ARPポイズニング

---

ARPポイズニングとは何ですか？

ARPポイズニング（ARPスプーフィングやARPキャッシュポイズニングとも呼ばれる）は、攻撃者が自身のMACアドレスを別のホスト（最も一般的なのはゲートウェイやDNSサーバー）のIPアドレスに関連付けることで、そのホスト宛てのトラフィックを攻撃者を経由するようにリダイレクトさせる、ローカルネットワークに対する攻撃である。

フラットなレイヤー2ネットワークでは、これにより、パッシブな盗聴、アクティブな中間者攻撃（MITM）による操作、認証情報の収集、SSLストリッピングが可能となり、さらに横方向の移動や標的型DDoS攻撃への足がかりともなり得ます。 ARPは、数十年前に定義された（RFC 826）単純で認証のないプロトコルであり、現在も広く使用されているため、ARPポイズニングは、企業、キャンパス、および運用環境において依然として重大なリスクとなっています。

編集部注：本記事は、ARPポイズニング攻撃の手口、生成AIが現代の攻撃や防御においてどのように活用されているか、および2026年時点での最近の攻撃事例に関するより詳細な情報を追加して更新されました。

ARPポイズニングはなぜ危険なのでしょうか？

ARPポイズニングは、ローカルネットワークにおける「IP-MAC対応付けは信頼できる」という基本的な前提を崩します。ARPには認証機能がないため、どのホストでも偽造された応答を送信し、他のホストのARPキャッシュ内のエントリを上書きすることが可能です。この信頼が一度損なわれると、明らかなエラーを引き起こすことなく、トラフィックを透過的に傍受することが可能になります。

これにより、スイッチ接続されたネットワーク上でも、受動的なデータ収集（認証情報、セッションクッキー、内部API呼び出しなど）が可能になります。暗号化が不十分だったり、設定ミスがあったりすると、攻撃者は転送中のコンテンツを読み取ったり改ざんしたりすることが可能です。SSLストリッピングなどの手法により、HTTPSがHTTPにダウングレードされ、ユーザーが保護されていると期待している機密データがさらされてしまいます。

また、これにより能動的な操作も可能になります。通信経路上の攻撃者は、応答を注入したり、DNSの応答を改ざんしたり、アプリケーションデータを改ざんしたりすることができます。これにより、ユーザーを悪意のあるサービスにリダイレクトしたり、マルウェアを配信したり、トランザクションを改ざんしたりすることが可能です。攻撃者は検知を回避するためにトラフィックを転送するため、被害者は通常通り接続できているように見えることがよくあります。

ARPポイズニングは、ラテラルムーブメントの足がかりともなり得ます。認証フローやネットワーク構造を観察することで、攻撃者は重要な標的を特定したり、認証情報を再利用したり、他のシステムへと攻撃範囲を広げたりすることができます。セグメンテーションや検査が行われていないフラットなネットワークでは、ARPポイズニングは容易に拡大し、検出も困難です。

ARPポイズニング攻撃はどのように行われるのか？

攻撃者はまず、標的と同じレイヤー2セグメント上に位置します。これは、ARPがブロードキャストドメイン内で動作するため、必要となります。その後、攻撃者は対象となるIPアドレス（通常は被害者のホストとデフォルトゲートウェイ）を特定します。

次に、攻撃者は両者に対して偽造されたARP応答（グラトゥイテュスARP）を送信します。被害者に対しては、「ゲートウェイのIPアドレスは私のMACアドレスに対応している」と主張し、ゲートウェイに対しては、「被害者のIPアドレスは私のMACアドレスに対応している」と主張します。これらの要求されていない応答によりARPキャッシュが更新されますが、ほとんどのシステムはこれを検証せずに受け入れてしまいます。

キャッシュが汚染されると、被害者とゲートウェイ間のトラフィックは攻撃者のMACアドレスに送信される。攻撃者はIP転送を有効にすることで、パケットが実際の宛先へ中継され、接続が維持される。これにより、透過的な中間者攻撃の態勢が構築される。

この状態になると、攻撃者はパケットを傍受、記録、または改ざんすることが可能になります。多くのツールでは、ARPポイズニングや、プロトコルのダウングレード、DNSスプーフィング、インジェクションなどのパケット処理が自動化されています。この攻撃は、キャッシュエントリが期限切れになったり修正されたりしないよう、偽造されたARP応答を定期的に送信することで継続されます。

