IP スプーフィング.

IP スプーフィングは、パケットヘッダー内の 32 ビット(IPv4)または 128 ビット(IPv6)の送信元アドレスフィールドを書き換え、別のマシンから送られてきたように見せかけます。古典的なインターネットは宛先のみに基づいてデータグラムを転送し、送信元を一切検証しないため、ホストはほぼ任意の発信元を名乗るパケットを送出できます。攻撃者はこれを悪用して、特定のアドレスを信頼する ACL を回避し、スキャンの発信源を隠蔽し、ブラインドまたはオフパスの TCP 攻撃を仕掛け、そして最も被害が大きいものとしてリフレクション/アンプリフィケーション DDoS を実行します。攻撃者は被害者の IP を偽装した送信元として、オープンなリフレクター(DNS、NTP、memcached、CLDAP)に小さなクエリを送り、その大きな応答がすべて被害者に降り注ぐようにします。

この手法は記録に残る最大級の大量攻撃の基盤となってきました。1997 年の Smurf 攻撃は、ブロードキャスト宛の ICMP エコー要求に被害者のアドレスを偽装したため、サブネット全体が応答しました。2018 年 2 月には GitHub が、ポート 11211 への偽装 UDP のみで構築された約 1.35 Tbps の memcached アンプリフィケーション攻撃を受け、その数日後にはさらに大規模な攻撃が米国のプロバイダを襲いました。

対策の多くは被害者ではなくネットワーク事業者側にあります。**BCP 38(RFC 2827)**および BCP 84 の入口フィルタリング、ユニキャストリバースパス転送(uRPF)、送信元アドレス検証(SAVI)は、偽装パケットがエッジを離れる前に破棄します。認証付きのトランスポート(TLS、IPsec)や TCP のランダムなシーケンス番号は、下流でのなりすましを無効化します。

flowchart LR
  A[攻撃者] -->|送信元 = 被害者 IP| R["オープンリフレクター<br/>DNS / NTP / memcached"]
  R -->|偽装送信元への大きな応答| V[(被害者)]
  subgraph Defence
    E[エッジルーター: BCP 38 / uRPF]
  end
  A -.偽装パケットを破棄.-> E