>
>
公開日
最終更新日
スニッフィングとは通信パケットを捕獲し解析する技術や行為です。
情シス担当者にとって、スニッフィングは一般に「攻撃者による通信の盗聴」と「ネットワーク障害や不正通信を調査するための正規のパケット解析」という二つの側面を持つとされています。Wiresharkやtcpdumpなどは、通信遅延、名前解決エラー、アプリケーション連携不良などを調べるためのパケット解析ツールとして広く活用されています。一方で、平文通信、偽アクセスポイント、ARPポイズニングなどの条件が重なる環境では、認証情報や通信内容が不正に取得されるリスクが生じる可能性があります。
本記事では、スニッフィングの意味と攻撃の手口を防御・運用の観点から整理します。あわせて、スプーフィング・中間者攻撃・MIMEスニッフィングとの関係を整理したうえで、通信の暗号化、MFA、無線LAN認証、端末保護、NDRによる監視をどの順で組み合わせるかを解説します。
対策の優先順位（上位3項目）
平文通信をTLSへ移行する：HTTP・Telnet・FTPが残る管理画面や社内サービスを洗い出し、TLS対応または隔離を先に進める。パケットを取得されてもアプリケーションデータの露出を抑える効果が最も広範囲に及ぶ。
管理者・リモートアクセスにMFAを適用する：盗まれたパスワードだけでのログインを防ぐ。VPN・SaaS管理画面・IdPの認証方式をまず棚卸しし、FIDO2や証明書ベースの方式が利用できる対象から移行する。
NDRとログ基盤で異常を相関する：ARP・DHCP・DNS・VPN・IdPのログを同一時刻軸で参照できる状態を整え、通信経路の変化を早期に検出できる環境を作る。
スニッフィング攻撃が疑われる場合の初動
同一IPに対するMACアドレスの短時間変化、未知のDHCP Offerなど、ARPまたはDHCPの異常ログを確認する。
変化が確認された端末・VLANに関わる認証ログ（IdP・VPN）を同じ時刻帯で照合し、不審なサインインがないかを調べる。
変更管理記録（端末交換・冗長化切り替え・ネットワーク保守）と照合して誤検知を排除したうえで、範囲を絞ってパケットキャプチャを取得し、証跡を保全する。
スニッフィングとは：通信を「見る」技術と盗聴攻撃の違い
スニッフィング（sniffing）とは、ネットワーク上を流れるパケットを取得し、宛先、通信プロトコル、ポート番号、要求内容などを解析することです。Wiresharkやtcpdumpのようなツールは、障害調査、性能分析、インシデント調査で使われます。NISTは、パケットスニファーを有線・無線ネットワークの通信を監視してパケットを取得するデータ源として位置付け、ネットワーク攻撃の調査や運用上の問題の切り分けに利用できると説明しています。NIST SP 800-86
一方、攻撃者が権限なく通信を取得する場合は、認証情報、セッション情報、業務データ、内部システムの利用状況を把握されるおそれがあります。特にHTTP、Telnet、FTPなど、アプリケーションデータを平文で送る通信では、キャプチャした内容からID・パスワードや送信内容が読めることがあります。
ただし、スイッチングハブが通常動作する有線LANでは、端末が同一セグメント内の全ユニキャスト通信を無条件に取得できるわけではありません。攻撃者が他者の通信を自端末へ流すには、偽装したARP応答、誤った接続先へ誘導するDNSの改ざん、ミラーポート設定の悪用、侵害済み端末・ネットワーク機器の利用など、追加の条件が伴うことがあります。このため、パケットを取得した事実だけで直ちに盗聴と断定するのではなく、取得位置、対象VLAN、宛先、取得権限、設定変更履歴を組み合わせて判断します。
代表的な攻撃手口：受動的スニッフィングと能動的スニッフィング
受動的スニッフィングは、攻撃者が通信へ変更を加えず、取得できる範囲のパケットを観測する手法です。共有型のネットワーク、暗号化されていない無線通信、監視ポートの設定不備、侵害されたネットワーク機器などでは、通信内容やメタデータが見える範囲が広がります。TLSでアプリケーションデータが暗号化されている場合でも、通信先IPアドレス、ポート、接続時刻、通信量、セッションの継続時間といったメタデータは、観測地点やプロトコルに応じて残ります。
能動的スニッフィングは、攻撃者が通信経路を変えたり、端末に誤った対応付けを学習させたりして、他者の通信を経由させる手法です。代表例がARPポイズニングです。ARPはIPアドレスに対応するMACアドレスを問い合わせる仕組みであり、攻撃者が偽のARP応答を送り込むと、端末が誤ったMACアドレスをARPキャッシュに保持することがあります。その結果、同一レイヤー2ネットワーク内で本来とは異なる経路に通信が流れ、中間者攻撃や通信妨害につながります。
Ciscoは、Dynamic ARP Inspection（DAI）がDHCP Snoopingのバインディングデータベースを利用し、受信したARPパケットのIPアドレスとMACアドレスの対応を検証すると説明しています。DHCPでアドレスを配布するVLANでは、DHCP SnoopingとDAIを組み合わせることで、不正なARPパケットを遮断する構成を取れます。静的IPアドレスの端末がある環境では、ARP ACLなどを含めた例外設計が必要になるため、固定IP端末の台帳とスイッチのARP検証設定を照合して扱います。CiscoのDynamic ARP Inspection公式ガイド
