第24章 ＭＡＣ-ＩＰ アンチスプーフの設定
ネットワーク ＞ ＭＡＣ-ＩＰ アンチスプーフ
この章では、ＳｏｎｉｃＷＡＬＬ ＳｏｎｉｃＯＳ でＭＡＣ-ＩＰ アンチスプーフ保護を計画、設計、および実装する方法について説明します。 この章は、次のセクションから構成されています。
ＭＡＣ-ＩＰ アンチスプーフ保護の概要
ＭＡＣおよびＩＰアドレスをベースにした攻撃は、今日のネットワーク セキュリティ環境でますます一般化しています。 この種の攻撃は、ローカル エリア ネットワーク （ＬＡＮ） を標的にすることが多く、ネットワークの外部からも内部からも行われることがあります。 実際、オフィスの会議室、学校、図書館など、内部ＬＡＮがある程度公開されている場所ならどこでも、この種の攻撃の緒になる可能性があります。 これらの攻撃にはさまざまな異名があり、 ｍａｎ-ｉｎ-ｔｈｅ-ｍｉｄｄｌｅ攻撃、ＡＲＰポイズニング、ＳＰＩＴＳなどと呼ばれています。 ＭＡＣ-ＩＰ アンチスプーフ機能は、ネットワークへのアクセスを制御する種々の方法を管理者に提供し、ＯＳＩ階層２／３へのスプーフィング攻撃を排除することにより、これらの攻撃のリスクを減じます。
ＭＡＣ-ＩＰ アンチスプーフ機能は２つの点に重点的に取り組んでいます。 その１つは受付制御です。これはどの機器にネットワークへのアクセスを許すかを管理者が選択できるようにするものです。 もう１つは、第２層へのサービス拒否攻撃などのスプーフィング攻撃の排除です。 これらの目標を達成するためには、２つの情報キャッシュを構築する必要があります。 それはＭＡＣ-ＩＰ アンチスプーフ キャッシュとＡＲＰキャッシュです。
ＭＡＣ-ＩＰ アンチスプーフ キャッシュは、着信パケットを検証し、ネットワーク内に入れてよいかどうかを判定するためのものです。 着信パケットの送信元のＭＡＣアドレスとＩＰアドレスがこのキャッシュ内から検索されます。 それらのアドレスが見つかれば、そのパケットの通過が許可されます。 ＭＡＣ-ＩＰ アンチスプーフ キャッシュは、次のサブシステムのうちの１つ以上のものから構築されます。
･ ＤＨＣＰサーバベースのリース （ＳｏｎｉｃＷＡＬＬ － ＤＨＣＰサーバ）
･ ＤＨＣＰリレーベースのリース （ＳｏｎｉｃＷＡＬＬ － ＩＰヘルパー）
･ 静的ＡＲＰエントリ
･ ユーザ作成の静的エントリ
ＡＲＰキャッシュは次のサブシステムから構築されます。
･ ＡＲＰパケット （ＡＲＰ要求とＡＲＰ応答の両方）
･ ユーザ作成エントリからの静的ＡＲＰエントリ
･ ＭＡＣ-ＩＰ アンチスプーフ キャッシュ
ＭＡＣ-ＩＰ アンチスプーフ サブシステムは、ＡＲＰキャッシュをロックすることで送信 （イーグレス） 制御を実現し、不正な機器や望ましくないＡＲＰパケットによって送信パケット （ネットワークから出ていくパケット） がなりすましに利用されないようにします。 これにより、マッピングに基づいてファイアウォールで意図しない機器にパケットがルーティングされるのを防ぎます。 また、ＡＲＰキャッシュ内のクライアントのＭＡＣアドレスを更新して、ｍａｎ-ｉｎ-ｔｈｅ-ｍｉｄｄｌｅ攻撃も防ぎます。
ＭＡＣ-ＩＰ アンチスプーフ保護の設定
このセクションは、次のサブセクションから構成されています。
インターフェース設定
Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉａｎｃｅ管理インターフェース内でＭＡＣ-ＩＰ アンチスプーフの設定項目を編集するには、「ネットワーク ＞ ＭＡＣ-ＩＰ アンチスプーフ」ページに進みます。
選択したインターフェースについての「設定」ウィンドウが表示されます。 このウィンドウで、対応するチェックボックスを選択することにより、次の設定項目を有効または無効にすることができます。 このインターフェースについて設定の選択が終わったら、「ＯＫ」を選択します。 使用できるオプションは次のとおりです。
･ 「有効」： このインターフェースによるトラフィックに関してＭＡＣ-ＩＰ アンチスプーフ サブシステムを有効にします。
･ 「静的ＡＲＰ」： 静的ＡＲＰエントリからアンチスプーフ キャッシュを構築できるようにします。
･ 「ＤＨＣＰサーバ」： ＳｏｎｉｃＷＡＬＬ ＤＨＣＰサーバからのアクティブなＤＨＣＰリースからアンチスプーフ キャッシュを構築できるようにします。
･ 「ＤＨＣＰリレー」：ＩＰヘルパーに基づいてＤＨＣＰリレーからのアクティブなＤＨＣＰリースからアンチスプーフ キャッシュを構築できるようにします。 ＩＰヘルパーへの変更については、「ＩＰヘルパーへの拡張」セクション を参照してください。
