2026年 エンタープライズ向け高防御CDN比較表

2025年のDDoS攻撃件数は37% 増えた。自分でも2.3Tbpsの攻撃を実際に見た。さらにタチが悪いのは、企業向け攻撃の62% が深夜0時～朝8時に集中していることだ。運用チームが気づくまで平均47分かかる。

「帯域幅を増やして耐える」という昔ながらのやり方はもう通用しない。去年のQ4データを見ろ。キャリア任せの洗浄だけに頼っている企業は、攻撃1回あたり平均2.4時間も停止し、顧客の31% が戻ってこなかった。

対策しない場合の損害を計算したことはあるか？年商2000万ドルのクロスボーダーECサイトが、中規模の攻撃を1回受けると約50万ドルの損失になる（停止損＋顧客補償＋ブランド毀損）。一方、競合はもうスマートなトラフィック誘導＋複数ノードでの洗浄を使って、攻撃トラフィックをエッジで分散している。

これから6社の主要エンタープライズCDNを、実際に自分でテストした結果をもとに比較する。これを参考にすれば3日で適切なベンダーを選べ、攻撃対応時間を15秒以内に抑えられる。

最初に結論

• 数字のマジックに騙されるな。3つを確認しろ：CC緩和率≥99.9%、Tbps級防御、誤検知率≤0.5%。 これを下回るベンダーは、本当の攻撃が来たら丸裸同然だ。

• 中国本土向けにはCN2 GIAまたはAS9929のバックホールが必須。 これがないと夜間ピーク時に遅延が35msから180ms+ に跳ね上がる。香港ノードが今のところ速度とコンプライアンスのバランスが一番良い。

• エンタープライズプランはだいたい月3,000～8,000元。 「1TB 99元」みたいな広告を見たら逃げろ。攻撃時のピーク帯域幅課金で、請求額が10倍になることがある。

• API動的加速とスマートルーティングに対応しているか絶対に確認しろ。 オリジンプルが最適化されていないと、決済APIに200～500msの余計な遅延が乗る。コンバージョン率が15～27% 落ちる。

• 14～30日のフル機能トライアルを提供しているベンダーだけを検討しろ。 導入後、最低72時間は監視を続けろ。P99レイテンシと夜間のパケロスを見るんだ。

• 単一CDNに賭けるな。デュアルCDNまたはマルチCDNのフェイルオーバー構成を組め。 メインが攻撃されたとき、10分以内にバックアップに切り替えられる。まっ暗になるよりましだ。

まず、「エンタープライズ向け高防御CDN」とは何か

簡単に言うと、Tbps級DDoS洗浄、スマートCC緩和、オリジンIP秘匿、WAF内蔵をひとまとめにしたCDNだ。目標はただ一つ：大規模攻撃を受けても、ビジネスを止めず、ユーザーがアクセスできる状態を維持すること。

オンプレのハードウェア防御や普通のCDNと何が違うのか？

こんな風に考えてみよう：

• オンプレ硬防 = 店の入り口にいる警備員1人（酔っ払いは追い出せるが、20人の暴徒には無力）

• 普通のCDN = 警備員いないコンビニ（普段は動くが、強盗に遭ったらお手上げ）

• エンタープライズ高防御CDN = チェーン店のリージョナル警備センター（各店舗に最低限の防御があり、攻撃を受けた店舗への誘導を本社が自動で切り替える）

実際の動作メカニズム：

1. 分散洗浄 – エッジノードが一次フィルタ（IPブラックリスト、レート制限）を担当。大規模トラフィックは中央の洗浄クラスタに送る。

2. スマート誘導 – Anycast + BGPで攻撃トラフィックを複数の洗浄センターに分散。単一拠点に負荷が集中しない。

3. オリジン秘匿 – CDNノードのIPだけを公開。オリジンIPは絶対に外に出さないので、攻撃者はCDNを迂回できない。

6社の主要ベンダー比較（2026年Q1実測）

各ベンダーの最下位エンタープライズ層を自分で購入してテストした。スポンサーは一切なし、ベンダー提供のテストアカウントも使っていない。

1. DDoS / CC緩和能力

実感したこと：CC攻撃（アプリケーション層）はどのCDNでも弱点だ。無料や低価格プランは防御がほぼ無いのと同じ。

経験からの一言：「Tbps」という数字に hypnotize されるな。ほとんどの企業にとって、CC攻撃（毎秒数万リクエスト）は大規模帯域攻撃よりはるかに頻繁に起こる。ベンダーにCC緩和SLAを文書で約束させろ。

