IPスプーフィングは、攻撃者がネットワークパケットの送信元IPアドレスを偽装し、自身の身元を隠したり、他のシステムになりすましたりする欺瞞的なネットワーク技術です。

IPスプーフィングとは？

物理的な手紙を送る際に、差出人住所を他人のものに偽って書くことを想像してみてください。デジタル世界におけるIPスプーフィングは、まさにこれに似ています。デバイスがネットワーク上で通信する際、データはパケットとして送信されます。各IPパケットには、送信元IPアドレス（送信者を識別する）と宛先IPアドレス（受信者を識別する）を含む重要な情報がヘッダーに格納されています。IPスプーフィングとは、攻撃者がこれらのパケットヘッダー内の送信元IPアドレスを偽造または改ざんすることです。

この技術が可能であるのは、インターネットの中核プロトコル（Transmission Control Protocol/Internet Protocol (TCP/IP) など）の基本的な設計に一因があります。元々の設計では、すべてのパケットの出所を厳密に認証するよりも、接続性と効率性が優先されました。この信頼モデルは、悪意のあるアクターが送信元IPフィールドを操作し、パケットが異なった、多くの場合正当または信頼された送信元から発信されたかのように見せかけることを可能にします。

IPスプーフィングは、プロキシサーバーやVPNを使用して自身の実際のIPアドレスを隠すこととは異なると理解することが重要です。プロキシやVPNを使用する場合、トラフィックは正当に第三者のサーバーを経由してルーティングされ、あなたの公開IPアドレスはそのサーバーのIPアドレスになります。対照的に、IPスプーフィングはパケット自体内の送信元IPアドレスを直接変更し、受信者に対し、パケットが攻撃者の制御下にない、全く異なるIPアドレスから発信されたと誤認させることを目的とします。

IPスプーフィングの仕組み

IPスプーフィングの仕組みは、IPパケットのヘッダー情報を操作することに基づいています。すべてのIPパケットには、送信元IPアドレスフィールドと宛先IPアドレスフィールドがあります。通常、送信元IPアドレスはパケットを送信するデバイスを識別します。攻撃者は、オペレーティングシステムの標準的なネットワークスタックを迂回するために、特殊なソフトウェアやプログラミング技術を使用し、生の（raw）ネットワークパケットを構築して送信元IPアドレスを手動で設定します。

基本的なプロセスは以下の通りです。

パケットの作成: 攻撃者はプログラミングツールや特殊なネットワークユーティリティを使用して、カスタムIPパケットを作成します。これらのツールにより、送信元IPアドレスを含むパケット内の様々なフィールドを完全に制御できます。
送信元IPの変更: 攻撃者は、正規の送信元IPアドレスを、偽装したいIPアドレスに置き換えます。この偽装されたIPは、多くの場合、無関係な第三者のものか、被害者自身のネットワーク内の別のデバイスのものであり、IPベースのセキュリティ対策を回避するために使用されます。
パケットの送信: 変更されたパケットは、ターゲットネットワークまたはホストに向けて送信されます。送信元IPが変更されているため、ターゲットシステムはパケットが偽装されたIPアドレスから発信されたものと認識します。

この方法の大きな課題は、攻撃者が偽装された送信元IPを持つパケットを送信することはできますが、ターゲットシステムによって生成された応答はすべて、偽装されたIPアドレスに送信され、攻撃者の実際の場所に届かないことです。この固有の制限により、双方向通信の確立が困難になり、特定の種類の攻撃におけるIPスプーフィングの適用性が制限されます。しかし、一方的なデータ注入や反射型DDoS攻撃など、応答を必要としない攻撃では、IPスプーフィングは依然として非常に効果的です。

以下の図は、IPスプーフィングの基本的なプロセスを示しています。

IPスプーフィング攻撃の種類とユースケース

IPスプーフィングは、通常、単独の攻撃ではなく、より広範なサイバー攻撃を助長するために悪意のあるアクターが使用するツールです。

1. 分散型サービス拒否（DDoS）攻撃

これは、IPスプーフィングの最も一般的で破壊的な応用の一つです。DDoS攻撃では、攻撃者は大量の不正なトラフィックやリクエストでターゲットサーバーやネットワークを圧倒し、正当なユーザーが利用できない状態にしようとします。IPスプーフィングは、DDoS攻撃においていくつかの重要な役割を果たします。

攻撃者の身元を隠す: 送信元IPアドレスを偽造することで、攻撃者は自身の真の場所を隠蔽し、追跡や帰属を極めて困難にします。これにより、法執行機関やセキュリティチームが加害者を特定し逮捕する作業が複雑になります。
反射型および増幅攻撃: 攻撃者は、被害者のIPアドレスを偽装された送信元IPとして使用し、多数のネットワークサービス（DNSサーバー、NTPサーバー、Memcachedサーバーなど）にリクエストを送信できます。これらのサービスは、大量の応答を被害者のIPアドレスに送信し、攻撃トラフィックを増幅して被害者を圧倒します。この方法は、反射型または増幅攻撃として知られています。例えば、DDoS攻撃において、小さな初期リクエストが何倍、あるいは何百倍もの応答を生成し、ターゲットに甚大な影響を与える可能性があります。

