DHCPスヌーピング
DHCPスヌーピングの定義
DHCPスヌーピングは、ネットワーク上で不正なデバイスの機能を防ぐために使用されるセキュリティ機能で、DHCP (Dynamic Host Configuration Protocol) メッセージを監視および制御します。
DHCPスヌーピングの仕組み
DHCPスヌーピングは、ネットワークに接続された各デバイスのMACアドレスとIPアドレスの間にバインディングを作成することで機能します。これにより、ネットワークはDHCPメッセージの信頼性を確認し、偽のDHCPサーバーによる不正なIPアドレスの割り当てを防ぐことができます。
DHCPスヌーピングの動作を理解するために、プロセスを分解してみましょう：
DHCPメッセージの検証: DHCPクライアントがDHCP要求メッセージを送信すると、スイッチ上のDHCPスヌーピング機能がメッセージの整合性と真正性を確認します。送信元IP、MACアドレス、および他のDHCPメッセージフィールドが正確かつ改ざんされていないことを確認します。
DHCPスヌーピングバインディングデータベースの構築: DHCPスヌーピングは、デバイスのMACアドレスと関連するIPアドレス、およびDHCPメッセージで受信した他のパラメータを一致させるバインディングテーブル（DHCPスヌーピングバインディングデータベースとも呼ばれる）を作成します。このバインディングテーブルはスイッチのメモリに保存され、DHCPプロセス中の参照に使用されます。
信頼済みインターフェースと信頼されていないインターフェース: DHCPスヌーピングは信頼済みインターフェースと信頼されていないインターフェースを区別します。信頼済みインターフェースは認可されたDHCPサーバーに接続されているもので、信頼されていないインターフェースはエンドユーザーデバイスに接続されています。信頼済みインターフェースを設定することで、不信なポートを通じた攻撃を防ぐことができます。
DHCPスヌーピングデータベースの更新: クライアントとサーバー間でDHCPメッセージが交換されると、DHCPスヌーピング機能は最新情報でバインディングデータベースを更新します。これにより、ネットワークは各デバイスのIPおよびMACアドレスの正確な記録を保持できます。
DHCPスヌーピングフィルタリング: DHCPスヌーピングは、バインディングデータベースに準拠していないDHCPメッセージや不正なDHCPサーバーからのメッセージをフィルタリングして破棄することができます。これにより、不正または認可されていないIPアドレスがデバイスに割り当てられるのを防ぎます。
予防のヒント
DHCPスヌーピングの利点を効果的に活用するためには、次の予防のヒントを考慮してください：
ネットワークスイッチでのDHCPスヌーピングの実装: ネットワークスイッチでDHCPスヌーピングを有効にすることで、DHCPトラフィックを許可されたDHCPサーバーのみに制限できます。これにより、不正なデバイスがDHCPサーバーとして動作し、誤ったIPアドレスや設定を配布することを防ぎます。
信頼済みインターフェースの設定: ネットワークスイッチで信頼済みインターフェースを設定して、不信なポートを通じた攻撃を防ぎます。信頼済みインターフェースは認可されたDHCPサーバーに接続されているもので、DHCPメッセージは信頼された送信元からのみ受信されるようにします。
DHCPスヌーピングログの監視: DHCPスヌーピングログを定期的に監視して、怪しい活動を確認しましょう。DHCPスヌーピングログには、DHCPメッセージの処理に関する貴重な情報が含まれており、例えば送信元MACおよびIPアドレス、VLAN情報、および他の関連情報などがあります。これらのログを監視することで、不正なDHCP活動を検出し調査することができます。
これらの予防のヒントに従うことで、DHCPスヌーピングを効果的に活用し、ネットワークのセキュリティを強化できます。
関連用語
- Dynamic Host Configuration Protocol (DHCP): ネットワークプロトコルで、デバイスに動的にIPアドレスを割り当てます。
- Rogue DHCP Server: 不正または認可されていないDHCPサーバーで、ネットワーク上のクライアントに誤ったIPアドレスや他の設定を配布する可能性があります。
関連用語へのリンク - Dynamic Host Configuration Protocol (DHCP) - Rogue DHCP Server