【ESET】ARPキャッシュポイズニング攻撃警告の誤検知？

2020年7月11日 2021年4月27日

ESETから「ネットワークの脅威がブロックされました - ARPキャッシュポイズニング攻撃」との通知が。

調べても色々わかりにくいことが多かったので、同様の通知を受けた方への情報共有としてまとめます。しかしポイズニング攻撃とはなんとも毒々しい・・・。

ARPキャッシュポイズニング攻撃とは？

公式サイトからの引用は以下の通り。

ARPキャッシュポイズニング攻撃は、ネットワークに接続されているデバイスに不正な情報を送信する攻撃です。これにより、任意のIPアドレスと任意のMACアドレスを関連付け、様々な攻撃手段でのネットワーク攻撃機能を得ることになります。
引用元：ESET サポートページ

これだけで理解できる人は以下スルーしてください。

ARPとは？

ARP(Address Resolution Protocol)とは「IPアドレスからMACアドレスを調べる仕組み」を指します。

家庭内や社内などのプライベートなネットワークにおいて、通信機器同士が相互に通信を行うためには、IPアドレス(ネットワーク内で割り振られる番号)に加えてMACアドレス(ネットワーク機器そのものに原則この世で一意に割り当てられるアドレス)が必要となるため、ARPという仕組みを用いて「IPアドレスとMACアドレスの対応表」がネットワーク上に作られます。

ですので「ARP」自体は、PCに詳しい or ネットワークに詳しいといった方でなければ通常馴染みのない「ネットワークの裏側の仕組み」になります。

「IPアドレスとMACアドレスの対応表」のことをARPキャッシュと呼んでいます。また、ARPは「エーアールピー」ではなく「アープ」と呼ばれるのが一般的です。

キャッシュポイズニングとは？

「ポイズニング(poisoning)」の単語そもそもの意味としては"中毒"を指します。

ただし、ARPキャッシュに対するポイズニングとは、ARPキャッシュを不正に改ざんしようとする試みを意味するため、"中毒”というよりは"毒を挿し込む" or "汚染する"というイメージで捉えるほうが適切だと思われます。

ARPキャッシュが汚染された結果、通常第三者が介入不要な通信にあえて攻撃者の端末を経由して通信させることによる通信傍受の危険に晒される可能性があります。

サイトログインやネット決済等、傍受される情報によっては重大な被害につながりかねません。

危険な攻撃であることには間違いないので、当記事に辿り着いたように危機感を感じたらすぐにWebで調べるセキュリティ意識は非常に大切です。

警告メッセージへの対処方法

警告対象のIPアドレス確認方法

Windows10を利用されている方は画面右下に突如出現した上記画面を見て、Webで調べるに至ったはずです。

画面下部の「このメッセージの詳細を見る」を押すと、ESETのサポートページへ飛びます。サポートページに飛べば何かわかるだろうと期待するところなのですが、私も初見で「？」になりました。理由は以下の説明にあります。

検出されたIPアドレスがルーターの場合は、以下の手順に従いファイアウォール（パーソナルファイアウォール）の設定を変更してください。インターネット回線とコンピューターとの間にルーター等の機器がある環境では、インターネットへ直接接続する場合に比べて攻撃を受ける可能性は少ないため、以下の設定をおこなっても危険性は低いと言えます。
引用元：ESET サポートページ

「検出されたIPアドレス」とありますが、それらしき数字の羅列は表示されていないので非常に焦ります。画面右下に表示された段階で「この脅威の処理を変更」というリンクを表示しないとIPアドレスが確認できません。