一般的なネットワーク攻撃：DoS、スプーフィング、MITM

サービス拒否（DoS）攻撃は、トラフィックでシステム、サービス、ネットワークを過負荷状態にするか、クラッシュを引き起こす脆弱性を悪用することで、正規ユーザーが利用できない状態にすることを目的とします。DoS攻撃は、CIAトライアドの可用性を標的にします。単一の送信元からのDoSは、送信元IPにレート制限を適用することで比較的簡単にブロックできます。しかし、現代の攻撃の多くは複数の送信元を同時に使用するため、緩和がはるかに困難です。

DDoS攻撃は、侵害された数千台または数百万台のデバイス（ボットネット）を使用し、多数の異なる送信元アドレスから同時に標的へ大量のトラフィックを送り付けます。そのため、送信元IPによるブロックは現実的ではありません。DDoS攻撃は、帯域幅を消費させるボリューム型（例：UDPフラッド）、ステートフルなリソースを枯渇させるプロトコル型（例：SYNフラッド）、正規の通信に見えるHTTPリクエストでサーバー容量を枯渇させるアプリケーション層型（例：Slowloris）に分類されます。Cloudflare、Akamai、AWS Shieldなどの緩和サービスは、ボリューム型攻撃がオリジンサーバーに到達する前に吸収します。

増幅攻撃は、最初のリクエストよりもはるかに大きなレスポンスを生成するプロトコルを悪用します。DNS増幅では、小さなUDPクエリから最大70倍の大きさのレスポンスを生成し、それらをすべて被害者に向けて送信します。NTP monlist増幅では、4,000倍の増幅率に達することがあります。攻撃者は送信元アドレスとして被害者のIPをスプーフィングするため、数千台のリフレクターが大きな応答を被害者へ送信します。これがリフレクション攻撃とも呼ばれる理由です。緩和策には、BCP38（ISPレベルの送信元アドレス検証）や増幅サービスの無効化などがあります。

IPスプーフィングとは、偽造した送信元IPアドレスを含むパケットを作成する行為です。スプーフィングは、DoS/DDoSのリフレクション攻撃、IPベースのアクセス制御リストの回避、攻撃者の実際の所在地の隠蔽などに利用されます。スプーフィングしたパケットを送信するには、Raw Socketの権限が必要です。防御策には、イングレスフィルタリング（BCP38）があります。これは、正規にそのネットワークから送信されたとは考えられない送信元IPを持つパケットを、ISPやルーターがインターフェイスで破棄するようにするものです。ステートフルファイアウォールも、確立済みのセッションに一致しない未承諾のインバウンドパケットを拒否することで役立ちます。

ARPスプーフィング（ARPポイズニングとも呼ばれます）は、攻撃者のMACアドレスを正規のIPアドレスに関連付ける、未承諾のARP応答を送信する攻撃です。偽のARP更新を受信したホストはARPキャッシュを更新し、そのIPアドレス宛てのトラフィックを攻撃者のMACアドレスへ送信するようになります。これにより、ローカルセグメント上で中間者攻撃が可能になります。Arpspoof、Ettercap、Bettercapなどのツールを使うと、この攻撃を自動化できます。防御策には、管理対象スイッチでのDynamic ARP Inspection（DAI）があります。DAIは、信頼できるDHCPスヌーピングバインディングテーブルと照合してARPパケットを検証します。

中間者（MitM）攻撃は、攻撃者が、互いに直接通信していると考えている2者間の通信を密かに中継し、場合によっては改ざんすることで成立します。MitM攻撃は、ARPスプーフィング、DNSスプーフィング、不正なWi-Fiアクセスポイント、BGPルートハイジャックなどによって実行できます。通信の中間に位置すると、攻撃者は盗聴、コンテンツの挿入、暗号化の解除（SSLストリッピング）、認証情報のリプレイなどを行えます。重要な防御策は相互認証と暗号化です。正規の証明書を使用するTLSでは、クライアントがサーバーの身元を検証できるため、ほとんどのMitM攻撃を防止できます。