ARPポイズニング攻撃の兆候

ARPポイズニングは、接続が切断されないため、多くの場合、目立った兆候が見られません。トラフィックは依然として流れていますが、その経路は攻撃者を経由しています。兆候は間接的なものが多く、ネットワークの挙動やシステムの状態に注意を払う必要があります：

ARPポイズニングにおいて、攻撃者と防御者は生成AIをどのように活用しているのか？

生成AIはARPポイズニングの仕組みそのものを変えるものではありません。この攻撃は依然として、ローカルのレイヤー2ブロードキャストドメイン内での偽造ARPメッセージに依存しています。変化するのは、攻撃者の実行速度、準備の徹底度、そして説得力のある追撃行動です。最近の脅威評価では、特に偵察、スクリプト作成、フィッシング、ソーシャルエンジニアリングの自動化にAIが利用された場合、サイバー攻撃の参入障壁が低くなり、攻撃の規模と影響力が拡大する恐れがあると警告されています。

攻撃者は、生成AIを利用して、ARPスプーフィングスクリプトの作成や改変、トラブルシューティングツールの出力の解析、パケット解析ロジックの生成、あるいは被害者の環境に合わせたペイロードの作成を行う可能性があります。 一度MITM（中間者攻撃）の立場に立てば、AIを活用したワークフローにより、キャプチャしたトラフィックの要約、注目すべきホストや認証情報の特定、標的型フィッシングメッセージの草案作成、あるいはより信憑性の高いログインページやサポートプロンプトの作成が可能になります。これにより、ARPポイズニングは、認証情報の窃取、DNSスプーフィング、キャプティブポータル攻撃、あるいはSSLストリッピングの試みと組み合わされた場合、さらに危険なものとなります。

生成AIは、ローカルネットワーク攻撃に関連する、極めて説得力のあるソーシャルエンジニアリングのリスクも高めます。例えば、トラフィックを妨害または傍受する攻撃者は、AIで生成されたメッセージを利用してITサポートを装い、「ネットワークの問題」を説明し、ユーザーに再認証を行わせたり、証明書をインストールさせたり、不正なWi-Fiネットワークに接続させたり、不審なログインを承認させたりすることが可能です。

防御側も、ARPポイズニング対策としてAIや機械学習を活用することができます。最近の研究では、ARPの挙動を監視し、IPとMACの一致性を検証し、異常なゲートウェイのマッピングを検出し、なりすましパターンをリアルタイムで特定する、機械学習ベースのアプローチが提案されています。これには、静的な制御の管理が困難になりがちなIoT環境も含まれます。

実例

実世界のARPポイズニングの事例は、単独のインシデントとして発生するよりも、より広範な中間者攻撃、認証情報の窃取、あるいはラテラルムーブメントの一環として現れることがよくあります。以下の例は、共有ホスティングや公衆Wi-Fiから、企業ネットワークやIoTネットワークに至るまで、さまざまな環境において、攻撃者がARPポイズニングをどのように悪用し得るかを示しています：

なぜ防衛策は失敗するのか

ARPポイズニングは、基本的なネットワーク管理が不十分な場合に成功します。典型的な根本原因としては、フラットなレイヤー2ドメイン、無効化されている、あるいはサポートされていないスイッチのセキュリティ機能、DHCPスヌーピングやダイナミックARPインスペクション（DAI）の欠如、管理対象外のIoTエンドポイント、およびエンドポイント検出機能の欠如などが挙げられます。また、レガシー機器、複雑なマルチベンダー環境、不十分な変更管理といった運用上の制約も、予防的対策の導入を妨げる要因となります。

防御戦略：実践的な対策

リスク軽減には、攻撃対象領域を排除または制限し、異常なARPアクティビティを検知し、迅速な運用対応を行うための多層的な対策が必要です。以下のガイダンスでは、すぐに適用できる実用的な対策に焦点を当てています。

ネットワークの健全性維持とセグメンテーション

ネットワークを小さなレイヤー2ドメインに分割し、ゲストデバイスやIoTデバイスを隔離されたVLANに配置し、厳格なACLを適用することで、ARPポイズニングが発生した場合の影響範囲を最小限に抑えます。機密性の高いリソースにはプライベートVLANやマイクロセグメンテーションを採用し、不要なブロードキャストドメインを制限するとともに、最小権限のトラフィックフローを徹底します。

Radwareの支援内容：Radwareのインライン検知アプライアンスは、重要な集約ポイントに導入することで、ARPテーブルの突発的な不整合や異常なトラフィックフローを監視することができます。例えば、「DefensePro」は高精細なネットワークテレメトリを提供しており、運用チームはこれをNACやセグメンテーションポリシーと統合することで、不審なセグメントの隔離を自動化することができます。

