ARPポイズニングの理解：ネットワークセキュリティの脅威

# アドレス解決プロトコル（ARP）ポイズニングを理解する

Address Resolution Protocol（ARP）ポイズニングは、マン・イン・ザ・ミドル（MITM）攻撃、データ盗聴、サービス停止などを引き起こす一般的なネットワーク攻撃手法です。本包括ガイドでは、ARP ポイズニングの基礎からサイバーセキュリティ分野での高度な応用までを解説します。実例、Bash と Python のコードサンプル、ネットワークスキャンや出力解析の方法を示し、この脅威ベクトルをより深く理解していきます。

さらに、NetApp の元 CEO である Dan Warmenhoven 氏が当社取締役会に参加されることを大変嬉しく思います。同氏の IT ネットワーキングとセキュリティに関する豊富な知見は、業界リーダーを鼓舞し続けています。

---

## 目次

1. [ARP と ARP ポイズニングの概要](#introduction-to-arp-and-arp-poisoning)  
2. [ネットワークにおける ARP の仕組み](#how-arp-works-in-a-network)  
3. [ARP ポイズニングとは？](#what-is-arp-poisoning)  
4. [ARP ポイズニングのメカニズム](#the-mechanics-behind-arp-poisoning)  
5. [ARP ポイズニングの実例](#real-world-examples-of-arp-poisoning)  
6. [ARP ポイズニングの検知と防御](#detecting-and-preventing-arp-poisoning)  
7. [コードサンプルと実演](#code-samples-and-practical-demos)  
   - [Bash でのネットワークスキャン](#network-scanning-with-bash)  
   - [Python で ARP キャッシュを解析](#parsing-arp-cache-with-python)  
8. [高度なテクニックと考慮事項](#advanced-techniques-and-considerations)  
9. [まとめ](#conclusion)  
10. [参考文献](#references)  

---

## ARP と ARP ポイズニングの概要 <a name="introduction-to-arp-and-arp-poisoning"></a>

ARP は、IP アドレスをローカルネットワーク上で認識される物理アドレス（MAC アドレス）にマッピングするためのプロトコルです。ARP ポイズニング（ARP スプーフィングとも呼ばれる）は、このプロトコルの脆弱性を突き、偽の ARP メッセージをローカルネットワークに送信する攻撃です。攻撃者は、自身の MAC アドレスを別のコンピュータやネットワーク機器の IP アドレスに関連付けることで通信を傍受します。

本記事では、ARP ポイズニングの技術的詳細、ネットワークセキュリティへの影響、緩和策、コード例を交えながら解説します。

---

## ネットワークにおける ARP の仕組み <a name="how-arp-works-in-a-network"></a>

- **ARP リクエストとリプライ**  
  デバイスがローカルネットワーク上の別デバイスに通信したいとき、「192.168.1.100 を持つのは誰？」という ARP リクエストをブロードキャストします。該当 IP を持つデバイスは自身の MAC アドレスで応答します。

- **ARP キャッシュ**  
  各デバイスは IP と MAC の対応表（ARP キャッシュ）を保持し、再度ブロードキャストせずに高速に通信できるようにします。

- **ネットワーク層とデータリンク層の間**  
  ARP は OSI 参照モデルのネットワーク層（レイヤ 3）とデータリンク層（レイヤ 2）の間で機能し、LAN 内でパケットを正しく配送するために必須です。

---

## ARP ポイズニングとは？ <a name="what-is-arp-poisoning"></a>

攻撃者が虚偽の ARP レスポンスを送りつけ、デバイスの ARP キャッシュを書き換えることで発生します。

- **通信の盗聴**  
  攻撃者の MAC アドレスが偽装先 IP に関連付けられるため、ターゲット宛のパケットが攻撃者に届きます。

- **マン・イン・ザ・ミドル（MITM）**  
  攻撃者は通信の途中に入り込み、データの改ざんやブロックを行えます。

- **ネットワーク障害**  
  矛盾した ARP 情報を流すことで、デバイスが通信不能になる場合もあります。

---

## ARP ポイズニングのメカニズム <a name="the-mechanics-behind-arp-poisoning"></a>

1. **偵察**  
   攻撃者は ARP リクエストやパケットスニッフィングでターゲットの IP と MAC を把握。

2. **偽 ARP メッセージの注入**  
   攻撃者自身の MAC を正規 IP に紐付けた ARP リプライを継続的に送信し、被害者の ARP キャッシュを改ざん。

