DAI(デイ)とは | 意味や読み方など丁寧でわかりやすい用語解説

DAI、すなわちDynamic ARP Inspection（ダイナミックARPインスペクション）は、主にイーサネット環境において、アドレス解決プロトコル（ARP）が持つ脆弱性を悪用したサイバー攻撃、特にARPスプーフィング（またはARPポイズニング）からネットワークを保護するためのセキュリティ機能である。この機能は、ネットワークスイッチ上で動作し、送受信されるARPパケットの内容を動的に検査することで、不正なARPパケットを検出し、遮断する役割を担う。これにより、攻撃者がネットワーク上の通信を盗聴したり、不正に操作したりする中間者攻撃などを効果的に防ぐことが可能となる。DAIは、ネットワークの基盤となるL2（データリンク層）レベルでのセキュリティを強化し、安全な通信環境を維持するために不可欠な技術の一つである。

DAIの機能とその重要性を理解するためには、まずARPプロトコルとARPスプーフィングの仕組みを把握する必要がある。

ARP（Address Resolution Protocol）は、IPネットワークにおいて、論理アドレスであるIPアドレスから、物理アドレスであるMACアドレスを対応付けるために用いられるプロトコルである。例えば、あるコンピュータが同じネットワーク内の別のコンピュータにデータを送信しようとする際、送信先コンピュータのIPアドレスは知っていてもMACアドレスが不明な場合、送信元コンピュータはARPリクエストをネットワーク全体にブロードキャストする。このリクエストには、探しているIPアドレスが含まれており、該当するIPアドレスを持つコンピュータは、自身のMACアドレスを含んだARPリプライを送信元コンピュータにユニキャストで返信する。これにより、送信元コンピュータはIPアドレスとMACアドレスの対応関係を学習し、その情報をARPキャッシュに一時的に保存して、以後の通信に利用する。

ARPプロトコルは元来、ネットワークの効率的な動作のために設計されたものであり、送られてくるARPリプライが本当に正規の送信元から送られたものなのかを検証する仕組みを持たないという本質的な脆弱性を抱えている。この脆弱性を悪用するのがARPスプーフィング（ARPポイズニング）である。ARPスプーフィングは、攻撃者が自身のMACアドレスを、正規のコンピュータやルータのMACアドレスとして偽装したARPリプライをネットワークに送信する攻撃である。例えば、攻撃者がデフォルトゲートウェイ（ルータ）のIPアドレスに対して自身のMACアドレスを対応付けるARPリプライを送信すると、ネットワーク内の他のコンピュータは、以後ルータへの通信を攻撃者のコンピュータに誤って送信するようになる。同様に、特定のコンピュータのIPアドレスに対して自身のMACアドレスを対応付けるARPリプライを送信することで、そのコンピュータ宛の通信を攻撃者のコンピュータ経由で受信させることが可能となる。これにより、攻撃者はネットワーク上の通信を盗聴（パケットキャプチャ）したり、内容を改ざんしたり、接続を妨害したりする中間者攻撃（Man-in-the-Middle Attack, MITM）を仕掛けることができる。これは、情報の漏洩やシステムへの不正アクセス、サービス停止など、深刻な被害を引き起こす可能性がある。

DAIは、このようなARPスプーフィング攻撃を未然に防ぐための重要なセキュリティ機能である。DAIは、ネットワークスイッチのポートを「信頼ポート（Trusted Port）」と「信頼できないポート（Untrusted Port）」の二種類に分類し、それぞれのポートで送受信されるARPパケットに対して異なる検査基準を適用する。信頼ポートはルータや他のネットワークスイッチなど、信頼できるデバイスが接続されているポートに設定され、これらのポートから送受信されるARPパケットは基本的に正しいものとして検査をパスする。一方、信頼できないポートはエンドユーザーのPCやサーバーなど、信頼性の低いデバイスが接続されているポートに設定され、これらのポートから送受信されるARPパケットはDAIによって厳格な検査が行われる。

DAIが信頼できないポートでARPパケットを受信すると、そのパケットの「Source IPアドレス」と「Source MACアドレス」のペアが、あらかじめ確立されたIP-MACバインディング情報と一致するかどうかを検証する。このバインディング情報は、主に以下の二つの方法で確立される。一つは、最も一般的な方法であり、DAIを導入する際にはDHCP Snoopingの有効化が強く推奨されるDHCP Snoopingとの連携である。DHCP Snoopingは、DHCP（Dynamic Host Configuration Protocol）サーバーからクライアントへIPアドレスが割り当てられる際、そのIPアドレスとクライアントのMACアドレスの対応関係を学習し、セキュリティデータベース（DHCP Snoopingバインディングデータベース）に記録する機能である。DAIは、このDHCP Snoopingバインディングデータベースを参照し、受信したARPパケットのIP-MACペアがデータベースに登録されている正規のものと一致するかを確認する。一致しない場合は、不正なARPパケットとして破棄される。もう一つは、DHCPを使用しない環境や、特定の重要なサーバーなど、常に同じIPアドレスとMACアドレスの組み合わせを使用するデバイスに対して、管理者が手動でIP-MACバインディング情報をスイッチに設定する静的IP-MACバインディングの設定である。DAIは、この静的バインディング情報も参照してARPパケットの正当性を検証する。

DAIは、これらのバインディング情報に基づいてARPパケットを検査するだけでなく、ARPヘッダの形式が正しいか、ARP送信元IPアドレスが不正なもの（例: 0.0.0.0）でないか、ARP送信元MACアドレスとイーサネットフレームの送信元MACアドレスが一致するか、といった追加の検査も行う。これらの検査基準のいずれかに違反するARPパケットは、DAIによって即座に破棄され、ログが記録される。これにより、ARPスプーフィング攻撃者は、偽装したARPパケットをネットワークに流すことができなくなり、攻撃が未遂に終わる。

DAIを導入するメリットは、何よりもARPスプーフィングによる中間者攻撃やセッションハイジャックといった、深刻なL2レベルのセキュリティ脅威からネットワークを効果的に保護できる点にある。これにより、ユーザーの機密情報が盗聴されたり、通信が改ざんされたりするリスクを大幅に低減できる。また、不正なARPパケットによるネットワークの不安定化も防止し、ネットワーク全体の健全性を維持できる。

一方で、デメリットや導入時の考慮事項も存在する。DAIはDHCP Snoopingと連携することで最大限の効果を発揮するため、DHCP Snoopingの設定も必要となる場合が多い。また、ネットワークの構成によっては、信頼ポートと信頼できないポートの適切な設定が複雑になることがある。特に、複数のスイッチやルータが存在する大規模なネットワークでは、設計と設定に十分な注意が必要である。静的なIP-MACバインディングを利用する場合は、手動設定の管理コストが発生する。さらに、DAIが不正と判断したARPパケットは破棄されるため、誤設定によって正規の通信が阻害されるリスクも考慮し、導入前には十分なテストが求められる。

結論として、DAIは現代のネットワークセキュリティにおいて、基盤となるL2層の脆弱性をカバーするために非常に重要な機能である。システムエンジニアを目指す上では、このDAIの仕組みと導入、運用に関する知識は、安全なネットワークインフラを構築・運用するために不可欠な要素と言える。