DHCP攻撃
DHCP攻撃の定義
DHCP（Dynamic Host Configuration Protocol）攻撃は、攻撃者がDHCPサーバーを侵害したり、プロトコルを操作して、ネットワークデバイスに悪意のあるIPアドレスや設定を配布するサイバー脅威です。これにより、トラフィックの傍受、データの盗難、機密情報への不正アクセスなど、さまざまなセキュリティリスクが生じる可能性があります。
DHCP攻撃の仕組み
DHCP攻撃はさまざまな方法で発生し、それぞれに異なる意図やリスクがあります。以下は一般的な3つの種類のDHCP攻撃です：
不正DHCPサーバー：このタイプの攻撃では、攻撃者がネットワーク上に悪意のあるDHCPサーバーを立ち上げます。この不正サーバーは、偽のIPアドレスやネットワーク設定を無防備なデバイスに提供します。その結果、デバイスは知らないうちに攻撃者のサーバーに接続し、攻撃者がネットワークトラフィックを傍受したり、データを盗んだり、悪意のあるウェブサイトにユーザーをリダイレクトしたりします。この攻撃は、ネットワーク通信の完全性を侵害するため、特に損害が大きいです。
DHCPスプーフィング：DHCPスプーフィング攻撃では、正規のDHCPサーバーを装い、正規のデバイスに誤ったネットワーク設定を提供します。信用できるサーバーとして偽装することで、攻撃者はネットワークトラフィックを傍受し、中間者攻撃を仕掛け、機密データに不正アクセスすることができます。このタイプの攻撃は、デバイスとDHCPサーバーの信頼関係を悪用するため、ユーザーが悪意のある行動を検出することが難しくなります。
サービス拒否（DoS）：DHCP DoS攻撃は、正規のDHCPサーバーに対して大量のDHCPDISCOVERまたはDHCPREQUESTメッセージを送りつけ、リソースを圧迫し、正規のクライアントが利用できない状態にします。その結果、ネットワーク上のデバイスは有効なIPアドレスを取得できず、ネットワークに接続できなくなります。この攻撃はネットワーク接続を妨害し、組織にとって大きな不便と財政的損失を引き起こす可能性があります。
予防策
DHCP攻撃に関連するリスクを軽減するため、次の予防措置を実施することを検討してください：
DHCPスヌーピング：ネットワークスイッチでDHCPスヌーピングを有効にします。DHCPスヌーピングはDHCPメッセージを検証し、認可されたDHCPサーバーのみがクライアントのリクエストに応答できるようにするセキュリティ機能です。不正なDHCPメッセージをフィルターすることで、不正DHCPサーバーがネットワークデバイスに悪意のあるIPアドレスや設定を配布するのを防ぎます。
静的IPアサインメント：重要なデバイスに対しては、DHCPサーバーに依存せずに、静的IPアサインメントを使用することを検討してください。静的IPアサインメントでは、各デバイスに対して手動でIPアドレスやネットワーク設定を構成します。これにより、潜在的に侵害されている可能性のあるDHCPサーバーに依存することを防ぎ、DHCP攻撃のリスクを減少させます。
ネットワークセグメンテーション：ネットワークをサブネットやVLANに分割し、DHCP攻撃の影響を制限します。ネットワークをセグメント化することで、DHCP攻撃の影響範囲を縮小します。たとえ一つのセグメントが侵害されても、他のセグメントは安全に保たれるため、被害を最小限に抑えることができます。
DHCPv6の実装：ネットワークでIPv6を使用している場合、DHCPv6の実装を検討してください。DHCPv6は認証や暗号化などのセキュリティ機能を提供し、IPv6ネットワークでのDHCPベースの攻撃に対する追加の保護を提供します。
これらの予防措置を講じることで、組織はネットワークセキュリティの強化を図り、DHCP攻撃の被害を受けるリスクを最小限に抑えることができます。
関連用語
- DHCPスヌーピング: DHCPスヌーピングは、ネットワーク上の不正なDHCPメッセージをフィルタリングするセキュリティ機能です。
- 中間者攻撃（MitM）: 中間者攻撃は、攻撃者が二者間の通信を秘密裏に傍受し転送する攻撃です。