･ 「ＡＲＰロック」：ＭＡＣ-ＩＰアンチスプーフ キャッシュ内にリストされている機器についてＡＲＰエントリをロックします。 これはＭＡＣ-ＩＰアンチスプーフ設定を通じてインターフェースの送信制御に適用され、ＭＡＣ-ＩＰキャッシュ エントリがＡＲＰキャッシュ内の永続的なエントリとして追加されます。 これにより、ＡＲＰポイズニング攻撃が規制されます。 不正なＡＲＰパケットによってＡＲＰキャッシュが変更されないからです。
･ 「ＡＲＰ監視」：インターフェース上の各ＭＡＣ-ＩＰキャッシュ エントリについてクライアントのマシンへの一方的な （要求に対応したものでない） ユニキャストＡＲＰ応答の生成を可能にします。 このプロセスはｍａｎ-ｉｎ-ｔｈｅ-ｍｉｄｄｌｅ攻撃を防ぐのに役立ちます。
･ 「強制」： インターフェースでの受信 （イングレス） 制御を可能にして、ＭＡＣ-ＩＰアンチスプーフ キャッシュにリストされていない機器からのトラフィックをブロックします。
･ 「スプーフ検知」： アンチスプーフ キャッシュをパスできなかった機器をすべて記録し、それらの機器をスプーフ検知に記載します。
･ 「管理の許可」： アンチスプーフ キャッシュに現在リストされていない機器からのものも含めて、装置のＩＰアドレスに宛てられたすべてのパケットの通過を許可します。
設定の調整を行った後は、ＭＡＣ-ＩＰアンチスプーフ パネル上でインターフェースのリストが更新されます。 緑の円に白のチェック マークが入ったアイコンによって、どの設定が有効になっているのかがわかります。
補足 ＭＡＣ-ＩＰアンチスプーフ リストから除外されているインターフェースは、 非イーサネット インターフェース、レイヤ２ブリッジ ペア インターフェース、高可用性インターフェース、および高可用性データ インターフェースです。
アンチスプーフ キャッシュ
ＭＡＣ-ＩＰアンチスプーフ キャッシュには、ネットワークへのアクセスが許可されているすべての機器と、ネットワークから排除された （アクセスを拒否された） すべての機器がリストされます。 機器をリストに追加するには、「追加」ボタンを選択します。
機器のＩＰアドレスとＭＡＣアドレスを入力することのできるウィンドウが表示されます。 これらの情報を該当するフィールドに入力してください。 ルーティング機器を承認するか排除する （ブラックリストに載せる） かを選択することもできます。 ルータ設定を選択すると、その機器の背後から来るトラフィックがすべて許可されます。 その機器をブラックリストに載せると、その機器からのパケットがブロックされます。 設定が終わったら、「ＯＫ」を選択して、メイン パネルに戻ります。
静的なアンチスプーフ キャッシュ エントリを編集する必要がある場合は、ＩＰアドレスの左にあるチェックボックスを選択し、同じ行の「設定」列にある鉛筆アイコンを選択します。
１つまたは複数の静的アンチスプーフ キャッシュ エントリを削除できます。 それには、各エントリの横の「削除チェックボックス」を選択し、「削除」ボタンを選択します。
キャッシュの統計情報を消去するには、目的の機器を選択し、「統計のクリア」を選択します。
最新のキャッシュ情報を確認したい場合は、「再表示」ボタンを選択します。
補足 ＭＡＣ-ＩＰアンチスプーフ機能を有効にしていても、次のタイプのパケットはこの機能をバイパスします。 １） 非ＩＰパケット、２） 送信元ＩＰが０であるＤＨＣＰパケット、３） ＶＰＮトンネルからのパケット、４） 送信元ＩＰが無効なユニキャストＩＰであるパケット、５） アンチスプーフの設定で管理の状態が有効になっていないインターフェースからのパケット。
スプーフ検出リスト
スプーフ検出リストには、受信アンチスプーフ キャッシュ チェックをパスできなかった機器が表示されます。 このリストのエントリは、静的アンチスプーフ エントリとして追加できます。 それには、目的の機器の「追加」列にある鉛筆アイコンを選択します。 警告メッセージ ウィンドウが開き、この静的エントリを追加するかどうか確認を求められます。 「ＯＫ」を選択すると、処理が続行され、「キャンセル」を選択すると、スプーフ検出リストに戻ります。
ユーザが機器を識別するには、該当するフィールドに情報を入力して、機器のＩＰアドレス、ｉｆａｃｅ、ＭＡＣアドレス、または名前を指定します。 その際、演算子に適切な構文を使用しなければなりません。
ＩＰヘルパーへの拡張
ＩＰヘルパーのＤＨＣＰリレー サブシステムからのリースをサポートするために、ＩＰヘルパー パネル （ネットワーク ＞ ＩＰヘルパー） で次の変更が行われています。
･ ＤＨＣＰリレー ロジックの一部として、ＩＰヘルパーはクライアントとＤＨＣＰサーバとの間で交換されるリースを学習し、それらをフラッシュ メモリに保存します。
･ これらの学習されたリースは、ＩＰヘルパー状態同期メッセージの一部として、アイドル ファイアウォールに同期されます。
リースからのＭＡＣアドレスとＩＰアドレスのバインドは、ＭＡＣ-ＩＰ アンチスプーフ キャッシュに変換されます。