DHCPセキュリティ完全ガイド｜不正DHCPサーバー・IPアドレス枯渇攻撃の仕組みとスイッチ・ルーターでの防御設定

DHCPセキュリティとは、いまや多くの企業ネットワークで見過ごされている盲点のひとつです。毎日あたりまえのように動いているIPアドレス自動割り当ての仕組みが、攻撃者に悪用されると全クライアントの通信が傍受されるリスクがあります。

社内ネットワークに接続した機器が突然インターネットに繋がらなくなった、あるいは気づかないまま通信が横取りされていた――こうした事態はDHCPのセキュリティ設定が不十分な環境では現実に起こります。

この記事では、DHCPを標的にした主要な攻撃手法（スタベーション攻撃・不正DHCPサーバー）の仕組みと、スイッチやルーターで実施できる具体的な防御設定を解説します。情シス1人体制の中小企業でも実践できるレベルで手順を示します。

DHCPとは？仕組みとセキュリティ上の弱点

DHCP（Dynamic Host Configuration Protocol）は、ネットワークに接続する機器へIPアドレスや各種設定情報を自動的に割り当てるプロトコルです。Wi-Fiに繋いだ瞬間にIPアドレスが取得できるのは、DHCPサーバーが自動的に設定を配布しているからです。

接続時のやり取りは次の4段階で行われます。

この仕組みには2つの根本的な弱点があります。

・認証の欠如: DHCPプロトコル自体には、標準でサーバーを認証する仕組みがない。「誰でもDHCPサーバーを名乗れる」状態
・先着優先の応答: クライアントは「最初に応答したDHCPサーバーを信頼する」ため、攻撃者が素早く偽の応答を返せば、偽の設定が配布されてしまう

DHCPを狙った主な攻撃手法

1. DHCPスタベーション攻撃（IPアドレス枯渇）

DHCPスタベーション攻撃は、大量の偽DHCP DISCOVERパケットを送り付け、DHCPサーバーのアドレスプールを使い切らせる攻撃です。

攻撃者はMACアドレスを次々と偽装しながら数百・数千ものDHCP要求を送信します。正規のIPアドレスが全て「使用中」状態になると、新しく接続した正規クライアントへのIPアドレス割り当てができなくなります。実質的なサービス拒否（DoS）状態です。

さらに深刻なのは、この攻撃が後述する不正DHCPサーバー攻撃の準備段階として使われる点です。正規DHCPサーバーのアドレスプールを枯渇させてから、攻撃者が自前のDHCPサーバーを起動します。

2. 不正DHCPサーバー攻撃（Rogue DHCP Server）

不正DHCPサーバー攻撃は、攻撃者が自前のDHCPサーバーを起動し、正規のサーバーより先に応答することで偽の設定を配布する攻撃です。

攻撃者が配布できる偽の情報は以下の通りです。

・デフォルトゲートウェイ: 攻撃者が管理するルーターを指定し、全通信を傍受（中間者攻撃）
・DNSサーバー: 偽のDNSサーバーを指定し、フィッシングサイトへ誘導
・NTPサーバー: 時刻を意図的にずらし、証明書の検証失敗やログ改ざんを引き起こす

この攻撃が成立すると、クライアントのHTTPS通信を含む全トラフィックが攻撃者のルーターを経由するシナリオが生じます。ARPスプーフィングと組み合わせることで、さらに広範囲な通信への影響が発生します。

3. DHCPスプーフィング（リース更新時の偽装）

DHCPスプーフィングは、既にIPアドレスを持つクライアントのリース更新タイミングを狙い、DHCP ACKメッセージを偽造する手法です。通常のネットワーク監視では気づきにくく、静かに設定を書き換えられるリスクがあります。

具体的な防御手順

1. DHCP Snoopingの設定（L2スイッチ）

DHCP Snoopingは、Cisco Catalystをはじめとした多くのL2スイッチに実装されているセキュリティ機能です。スイッチのポートを「信頼ポート（Trusted）」と「非信頼ポート（Untrusted）」に分類し、非信頼ポートからのDHCPサーバー応答（OFFER・ACK）を自動的にドロップします。

設定の考え方は次の通りです（想定例: Cisco Catalyst系スイッチ）。

# DHCP Snoopingをグローバルで有効化
ip dhcp snooping

# 対象VLANで有効化（VLAN 10の例）
ip dhcp snooping vlan 10

# 正規のDHCPサーバーが接続するアップリンクポートをTrustedに設定
interface GigabitEthernet0/1
 ip dhcp snooping trust

# クライアントが接続するポートは非信頼（デフォルト）のまま
# レート制限を追加してスタベーション攻撃にも対応（15 ppsが一般的な目安）
interface GigabitEthernet0/2
 ip dhcp snooping limit rate 15