DNSキャッシュポイズニングは、悪意のあるDNSレコードをリゾルバーのキャッシュに注入し、正規のドメイン名を攻撃者が管理するIPアドレスに解決させます。古典的なKaminsky攻撃（2008年）は、予測可能なトランザクションIDを悪用し、大規模にリゾルバーを汚染しました。ユーザーが利用するリゾルバーが汚染されると、偽サイトへリダイレクトされ、認証情報を盗まれたり、マルウェアを配布されたりする可能性があります。DNSSEC（DNS Security Extensions）はDNSレコードにデジタル署名を付け、リゾルバーが真正性を検証できるようにします。また、DNS over HTTPS（DoH）は経路上でのクエリの傍受を防ぎます。

オンパス（インパス）攻撃者は、転送中のトラフィックを閲覧・変更できるネットワーク上の位置にいます。つまり、通信する2つのエンドポイントの間に、物理的または論理的に位置しています。ARPスプーフィングは、ローカルセグメント上にオンパスの位置を作り出します。オフパス攻撃者はトラフィックを閲覧できませんが、推測したシーケンス番号を使ってスプーフィングしたTCP RSTパケットを注入し、接続を切断するなど、ブラインド攻撃を試みることがあります。TLSは、トラフィックを傍受されても秘密鍵なしでは復号や偽造ができないため、どちらの状況に対しても有効です。

BGP（Border Gateway Protocol）ハイジャックは、悪意のある、または設定を誤ったAutonomous Systemが、別の組織宛てのトラフィックを引き寄せるために、より具体的なIPプレフィックスをアナウンスすると発生します。これにより、インターネット全体に及ぶトラフィックを攻撃者のネットワーク経由へリダイレクトできます。BGPハイジャックは、暗号資産取引の傍受、メールの窃取、銀行向けトラフィックのリダイレクトなどに悪用されてきました。防御策には、ルートオリジン認可を暗号学的に検証するRPKI（Resource Public Key Infrastructure）や、予期しないBGPアナウンスの変更を監視することなどがあります。

SYNフラッドは、スプーフィングした送信元IPを使って大量のSYNパケットを送信し、TCPの3ウェイハンドシェイクを悪用します。これによりサーバーは、決して到着しないACKを待つハーフオープン接続の状態を確保することになります。接続テーブルが満杯になると、サーバーは新しい正規の接続を受け付けられなくなります。防御策には、SYN Cookie（サーバーがSYN-ACKのシーケンス番号に状態情報を埋め込み、ACKを受信するまでリソースを割り当てない仕組み）、SYNタイムアウトの短縮、送信元アドレスごとのSYNパケットへのレート制限などがあります。

DoS、スプーフィング、MitM攻撃を検知するには、複数の地点を可視化する必要があります。NetFlow/IPFIXデータからは、多数の送信元から突然トラフィックが急増したことが分かります。SIEMの相関ルールを使えば、異常なARPアクティビティ（1つのMACアドレスが多数のIPアドレスを名乗るなど）や、不審なほどTTLが短いDNS応答を検知してアラートを発報できます。IDS/IPSシグネチャは、SYNフラッドやARPスプーフィングツールを検知します。対応には、エッジルーターでのレート制限、DDoSスクラビングサービスの有効化、影響を受けたセグメントの隔離、Dynamic ARP Inspectionの再有効化、汚染されたキャッシュの消去などがあります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、次のことを学びました。DDoS攻撃はボットネットを使い、多数の送信元から標的を過負荷にする攻撃で、ボリューム型、プロトコル型、アプリケーション層型に分類されます。ARPスプーフィングはローカルネットワークのキャッシュを汚染してMitM攻撃を可能にし、Dynamic ARP Inspectionによって緩和できます。SYNフラッドはサーバーの接続状態を枯渇させる攻撃で、SYN Cookieやレート制限によって防御します。次は、WEPからWPA3までのWi-Fiセキュリティプロトコルについて学びます。