無線LANでは、攻撃者が正規SSIDに似せた偽アクセスポイントを設置し、端末を接続させるケースがあります。端末が偽アクセスポイントへ接続すると、攻撃者は通信の中継、偽のログイン画面への誘導、DNS応答の改ざんを試みることがあります。社内Wi-Fiで使う認証方式、証明書検証、端末側の自動接続設定、ゲスト用ネットワークの分離状況は、対象・提供状況をまとめて確認する項目です。
スプーフィング・中間者攻撃・MIMEスニッフィングとの違い
スプーフィング（spoofing）は、送信元や接続先を偽装する行為の総称です。ARPスプーフィングではMACアドレスの対応を偽り、IPスプーフィングでは送信元IPアドレスを偽り、DNSスプーフィングでは名前解決の結果を偽ります。スプーフィングそのものは偽装の技術であり、必ずしもパケット内容の取得を意味しません。
中間者攻撃（MITM：Man-in-the-Middle attack）は、攻撃者が利用者と正規サービスの間に入り、通信を盗み見たり、改ざんしたり、別のサイトへ誘導したりする攻撃です。ARPポイズニングや偽アクセスポイント、DNSスプーフィングは、中間者となる位置を作るために悪用されることがあります。つまり、スプーフィングは中間者攻撃の足掛かりになり得る手段であり、スニッフィングは中間者となった攻撃者が通信を観測する行為として組み合わされます。
MIMEスニッフィングは、ネットワークパケットを盗聴するスニッフィングとは別のWebセキュリティ上の論点です。ブラウザがレスポンスのContent-Typeだけでなく、コンテンツの内容からファイル種別を推定する挙動を指します。MDNは、サーバーがContent-Typeを正しく指定し、X-Content-Type-Options: nosniffを返すことで、ブラウザによるMIMEタイプ推定を抑止できると説明しています。アップロードファイルを配信するWebシステムでは、ネットワーク対策とは別に、レスポンスヘッダーと配信時のContent-Typeを点検します。MDN Web Docs：X-Content-Type-Options
用語 | 主な目的・挙動 | 情シスが見るポイント |
|---|---|---|
スニッフィング | 通信パケットを取得・解析する | 取得地点、暗号化の有無、対象通信、取得権限 |
スプーフィング | 送信元・接続先・名前解決などを偽装する | ARP、DNS、メール、Wi-Fiの偽装兆候 |
中間者攻撃 | 通信経路の途中に入り、閲覧・改ざん・中継を行う | 証明書警告、ARP変化、DNS応答、プロキシ設定 |
MIMEスニッフィング | ブラウザがコンテンツ種別を推定する | Content-Type、nosniff、アップロードファイルの配信方法 |
優先順位で進める対策：まず暗号化、次に経路保護、最後に検知と対応を整える
スニッフィング対策は、単一製品の導入ではなく、通信内容を読ませない、経路を奪わせない、異常を見逃さない、認証情報が奪われても悪用を抑える、という順番で組み立てます。最初に平文通信を減らすと、仮にパケットが取得されてもアプリケーションデータの露出を抑えられます。
平文通信を棚卸しし、TLSへ移行する。 Web管理画面、社内ポータル、メール、ファイル転送、ネットワーク機器の管理アクセスを対象に、HTTP・Telnet・FTPなどが残っていないかを洗い出します。IETFのRFC 8446では、TLS 1.3のハンドシェイク完了後、アプリケーション層の通信は確立した鍵で保護されると規定されています。TLS終端の有無、証明書の有効性、リダイレクト設定、古い管理プロトコルの停止状況を確認し、TLS未対応機器はネットワーク分離または更新計画の対象にします。IETF RFC 8446：TLS 1.3
レイヤー2の偽装を抑える。 DHCPを使うアクセスVLANでは、DHCP Snooping、DAI、IP Source Guardの対応可否をスイッチの機種別設定ガイドで確認します。DHCP Snoopingのバインディングを参照でき、静的IP端末をARP ACLで例外管理できるなら、限定したVLANで検証し、業務影響がなければ対象を広げます。対応機能がない、または固定IP端末の台帳を維持できない場合は、VLAN分離、ポート認証、レイヤー3境界での分割を優先し、誤遮断を避ける設計にします。
無線LANの接続先を検証できる状態にする。 社内SSIDとゲストSSIDを分離し、利用端末が正規の認証基盤を検証する構成を取ります。無線LANコントローラーまたはアクセスポイント管理画面で、暗号化方式、証明書の配布状況、端末の自動接続ポリシー、未知のアクセスポイントの検知ログを確認します。正規の証明書を端末が検証できるなら社内SSIDへの接続を許可し、証明書検証を統制できない端末はゲストネットワークまたは有線の限定セグメントへ分離します。