DHCP Snoopingを有効化すると、スイッチは「バインディングテーブル」（IPアドレス・MACアドレス・ポート・VLAN の対応表）を自動生成します。この情報は後述するIP Source Guardや Dynamic ARP Inspection（DAI）でも活用します。

2. IP Source Guardの設定

IP Source Guardは、DHCP Snoopingのバインディングテーブルを利用してIPアドレス偽装（スプーフィング）を防ぐ機能です。テーブルに登録されていない送信元IPアドレスを持つパケットをポート単位でドロップします。

# クライアントポートにIP Source Guardを適用（想定例）
interface GigabitEthernet0/2
 ip verify source

# MACアドレス偽装も合わせて防ぎたい場合
interface GigabitEthernet0/3
 ip verify source port-security

IP Source GuardはDynamic ARP Inspection（DAI）と組み合わせることで、ARPスプーフィングによる中間者攻撃にも対抗できます。ポートセキュリティとDHCP Snooping・DAIを組み合わせた詳細な設定は、スイッチングセキュリティ実践ガイドを参照してください。

3. 中小企業のルーターでできる設定

管理機能を持つL2スイッチを持たない中小企業でも、ルーターやWi-Fiアクセスポイントの設定変更で一定の防御は可能です。

・不要なDHCPサーバー機能を無効化する: テスト目的で接続した機器が意図せずDHCPサーバーとして動作するケースがある。ルーター以外の機器でのDHCP機能は明示的に無効化する
・VLANでネットワークを分割する: 社員端末・来客用Wi-Fi・IoT機器を異なるVLANに分離する。1つのセグメントが攻撃されても他への影響を限定できる。設計の詳細はVLANセキュリティ設計ガイドを参照
・静的IPアドレスの活用: サーバーや重要インフラは静的IPを割り当て、DHCPへの依存を最小化する
・MACアドレスフィルタリングの併用: 完全な対策にはならないが、接続を許可する機器のMACアドレスを登録することで未知機器の参入を抑止できる

中小企業でも今日からできること

大規模な機器入れ替えが難しい環境でも、次の手順は今日から実施できます。

・Step 1 — DHCPリース一覧の確認: ルーターの管理画面からDHCPリース一覧を確認し、見知らぬMACアドレスや機器名がないかチェックする。月1回を習慣化するだけでも異常の早期発見につながる
・Step 2 — DHCPリース期間の見直し: デフォルト24時間のリース期間を4～8時間に短縮すると、不審なIPアドレスの長期占有を防ぎやすくなる（トレードオフとしてDHCP通信は増加する）
・Step 3 — 不要なIoT機器・来客端末の分離: 管理ネットワークとは別のSSIDまたはVLANへ移す。これだけで攻撃の影響範囲を大幅に限定できる
・Step 4 — DHCPログの有効化と保全: ルーターのDHCPログを有効にし、可能であればsyslogサーバーや外部ストレージへ転送する。インシデント発生時の追跡調査に不可欠
・Step 5 — 定期的なネットワーク棚卸し: 無料のネットワークスキャナー（Angry IP Scannerなど）を定期実行し、未知のDHCPサーバーが出現していないか把握する習慣をつける

よくある誤解と注意点

【誤解1】「DHCPはルーターの話だからスイッチで対処しなくていい」

DHCPスタベーションや不正DHCPサーバーの攻撃はスイッチレベルで発生します。ルーター側にDHCPサーバーがあっても、スイッチ側で対策を施さなければ防ぐことはできません。DHCP Snoopingのようなスイッチ機能は必須です。

【誤解2】「MACアドレスフィルタリングで不正DHCPサーバーを完全に防げる」

MACアドレスフィルタリングは機器の識別に役立ちますが、その機器がDHCPサーバーとして動作しているかどうかは判別できません。また、MACアドレス自体は偽装可能なため、単体での対策には限界があります。DHCP Snoopingとの組み合わせが推奨されます。

【誤解3】「DHCP Snoopingを有効にすると正規のDHCPまで止まる」

一般的によくあるつまずきとして、DHCP Snoopingを有効化した後に正規のDHCP応答まで止まってしまうケースがあります。原因のほとんどは「正規DHCPサーバーが接続しているポートをTrustedに設定し忘れた」ことです。アップリンクや正規サーバー接続ポートのTrusted設定を先に確認しましょう。

本記事のまとめ

DHCPのセキュリティは「目に見えないネットワーク基盤の信頼性」を守る作業です。一度侵害されると全クライアントのトラフィックが攻撃者のルーターを経由するという最悪のシナリオが現実になりえます。大規模な機器投資が難しい環境でも、今日から始められる対策を1つずつ積み上げていきましょう。

ネットワーク機器全体のセキュリティ強化については、ネットワーク機器のハードニング実践ガイドもあわせてご覧ください。