sg sg-security-measures network_security threat_vulnerability access_control
まず結論
ARPスプーフィングは、偽のARP情報を送って、IPアドレスとMACアドレスの対応関係をだます攻撃です。
SG試験では、細かい攻撃手順よりも、ARPの正常な役割と、中間者攻撃につながる理由を押さえることが大切です。
特に、次のように切り分けます。
- ARP：IPアドレスからMACアドレスを調べる正常な仕組み
- ARPスプーフィング：偽のARP情報で通信先をだます攻撃
- IPスプーフィング：送信元IPアドレスを偽る攻撃
直感的な説明
ARPは、LAN内で通信するときに、
このIPアドレスの機器は、どのMACアドレスですか？
と確認する仕組みです。
ARPスプーフィングでは、攻撃者がこの確認に対して、うその情報を返します。
たとえば、本当はルータのMACアドレスではないのに、
ルータのIPアドレスは、私のMACアドレスです
と偽って知らせます。
すると、PCは攻撃者の端末をルータだと思い込み、通信を攻撃者へ送ってしまいます。
つまりARPスプーフィングは、LAN内の住所録をこっそり書き換えるような攻撃です。
定義・仕組み
ARPスプーフィングは、ARPの性質を悪用して、IPアドレスとMACアドレスの対応関係を偽装する攻撃です。
ARPでは、取得したIPアドレスとMACアドレスの対応関係を、ARPテーブルに一時的に保存します。
攻撃者が偽のARP応答を送ると、被害者のPCはARPテーブルに誤った対応関係を登録してしまうことがあります。
正常なARPの流れ
| 流れ | 内容 |
|---|---|
| 1 | PCが通信先のIPアドレスを確認する |
| 2 | 対応するMACアドレスが分からない場合、ARPで問い合わせる |
| 3 | 正しい機器がMACアドレスを応答する |
| 4 | PCはそのMACアドレスへ通信する |
ARPスプーフィングの流れ
| 流れ | 内容 |
|---|---|
| 1 | 攻撃者が偽のARP情報を送る |
| 2 | PCが誤ったIPアドレスとMACアドレスの対応を覚える |
| 3 | 本来ルータへ送る通信を攻撃者へ送ってしまう |
| 4 | 攻撃者が通信を盗聴・改ざんできる可能性がある |
ここで重要なのは、ARPスプーフィングは同じLAN内で成立しやすい攻撃だという点です。
どんな場面で問題になる？
ARPスプーフィングは、主にLAN内の通信で問題になります。
たとえば、社内LANや公衆無線LANなどで、攻撃者が同じネットワーク内にいる場合です。
攻撃が成功すると、次のような被害につながるおそれがあります。
| 被害 | 内容 |
|---|---|
| 盗聴 | 通信内容を見られる |
| 改ざん | 通信内容を書き換えられる |
| なりすまし | 正規の機器に見せかける |
| 中間者攻撃 | 通信の間に攻撃者が入る |
ただし、HTTPSなどで通信内容が暗号化されていれば、通信の中身をそのまま読まれにくくなります。
そのため、ARPスプーフィングの対策は、ネットワーク側の対策だけでなく、通信内容の暗号化とも組み合わせて考えます。
中間者攻撃との関係
ARPスプーフィングは、中間者攻撃のきっかけになることがあります。
中間者攻撃とは、利用者と通信先の間に攻撃者が入り込み、通信を盗聴・改ざんする攻撃です。
ARPスプーフィングでは、攻撃者が偽のARP情報を使って、被害者の通信を自分の端末へ向けさせます。
その結果、次のような状態になります。
| 本来の通信 | 攻撃後の通信 |
|---|---|
| PC → ルータ → インターネット | PC → 攻撃者 → ルータ → インターネット |
このように、攻撃者が通信経路の途中に入るため、中間者攻撃につながります。
SG試験では、ARPスプーフィング＝中間者攻撃を成立させる手段の一つと考えると整理しやすいです。
IPスプーフィングとの違い
ARPスプーフィングとIPスプーフィングは名前が似ていますが、だましている対象が違います。
| 用語 | だますもの | ポイント |
|---|---|---|
| ARPスプーフィング | IPアドレスとMACアドレスの対応関係 | LAN内の通信先をだます |
| IPスプーフィング | 送信元IPアドレス | 送信者を別のIPアドレスに見せかける |
判断基準は、次のとおりです。
- IPからMACの対応を偽る → ARPスプーフィング