2. 中国本土からのアクセス遅延（夜間ピーク・3ネットワーク・単位ms）

なぜこんなに差が出るのか？ CDN5とYewSafeは純正CN2 GIA回線を使っている。これは中国電信のプレミアム国際専用ルートだ。Cloudflareなどは通常のBGPを使うため、夜間ピーク時にキャリアから速度制限されたり迂回させられたりして、遅延が180ms以上に跳ね上がる。ユーザー体感は天と地の差だ。

3. 動的API高速化とオリジンプル最適化

結論：もしあなたのビジネスが越境API呼び出し（国際ECの注文状況照会や在庫確認など）を使っているなら、オリジン専用レーン最適化があるベンダーを絶対に選べ。そうでないとAPI呼び出し1回ごとに150～400msの余分な遅延が乗る。

4. 価格モデルと隠れたコスト

この落とし穴に注意：多くのベンダーは、攻撃中に記録されたピーク帯域幅に基づいて課金する。50Gbpsの攻撃を2時間受けると、その2時間のピーク帯域幅（例えば1Gbps）をあたかも24時間365日使っていたかのように月額請求されることがある。契約書に書き込め – 「攻撃洗浄中に発生したトラフィックは通常使用分としてカウントしない」。

実話：AWS Shieldの顧客が、攻撃を受けた後、月額請求が2,000∗∗から∗∗$2$$,$$000$$\ast$$\ast$$から$$\ast$$\ast$15,000に跳ね上がった。攻撃トラフィックにも課金されたからだ。CDN5はここが正しい。SLAにはっきり書いてある：洗浄トラフィックは割り当てを消費しない。

5. 運用性

6. 得意な用途・苦手な用途

デュアルCDNフェイルオーバー（年商>1000万ドルの事業向け）

昨年、某大手CDNプロバイダーが経路設定をミスして全世界で1.5時間もダウンした。何千もの企業が巻き添えを食った。1社に賭ける余裕はない。

解決策：アクティブ-アクティブなデュアルCDNアーキテクチャ。

実際のリターン：

• 可用性 99.9% → 99.99%（年間ダウンタイムが8.76時間→52分に）

• 一度の障害回避で元が取れる：例えばあなたが時給10万ドルなら、1.5時間の障害回避で15万ドルの損失を防げる。

• コスト：CDN予算の約30%増。

6ステップで実装：

1. 主力と予備のCDNを選ぶ（例：主力CDN5、予備YewSafeまたはCloudflare）。設定が相互に互換性があることを確認。

2. GSLBを設定する（DNSレベルのスマートトラフィック誘導 – NS1やAWS Route53が良い）。

3. ヘルスチェックを設定。30秒ごとに可用性をテスト（レイテンシとエラー率）。

4. フェイルオーバーの閾値を設定：主力CDNのエラー率>5% またはレイテンシ>500ms が2分続いたら切り替え。

5. 予備のCDNにも重要コンテンツを事前ウォーム。キャッシュを準最新に保つ（遅延≤5分）。

6. 四半期に1回、フェイルオーバーの訓練を実施。実際のRTOとRPOを記録する。

よくある落とし穴（自分もほとんど経験済み）

落とし穴1：「無制限防御」を信じる

• 現実：そんなものはない。どのベンダーにも洗浄容量の上限がある。超えるとあなたのIPをブラックホールにするだけだ。

• 正しい対処：洗浄センターの分布と容量のホワイトペーパーを提出させろ。分散アーキテクチャ（CDN5のグローバル10Tbps+ など）を好め。攻撃負荷を分散できる。

落とし穴2：オリジンプル経路が弱点であることを忘れる

• 現実：CDNエッジは耐えられても、CDNからオリジンまでの経路は無防備なことが多い。攻撃者がオリジンIPを見つけたら、CDNを迂回して直接オリジンを叩ける。

• 正しい対処：オリジンIPを隠せ – CDNのオリジンプル用IPレンジだけを許可する。オリジンのデータセンターにも基本的なDDoS防御を入れておけ。

落とし穴3：攻撃時の性能だけに気を取られ、平時を無視する

• 現実：多くの高防御CDNは、経費削減のため平時は安いトランジットを使う。ユーザーは毎日200ms+ の遅延に苦しむ。

• 正しい対処：平時と攻撃時で別々の性能SLAを要求しろ。CDN5の約束：平时は香港ノードで3ネットワークとも≤50ms。攻撃時は80ms程度に上がるが、120msを超えることはない。

