【入門編】 ARPスプーフィング（ARPポイズニング）の原理 – ネットワーク基礎とWebセキュリティ実践ガイド

こんにちは！ネットワークの裏側を覗くのが大好きな技術ライターの私です。

インフラの世界へ足を踏み入れたばかりの頃、「パケットがどうやって相手に届くのか」という疑問にぶつかりますよね。スイッチやルーターがカチカチとデータを運んでいるのは何となく想像できても、その裏側でどんなやり取りが行われているのか、少し怖く感じてしまうこともあるでしょう。

今回は、そんなネットワークの基礎を揺るがす「ARPスプーフィング（ARPポイズニング）」というサイバー攻撃の仕組みと、それをピシャリと防ぐ現代のスマートな防衛術「DAI（Dynamic ARP Inspection）」について、身近な例えを交えながら優しく紐解いていきたいと思います。

一歩ずつ、リラックスして理解していきましょう！

—

1. そもそもARPって何をしているの？（郵便配達に例えてみよう）

私たちが普段使っているパソコンやスマホは、ネットワーク上で通信するときに、相手を特定するための「IPアドレス（例: 192.168.1.10）」という住所を持っていますよね。

しかし、ネットワーク機器（スイッチなど）が実際にケーブルを通じてデータを運ぶとき、実はIPアドレスだけでは動けません。彼らが理解できるのは、機器固有のハードウェア識別番号である「MACアドレス（例: 00-11-22-33-44-55）」という、いわば「個人の名前（または表札）」なのです。

ここで問題が発生します。
「あの人のIPアドレスはわかるけれど、肝心のMACアドレス（表札）がわからない！」という状態のとき、どうすればいいでしょうか？

ここで登場するのが、ARP（Address Resolution Protocol）という仕組みです。
現実世界で例えるなら、こんなやり取りです：

あなた（PC）: 「『192.168.1.1』のIPアドレスを持っているルーターさん！あなたのMACアドレス（表札）を教えてください！」（これが ARPリクエスト というブロードキャスト＝全体への大声での呼びかけです）
ルーター: 「はい、私のIPは 192.168.1.1 ですよ。私のMACアドレスは AA-BB-CC-DD-EE-FF です！」（これが ARPレスポンス という返事です）

このやり取りを一度行うと、パソコンの頭の中（ARPキャッシュという一時的なメモ帳）に「このIPアドレスなら、このMACアドレスだ」という対応表が書き込まれます。これでスムーズに手紙（パケット）を届けられるようになるわけですね。

—

2. 嘘つきは誰だ？ARPスプーフィングの恐怖

さて、ここからが本題です。非常に便利なARPですが、実は「相手が本当にその人本人なのか」を疑う機能が最初から備わっていないという致命的な弱点（設計上の古い仕様）があります。

誰もが「私はルーターの 192.168.1.1 ですよー！」と叫べば、周りのパソコンはそれを疑うことなく信じてしまいます。この「嘘の自己紹介」を悪用するのが、ARPスプーフィング（ARPポイズニング）です。

中間者攻撃（MITM）のシナリオ

悪意ある攻撃者が社内ネットワークに潜り込んだとしましょう。彼はターゲットのパソコンと、ネットの出口であるルーターに向けて、次のような「嘘のARPレスポンス」を大量に、かつ継続的に送りつけます。

1. PCに対する嘘: 「私（攻撃者）こそがルーター（192.168.1.1）だよ！通信は私に送って！」
2. ルーターに対する嘘: 「私（攻撃者）こそがPC（192.168.1.10）だよ！通信は私に送って！」

こうなると、PCとルーターの間の通信は、すべて攻撃者のパソコンを一度経由することになります。これが、映画や小説に出てくるような中間者攻撃（Man-in-the-Middle Attack: MITM）の裏側の仕組みです。

通信の途中に悪い人が挟まることで、パスワードや機密情報がすべて盗み見られたり、通信の内容を勝手に書き換えられたりしてしまうのです。怖いですよね。

—

3. 防衛の切り札！DAI（Dynamic ARP Inspection）の仕組み

「じゃあ、ネットワークの世界は嘘つき放題で無防備なの？」と思われるかもしれませんが、ご安心ください。現代のエンタープライズ向けスイッチには、この嘘を見破る強力なセキュリティ機能が備わっています。それがDAI（Dynamic ARP Inspection）です。

DAIがどのように不正を防ぐのか、仕組みを整理してみましょう。

信頼できる情報のデータベース（DHCPスヌーピングバインディング）の活用:

スイッチは、各端末がIPアドレスを正しく取得したときの履歴（どのポートに、どのIPとMACの組み合わせがつながっているか）をこっそり記録しています。

リアルタイムの検問:

ネットワーク内を流れるすべてのARPパケットを、スイッチが一つひとつ「検問」します。「おや、このARPレスポンスにあるIPとMACの組み合わせは、さっきDHCPで記録した正しい情報と一致しているかな？」とチェックするのです。

悪者のお縄:

もし、記録と違う嘘の情報を流そうとするパケットが見つかったら、スイッチはその場でそのパケットを即座に破棄（ドロップ）し、管理者に警告のログを飛ばします。これで攻撃者は手出しができなくなります。

—

4. 実務で役立つ！CiscoスイッチでのDAI設定サンプル

それでは、現場のネットワークエンジニアが実務でどのようにDAIを設定しているのか、Cisco IOSをベースにした設定例を見てみましょう。設定自体はそれほど難しくありませんが、手順の順番がとても大切です。

[設定の流れのイメージ]
1. DHCPスヌーピングを有効にする（正当なIP/MACの対応表を作るため）
2. 信頼できるアップリンクポート（ルーター側など）を信頼ポートに指定する
3. 端末が接続されるアクセスポート側でDAIを有効にする

実際のコマンド設定例は以下のようになります。

! --- 1. スイッチ全体でDHCPスヌーピングを有効化する ---
Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10

! --- 2. 信頼できるポート（ルーターにつながるポート等）を設定する ---
Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# ip dhcp snooping trust  ! ルーターからのDHCP応答は信頼する
Switch(config-if)# ip arp inspection trust  ! DAIの検問もパスさせる

! --- 3. エンドユーザー（PC）が接続されるアクセスポートでDAIを有効化する ---
Switch(config)# interface range GigabitEthernet0/2 - 24
Switch(config-if-range)# ip arp inspection vlan 10  ! VLAN 10のARPパケットを監視する

このように、スイッチに「どれが本物の通信で、どれが怪しい嘘なのか」をあらかじめ教えてあげることで、社内ネットワークをARPスプーフィングの脅威からがっちりと守ることができるのです。

—

おわりに

いかがでしたでしょうか？
ARPスプーフィングという言葉を聞くと、何やら複雑で難解なハッキング技術のように感じられたかもしれませんが、本質は「ネットワークの古い仕様（相手の身元確認をしない）を突いた、嘘の自己紹介」にすぎません。

そして、それに立ち向かうDAIも、「日頃から正しい名簿（DHCPの記録）を作っておき、怪しいやつが来たら入り口で門前払いする」という、とても現実的で理にかなった仕組みです。

インフラやセキュリティの世界は、こうした「現実世界のコミュニケーションのルール」に少し似たアナログな人間模様が、デジタルなパケットに置き換わって動いています。
一つひとつの技術の背景にあるストーリーを紐解いていくと、ネットワークエンジニアとしての面白さがぐっと広がっていきますよ。

それでは、また次回の技術解説でお会いしましょう！