ARP／ARPスプーフィングとは？

ARP／ARPスプーフィングの意味

ARPはIPアドレスからMACアドレスを解決するプロトコル。ARPスプーフィングは、偽のARP応答を流して他ホストのARPテーブルを書き換え、通信を自分に引き込む攻撃で、同一セグメント内の中間者攻撃の手段になる。

ARP／ARPスプーフィングの具体例

IPアドレスの重複確認は、対象アドレス宛のARP要求に応答があるかどうかで判断できる。

ARP／ARPスプーフィングは試験でどう引っ掛けられる？

適用範囲を広く取りすぎないこと。ARPはIPv4だけの仕組みで、IPv6では近隣探索（NDP）が同じ役割を担い、対応する攻撃もNDPスプーフィングと呼ばれる。またARPはブロードキャストで届く範囲＝同一のブロードキャストドメイン内でしか成立せず、ルータを越えた別セグメントの端末は狙えない。対策も暗号ではなく、スイッチ側の動的ARP検査やDHCPスヌーピングになる。

ARP／ARPスプーフィングと関連する用語

• 中間者攻撃
• VLAN

ARP／ARPスプーフィングが出た過去問

• VLAN機能をもった1台のレイヤ3スイッチに複数のPCを接続している。スイッチのポートをグループ化して複数のセグメントに分けると，スイッチのポートをセグメントに…

  正解：スイッチが，PCからのブロードキャストパケットの到達範囲を制限するので，アドレス情報の不要な流出のリスクを低減できる。

  要点：VLANはブロードキャスト範囲を分離し情報流出を抑える

  VLANはスイッチのポートを論理的なグループに分け、グループごとに別々のブロードキャストドメインを構成する機能である。ブロードキャストの到達範囲がセグメント内に限られるため、ARP要求などから読み取れるアドレス情報が他セグメントへ漏れず、盗聴による情報収集や不要な通信の広がりを抑えられる。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問12（IPA）

• IPv6の特徴として,適切なものはどれか。

  正解：ヘッダーは固定長であり,拡張ヘッダー長は8オクテットの整数倍である。

  要点：IPv6は40オクテット固定長ヘッダーに拡張ヘッダーを連ねる

  IPv6の基本ヘッダーは40オクテットの固定長で、必要な機能は拡張ヘッダーを数珠つなぎにして表す。各拡張ヘッダーは8オクテットの整数倍に整列するよう定められており、途中の経路上のルータが処理を省けるため転送効率が高い。またフラグメント化は送信元だけが行い、アドレス解決はARPではなく近隣探索（NDP）が担う。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問18（IPA）

• DHCPのクライアントが、サーバから配布されたIPv4アドレスを、クライアント自身のホストアドレスとして設定する際に、そのアドレスが他のホストに使用されていない…

  正解：ARP

  要点：IPアドレス重複の確認はARP要求への応答有無で行う

  割り当てられたIPアドレスが既に他のホストで使われていないかを確かめるには、そのアドレスを問い合わせるARP要求を送り、応答が返ってくるかを見ればよい。応答があれば同じアドレスを使うホストが存在することになり、重複と判断してサーバへ通知し別のアドレスを要求する。自分に割り当てられる予定のアドレスを対象にする点から、この方法はGratuitous ARPとも呼ばれる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問20（IPA）

• マルウェア感染の調査対象のPCに対して,電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち,最も優先して保全すべきものは…

  正解：調査対象のPCで動的に追加されたルーティングテーブル

  要点：証拠保全は揮発性の高いメモリ上の情報から先に採取する

  証拠保全では、失われやすい情報から先に採取するという揮発性の順序(order of volatility)に従う。ARPキャッシュと同様にメモリ上にしか存在せず電源断で消えるのは、動的に追加されたルーティングテーブルなので、アを最優先で保全する。HDD上のファイルやシステムログ、別サーバ内のログは不揮発性で電源を切っても残るため、優先度は低い。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問13（IPA）

• マルウェア感染の調査対象のPCに対して、電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち、最も優先して保全すべきものは…

  正解：調査対象のPCで動的に追加されたルーティングテーブル

  要点：証拠保全は揮発性の高い情報から順に採取する

  証拠保全は「揮発性の高いものから順に採取する」という原則（order of volatility）に従います。ARPキャッシュと同様に動的なルーティングテーブルはメモリ上にあり、時間経過や電源断で失われるため最優先です。HDD上のファイルやシステムログはディスクに残り、VPNサーバ内のログは調査対象PCの電源とは無関係なので、いずれも後回しにできます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）