【ITニュース解説】How to Investigate an Unknown Device on Your Home Network

自宅のネットワークに見慣れないデバイスが接続されているのを見つけた時、多くの人がすぐに不安を感じ、誰かにネットワークを乗っ取られたのではないかと考えてしまうかもしれない。しかし、ルーターのデバイスリストに見慣れないエントリーが表示されていても、すぐにそうと結論づける必要はない。ルーターのインターフェースには、現在Wi-Fiに接続しているデバイスの情報だけでなく、過去に割り当てたIPアドレスの情報（DHCPリース）、記憶しているクライアントの情報、そしてデバイス自身が報告する名前など、様々な種類の情報が混ざり合って表示されていることが多い。これらの記録は、必ずしも最新で完全な情報とは限らず、不完全だったり、すでに古くなっていたりする場合がよくある。

例えば、最近のスマートフォンの中には、プライバシー保護のために、接続するネットワークごとに異なるランダムなMACアドレス（プライベートWi-Fiアドレスと呼ばれる）を使用する機能を持つものがある。この機能が有効になっていると、以前からネットワークに接続していたおなじみのデバイスであっても、ルーターからは新しいデバイスが接続してきたかのように見えることがある。また、ノートパソコンがスリープ状態になったり、ネットワークから切断されたりしても、DHCPリース情報が一定期間ルーターに残っているために、リストに表示され続けることもある。「android-1234」のような漠然としたデバイス名が表示されても、それだけで具体的なデバイスを特定することは非常に難しい。

そのため、見慣れないエントリーを見つけても、すぐに「これは一体何なのか？」と結論を急ぐのではなく、まずは「ルーターは何をどのように認識しているのか？どのネットワークで認識したのか？そして、その情報を何と比較して確認できるのか？」という冷静な視点から調査を始めるのが重要だ。この調査プロセスは、あなたが所有している、または正式に管理を許可されているネットワークでのみ行うべきである。証拠が十分に揃う前に、デバイスをブロックしたり、ルーターをリセットしたりといった、元に戻すのが難しい変更を加えるのは避けるべきだ。まずは観察と、元に戻せる範囲での確認作業から始めるのが賢明だ。

最初のステップとして、設定を変更する前に、ルーターが現在表示している情報を正確に記録することが非常に重要である。具体的には、発見した日付と時刻、ネットワークの名前（またはVLANと呼ばれる論理的なネットワークの区切り）、表示されているIPアドレス、MACアドレス（ハードウェアアドレス）、デバイス名、接続タイプ（Wi-Fiか有線かなど）、そして最後にそのデバイスが検出された日時や、DHCPリースの期限などの情報である。ルーターの画面のスクリーンショットを撮っておくのも有効だが、その際は個人情報（ローカルIPアドレス、Wi-Fiのパスワードや名前、ルーターのシリアル番号、管理画面のログイン情報など）が含まれていないかを確認し、絶対に公開しないようプライベートな場所に保管しておくべきだ。誰かに助けを求めるときも、これらの個人情報が含まれるスクリーンショットは公開しないように注意が必要である。

また、ルーターには複数のデバイスリストが存在する可能性があることにも注意しよう。「DHCPリース」と表示されたリストと、「接続済みデバイス」と表示されたリストは、表示している情報が異なる場合がある。「DHCPリース」は、ルーターがデバイスにIPアドレスを割り当てた記録であり、そのIPアドレスの有効期間を示している。そのため、デバイスがネットワークから切断された後でも、リース情報が有効期間内であればリストに表示され続けることがある。一方、「Wi-Fiクライアントリスト」など、現在接続しているデバイスの一覧であれば、より現在の状況を反映している可能性が高い。しかし、これらの情報だけでは、そのデバイスが誰のものであるかまでは必ずしも分からない。後で記録を比較する際に役立つよう、「メインルーターのDHCPリースリスト、10月11日、09:40の記録」というように、情報の出典も併せて記録しておくことが重要だ。リース情報が残っていることだけでは、そのクライアントが現在もデータ通信を行っている証拠にはならない。

次に、ネットワークの境界を確認することも大切だ。多くの家庭では、メインのWi-Fiネットワークの他に、来客用のWi-Fi（ゲストSSID）、IoT（モノのインターネット）デバイス用の分離されたネットワーク、メッシュネットワーク、別のルーター、あるいは仕事用のVPN接続など、複数のネットワークが存在することがある。見慣れないエントリーが見つかったネットワークのアドレス割り当てを担当しているのが、どのルーターやDHCPサーバーなのかを確認しよう。あなたが使用を許可されているコンピューターで、そのローカルIPアドレス、サブネットマスク（またはプレフィックス長）、そしてデフォルトゲートウェイの情報をメモしておくと良い。

プライベートIPアドレス（例えば192.168.x.xのような形式）は一般的だが、同じ「192.168」のプレフィックスを持つからといって、2つのデバイスが必ずしも同じローカルネットワーク上にいるとは限らない。ネットワークのプレフィックス長（サブネットマスク）やルーティングルールによって、あるインターフェースから見て何が「ローカル」であるかが決まる。例えば、ゲストネットワークに接続しているクライアントは、意図的にメインLANからのスキャンでは見えないようになっている場合がある。これを「故障」と見なす前に、その分離が意図的なものかどうかを確認することが重要だ。もしモデムルーターと別のWi-Fiルーターを使っている場合、どちらがIPアドレスを割り当てているかを確認しよう。1つのシンプルなネットワーク上に2つのDHCPサーバーがあると混乱を招くが、意図的に分離されたネットワークでそれぞれがアドレスを割り当てているのは正常な状況だ。デバイスリストが異なるからといって、どちらかのルーターをリセットする理由にはならない。

