ネットワーク・通信セキュリティ重要度:★★出題: AM2・PM1

ARPスプーフィングとプライベートVLAN・MACフラッディング

あーぷすぷーふぃんぐ / ぷらいべーとぶいらん / ARP Spoofing (ARP Cache Poisoning) / Private VLAN / MAC Flooding

同一セグメント内で偽のARP応答を送って通信を横取りするARPスプーフィングと、L2スイッチのMACアドレステーブルを溢れさせて盗聴するMACフラッディングへの対策。

3行速習ポイント

ARPスプーフィング：ゲートウェイのIPアドレスに対するMACアドレスを「攻撃者端末のMAC」と偽装したARPリプライ（Gratuitous ARP等）を送り、標的PCのARPテーブルを書き換えて中間者攻撃（MITM）を行う
MACフラッディング：送信元MACをランダム偽装したフレームを大量送信してL2スイッチのMACアドレステーブルを満杯にし、宛先不明フレームを全ポートへ転送（リピータハブ化）させて通信を盗聴する
対策はポートセキュリティ（1ポートあたりの学習MACアドレス数制限）、DAI（Dynamic ARP Inspection）、および端末間の直接通信を遮断するプライベートVLAN（クライアントアイソレーション）

図データリンク層（L2）の盗聴・中間者攻撃とスイッチ防御機構

L2セグメント内脅威

脅威：ARPスプーフィング＆ MACフラッディング

偽ARP応答による中間者攻撃とMACテーブル溢れによるリピータハブ化

ゲートウェイのMACを偽装したGARP等でARPキャッシュを汚染して通信を横取り、または大量の偽MACフレームでスイッチをフラッディング状態にして盗聴

↕

スイッチ検証機能

防御1：ポートセキュリティ＆ DAI (Dynamic ARP Inspection)

ポートあたりの学習MACアドレス数制限と不正ARPパケット破棄

1ポートで学習できるMACアドレス上限数を制限してMACフラッディングを阻止し、DHCPスヌーピング台帳と連携したDAIで偽ARP応答を遮断

↕

端末間アイソレーション

防御2：プライベートVLAN / プライバシーセパレータ

同一サブネット内でもクライアント端末間のL2直接通信を遮断

各端末からデフォルトゲートウェイへの通信のみを許可し、端末同士の折り返し通信をスイッチ/APで遮断することでARP汚染や隣接端末への感染拡大を阻止

💡 ホテルやオフィス無線LAN・共有セグメントでは、端末同士の直接通信を遮断する「プライベートVLAN（プライバシーセパレータ）」が横展開防止に極めて有効

データリンク層（L2）プロトコルであるARPには認証機構がないため、同一ブロードキャストドメイン（同一VLAN）内に攻撃者が1台でも侵入すると、容易に通信の盗聴や改ざんが可能になります。ホテルやオフィスの無線LAN・有線LANでは端末同士の直接通信を遮断する設計が重要です。

プライベートVLAN（PVLAN） / 無線LANプライバシーセパレータ：同じサブネットに属していても、端末からデフォルトゲートウェイへの通信だけを許可し、端末同士（クライアント間）のL2折り返し通信をスイッチ/APで遮断する機能
Gratuitous ARP（GARP）：本来はIPアドレス重複確認や冗長ルータ（VRRP等）のフェイルオーバ時にキャッシュ更新用として使われるが、ARPキャッシュポイズニングにも悪用される
ポートセキュリティ設定：スイッチの各ポートで許可するMACアドレス上限数を制限し、違反時はポートをerr-disable（シャットダウン）または破棄する