スイッチのポートセキュリティとは？MACアドレスフラッディング攻撃の対策とネットワークセキュリティ監査ツールを解説

はじめに

ネットワークセキュリティにおいて、スイッチのポートセキュリティは重要な防御策のひとつです。本記事では、ネットワークセキュリティ監査ツールの活用方法、ポートセキュリティの目的や設定方法、そしてMACアドレスフラッディング攻撃への対策について詳しく解説します。

管理者がネットワークセキュリティ監査ツールを使用する理由

セキュリティ監査を実施することで、攻撃者がネットワークを監視するだけで収集できる機密情報の種類を把握できます。たとえば、管理者はネットワークセキュリティ監査ツールを活用し、架空のMACアドレスを大量に送信してMACアドレステーブルをあふれさせる（フラッディングさせる）挙動を検証できます。これにより、実際に攻撃が発生した場合の影響範囲を事前に評価することが可能になります。

スイッチポートセキュリティの主な目的

ポートセキュリティ機能は、未知のデバイスがネットワーク上でパケットを転送することを防ぎます。リンクがダウンした場合には、動的にロックされていたアドレスはすべてロック解除されます。ポートセキュリティを活用することで、不正アクセスのリスクを大幅に低減できる点が大きなメリットです。

ポートセキュリティを設定できるスイッチのインターフェース

ポートセキュリティはアクセスインターフェースに対して設定されるため、対象のスイッチインターフェースがレイヤー2（L2）であることが前提となります。レイヤー3（L3）スイッチの場合でも、switchportコマンドを使用することでインターフェースをアクセスポートに変更し、ポートセキュリティを適用できます。

MACアドレスフラッディング攻撃の解決策

MACフラッド攻撃はポートセキュリティによって防止できます。スイッチの設定でこの機能を有効にすると、MACアドレステーブルで学習できるアドレス数に上限が設けられ、ポート単位での制限が可能になります。

代表的なネットワークセキュリティ監査ツール

以下は、ネットワークセキュリティ監査で広く利用されている代表的なツールです。

• SolarWinds Network Configuration Manager：ネットワーク設定管理に特化したツール（無料トライアルあり）
• N-able RMM：リモート監視管理ツール（無料トライアルあり）
• Nmap：ネットワークスキャンの定番ツール
• OpenVAS：オープンソースの脆弱性スキャナー（無料版あり）
• ManageEngine Vulnerability Manager Plus：脆弱性管理ツール
• Metasploit：ペネトレーションテスト向けフレームワーク
• Netwrix Auditor：IT監査・レポーティングツール
• Kaseya Virtual Security Agency：統合セキュリティソリューション

Ciscoスイッチでポートセキュリティを設定する目的

ポートセキュリティポリシーを設定することで、ポート上で学習できるMACアドレスの数を制限し、不正なMACアドレスによるアクセスを防止できます。また、ポートごとに許可できるセキュアMACアドレスの最大数（VLANごとの最大数を含む）を指定することも可能です。

スイッチポートセキュリティとセキュリティ違反とは

スイッチポートセキュリティでは、1つのポートで許可される有効なMACアドレスを1つに制限することもできます。セキュアMACアドレスの最大数に達した後、異なるMACアドレスを持つデバイスがそのポートに接続しようとすると、「セキュリティ違反」として扱われます。

トランクポートでポートセキュリティを有効にする理由

トランクポートのポートセキュリティでは、ポート上で許可されるMACアドレス、またはVLANごとのMACアドレスの最大数を制限します。この機能により、サービスプロバイダーは特定のVLANに指定されたMACアドレス以外を持つ端末からのアクセスをブロックできます。

「ポートセキュリティ」という用語の別の意味

なお、「ポートセキュリティ」という用語は、港湾・海事分野でも使用されます。この分野では、防衛、法執行、テロ対策活動として定義され、海港の保護、港を通過する貨物の検査・保護、海上保安などが含まれます。IT分野のポートセキュリティとは文脈が異なる点に注意しましょう。

ポートセキュリティの設定方法

ポートセキュリティ機能がサポートされていないポートタイプが3種類あります。ポートセキュリティはホストポート（アクセスポート）でのみ機能するため、設定前にインターフェースをホストポートに変更する必要があります。具体的には、switchport mode accessコマンドを実行するだけで簡単に切り替えられます。

Ciscoスイッチでポートセキュリティを有効にする方法

switchport port-security mac-address stickyコマンドを入力すると、スティッキーポートセキュリティが有効になります。このコマンドを実行すると、インターフェース上のすべての静的および動的なセキュアMACアドレスがスティッキーセキュアMACアドレスに変換されます。これには、スティッキーラーニング有効化前に学習されていたアドレスも含まれます。

スイッチングにおけるポートセキュリティの仕組み

ポートセキュリティ機能は、未知のデバイスがネットワーク上でパケットを転送することを防ぎます。許可されたMACアドレスと一致するパケットのみがセキュアとみなされ、それ以外のパケットはブロックされます。この設定はポート単位で個別に有効化できます。

MACアドレスフラッディング攻撃とは

MACフラッディング攻撃とは、攻撃者が異なる送信元MACアドレスを持つ大量のイーサネットフレームをスイッチに送信する攻撃です。スイッチはMACアドレステーブルを限られたメモリ領域に保存するため、大量のフレームを受信するとテーブルがあふれ、正常な学習ができなくなります。さらに、MACフラッディングを足がかりにVLANホッピング攻撃が行われる可能性もあります。

MACテーブル攻撃とは

MACテーブル攻撃は、攻撃者が偽のMACアドレスを含むイーサネットフレームをスイッチのポートに大量に送り込み、一度に数千のフレームでインターフェースをあふれさせるネットワーク攻撃です。スイッチのMACアドレステーブルを格納できるメモリはわずかしかないため、テーブルが飽和状態に陥ります。

CAMテーブルフラッド攻撃を防ぐ方法

ほとんどのスイッチには、CAMテーブルポイズニングを効果的に防止する機能が備わっています。多くの高性能スイッチでは、「ポートセキュリティ」と呼ばれる機能を使用して、サーバーやエンドステーションに接続されたポートで学習できるMACアドレスの数を制限する設定が可能です。

まとめ

スイッチのポートセキュリティは、MACアドレスフラッディング攻撃をはじめとするレイヤー2攻撃への基本的かつ効果的な対策です。アクセスポートへの設定、スティッキーラーニングの活用、適切なセキュアMACアドレス数の制限などを組み合わせることで、ネットワーク全体のセキュリティを強化できます。あわせて、NmapやOpenVASなどのネットワークセキュリティ監査ツールを定期的に活用し、脆弱性の早期発見に努めましょう。