スイッチが「ただのハブ」に成り下がる時。MACアドレステーブル溢れ出し（CAMオーバーフロー）の恐怖と防衛術
こんにちは！ネットワークの世界へようこそ。
皆さんは普段、オフィスや家庭で「スイッチングハブ」を使っていますよね。LANケーブルを挿せば、宛先のPCにだけパケットを届けてくれる、あの賢い箱です。
しかし、もし誰かが悪意を持ってその「賢さ」を奪おうとしたらどうなるでしょうか？今日は、ネットワークの守護者であるスイッチが、一瞬にしてただの「おバカなハブ」に成り下がってしまう恐ろしい攻撃、MACアドレステーブル（CAM）オーバーフロー攻撃について、一緒に紐解いていきましょう。
—
そもそも、スイッチはどうやって「宛先」を知っているの？
スイッチの賢さの秘密は、内部にあるMACアドレステーブルという「住所録」にあります。
郵便配達員さんに例えてみましょう。スイッチは毎日、届いた手紙（イーサネットフレーム）の「差出人（送信元MACアドレス）」を見て、こうメモします。
*「ああ、この送信元MACアドレスの人は、1番ポートにいるんだな。次からこの人宛の手紙は1番に持っていこう！」*
こうしてスイッチは、誰がどのポートにいるかを学習し、宛先ポートにだけ手紙を届ける「インテリジェントな配送」を実現しているのです。
「住所録」をゴミで埋め尽くす攻撃：CAMオーバーフロー
さて、ここからが本題です。攻撃者は、存在しない架空の住所を大量にでっち上げ、スイッチに送りつけます。
1. 攻撃者は、ランダムな送信元MACアドレスを持った偽の手紙を、1秒間に何万通もスイッチに送りつけます。
2. スイッチは律儀に「あ、新しい人が来た！住所録に書かなきゃ！」と頑張ります。
3. しかし、住所録には限りがあります。あっという間に満杯（オーバーフロー）になってしまいます。
4. するとスイッチは、新しい住所を学習できなくなります。
そして、ここからが最悪の事態です。
宛先不明の手紙が届くと、スイッチは「どこに届ければいいか分からないから、とりあえず全部のポートに配っちゃえ！」という行動に出ます。これをフラッディングと呼びます。
結果として、ネットワーク内は無駄な通信で溢れかえり、悪意のある攻撃者が通信を盗聴し放題の状態になってしまいます。これが「ハブと同等の動作（＝全ポートへの垂れ流し）」になるという意味です。
—
どうやって守ればいいの？：ポートセキュリティの出番
この攻撃を防ぐための最強の武器が、「ポートセキュリティ」という機能です。
これは、スイッチの各ポートに対して「このポートにはMACアドレスを最大○個までしか登録させないよ！」と制限をかける機能です。もし制限を超えたら「怪しい！」と判断して、ポートを遮断してしまいます。
Ciscoスイッチでの設定例
現場でよく使われるCisco機器での設定を見てみましょう。一歩ずつ設定していけば、怖くありませんよ！
# 特定のインターフェースを選択
interface GigabitEthernet0/1
# 1. ポートセキュリティを有効化
switchport port-security
# 2. 学習できるMACアドレスの最大数を制限（例：3個まで）
switchport port-security maximum 3
# 3. 違反が起きたときの動作を設定（shutdown：ポートを閉じる）
switchport port-security violation shutdown
# 4. MACアドレスを固定で登録（静的登録）したい場合
switchport port-security mac-address 00aa.bbcc.ddee設定のポイント
maximum 3: 接続する端末が1台なら、少し余裕を持って「3」くらいにしておくのがコツです。violation shutdown: これを設定しておくと、攻撃が始まった瞬間にポートが自動的に停止し、管理者にログが飛びます。「犯行を未然に防ぎ、即座に隔離する」という、まさに要塞のような守りですね。
—
最後に：ネットワークは「疑うこと」から始まる
今回紹介した「MACアドレステーブル溢れ出し」は、非常に古典的な攻撃ですが、スイッチの設定がデフォルトのまま放置されている環境では、今でも十分に脅威となり得ます。
- 「誰もそんなことしないだろう」と性善説に頼らない。
- 「使っていないポートは無効にする」。
- 「ポートセキュリティで学習数を制限する」。
こうした小さな積み重ねが、皆さんの守るネットワークを強固なものにします。最初は難しく感じるかもしれませんが、パケットの流れを郵便配達員さんに例えて想像してみると、グッと身近に感じられるはずです。
もし現場で「なんだかネットワークが遅いな？」「特定のPCでパケットが取りこぼされている？」と感じたら、まずはスイッチの住所録（MACアドレステーブル）がパンクしていないか、疑ってみてくださいね。
皆さんのネットワークライフが、安全で快適なものになりますように！
コメント