問題 No.6016
IPスプーフィングに関する記述として不適切なものはどれか。
【正解の解説】
送信元IPアドレスを偽装されたパケットを完全に防止するため、インターネット上のすべてのルータで暗号化通信を必ず有効にしなければならない。
手紙の差出人名を偽装する詐欺を想像してください。全てのポストや配達員が全員の身元を完全に証明・暗号化するのはコスト的にも運用面でも不可能ですよね。IPスプーフィング対策としては、暗号化ではなく通信経路のフィルタリング技術などが用いられます。したがって、すべてのルータで暗号化を必ず有効にしなければならないとするこの記述は誤りとなります。
スポンサーリンク
【その他の選択肢の解説】
攻撃者は不正なパケットのヘッダにある送信元IPアドレスを任意の別の値に書き換えて通信相手に送りつけることがある。
封筒の差出人欄に架空の住所や他人の名前を書いて投函するような手口です。ネットワークの世界でも、送信元のIPアドレスを自由に変更してパケットを送りつけることができるため、攻撃者は身元を隠したり別の端末になりすましたりして不正アクセスやDDoS攻撃を行います。この仕組み自体は実際の攻撃手法を正しく表しています。
パケットフィルタリング機能を備えた境界ルータにおいて内部ネットワークから外部へ流出する偽装パケットの送出を阻止できる。
会社の出口の警備員が、社員証の不正や宛先の怪しい荷物の持ち出しをチェックして差し押さえるようなものです。組織の境界ルータで自社ネットワーク以外のIPアドレスが送信元になっているパケットの流出を遮断（スレイピング対策など）することで、踏み台にされて加害者になるのを防ぐ有効な対策となります。
通信経路上でパケットの往来を監視し送信元と宛先の整合性を検証することでスプーフィング攻撃の検知が試みられる。
防犯カメラや検問所で、通行人の名簿と実際の往来に矛盾がないかチェックするようなものです。ネットワーク機器やIDSなどでパケットの動きを観察し、ルーティング情報と送信元IPアドレスが矛盾していないか検証することで、なりすましによる不正な通信をいち早く察知して警戒することが可能になります。