変更要約: 初版
6.4攻撃と対策
大量のリクエストでサービスを停止させるDoS/DDoS（SYN Flood・リフレクション攻撃・増幅攻撃）、DNS応答を偽装するDNSキャッシュポイズニング、LAN内でMACアドレスを偽装するARPスプーフィングとそれによる中間者攻撃、事前調査に使われるポートスキャン、そしてこれらへの対策となるDNSSEC・DHCPスヌーピング・送信ドメイン認証（SPF/DKIM/DMARC）、境界を前提としないゼロトラスト・SASEを学びます。
ネットワーク運用者にとって、観測された異常な事象（急な通信量増加、DNSの応答異常、LAN内の不審な通信）から攻撃の種類を正しく診断し、適切な対策を選ぶ能力は、障害対応・インシデント対応の核心です。この節では代表的な攻撃手法の仕組みを理解した上で、事象から原因を推定し対策につなげる思考の型を身につけます。
6.4.1DoS/DDoS攻撃
- DoS攻撃＝標的のサービスを提供不能にすることを目的とした攻撃。DDoS攻撃＝多数の踏み台端末（ボットネット等）から分散して同時に攻撃を仕掛ける方式で、送信元が分散するため単純なIPアドレス遮断では防ぎにくい。
- SYN Flood攻撃＝TCPの3ウェイハンドシェイクのSYNパケットのみを大量送信し、ACKを返さず接続確立を完了させない攻撃。サーバ側は半開接続（ハーフオープン）の管理テーブルを大量に消費し、正規の接続要求を処理できなくなる。対策にはSYN Cookie（接続情報をサーバ側に保持せず暗号学的に生成したシーケンス番号に埋め込む方式）がある。
- リフレクション攻撃＝送信元IPアドレスを標的のIPアドレスに偽装したリクエストを多数の中継サーバ（DNSサーバ等）へ送り、応答を標的に集中させる攻撃。応答パケットのサイズがリクエストより大きいプロトコル（DNS・NTP等）を悪用すると、少ない送信量で大きな攻撃トラフィックを生み出す増幅（アンプリフィケーション）攻撃になる。
6.4.2DNSキャッシュポイズニングとARPスプーフィング
- DNSキャッシュポイズニング＝キャッシュDNSサーバに偽の名前解決結果を注入し、利用者を偽サイトへ誘導する攻撃。正規の権威DNSサーバからの応答より先に偽の応答を到達させる手口が使われる。対策として、DNS応答にデジタル署名を付与し正当性を検証するDNSSECがある。
- ARPスプーフィング＝攻撃者が偽のARP応答（IPアドレスと自分のMACアドレスの対応）をLAN内に送信し、他端末のARPキャッシュを汚染する攻撃。これにより本来のゲートウェイ宛の通信が攻撃者の端末を経由するようになり、中間者攻撃（Man-in-the-Middle）（通信の盗聴・改ざん）に悪用される。対策として、スイッチが正規のDHCPで払い出されたIP-MACの対応を記録し、それ以外のARP応答を破棄するDHCPスヌーピング（連携したダイナミックARPインスペクション）がある。
「SYN Flood＝SYNのみ大量送信・ACK未返送で半開接続を枯渇」「リフレクション＝送信元IP偽装で応答を標的に集中」「増幅＝応答が大きいプロトコルを悪用」「DNSキャッシュポイズニング＝偽の名前解決結果を注入」「ARPスプーフィング＝偽ARP応答でMACアドレス偽装→中間者攻撃」の因果関係が最頻出です。事象（半開接続の急増・DNS応答異常・ARPキャッシュ異常）から攻撃を逆引きできるようにしましょう。
6.4.3ポートスキャンとゼロトラスト・SASE
- ポートスキャン＝標的ホストの各ポートへ順次アクセスを試み、開いているポート（稼働中のサービス）を洗い出す偵察行為。攻撃の前段として脆弱なサービスを探す目的で使われることが多く、不要なポートを閉じる・IDSで検知するなどの対策が有効。
- 送信ドメイン認証（SPF・DKIM・DMARC）＝メールの送信元ドメインの正当性を検証し、なりすましメール（フィッシング等）を防ぐ仕組み。SPFは送信元IPアドレスをDNSで検証、DKIMは電子署名で検証、DMARCはSPF/DKIMの検証結果に基づく処理方針を宣言する。
