Dynamic ARP Inspection

概要

ARPスプーフィングによる中間者攻撃の対策として、Dynamic ARP Inspectionがあります。レイヤ2スイッチでARPメッセージの整合性を検証する機能です。Dynamic ARP Inspectionについて解説します。

ARPの仕組みおよびARPのメッセージフォーマットを詳しく知っておくと理解が深まります。

ARPスプーフィングについて、以下の記事もあわせてご覧ください。

ネットワークのおべんきょしませんか？

ARPスプーフィング | ネットワークのおべんきょしませんか？

https://www.n-study.com/security-fundamentals/arp-spoofing/

ARPスプーフィングとは、ARPメッセージを偽装することで不正にデータを取得します。中間者攻撃(Man In The Middle Attack)の一種です。ARPスプーフィングの仕組みについて解説します。

ARPの仕組みとメッセージフォーマットについて、以下の記事もあわせてご覧ください。

ネットワークのおべんきょしませんか？

ARP ～IPアドレスとMACアドレスを対応付け～

https://www.n-study.com/tcp-ip/arp/

ARPとはARP(Address Resolution Protocol)とはIPアドレスとMACアドレスを対応付けるためのプロトコルです。そして、IPアドレスとMACアドレスを対応付けることをアドレス解決と呼び、ARPというプロトコルの名前の由来です。ARPはイーサネットでIPパケットを転送するときに必要不可欠な大事なプロトコルです。なぜMACアドレスが必要か？TCP/IPの通信では、IPアドレスで宛先を指定しているのですが、なぜ、MACアドレスも必要なのでしょうか？それは、IPパケットをイーサネットインタフェースから送り出すには、イーサネットヘッダを付加し...

ネットワークのおべんきょしませんか？

ARPフォーマット

https://www.n-study.com/tcp-ip/arp-format/

ARPフォーマットARPのメッセージはイーサネットヘッダで直接カプセル化して転送されます。イーサネットヘッダのタイプコード0x0806でデータ部分がARPメッセージであることを表します。図 ARPフォーマットフィールド名サイズ内容Hardware Type16ビットイーサネットの場合、0x0001で固定Protocol Type16ビット IPv4の場合、0x0800で固定Hardware Size8ビットMACアドレスのサイズ(バイト)。0x06Protocol Size8ビットIPアドレスのサイズ(バイト)。0x04Opcode16ビットARPリクエスト:0x0001ARPリプライ:0x0002Sender MAC address48ビット送...

Dynamic ARP Inspectionとは

Dynamic ARP Inspectionとは、レイヤ2スイッチでARPメッセージの整合性を検証する機能です。Dynamic ARP Inspectionにより、ARPメッセージを偽装してパケットを不正に取得するARPスプーフィングに対抗できます。

ARPによって、IPアドレスとMACアドレスの対応を動的に求めることができます。ただし、ARP自体にIPアドレスとMACアドレスの対応が正しいことを検証するような仕組みは備わっていません。そのため、ARPリプライを偽装するARPスプーフィングの攻撃が成立してしまう可能性があります。

そこで、レイヤ2スイッチでDynamic ARP InspectionによってARPメッセージのIPアドレスとMACアドレスの対応が正しいことをチェックします。そのためには、正しいIPアドレスとMACアドレスの対応がわかっておかなければいけません。Dynamic ARP Inspectionで、ARPメッセージのチェックに利用するための正しいIPアドレスとMACアドレスの情報源は、次の2つです。

DHCPスヌーピングバインディングテーブル
手動設定(ARP ACL)

DHCPクライアントのIPアドレスとMACアドレスの対応の整合性をチェックするために、DHCPスヌーピングバインディングテーブルを利用します。つまり、DHCPスヌーピングも有効にしておく必要があります。

そして、スタティックにIPアドレスを設定しているホストについては、IPアドレスとMACアドレスの正しい対応をARP ACLでスタティックに設定します。

Dynamic ARP Inspection : ARPメッセージの検証の仕組み

Dynamic ARP InspectionによるARPメッセージ検証の仕組みについて、詳しくみていきましょう。

Trustインタフェース

まず、ARPメッセージを検証するインタフェースを決めます。Dynamic ARP Inspectionの設定のときに、インタフェースを以下の2つに分類します。

Trust
Untrust

Trustとして設定したインタフェースでは、ARPメッセージの検証を行いません。デフォルトゲートウェイや正規のDHCPサーバが接続されているインタフェースなど攻撃者が接続する可能性がないインタフェースをTrustとして設定します。

Untrustのインタフェースで受信したARPメッセージの内容を検証します。デフォルトは、Untrustです。

ARPメッセージの基本チェック

Dynamic ARP InspectionでのARPメッセージの基本的なチェックは、ARPメッセージのSender IP AddressとSender MACアドレスが正しい対応であるかを見ることです。ARPリクエスト、ARPリプライの両方を対象にします。以下の図は、ARPリクエストのチェックを示しています。

この図では、攻撃者がARPリクエストを偽装していることを想定しています。Sender IP:10.1.1.1、Sender MAC:PC-Hackとしています。SW1は、受信したARPメッセージの内容をチェックします。DHCPバインディングテーブルに登録されているIPアドレスとMACアドレスのペアと異なっているので、ARPメッセージを破棄します。また、一致する情報がない場合も破棄します。