MFAで認証情報の再利用を抑える。 MFAは、盗まれたパスワードだけでのログインを難しくします。ただし、ワンタイムパスワードやプッシュ通知は、偽サイトを経由したリアルタイム中継に悪用される余地があります。NISTは、手入力するOTPをフィッシング耐性のある方式とは扱わず、WebAuthnなどの検証者名に暗号学的に結び付く方式をフィッシング耐性の例として示しています。管理者アカウント、VPN、メール、SaaSの管理画面で利用できる認証方式を棚卸しし、FIDO2や証明書ベースの方式を利用できる対象から移行します。NIST SP 800-63B：Authentication and Authenticator Management
NDR・ログ基盤で異常を相関する。 本記事でいうNDR（Network Detection and Response）は、ネットワーク通信のメタデータ、パケット、DNS、認証、端末情報などを基に異常を検知し、調査へつなげる運用を指します。NDR単体のアラートを結論にせず、スイッチのARP関連ログ、DHCPリース、DNS応答、プロキシ、VPN、IdPのサインイン履歴を同一時刻軸で照合します。
優先順位の判断では、平文で認証情報を扱う管理画面、外部公開サービス、管理者権限で操作するネットワーク機器、社内LANへ接続する無線端末を先に対象化します。利用者数の多さだけで順番を決めず、通信が奪われた場合の影響と、攻撃者が中継位置を作りやすいネットワーク構成を基準にします。
NDRとパケットキャプチャで見るべき検知観点
ARPポイズニングや中間者攻撃を疑う場合は、単発の異常ではなく、複数の観測点で整合しない変化を探します。具体的には、同一IPアドレスに対応するMACアドレスが短時間で変わる、複数端末が同じ未知MACアドレスをデフォルトゲートウェイとして学習する、ARP応答が要求なしに大量発生する、DHCPサーバー以外からOfferやACKが出る、といった兆候です。
DNSでは、通常と異なるリゾルバーへの問い合わせ、同一ドメインに対する短時間での回答変化、社内で未承認のDNSサーバーへの直接通信、認証画面へ遷移する直前の名前解決先の変化を確認します。TLS通信では、証明書エラー、急な発行者変更、プロキシ設定の変更、端末ごとに異なる接続先への誘導も調査の起点になります。暗号化通信ではペイロードを読めないことがあっても、DNS、TLS、フロー、認証ログを相関すると、通常とは異なる通信経路を絞り込めます。
パケット解析は、まずアラートに関係する5タプル（送信元IP、送信先IP、送信元ポート、送信先ポート、プロトコル）と時刻を固定して、個別セッションを確認します。その後、同じ端末・VLAN・DNS名・MACアドレスへ範囲を広げ、横断的なパターンを見ます。NISTは、パケット解析を個別セッションの説明に、トラフィック解析をより大きなネットワーク上のパターンや挙動の把握に使い分ける考え方を示しています。NISTIR 8428
誤検知の切り分けでは、MACアドレス変更が端末交換、冗長化切り替え、無線ローミング、仮想化基盤の移動、正規のネットワーク保守に伴うものかを、変更管理記録と照合します。アラートを受けた担当者がパケットだけを見て判断すると業務変更を攻撃と誤認しやすいため、ネットワーク担当、端末管理担当、認証基盤担当の記録を同じ調査チケットに集約します。
正規のパケットキャプチャを安全に運用する方法
パケットキャプチャには、ログイン情報、Cookie、メール本文、ファイル断片、個人情報、取引先情報などが含まれる可能性があります。NISTは、ネットワーク上のインシデントではパケットスニファーが有用である一方、収集対象を条件で絞ることでデータ量を抑え、意図しない情報取得を最小化できること、プライバシー上の理由から組織によっては利用許可を要することを示しています。NIST SP 800-61 Rev.1（本文書はRev.1であり、現行版はRev.2です。キャプチャ取得の絞り込みやプライバシー上の考慮に関する基本的な考え方はRev.2でも継続していますが、最新の手順や組織要件はRev.2を合わせて参照してください。）
運用手順では、取得目的、対象システム、対象IP・ポート、取得開始・終了時刻、実施者、承認者、保管先、閲覧権限、削除予定日をチケットまたは記録票に残します。障害解析なら該当する5タプルや時間帯にフィルターを絞り、常時・全量取得を避けます。調査の結果、認証情報や機密データを含むキャプチャが必要になった場合は、暗号化された保管領域に置き、案件担当者だけがアクセスできる権限に変更します。
保存期間は、調査完了日、法令・契約上の保管条件、再発調査の必要性を基に決めます。チケット上で削除日を管理できるなら、調査完了後に解析用コピーから先に消去し、証跡として残す範囲だけを限定保管します。削除日を管理できない場合は、キャプチャの取得範囲をさらに狭め、長期保管を前提にしない障害調査の運用へ寄せます。
情シス向けチェックリスト：確認結果を対策の分岐に使う
