WAFルール、上位の防御がトラフィックを検知・吸収するか、それにどのくらいの時間がかかるか、正規ユーザーがどのような影響を受けるかに焦点を当てます。負荷テストは主に容量と効率に関するものであり、DDoSテストは主に防御と対応に関するものです。どちらも書面のスコープ、安全な制限、停止条件が必要であり、DDoSテストではほとんどの場合、さらに事業者の承認が必要です。

誰のために

この比較は、次のようなチームに役立ちます。

リリース、キャンペーン、季節的なピークに向けて準備しており、容量に確信を持ちたい
CDNやDDoS対策サービスを導入しており、その動作を確認したい
速度低下や障害を経験したが、原因が負荷なのか攻撃なのか分からない
なぜ2種類のトラフィックテストが提案されているのかを経営陣に説明する必要がある

明確にするのに役立つこと

両者を比較することで、次の点が明確になります。

主なリスクが、正規の需要が容量を超えることなのか、敵対的なトラフィックが防御を超えることなのか
どの環境が適しているか（負荷テストには本番に近いステージング環境、レジリエンステストには調整済みの本番環境での時間枠）
どの指標が重要か（応答時間とエラー率か、検知・対策発動までの時間・ユーザーへの影響か）
どの事業者に通知し、承認を得る必要があるか

含まれる内容

負荷テストを選ぶ場合：リリースやピークが近い、性能への不満が繰り返し寄せられている、アーキテクチャやホスティングを変更した
DDoSテストを選ぶ場合：実際に動作するところを見たことのない対策サービスに依存している、注目度の高いサービスを運営している、顧客やパートナーからレジリエンスについて質問されている
負荷テストでは：ユーザージャーニー、想定量とピーク量、テストデータ、成功基準を定める
DDoSテストでは：攻撃シナリオ、最大レート、事業者の承認、停止条件を定める
両方に共通：環境、時間枠、監視、指名連絡先、報告方法を合意する
順序を検討する：防御をテストする前に、負荷テストで見つかった容量の問題を修正する

含まれていないもの

いずれかのテストで稼働時間が確保される、または将来のあらゆるトラフィック事象から保護されるという主張
必要な場合に、書面による許可と事業者の承認なしで行うテスト
別途スコープを定めない限り、継続的な監視やインシデント対応
詳細なトラフィック生成手法

それを選ぶべきとき

迷う場合は、答えを得たい問いから始めてください。問いが「リリース当日に想定される顧客に対応できるか」であれば、負荷テストを実施してください。問いが「誰かが当社をオフラインにしようとした場合、防御は持ちこたえるか」であれば、DDoSレジリエンステストを実施してください。多くの組織は両方を順番に実施しています。負荷テストで健全なベースラインを確立し、そのうえでレジリエンステストでそのベースラインに照らして防御を評価します。

私たちのアプローチ

テストの前に成功の定義を決めてください。負荷テストであれば、一定数の同時ユーザーでの許容可能な応答時間かもしれません。レジリエンステストであれば、対策が発動するまでの時間と、その間に正規ユーザーが受ける影響の程度かもしれません。当社のApplication Load & Stress Testing サービスは、合意した利用シナリオ、負荷水準、環境、安全上の制限のもとでアプリケーションの挙動を評価します。当社のDDoS Resilience Testing サービスは、事業者との調整を含め、合意した妨害シナリオを書面の制限内で評価します。いずれも書面による指摘事項と優先順位付きの推奨事項を提供し、是正や継続的な監視は、別途合意した範囲で追加できます。両方を計画している場合は、環境、連絡先、報告形式がそろい、結果を比較できるよう、まとめてスコープを定めてください。

DDoS Resilience Testing

DDoS Resilience Testingのサービスページを見る