- ゼロトラスト＝「社内ネットワークだから安全」という境界防御の前提を置かず、あらゆるアクセスを都度検証する考え方。SASE（Secure Access Service Edge）＝SD-WANとセキュリティ機能（ゼロトラストアクセス・WAF・FW等）をクラウド上で統合提供するアーキテクチャで、拠点や社外からのアクセスを一元的に保護する。
あるネットワーク運用者が、公開Webサーバへの接続要求が急増し、正規利用者からは「サイトにつながらない」という報告が相次いでいるという事象に直面したとします。監視ログを見ると、大量のSYNパケットが送られているがACKで応じるコネクションがほとんどない状態です。ここからSYN Flood攻撃による半開接続テーブルの枯渇が原因と診断でき、対策としてサーバ/ロードバランサでのSYN Cookieの有効化や、上位のIPS/DDoS対策サービスでの異常なSYNトラフィックの遮断を検討します。次に別のインシデントとして、社内の複数端末が「正規のサイトのはずなのに証明書エラーが出る」「見慣れないサイトに誘導される」と報告してきたとします。これはDNS応答が偽装されている可能性が高く、DNSキャッシュポイズニングを疑い、キャッシュDNSサーバのキャッシュをクリアするとともに、恒久対策としてDNSSECの導入を検討します。さらに社内LANで、特定の端末だけ通信が異常に遅く、パケットキャプチャで確認すると本来のデフォルトゲートウェイとは異なるMACアドレスへの通信が発生していることが分かったとします。これはARPスプーフィングによる中間者攻撃の兆候であり、攻撃者の端末が通信を中継して盗聴している可能性が高いと診断し、該当端末をネットワークから隔離した上で、恒久対策としてスイッチにDHCPスヌーピング（およびダイナミックARPインスペクション）を設定し、不正なARP応答を遮断する構成に変更します。このように、観測された症状の特徴（半開接続か、名前解決の異常か、LAN内のMACアドレス異常か）から攻撃の種類を一意に絞り込み、対策を選ぶのがインシデント対応の実務です。
| 観測された事象 | 推定される攻撃 | 主な対策 |
|---|---|---|
| SYNのみ大量・ACK未完了で接続要求が処理不能 | SYN Flood攻撃 | SYN Cookie・上位でのトラフィック遮断 |
| 正規サイトのはずが証明書エラー・別サイトへ誘導 | DNSキャッシュポイズニング | DNSSEC・キャッシュクリア |
| 特定端末の通信が本来と異なるMACアドレス経由 | ARPスプーフィング（中間者攻撃） | DHCPスヌーピング・動的ARP検査 |
ひっかけ： 「DDoS攻撃は単一の送信元IPアドレスを遮断すれば防げる」は誤りです——DDoSは多数の踏み台端末から分散して攻撃するため、単純な送信元遮断では防ぎきれません。また「ゼロトラストは社内ネットワークを信頼して境界だけを厳重に守る考え方」も誤り＝ゼロトラストは「社内だから安全」という前提そのものを置かず、あらゆるアクセスを都度検証する考え方で、従来の境界防御モデルとは逆の発想です。
6.4.4この節のまとめ
- SYN Floodは半開接続の枯渇を狙い、リフレクション/増幅攻撃は送信元IP偽装と応答拡大を悪用する
- DNSキャッシュポイズニングは偽の名前解決結果注入、ARPスプーフィングは偽ARP応答で中間者攻撃を招く
- 対策はDNSSEC・DHCPスヌーピング・送信ドメイン認証。境界を前提としないゼロトラスト・SASEへの移行も選択肢
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 公開Webサーバへの接続要求が急増し、監視ログでSYNパケットは大量に届くがACKで完了する接続がほとんどないことが分かった。最も可能性の高い攻撃と直接的な対策はどれか。
Q2. 社内LANの特定端末だけ通信が異常に遅く、パケットキャプチャで本来のデフォルトゲートウェイと異なるMACアドレスへの通信が確認された。最も可能性の高い攻撃と恒久対策はどれか。
Q3. 自社ドメインを騙るフィッシングメールの被害が報告されている。メールの送信元ドメインの正当性を検証し、なりすましメールを排除する仕組みとして最も適切なものはどれか。