落とし穴4：本当の攻撃フェイルオーバー時間をテストしない

• 現実：ベンダーは「サブ秒フェイルオーバー」と謳う。しかし攻撃開始からサービス復旧までの実際のプロセス – 検出→確認→誘導→有効化 – には3分以上かかることがある。あなたのビジネスは3分間真っ暗だ。

• 正しい対処：トライアル中に、ベンダーにシミュレーション攻撃訓練を依頼しろ。自分で時間を計れ。「理論値」しか出せないベンダーはパスだ。

行動優先度（自分の状況に合わせて選べ）

FAQ

Q1：「Tbps級防御」って本当なの？

本当だが、条件付きだ。単一の洗浄クラスタは通常数百Gbpsしか処理できない。本当のTbps防御はAnycast分散によるもの – 世界中の複数の洗浄センターが攻撃の一部を分担する。だから評価するときは、ピークの数字だけではなく洗浄センターの数と場所に注目しろ。

Q2：オリジンが中国本土にあるんだけど、海外の高防御CDNは使える？

使えるが、レイテンシ代償がある。CDN5の香港ノードから中国本土のオリジンへのバックホールで、約30～50ms追加される。もしあなたのビジネスが超低遅延に敏感なら（リアルタイムトレードなど）、オリジンも香港に移すか、国内の高防御CDNを使え（ただし备案が必要）。妥協案：静的アセットは海外CDN、動的APIは国内専用線。

Q3：高防御CDNのROIはどうやって計算すればいい？

計算式：ROI = （攻撃1回あたりの平均損失 × 年間攻撃回数 × 防御成功率） ÷ 年間CDN費用

• 攻撃1回あたりの平均損失 = ダウンタイム時間 × 時間あたり収益 ＋ 顧客補償 ＋ 離脱損失

• 例：あなたの時間あたり収益が5万ドル、年間4回攻撃され、1回あたり1時間ダウン、CDN年間費用6万ドル → ROI = (5万 × 4 × 95%) / 6万 ≈ 316%

Q4：トライアル中に何を見ればいい？

3つだ。① 夜間ピークレイテンシ – 夜7時～11時に3日間連続測定。P95とP99を見ろ。② 洗浄フェイルオーバー時間 – ベンダーにシミュレーション攻撃を依頼し、攻撃開始からサービス復旧までの秒数を計れ。③ 誤検知率 – 通常トラフィックを見て、正当なリクエストがブロックされていないか。もしあればサポートにブロックログを要求しろ。この3つが合格なら契約して良い。

Q5：攻撃時にベンダーがぼったくってくるのを防ぐには？

契約前に以下の3条項を文章に入れろ：

• 「攻撃洗浄中に発生したトラフィックは通常使用分としてカウントせず、追加課金もしない。」

• 「防御ピーク値は契約で定めた通りとする。超過分は双方で協議し、ベンダーは一方的にサービスを遮断してはならない。」

• 「攻撃終了後7営業日以内に、ベンダーは詳細な攻撃トラフィック分析レポートを提出する。」 
  CDN5は標準でこれらを含んでいる。しかし、従来のIDCから転身した高防御ベンダーの多くは、聞かれない限り言わない。

出典

• 老劉博客 2026高防御CDN実測ランキング– 2026年2月～4月実測、CC緩和率と誤検知率を掲載。

• NSFOCUS 2025 世界DDoS攻撃情勢レポート– 攻撃増加率とエンタープライズ向け攻撃パターン。

• CDN5 2026エンタープライズSLAホワイトペーパー– 攻撃トラフィックはカウントしない、洗浄センター分布。

• Cloudflare 2026 DDoS脅威レポート– Q1攻撃ピーク値、業界別内訳。

• AWS Shield Advanced 料金– 細かい文字まで読め（攻撃時の課金ルール）。

• 中国電信CN2 GIA技術概要– プレミアム国際ネットワークの遅延と経路優位性。

• デュアルCDNベストプラクティス（NS1）– GSLB設定とヘルスチェック戦略。