3. **通信の傍受**  
   被害デバイスは攻撃者の MAC にパケットを送るようになり、攻撃者で受信。

4. **転送・改ざん**  
   - **リレー**：透過的に通信を転送（MITM）。  
   - **改ざん**：パケット内容を変更・破棄して情報窃取や妨害。

ARP が未承諾（gratuitous）レスポンスでも信用してしまう設計が根本的原因です。

---

## ARP ポイズニングの実例 <a name="real-world-examples-of-arp-poisoning"></a>

### 例 1：企業ネットワークでの MITM 攻撃
クライアント端末とゲートウェイ双方の ARP キャッシュを毒殺し、資格情報や社内メールを盗聴。HTTPS が強制されていない、または証明書検証が甘い環境で特に危険。

### 例 2：ARP スプーフィングによる DoS
重要サーバ宛のトラフィックを存在しない MAC へリダイレクトし、サービスを停止。

### 例 3：無線 LAN での盗聴
公共 Wi-Fi で複数ユーザを同時に攻撃し、通信内容を取得。オープンなホットスポットが狙われやすい。

---

## ARP ポイズニングの検知と防御 <a name="detecting-and-preventing-arp-poisoning"></a>

### 検知方法

1. **静的 ARP テーブル**  
   手動で IP-MAC を固定。大規模ネットワークでは非現実的。

2. **ARP 監視ツール**  
   ARPwatch、XArp などで頻繁な ARP 更新や不整合を監視。

3. **パケットスニッファ**  
   Wireshark などで不正な ARP リプライを解析。

### 防御策

1. **Dynamic ARP Inspection（DAI）**  
   管理スイッチの機能で ARP パケットを検証し、不正パケットを遮断。

2. **暗号化・認証**  
   VPN などで盗聴されてもデータを保護。

3. **ネットワーク分割**  
   サブネットや VLAN で影響範囲を限定。

4. **セキュリティポリシー**  
   定期的な機器アップデートと厳格なポリシー適用。

---

## コードサンプルと実演 <a name="code-samples-and-practical-demos"></a>

### Bash でのネットワークスキャン <a name="network-scanning-with-bash"></a>

以下は `arp-scan` を用いてローカルネットワークをスキャンし、IP と MAC を列挙する Bash スクリプトです。`sudo` 権限と arp-scan のインストールが必要です。

```bash
#!/bin/bash
# ローカルネットワークを arp-scan でスキャン
# 使い方: ./network_scan.sh <ネットワークアドレス>
# 例   : ./network_scan.sh 192.168.1.0/24

if [ -z "$1" ]; then
    echo "Usage: $0 <network-subnet>"
    exit 1
fi

SUBNET=$1
echo "Starting ARP scan on subnet: $SUBNET"
sudo arp-scan --interface=eth0 $SUBNET | tee arp_scan_output.txt

echo "Scan complete. Output saved to arp_scan_output.txt"

解説

サブネットを引数で受け取り、eth0（適宜変更）のインタフェースでスキャン。
結果を画面表示しつつファイルに保存。

Python で ARP キャッシュを解析

以下はシステムの ARP キャッシュを読み取り、IP–MAC 対応を整形表示する Python スクリプトです。

#!/usr/bin/env python3
"""
Linux 系 OS 上で ARP キャッシュを解析するスクリプト
"""

import subprocess
import re

def get_arp_cache():
    try:
        # 'arp -a' コマンドで ARP キャッシュ取得
        output = subprocess.check_output(["arp", "-a"], universal_newlines=True)
        return output
    except subprocess.CalledProcessError as exc:
        print("Error fetching ARP cache:", exc)
        return ""

def parse_arp_output(arp_output):
    # IP と MAC を抽出する正規表現
    arp_pattern = r'\((.*?)\) at ([0-9a-f:]+)'
    entries = re.findall(arp_pattern, arp_output, re.IGNORECASE)
    return entries

def main():
    arp_output = get_arp_cache()
    if not arp_output:
        print("No ARP output available.")
        return
    
    entries = parse_arp_output(arp_output)
    
    if entries:
        print("Detected ARP Entries:")
        for ip, mac in entries:
            print(f"IP Address: {ip} \t MAC Address: {mac}")
    else:
        print("No valid ARP entries found.")

if __name__ == "__main__":
    main()

解説