平文の管理通信が残っているか： プロキシ、ファイアウォール、脆弱性診断、ネットワーク機器の管理画面でHTTP・Telnet・FTPの利用を確認します。残っていなければ暗号化通信の監視と証明書管理へ進み、残っていればTLS対応、管理ネットワーク分離、機器更新の対象として扱います。
アクセスVLANでARP検証が使えるか： スイッチの機種・OSバージョンの公式設定ガイドと、DHCP Snoopingのバインディング状況を確認します。DHCP配布端末を正しく把握できればDAIの限定検証に進み、静的IPが混在して台帳化できなければARP ACLまたはネットワーク分離を先に設計します。
無線LANで接続先の正当性を端末が検証できるか： 無線LAN管理画面、証明書配布ポリシー、MDMのWi-Fi設定プロファイルを確認します。正規証明書の検証を統制できれば社内SSIDの利用条件を統一し、統制できない端末はゲスト用または隔離用のネットワークで扱います。
管理者・リモートアクセスに強いMFAを適用できるか： IdPとVPNの認証方式一覧、管理者アカウントの利用状況を確認します。フィッシング耐性のある方式を使える対象は優先的に移行し、移行できない対象はアクセス元制限、最小権限、短いセッション、有効なサインイン監視を組み合わせます。
調査に必要なログを時刻で結び付けられるか： NDR、DNS、DHCP、ARP、VPN、IdP、プロキシのログ保管期間と時刻同期を確認します。同一タイムゾーンで相関できれば異常通信の範囲を絞り込み、相関できなければNTP設定とログの収集先を整備してから検知ルールを細分化します。
パケットキャプチャを統制しているか： キャプチャ実施の承認記録、アクセス権、暗号化保管、削除手順を確認します。取得目的と保管期限を記録できれば障害・インシデント調査に限定して活用し、記録やアクセス制御を担保できない場合はフロー情報や既存ログを優先して調査します。
スニッフィング対策では、通信を暗号化するだけでは十分ではありません。経路の偽装、無線LANの接続先、認証情報の悪用、ログの相関、調査データの管理までを一連の運用として扱うことで、盗聴の防止と発見後の切り分けを両立できます。
まとめ
スニッフィングは、障害調査やインシデント対応に使う正規の技術である一方、平文通信や偽装された通信経路では盗聴攻撃に悪用されます。対策はTLSによる暗号化を起点に、レイヤー2保護・無線LAN認証・MFA・ログ相関の順で組み立て、認証情報が盗まれた場合の悪用も抑える構成にします。
調査時のパケットキャプチャには機密情報が含まれ得るため、対象・時間・保管先・閲覧権限・削除日を記録し、必要な範囲に絞って取得します。ネットワーク構成と運用記録を基に、平文通信、ARP検証、無線LAN、MFA、ログ相関の順で確認すると、対策の優先順位を決めやすくなります。
参考資料
NIST SP 800-86：Guide to Integrating Forensic Techniques into Incident Response（初版）
URL: https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-86.pdfNIST SP 800-61 Rev.1：Computer Security Incident Handling Guide（Rev.1、現行はRev.2）
URL: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-61r1.pdfNIST SP 800-63B：Digital Identity Guidelines — Authentication and Authenticator Management
URL: https://pages.nist.gov/800-63-4/sp800-63b.htmlNISTIR 8428
URL: https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=934922IETF RFC 8446：The Transport Layer Security (TLS) Protocol Version 1.3
URL: https://datatracker.ietf.org/doc/html/rfc8446Cisco：Dynamic ARP Inspection 設定ガイド
URL: https://www.cisco.com/en/US/docs/switches/lan/catalyst3650/software/release/3se/consolidated_guide/configuration_guide/b_consolidated_3850_3se_cg_chapter_0111101.htmlMDN Web Docs：X-Content-Type-Options
URL: https://developer.mozilla.org/ja/docs/Web/HTTP/Reference/Headers/X-Content-Type-Options
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