2. IPベースのセキュリティ対策の回避

多くのネットワークセキュリティシステム（ファイアウォールやアクセス制御リスト（ACL）など）は、トラフィックをフィルタリングしたり、権限を付与したりするためにIPアドレスに依存しています。攻撃者がネットワーク内で信頼されているIPアドレスをうまくスプーフィングできれば、これらのセキュリティ制限を回避できる可能性があります。

ファイアウォール回避: 特定のファイアウォールルールは、特定の内部IP範囲からのトラフィックを自由に通過させる場合があります。内部IPになりすますことで、攻撃者はこれらのルールを迂回し、通常は保護されているリソースにアクセスできる可能性があります。
アクセス制御リスト（ACL）回避: ACLは、特定のサービスやリソースにアクセスできるIPアドレスを制限するために使用されます。ACLによって許可されているIPアドレスを偽装することで、攻撃者は不正にアクセス権限を取得できます。
信頼関係の悪用: 一部の古いシステムや設定ミスのあるネットワークでは、IPアドレスに基づいた暗黙の信頼が存在する場合があります。たとえば、特定のIPからの接続のみを信頼するようにサービスが構成されている場合、攻撃者はそのIPになりすまして悪意のあるコマンドを送信する可能性があります。

3. ウェブサイトやアプリケーションの欺瞞

現代のセキュリティプラクティスでは一般的ではありませんが、IPスプーフィングは、初期認証のためにIPアドレスに依存する特定のウェブサイトやアプリケーションを欺くために使用されることがあります。例えば、一部のコンテンツ配信ネットワーク（CDN）や地域制限サービスは、IPアドレスに基づいてユーザーの位置を判断する場合があります。IPをスプーフィングすることで、攻撃者はこれらの地域制限を回避できる可能性があります。しかし、ほとんどの最新のアプリケーションはより強力な認証メカニズム（ユーザー名/パスワード、トークンなど）を採用しているため、単純なIPスプーフィングだけで複雑なシステムを完全に欺くことはめったにありません。

4. ブラインド攻撃

攻撃者が応答を受け取る必要がない特定の攻撃では、IPスプーフィングは効果的です。例えば、攻撃者はターゲットシステムに一連のコマンドを送信しようとするかもしれません。たとえ応答を受け取らなくても、コマンドが実行されたと仮定します。これらの「ブラインド」攻撃は、攻撃者の真の場所を露呈することなく、サービスの一方的な妨害によく使用されます。

IPスプーフィングの制限：双方向通信の課題

攻撃者の身元を隠す上で非常に効果的であるにもかかわらず、IPスプーフィングには双方向通信を確立する際に固有の制限があります。攻撃者が偽装された送信元IPを持つパケットを送信すると、ターゲットシステムはすべての応答を偽装された送信元IPアドレスに送り返します。これは、攻撃者がターゲットシステムからの応答を直接受信できないことを意味します。なぜなら、それらの応答は無関係な第三者（偽装されたIP）または存在しないIPアドレスにルーティングされるからです。

この一方通行の性質は、TCPの3ウェイハンドシェイクなど、完全なセッションの確立を必要とする多くの攻撃において、IPスプーフィングの有用性を制限します。例えば：

TCP接続: TCP接続の確立には、クライアントとサーバー間の3ウェイハンドシェイクが必要です。送信元IPがスプーフィングされている場合、攻撃者（クライアント）はサーバーのSYN-ACK応答を受信できないため、接続を完了できません。
ウェブブラウジング: ウェブページの閲覧、サービスへのログイン、オンライン取引の実行には、すべて双方向のデータ交換が必要です。IPスプーフィングは、このようなインタラクティブな通信を維持することはできません。

しかし、前述の反射型または増幅型DDoS攻撃や特定のブラインド攻撃など、特定の種類の攻撃では、IPスプーフィングの一方通行の性質は実質的な障害にはなりません。これらのシナリオでは、攻撃者は応答を受け取ることを気にせず、ターゲットシステムから反応を引き出すために悪意のあるパケットを送信するだけで十分です。

TCP/IPの仕組みを理解することで、IPスプーフィングの限界についてより深く洞察できます。

IPスプーフィングに対する防御策

IPスプーフィングに対する防御は、ネットワークインフラストラクチャ、プロトコル、およびセキュリティポリシーを含む多層的なタスクです。以下に主要な防御メカニズムを示します。

1. イングレスフィルタリング（BCP38）

イングレスフィルタリングは、IPスプーフィングに対する最も重要かつ効果的な防御策の一つです。これは、インターネット技術タスクフォース（IETF）によってRFC 2827（後にBCP 38）で提案されました。

