IPスプーフィングとは？仕組み・悪用事例と効果的な対策を徹底解説

ハッカーは常に、自分のIPアドレスを隠す新しい方法を探しています。目的は匿名性の維持だけではありません。悪意のある活動の発生源とみなされたIPアドレスはブロックされる可能性もあるためです。

IPアドレスを隠す手段の一つが「IPスプーフィング」です。これを利用すると、数千ものIPアドレスを偽装し、被害者に攻撃がどこからでも来ているように見せかけることができます。

では、IPスプーフィングとは具体的にどのようなもので、どう防げばよいのでしょうか。

IPスプーフィングとは何か

IPスプーフィングとは、攻撃者がIPパケットの送信元を隠蔽する攻撃手法です。これにより、攻撃の標的となった側は、実際とは異なる送信元からトラフィックを受け取っていると認識してしまいます。

この手法は単に攻撃者の身元を隠すだけでなく、多くのセキュリティ技術がIPアドレスに基づいて設計されているため、それらを無効化するための有効なツールにもなり得ます。

IPスプーフィングの仕組み

インターネット上のすべての通信は「パケット」という単位で送信されます。各パケットにはIPヘッダーが含まれており、そこには送信元IPアドレスと宛先IPアドレスが記録されています。

IPスプーフィング攻撃では、攻撃者はパケットを送信する前に送信元IPアドレスを書き換えます。パケットを受信した側には、そのIPアドレスが正当なものに見えますが、実際には攻撃者とは何の関係もありません。

偽装された送信元IPアドレスはランダムな値である場合もあります。ランダムなIPアドレスは自動的に生成できるほか、別の場所からコピーすることも可能です。

コピーしたIPアドレスを使えば、攻撃者は特定の人物になりすますことができます。たとえば、被害者に「既に信頼しているデバイスと通信している」と思い込ませるといった使い方が可能です。

IPスプーフィングの主な悪用例

IPスプーフィングは、アクセス制限されたサーバーへの侵入や、DDoS攻撃、中間者（MITM）攻撃などに利用されます。

IP認証の回避

IPアドレスは認証目的でよく使われます。たとえば、特定のユーザーが特定のサーバーやネットワークへのアクセスを許可されているかどうかを判断するために使われます。

攻撃者が信頼済みIPアドレスを知っていれば、IPスプーフィングによってそのユーザーになりすますことができます。これにより、IP認証だけで保護されているサーバーへ不正にアクセスできてしまいます。

この手法は、マルウェアの仕込み、データ窃取、さらにはランサムウェア攻撃の実行などに悪用される可能性があります。

DDoS攻撃

DDoS攻撃は、「サーバーが処理できるトラフィック量には限界がある」という考えに基づいています。攻撃者は限界を超える大量のトラフィックを送りつけ、サーバーを圧倒しようとします。

DDoS対策は、正規のトラフィックと悪意あるトラフィックを区別することに基づいていますが、IPスプーフィングはこの区別を困難にします。

DDoS攻撃が成功すると、サーバーは使用不能に陥り、ウェブサイトやネットワーク全体がオフラインになる恐れがあります。

中間者（MITM）攻撃

中間者（Man-in-the-Middle：MITM）攻撃では、攻撃者が二者間の通信を傍受します。通信の双方は互いに直接やり取りしていると思っていますが、実際にはすべての通信が攻撃者を経由しています。

MITM攻撃を成立させるには、攻撃者が隠れたままでいる必要があります。IPスプーフィングにより、相手側のIPアドレスをコピーすることでこれを実現できます。

MITM攻撃が成功すると、攻撃者は情報を盗み出したり、受信者に届く前に情報を改ざんしたりすることが可能になります。

IPスプーフィングはハッカーだけが使うのか

IPスプーフィングは主にハッカーによって使われますが、正当な目的にも利用できます。たとえば、ウェブサイト運営者が高負荷時のパフォーマンスをテストするケースなどが挙げられます。

IPスプーフィングを使えば、実際の訪問者をシミュレートできます。これにより開発者は、大量のトラフィックに対してウェブサイトがどう反応するかを事前に把握できます。

IPスプーフィングへの対策方法

IPスプーフィングが効果的なのは、発生していること自体を検知できない場合があるからです。以下は、IPスプーフィングをより困難にするための代表的な方法です。

ネットワークの異常な活動を監視する

IPスプーフィングは必ず何らかの目的のために行われます。特定のIPアドレスが偽装されているかを直接判別できなくても、ネットワークを注意深く監視し、他の悪意ある兆候を検出することで、IPスプーフィング攻撃に気づける可能性があります。

代替認証方式を導入する

IPスプーフィングにより、攻撃者はIP認証をバイパスできてしまいます。そのため、あらゆるリモートアクセスには、代替となる認証・検証方法を必須にすべきです。一例として、ネットワーク上のすべてのマシンに鍵交換ベースの認証を要求する方法があります。

ウェブサイトでIPv6を使用する

IPv6は最新のインターネットプロトコルです。IPv4と比べた利点の一つは、追加の暗号化と認証のステップが組み込まれている点です。これにより、IPv6を採用したウェブサイトはIPスプーフィングの標的になりにくくなります。

ファイアウォールを活用する

ファイアウォールは、イングレスフィルタリングとエグレスフィルタリングを用いることで、一部の種類のIPスプーフィングを検出できるよう設定できます。

イングレスフィルタリングは受信パケットを検査し、信頼できるIPアドレスを持たないものを拒否します。

エグレスフィルタリングは送信パケットを検査し、ネットワーク内部の送信元IPアドレスを持たないものを拒否します。これにより、外向きのIPスプーフィング攻撃を防ぐことができます。

ハッカーが使うその他のスプーフィング手法

スプーフィングとは、大まかに言えば「他の何かになりすます行為」のことです。被害者の信頼を得られるため、ハッカーにとって有用な概念です。その他のスプーフィングの例には次のようなものがあります。

• メールスプーフィング： 攻撃者がメールヘッダーを改ざんし、他人からのメールに見せかける手法。
• ARPスプーフィング： 偽造ARPメッセージを使い、攻撃者のMACアドレスを正規のIPアドレスに関連付ける手法。
• DNSスプーフィング： リクエストされたウェブサイトへのトラフィックを、攻撃者が所有するサイトへリダイレクトする手法。

すべてのネットワークをIPスプーフィングから守ろう

IPスプーフィングは、ハッカーが自分の活動を隠すためにどこまで踏み込むかを示す好例です。同時に、IP検出のみに依存するセキュリティ対策は突破され得ることも示しています。

IPスプーフィングを完全に防ぐことは難しいものの、その効果を大幅に減らすことは可能です。ハッカーの侵入を防ぎたいネットワーク管理者にとって、これは重要な第一歩となるでしょう。