ネットワークの「パズル」を逆手に取る？「Teardrop攻撃」の正体と防御術
こんにちは！ネットワークセキュリティの世界へようこそ。
日々、見えない場所で膨大なデータが飛び交うネットワークですが、その根幹を支えるルールである「IPプロトコル」には、実はちょっとした「弱点」が隠されています。
今日は、ネットワーク初学者の皆さんと一緒に、古くからあるけれど今なお学びの宝庫である「Teardrop（ティアードロップ）攻撃」という手法を紐解いていきましょう。「パケットが郵便物だとしたら？」という視点で考えると、意外なほどスッキリ理解できますよ。
—
1. そもそも「フラグメンテーション」って何だろう？
皆さんが大きな荷物を送る時、一つに収まらないと分かれば「箱を分けて」送りますよね。ネットワークの世界でも同じです。
通信経路には「一度に通せるデータの最大量（MTU）」が決まっています。送りたいデータがそれより大きい場合、ネットワーク機器やOSはデータを細かく切り刻んで送ります。これがフラグメンテーション（断片化）です。
受け取り側のOSは、届いたバラバラの断片を元の大きなデータに戻すという「パズル」のような作業を行います。その時、どの順番で繋げればいいかを示すのが「オフセット値（地図の目盛りのようなもの）」です。
2. Teardrop攻撃：悪意ある「パズルのピース」
Teardrop攻撃は、このパズルのルールを悪用します。
想像してみてください。Aさんから「10ページある手紙」がバラバラに届くはずが、悪意ある送信者がこんな細工をして送ってきたらどうでしょう？
- 1枚目のピース： 「0〜5ページ目」
- 2枚目のピース： 「4〜9ページ目」
……お気づきですか？ 5ページ目が重複し、パズルのピースが「重なって」しまっています。
昔のOSは、この「重なり」をうまく処理できず、「あれ、パズルが壊れてる！ どうしたらいいの？」とパニックになって、システム全体がクラッシュ（停止）してしまったのです。これがTeardrop攻撃の恐ろしい原理です。
名前の由来は、その重なりが涙の雫（Teardrop）のように見えることから来ています。
3. どうやって防ぐのか？ 「門番」の役割
現代のOSは賢くなっているので、単純なTeardrop攻撃で落ちることはほぼありません。しかし、ゼロトラストの考え方では「OSが大丈夫だから安心」とは考えません。「入り口（ファイアウォール）で怪しいやつは弾く」のが鉄則です。
ファイアウォールやIDS（侵入検知システム）では、以下のようなポリシーでパケットを監視します。
防御の考え方
1. 異常なオフセット値の破棄： 重なり合うピースや、理論的にありえない順番のピースは即座に「不正」とみなして捨てます。
2. 再構築の制限： 怪しい断片化パケットが連続して届く場合、通信そのものを遮断します。
—
4. 実践：ファイアウォールでの防御設定（例）
例えば、Linuxの iptables を使って境界防御を行う場合、以下のような設定で「異常な断片パケット」を弾くことができます。
# 1. 異常なフラグメントを持つパケットを破棄するルール
# --fragment オプションで、断片化されたパケットを狙い撃ちします
iptables -A INPUT -f -j DROP
# 2. もしフラグメントパケットをログに残して監視したい場合
# ログに「Suspicious Fragment!」と記録してから捨てる設定
iptables -A INPUT -f -j LOG --log-prefix "Suspicious Fragment! : "
iptables -A INPUT -f -j DROP解説：
-fは「フラグメントされたパケットのみを対象にする」という非常に強力なスイッチです。- 本来、正常な通信でも小さなフラグメントは発生し得ますが、現代の高速なネットワーク環境では、意図的な攻撃でない限り、あまり発生しません。「怪しきは罰する」というセキュリティの基本方針ですね。
—
5. まとめ：セキュリティは「疑う」ことから始まる
Teardrop攻撃は、ネットワークの黎明期からある古典的な手法ですが、「正常なプロトコルの挙動を悪用する」というセキュリティの本質を教えてくれます。
1. データの断片化はパズルである
2. パズルのピースが重なるとOSが混乱する
3. 境界防御（ファイアウォール）で怪しいピースは門前払いする
この3つのステップを覚えておくだけで、皆さんのネットワークを見る目はぐっとプロフェッショナルなものになるはずです。
ネットワークセキュリティの世界は、こうした「ルールの隙間」を見つける天才たちと、それを必死に塞ぐエンジニアたちの知恵比べです。ぜひ、これからも好奇心を持って、パケットの動きを追いかけてみてくださいね！
それでは、また次回の記事でお会いしましょう。ハッピー・ネットワーキング！
コメント