IPアドレスのなりすまし

コンピュータネットワークにおいて、IPアドレススプーフィングまたはIPスプーフィングとは、別のコンピュータシステムになりすます目的で、偽の送信元IPアドレスを持つインターネットプロトコル（IP）パケットを作成することです。 ^[1]

インターネット ネットワークや他の多くのコンピュータ ネットワークでデータを送信するための基本プロトコルは、インターネット プロトコル(IP)です。このプロトコルでは、各 IP パケットに、パケットの送信者の IP アドレス (など) を含むヘッダーが必要であると規定されています。送信元 IP アドレスは通常、パケットの送信元アドレスですが、ヘッダー内の送信者のアドレスは変更される可能性があり、その場合、受信者にはパケットが別の送信元から送信されたように見えます。

このプロトコルでは、受信側のコンピュータが送信元 IP アドレスに応答を返す必要があるため、スプーフィングは主に、送信側がネットワーク応答を予測できる場合や応答を気にしない場合に使用されます。

送信元 IP アドレスは、送信者に関する限定された情報のみを提供します。パケットが送信されたときの地域、都市、町に関する一般的な情報を提供する場合があります。送信者や使用されているコンピューターの ID に関する情報は提供されません。

信頼できる IP アドレスを使用する IP アドレス スプーフィングは、ネットワーク侵入者がIP アドレスに基づく認証などのネットワーク セキュリティ対策を突破するために使用できます。このタイプの攻撃は、マシン間に信頼関係がある場合に最も効果的です。たとえば、一部の企業ネットワークでは、内部システムが相互に信頼し合っているのが一般的です。そのため、ユーザーは内部ネットワーク上の別のマシンから接続する場合、ユーザー名やパスワードなしでログインできます (そのためには、ユーザーがすでにログインしている必要があります)。信頼できるマシンからの接続をスプーフィングすることで、同じネットワーク上の攻撃者は認証なしでターゲット マシンにアクセスできる可能性があります。

IPアドレスのスプーフィングは、サービス拒否攻撃^[2]で最も頻繁に使用されます。サービス拒否攻撃の目的は、圧倒的な量のトラフィックでターゲットをフラッドさせることであり、攻撃者は攻撃パケットへの応答を受信することを気にしません。スプーフィングされたIPアドレスを含むパケットは、各スプーフィングされたパケットが異なるアドレスから送信されたように見え、攻撃の真の送信元を隠すため、フィルタリングがより困難です。スプーフィングを使用するサービス拒否攻撃は、通常、IPアドレス空間全体からアドレスをランダムに選択しますが、より洗練されたスプーフィングメカニズムでは、ルーティング不可能なアドレスやIPアドレス空間の未使用部分を回避する場合があります。大規模なボットネットの増殖により、サービス拒否攻撃におけるスプーフィングの重要性は低下していますが、攻撃者は通常、スプーフィングをツールとして利用できるため、攻撃パケット内の送信元IPアドレスの有効性に依存するサービス拒否攻撃に対する防御は、スプーフィングされたパケットで問題が発生する可能性があります。

DDoS 攻撃では、攻撃者は IP 送信元アドレスをランダムに生成されたアドレスに偽装することがあり、これにより被害者のマシンは偽装されたパケットと正当なパケットを区別できなくなります。その後、応答は特定の場所には到達しないランダムなアドレスに送信されます。このようなどこにも到達しないパケットはバックスキャッターと呼ばれ、バックスキャッターを監視してインターネット上の DDoS 攻撃の統計的強度を経時的に測定するネットワーク テレスコープがあります。 ^[3]

偽の送信元 IP アドレスを持つパケットの使用は、必ずしも悪意がある証拠ではありません。たとえば、Web サイトのパフォーマンス テストでは、システムが「ライブ」になり、多数のユーザーが同時にログインした場合に何が起こるかをシミュレートするために、数百または数千の「vusers」(仮想ユーザー) が作成され、それぞれがテスト対象の Web サイトに対してテスト スクリプトを実行することがあります。

通常、各ユーザーは独自の IP アドレスを持つため、商用テスト製品 ( HP LoadRunner、WebLOADなど) は IP スプーフィングを使用して、各ユーザーに独自の「返信アドレス」も付与できます。

IP スプーフィングは、サーバー側の負荷分散でも使用されます。これにより、負荷分散装置は着信トラフィックをスプレーしますが、サーバーからクライアントへの戻りパスに存在する必要はありません。これにより、スイッチと負荷分散装置を介したネットワーク ホップが節約され、負荷分散装置への送信メッセージ処理負荷も節約されます。出力には通常、より多くのパケットとバイトが含まれるため、節約効果は大きくなります。^{[4] [5]}

IP スプーフィングに対して脆弱な構成とサービス:

• RPC (リモート プロシージャ コールサービス)
• IPアドレス認証を使用するサービス
• R サービス スイート ( rlogin、rshなど)

パケットフィルタリングは、IPスプーフィング攻撃に対する防御策の1つです。ネットワークへのゲートウェイは通常、入力フィルタリングを実行します。これは、ネットワーク外部からのパケットで、ネットワーク内部の送信元アドレスを持つパケットをブロックするものです。これにより、外部の攻撃者が内部マシンのアドレスを偽装するのを防ぎます。理想的には、ゲートウェイは、送信パケットに対して出力フィルタリングも実行します。これは、ネットワーク内部からのパケットで、ネットワーク内部ではない送信元アドレスを持つパケットをブロックするものです。これにより、フィルタリングを実行しているネットワーク内部の攻撃者が外部マシンに対してIPスプーフィング攻撃を仕掛けるのを防ぎます。侵入検知システム（IDS）は、パケットフィルタリングの一般的な用途であり、ネットワークおよびホストベースのIDSアプローチを介してデータを共有する環境を保護するために使用されてきました。^[6]

また、認証のために送信元 IP アドレスに依存しないようにネットワーク プロトコルとサービスを設計することも推奨されます。

一部の上位層プロトコルには、IP スプーフィング攻撃に対する独自の防御機能があります。たとえば、伝送制御プロトコル(TCP) は、リモート マシンとネゴシエートしたシーケンス番号を使用して、到着したパケットが確立された接続の一部であることを確認します。攻撃者は通常、応答パケットを見ることができないため、接続をハイジャックするにはシーケンス番号を推測する必要があります。ただし、多くの古いオペレーティング システムやネットワーク デバイスでは実装が不十分なため、TCP シーケンス番号は予測可能です。

スプーフィングという用語は、ヘッダー偽造、つまり電子メールやネットニュースのヘッダーに虚偽または誤解を招く情報を挿入することを指す場合もあります。偽造されたヘッダーは、メッセージの発信元について受信者またはネットワーク アプリケーションを誤解させるために使用されます。これは、追跡されるのを避けるためにメッセージの発信元を隠したい スパマーやスポーガーがよく使う手法です。

• 出力フィルタリング
• イングレスフィルタリング
• MACスプーフィング
• ネットワークアドレス変換
• リバースパス転送
• ルーター（コンピューティング）
• 偽装されたURL

• ANA スプーファー プロジェクト: IP スプーフィングの現状とクライアント テスト
• RFC 6528、シーケンス番号攻撃に対する防御、2012 年 2 月