• BPnet
  • ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版
  • PR

  • PR

  • PR

  • PR

  • PR

ぜい弱性に揺らぐインターネット

[ARPスプーフィング]他のマシンあての通信を乗っ取り,監視強化が先決

田村 奈央=日経コミュニケーション 2009/03/05 日経コミュニケーション
出典:日経コミュニケーション 2009年2月1日号pp.36-37
(記事は執筆時の情報に基づいており、現在では異なる場合があります)
目次一覧

 2008年6月1日から2日にかけて,ホスティング事業者のさくらインターネットが預かる複数のサーバーの送信データが改ざんされる事件があった。この改ざんは1980年代に標準化されたプロトコル,ARPの仕様を悪用した「ARPスプーフィング」によるものだった。ARPスプーフィングとは,LAN内の他のマシンあての通信を乗っ取る手口である。乗っ取ることで通信内容の改ざんが可能になる。

エンド・ユーザーに被害が及ぶ可能性も

 さくらインターネットの事件では,同社のデータ・センター内のサーバーの1台にぜい弱性があり,マルウエアに感染。このマルウエアが同一LAN内の他のサーバーにARPスプーフィングを仕掛け始めた。他のサーバーがARPでLAN内のルーター(デフォルト・ゲートウエイ)のMACアドレスを問い合わせた際,感染サーバーが自身のMACアドレスを返信。以降,インターネットに出て行く通信をすべて感染サーバー経由にしてしまった。この時,感染サーバーを経由するHTMLデータなどに悪質なコードを埋め込まれると,エンド・ユーザーのパソコンがマルウエアに感染させられたり,悪質なWebサイトに誘導されてしまう恐れがあった(図1)。

図1●ARPスプーフィングの例
2008年6月にホスティングなどを手がけるさくらインターネットで起こったケース。サーバーCから,インターネットに出て行く通信データを改ざんされるといった被害が起こった。
[画像のクリックで拡大表示]

 主にインターネット上で活用するDNSやBGPと異なり,ARPはLAN内で利用する。だが,ARPスプーフィングをイントラネット内部だけの脅威と考えるのは間違いだ。図1のように,最近ではインターネットに公開されているサーバーのぜい弱性を利用してARPスプーフィングを仕込み,インターネット経由でアクセスしてくるエンド・ユーザーのパソコンに被害を与えるケースが増えている。

IPとMACアドレスの関連付けを改ざん

 ARPはIP通信(レイヤー3)で使うIPアドレスと,イーサネット通信(レイヤー2)で使うMACアドレスの関連付けを担う。

 例えばLAN内のサーバーからインターネットを経由した先にあるパソコンにパケットを送る場合,サーバーはイーサネットによる通信を開始するため,デフォルト・ゲートウエイのIPアドレス(ここではx.x.x.x)からMACアドレスを調べる必要がある。その際に使うプロトコルがARPで,LAN内のすべての機器に対して「IPアドレスx.x.x.xの機器のMACアドレスは?」と問い合わせる。該当するIPアドレスを持つデフォルト・ゲートウエイは,自分のMACアドレスをサーバーに送り返す。

 イーサネットで通信をする機器は,MACアドレスとIPアドレスの関連付けを記述した「ARPテーブル」を持っている。1度調べたMACアドレスは「ARPキャッシュ」としてARPテーブルに保存しておき,以降の通信の際に参照する。ARPスプーフィングは,このARPテーブルに偽の情報をキャッシュさせて通信を乗っ取る。

 ARPはLAN内で素早くMACアドレスを知るための簡易プロトコルなので,認証機能を備えていない。仕様上は,ARPの問い合わせ/応答が正しいかどうかは確認できないのだ。

ARPテーブル監視などで対策

 ARPスプーフィングを検出するにはサーバーやルーターを監視する手段がある。さくらインターネットでは,まず監視サーバーを設置し,定期的にデフォルト・ゲートウエイのIPアドレスあてにARPで問い合わせを投げることにした。複数の機器から応答があったら,管理者に警告する。また,デフォルト・ゲートウエイのルーターのARPテーブルを監視し,「同じMACアドレスに関連付けられたIPアドレスが複数ある」,「複数のIPアドレスのMACアドレスが一度に変化した」場合などはARPスプーフィングの疑いがある。この場合はARPテーブルのログを分析し,攻撃元のサーバーをネットワークから切り離す。

ここから先はITpro会員(無料)の登録が必要です。

次ページ ISPによって異なるインシデント体制
  • 1
  • 2

あなたにお薦め

連載新着

連載目次を見る

今のおすすめ記事

ITpro SPECIALPR

What’s New!

経営

アプリケーション/DB/ミドルウエア

クラウド

運用管理

設計/開発

サーバー/ストレージ

ネットワーク/通信サービス

セキュリティ

もっと見る