ほとんどの場合、見慣れないエントリーには一般的な説明があるものだ。まずは、あなたの家にあるすべてのデバイスを洗い出すことから始めよう。スマートフォン、タブレット、スマートウォッチ、テレビのストリーミングボックス、プリンター、スマートプラグ、そして来客のデバイスなど、意外と見落としがちなものが多い。これらのデバイスが同じネットワークに接続している間に、それぞれのWi-Fi設定を確認してみる。接続時間、IPアドレス、そして表示されているデバイス名をルーターの記録と照らし合わせてみよう。もしそれがあなたのデバイスではない場合、切断する前に必ず所有者の許可を得るべきだ。

特に注意すべきは「プライベートWi-Fiアドレス」の機能である。Apple社のデバイスなどは、プライバシー保護のために、接続するネットワークごとに異なるMACアドレス（プライベートWi-Fiアドレス）を使用することがあると公式に説明されている。このプライバシー設定を変更したり、ネットワークを一旦忘れて再接続したり、設定を復元したりすると、見慣れたデバイスであってもルーター上では異なるMACアドレスで表示されることがある。これはプライバシー保護のための重要な機能であり、それ自体は不正アクセスの兆候ではない。他のプラットフォームでも同様の動作をする場合があるので、ルーターのリストを整理するためだけに、このプライバシー機能をオフにすべきではない。

デバイス名も、あくまで手がかりであり、絶対的な身元を特定するものではない。デバイス名は製造元から提供されたものかもしれないし、ユーザーが設定したものかもしれない、あるいは古いDHCPリースからコピーされたものかもしれない。全く名前が表示されないこともよくある。MACアドレスの最初の部分（ベンダープレフィックス）から、そのネットワークインターフェースの製造元を推測することもできるが、それがデバイスの正確なモデルや所有者を特定する決定的な情報にはならない。特に、MACアドレスがプライベートに設定されていたり、ランダム化されていたりする場合はなおさらだ。

次に、同じネットワークに接続しているコンピューターから、一度だけ、読み取り専用の比較チェックを行ってみよう。ローカルネットワークスキャンを実行したり、ルーターの現在の接続状況を示すビューを確認したり、もしあなたが管理しているマネージドスイッチがあればそのアドレステーブルを参照したりする。この方法と実施時間を結果と共に記録しておく。ローカルスキャンで見える情報はあなたの仮説を裏付ける手助けとなるが、デバイスがスキャンで見えないからといって、ネットワークから完全に離れたことを証明するわけではない。スリープ状態のスマートフォン、ファイアウォールルール、クライアント分離機能、あるいは異なるネットワークセグメントに存在していることなどが、表示される情報に影響を与える可能性がある。

もしあるIPアドレスにデバイスが応答しているように見える場合、それが何であるかを非侵襲的な方法で確認するよう努めよう。例えば、既知のプリンターのローカルステータスページを開いてみたり、NAS（ネットワーク接続ストレージ）のネットワーク設定を確認してみたり、あるいは正規の所有者がWi-Fiに接続したり切断したりする際にルーターのリストがどのように変化するかを観察したりする。必要のないサービスに対して、ポートスキャンなどのプローブを行うのは避けるべきだ。そして、絶対にIPアドレスの重複を意図的に作成してテストしてはならない。IPアドレスの競合は、他のデバイスの通信を妨害する可能性がある。アドレス競合の検出機能を実装しているホストはRFC 5227で説明されているが、意図的に競合を引き起こすことは診断の近道にはならない。

ここまでの調査で分かった事実のみをメモに残しておく。「リースは存在するが、該当する家庭内デバイスはまだ見つかっていない」というような記述は、「隣人か侵入者のものだろう」という推測よりもはるかに有用だ。DeviceShelfのようなローカル監視ツールは、管理しているネットワークの別の比較点を提供してくれるが、ルーターやデバイス自身の設定情報に代わるものではない。

これらの比較を行った後でも、見慣れないエントリーがまだ説明できない場合は、さらに詳しく見ていく必要がある。Wi-Fiのパスワードを誰が知っているか、ゲストネットワークがメインネットワークから適切に分離されているか、そしてルーターのファームウェアが最新の状態に更新されているかを確認しよう。NIST（アメリカ国立標準技術研究所）が発行している無線ネットワークセキュリティに関するガイダンスは、セキュリティ設定とルーター管理を見直すための有用なチェックリストを提供している。ルーターベンダーが公式に公開している更新手順に従ってファームウェアを更新することが重要だ。不審なデバイス名やメッセージに含まれる更新リンクは絶対に利用しないこと。

もし不正な人物がWi-Fiパスワードを知っているという証拠がある場合、またはルーターの管理パスワードが漏洩している疑いがある場合は、Wi-Fiパスワードの変更を検討するのが妥当だ。ただし、これを行うと、正規のデバイスも一時的にネットワークから切断されることになるため、それらのデバイスを再接続し、保存されている認証情報を更新するための計画を立てておく必要がある。新しい、他と重複しない強力なパスフレーズを選択し、ルーターの管理者パスワードも別途確認し、必要であればこれも変更しよう。特定のMACアドレスをブロックするだけでは、完全な解決策にはならない。MACアドレスは永続的な身元を示すものではなく、それをブロックしたからといって、無線ネットワーク全体のセキュリティが確保されるわけではないのだ。

もしそのデバイスがあなたが認識できるものであると判明したら、日付と共に簡潔なメモをネットワークの記録に残しておくと良い。もし不明なままの場合でも、観察した事実と行った確認作業の記録を保管しておくことが重要だ。これらのメモは、ルーターのリストにある曖昧な一行をすぐに結論とせずに、将来の再確認の際に大いに役立つだろう。