原理: イングレスフィルタリングは、ネットワークのエッジにあるルーターが、その内部ネットワークから発信されるすべてのIPパケットをチェックすることを要求します。パケットの送信元IPアドレスがそのルーターに直接接続されているネットワーク範囲に属していない場合（つまり、外部IPである場合）、そのパケットはブロックされ、ネットワークから出ることは許可されません。
重要性: BCP38を実装することで、インターネットサービスプロバイダー（ISP）や組織は、自身のネットワーク内のユーザーが、自身に割り当てられたIPスペースに属さない偽装された送信元IPアドレスを持つパケットを送信するのを防ぐことができます。これは、攻撃者がそのネットワーク内からIPスプーフィング攻撃を試みても、その悪意のあるトラフィックがインターネット全体に到達する前に破棄されることを意味します。
影響: 広く展開されれば、BCP38はインターネット上の偽装されたIPパケットの数を大幅に削減し、それによって反射型および増幅型DDoS攻撃の有効性を大幅に低下させる可能性があります。しかし、その実装は義務ではないため、多くのネットワークではまだ完全に採用されていません。

2. イグレスフィルタリング

イグレスフィルタリングはイングレスフィルタリングを補完するものです。

原理: イグレスフィルタリングは、ネットワークの入り口（内部ネットワークに近い場所）で実行され、すべての着信トラフィックをチェックします。これは、外部ネットワークから発信されたように見えるが、実際には内部ネットワークに存在する送信元IPアドレスを持つ着信パケット（例：内部IPを送信元として持つ外部パケット）を破棄します。
重要性: イグレスフィルタリングは、偽装されたパケットがあなたのネットワークから出るのを直接防ぐことはできませんが、外部からのIPスプーフィングトラフィックがあなたの内部ネットワークに侵入するのを防ぎ、それによって内部リソースを保護することができます。

3. TCPシーケンス番号のランダム化

原理: TCP接続の確立中、クライアントとサーバーは初期シーケンス番号（ISN）を交換します。これらのシーケンス番号は、データパケットの順序を追跡し、信頼性を確保するために使用されます。攻撃者が確立されたTCPセッションをハイジャックしようとする場合、正しいシーケンス番号を推測する必要があります。
防御: 現代のオペレーティングシステムやネットワークデバイスは、TCPシーケンス番号を高度にランダム化し、予測を非常に困難にしています。これにより、攻撃者は応答を受信することなく正しいシーケンス番号を推測することが困難になり、既存のTCPセッションへのハイジャックや注入の試みを妨げます。

4. 強力な認証メカニズム

原理: 多くの古いシステムや単純なサービスは、IPアドレスのみに基づいてユーザーを認証または認可する場合があります（例：「IP Xからならアクセスを許可する」）。
防御: 最新のアプリケーションやサービスは、IPアドレスのみに依存するのではなく、多要素認証（MFA）、証明書ベースの認証、ワンタイムパスワード、またはセッショントークンベースの認証などのより強力な認証方法を採用する必要があります。これにより、攻撃者がIPをうまくスプーフィングできたとしても、認証レイヤーをバイパスできないようにします。

5. ネットワーク監視と異常検知

原理: ネットワークトラフィックの継続的な監視は、異常なパターンを発見するのに役立ちます。
防御: 侵入検知システム（IDS）や侵入防御システム（IPS）を導入することで、ローカルネットワーク範囲外の送信元IPアドレスを持つが、通過しようとしているパケットを検出し、アラートを発することができます。トラフィックパターンの分析は、送信元IPが偽装されていても、DDoS攻撃や異常なネットワーク活動を特定するのに役立ちます。

6. RPF（Reverse Path Forwarding）チェック

原理: RPFは、ルーターの機能で、着信パケットの送信元IPアドレスが、同じインターフェースを通じてその送信元にルーティング可能かどうかをチェックします。不可能であれば、パケットは破棄されます。
防御: RPFは、特に非対称ルーティングのあるネットワーク環境で、IPスプーフィングを防ぐために主に使用されます。パケットの送信元IPがルーティングテーブルに適切な逆方向パスがない場合、それは偽装されたパケットである可能性が高いです。

結論

IPスプーフィングは、攻撃者が自身の身元をある程度隠し、IPベースの初期セキュリティチェックを回避できる強力なネットワークツールです。特に反射型および増幅型のシナリオにおいて、DDoS攻撃で重要な役割を果たします。その一方通行の性質は、完全な双方向通信の確立における適用を制限しますが、応答を必要としない悪意のある活動にとっては深刻な脅威であり続けます。

BCP38イングレスフィルタリングの広範な展開、認証メカニズムの強化、効果的なネットワーク監視の実装、RPFなどの技術の活用により、IPスプーフィングの脅威に対するネットワークの回復力を大幅に向上させることができます。ネットワーク管理者として、これらの防御戦略を理解し、ネットワークインフラストラクチャに適用することが不可欠です。一般ユーザーとしては、IPスプーフィング攻撃を直接防ぐことはできませんが、その原理を理解することで、ネットワークセキュリティ全体の重要性をよりよく把握するのに役立ちます。