- 送信元IPアドレスを偽る → IPスプーフィング
問題文に「MACアドレス」「ARPテーブル」「LAN内」「中間者攻撃」などが出てきたら、ARPスプーフィングを疑います。
対策の考え方
ARPスプーフィングへの対策は、偽のARP情報を信じにくくすることと、通信内容を守ることです。
代表的な対策は次のとおりです。
| 対策 | 考え方 |
|---|---|
| 静的ARPエントリ | 重要な機器のIPとMACの対応を固定する |
| スイッチのセキュリティ機能 | 不正なARP通信を検知・制御する |
| ネットワーク分離 | 攻撃者が同じLANに入りにくくする |
| HTTPSやVPNの利用 | 通信内容を暗号化する |
| 不審なARPテーブルの確認 | 通信トラブルや攻撃の兆候を調べる |
SG試験では、製品機能名を細かく覚えるよりも、
ARPスプーフィングはLAN内の対応表をだます攻撃なので、ネットワーク内への侵入防止・ARP情報の検証・通信の暗号化が有効
と理解しておくと十分です。
よくある誤解・混同
誤解1：ARPスプーフィングはIPアドレスを偽る攻撃
ARPスプーフィングは、IPアドレスそのものを偽るというより、IPアドレスとMACアドレスの対応関係を偽る攻撃です。
送信元IPアドレスを偽る攻撃は、IPスプーフィングです。
誤解2：ARPスプーフィングはインターネット全体で起きる攻撃
ARPは基本的に同じLAN内で使われる仕組みです。
そのため、ARPスプーフィングも、主に同じLAN内に攻撃者がいる場面で問題になります。
誤解3：HTTPSならARPスプーフィングは関係ない
HTTPSを使うと、通信内容を読まれにくくできます。
しかし、ARPスプーフィング自体はネットワーク内の通信経路をだます攻撃なので、HTTPSだけで攻撃そのものがなくなるわけではありません。
通信経路の対策と、通信内容の暗号化は分けて考えます。
誤解4：MACアドレスフィルタリングだけで防げる
MACアドレスフィルタリングは、登録されたMACアドレスの機器だけを接続許可する補助的な対策です。
ただし、MACアドレスは偽装される可能性があるため、ARPスプーフィング対策として過信してはいけません。
SG試験での判断ポイント
SG試験では、次のキーワードで切り分けると判断しやすくなります。
| キーワード | 選びやすい用語 |
|---|---|
| IPアドレスからMACアドレスを取得 | ARP |
| 偽のARP応答 | ARPスプーフィング |
| ARPテーブルを書き換える | ARPスプーフィング |
| 通信の間に攻撃者が入る | 中間者攻撃 |
| 送信元IPアドレスを偽る | IPスプーフィング |
| 登録済みMACアドレスだけ許可 | MACアドレスフィルタリング |
特に、
偽のARP情報で、通信を攻撃者の端末へ向ける
という説明があれば、ARPスプーフィングを選びます。
確認問題
社内LANに接続した攻撃者が、偽のARP応答を送信し、利用者PCのARPテーブルに誤ったIPアドレスとMACアドレスの対応関係を登録させた。その結果、本来ルータへ送られる通信が攻撃者の端末を経由するようになった。この攻撃として最も適切なものはどれか。
- ア IPスプーフィング
- イ ARPスプーフィング
- ウ DNSキャッシュポイズニング
- エ ブルートフォース攻撃
回答と解説
正解は、**イ ARPスプーフィング**です。 ARPスプーフィングは、偽のARP情報を送って、IPアドレスとMACアドレスの対応関係をだます攻撃です。 問題文の「ARPテーブル」「IPアドレスとMACアドレスの対応関係」「通信が攻撃者の端末を経由する」が決め手です。 アのIPスプーフィングは、送信元IPアドレスを偽る攻撃です。 ウのDNSキャッシュポイズニングは、DNSの名前解決情報を偽る攻撃です。 エのブルートフォース攻撃は、パスワードなどを総当たりで試す攻撃です。まとめ（試験直前用）
ARPスプーフィングは、偽のARP情報でIPアドレスとMACアドレスの対応関係をだます攻撃です。
試験直前には、次の3点で整理しましょう。
- IPからMACを調べる正常な仕組みはARP
- 偽のARP情報で通信先をだますのがARPスプーフィング
- 通信の間に入ると中間者攻撃につながる
ARPスプーフィングは、単独の用語として覚えるよりも、ARP、MACアドレス、ARPテーブル、中間者攻撃、IPスプーフィングとの違いで整理すると、問題文から判断しやすくなります。