スイッチのセキュリティ強化とポートのセキュリティ対策

対応しているスイッチでは、DHCPスヌーピングとダイナミックARPインスペクション（DAI）を有効にし、アップリンク用に信頼済みポートを設定し、ホストポートを信頼されていないポートとしてマークします。不正なデバイスが偽のMACバインディングをアドバタイズすることを防ぐため、可能な場合はIP-MACバインディング、ポートセキュリティの制限、および802.1Xを導入してください。混合環境では、DHCPが使用されていない静的なホストエントリに対して、ARP ACLの導入を検討してください。

Radwareの支援内容：インシデント発生時、DefenseProは異常なARPパターンを検出し、ワイヤースピードのフィルタリングを適用します。また、クラウド分析およびオーケストレーションとの連携により、Ciscoなどのベンダーが文書化しているスイッチのDAI機能と連携して動作する、自動化された修復ワークフローを実現します。

デバイスの状態とエンドポイント管理

エンドポイントにおける攻撃対象領域を縮小する：使用されていない管理インターフェースを無効化し、強固で一意の認証情報を義務付け、ファームウェアの更新を適時実施し、ホストベースの保護機能を活用する。管理対象外のIoTについては、ネットワークアクセス制御（NAC）と、信頼できるコンソールへの管理アクセスのみを許可する許可リストを導入する。

Radwareの支援内容：Radwareの脅威インテリジェンスサービスと Bot Managerは、デバイスの異常な動作や不正な管理トラフィックのパターンを特定するのに役立ち、SOCチームが不審なエンドポイントを迅速に特定して隔離することを可能にします。

検知と監視

継続的なARP監視（arpwatch、ArpON、ホストベースのARPガードなど）を実施し、それらのアラートをSIEMおよびNDRツールに統合します。IPアドレスとMACアドレスの急激な入れ替わり、無意味なARPフラッドの急増、およびMITM転送を示唆する非対称なトラフィックフローを監視します。フローテレメトリ（NetFlow/IPFIX）やパケットサンプリングは、これらの監視結果を裏付ける上で有用です。

Radwareの支援内容：Radwareの「Cloud Network Analytics」は、フローごとのテレメトリデータを集約し、ARPの異常を顧客環境全体で確認されるトラフィックパターンと関連付けます。また、「Threat Intelligence Subscriptions」は、コンテキスト情報を盛り込んだフィードを提供し、アラートの優先順位付けを支援します。

対応およびインシデント対応マニュアル

ポイズニングが検出された場合は、影響を受けたセグメントを隔離し、パケットの証拠を収集し、影響を受けたホストのARPキャッシュをクリアし、正しいARPバインディングを再確立します（例えば、権威あるグレイタスARPを送信するなど）。上流のネットワークチームと連携し、フォレンジックのベストプラクティスに従って、ログと証拠の保管記録を保全してください。

Radwareの支援内容：Radwareの緊急対応チーム（ERT）は、24時間365日体制で運用上のガイダンスを提供し、リアルタイムのチューニング、被害軽減措置、フォレンジック収集手法の支援を通じて、攻撃の持続時間を短縮し、インシデント発生後の分析をサポートします。

運用ガイドラインおよびプレイブック・チェックリスト

SOC/NOC チェックリスト：

• エスカレーションチャネルの事前承認
• ARP監視ルールを維持する
• 机上演習の実施
• 文書のエスカレーション基準値
• スイッチの設定およびDHCPスヌーピングのバインディングのバックアップを確実に実施する
• VLANの設計を定期的に見直し、必要に応じてマイクロセグメンテーションを導入する

今後の見通しと主なポイント

ARPポイズニングは、ARPプロトコルそのものに認証機能が欠如していること、また多くの実稼働ネットワークでフラットなレイヤー2トポロジーが維持されていることから、依然として多くの実環境ネットワークにおいて有効な攻撃手段となっています。 重要なポイント：ブロードキャストドメインを縮小し、対応している場合はDAIおよびDHCPスヌーピングを有効にし、デバイスのポスチャー管理とNACを導入し、ARPモニタリングを分析パイプラインに一元化し、実践的なインシデント対応プレイブックを維持すること。これらの対策を脅威インテリジェンスや的を絞った緩和策と組み合わせることで、ARPキャッシュポイズニングのリスクと影響を大幅に低減できる。