無料会員登録
社内LANや家庭内ネットワークは、インターネット側から守られていれば安全だと思われがちです。しかし、同じネットワークへ不審な端末が接続された場合や、Wi-Fiルーター、アクセスポイント、スイッチなどの設定が不正に変更された場合は、LAN内の通信や端末が攻撃対象になる可能性があります。
LANハッキングでは、通信経路への割り込み、偽の接続先への誘導、認証情報の窃取、他端末への侵入などが行われることがあります。LAN内を無条件に信頼している環境では、一台の端末が侵害されただけでも、複数の機器へ被害が広がるおそれがあります。
不審な通信や設定変更が見つかった場合、原因を確認せずにルーターや端末を初期化すると、侵入経路や被害範囲を調べるための痕跡が消える恐れがあります。被害を防ぐには、ネットワーク機器、接続端末、認証、ログを分けて確認することが重要です。
そこで本記事では、LANハッキングの代表的な手口、侵入を疑うサイン、被害が発生した場合の対処法、社内LANやWi-Fiを安全に運用するための対策までを解説します。
LANハッキングとは
LANハッキングとは、有線LANや無線LANへ不正に接続し、ネットワーク内の機器や通信を盗み見たり、設定を変更したり、別の端末へ侵入したりする攻撃の総称です。
攻撃者が外部から直接侵入する場合だけでなく、マルウェアに感染した端末、持ち込まれたパソコン、退職者や委託先などの内部関係者が起点になる場合もあります。
LAN内の端末を無条件に信頼する構成では、侵入後にファイル共有、リモート接続、管理画面などを悪用される可能性があります。そのため、外部との境界だけでなく、LAN内部の通信や端末も監視する必要があります。
LANハッキングの主な手口
LANハッキングでは、通信経路の改ざん、認証突破、ネットワーク機器の乗っ取りなど、複数の手口が使われます。
ARPスプーフィングによる通信の割り込み
ARPスプーフィングは、LAN内で使われるIPアドレスと機器識別情報の対応関係を偽り、端末の通信を攻撃者の機器へ経由させる手口です。
通信経路へ割り込まれると、暗号化されていない通信の盗み見や、偽サイトへの誘導、通信内容の改ざんが行われる可能性があります。
偽DHCPサーバーによる接続先の改ざん
DHCPは、ネットワークへ接続した端末にIPアドレスやゲートウェイ、DNSなどの情報を割り当てる仕組みです。
LAN内に偽のDHCPサーバーが設置されると、攻撃者が用意したゲートウェイやDNSを端末へ設定される可能性があります。その結果、通信の盗み見や偽サイトへの誘導につながることがあります。
MACテーブルを狙ったスイッチ攻撃
スイッチは、接続機器の識別情報を記録し、必要なポートだけへ通信を転送します。
大量の偽情報を送り込まれて記録領域が埋まると、通信が広い範囲へ転送される場合があります。これにより、攻撃者が他端末の通信を取得しやすくなる可能性があります。
Wi-Fiのパスワードや暗号設定の突破
短いパスワードや推測しやすい文字列を使っている場合は、不正接続を試される可能性があります。
古い暗号方式や、初期設定のままのWi-Fiパスワードを利用している環境も注意が必要です。侵入されると、LAN内の機器や共有サービスを探索される可能性があります。
偽アクセスポイントへの接続誘導
偽アクセスポイントは、正規のWi-Fiと同じ名前や似た名称を使い、利用者を誤って接続させる手口です。
利用者が偽のアクセスポイントへ接続すると、通信の監視や偽ログイン画面への誘導が行われる可能性があります。外出先のWi-Fiだけでなく、社内や店舗のWi-Fiを装うケースにも注意が必要です。
ルーターやネットワーク機器の乗っ取り
ルーター、アクセスポイント、スイッチなどの管理画面に初期パスワードが残っていたり、古いファームウェアを使っていたりすると、設定を不正に変更される可能性があります。
管理権限を奪われると、DNS、ルーティング、ポート転送、リモート管理などを変更され、通信を継続的に監視されることがあります。
LAN内サービスへの不正アクセス
ファイル共有、リモートデスクトップ、SSH、管理画面などがLAN内へ広く公開されていると、パスワードの推測や脆弱性の悪用によって侵入される可能性があります。
一台の端末が侵害されると、保存済みの認証情報や管理権限を使い、別の端末やサーバーへ被害が広がることがあります。
LAN内部を無条件に信頼しないことが重要になる
LANハッキングは、外部からの侵入だけで発生するものではありません。侵害済み端末や持ち込み機器など、すでにLAN内に存在する端末が攻撃の起点になる場合があります。
LAN内だから安全だと判断すると、侵入後の横展開を見落とす可能性があります。ネットワークを用途ごとに分け、端末ごとに接続権限を管理することが重要です。
LANハッキングが疑われる主なサイン
LANへの不正接続や設定改ざんが発生すると、通信障害、接続先の変化、未知端末の出現などの兆候が現れることがあります。
見覚えのない端末がネットワークへ接続されている
ルーターやネットワーク管理画面に、管理台帳へ登録されていない端末が表示されている場合は注意が必要です。
従業員の私物端末、来訪者、IoT機器など正当な端末である可能性もあるため、端末名、IPアドレス、機器識別情報、接続時刻を確認してください。
DNSやゲートウェイ設定が変わっている
端末やルーターのDNS、ゲートウェイ、プロキシ設定が意図せず変更されている場合は、通信経路を改ざんされた可能性があります。
利用者を偽サイトへ誘導する目的でDNSが変更されることもあるため、正規の設定値と比較する必要があります。
通信速度の低下や切断が繰り返される
LAN全体で通信速度が急に低下したり、IPアドレスを取得できない端末が増えたりした場合は、大量通信やDHCPへの攻撃が関係している可能性があります。
ただし、機器故障、回線障害、設定ミスでも似た症状が出るため、ログや通信量を確認して切り分ける必要があります。
ルーターやスイッチへ不審なログインがある
ネットワーク機器の管理ログに、心当たりのない時間帯や接続元からのログインがある場合は注意が必要です。
管理者アカウントの追加、パスワード変更、設定ファイルの更新なども確認してください。
大量のARP・DHCP通信が記録されている
短時間に大量のARP応答やDHCP要求が記録されている場合は、LAN内で不審な通信が発生している可能性があります。
正規の機器追加やネットワーク変更でも増える場合があるため、発生時刻と送信元を確認することが重要です。
社内端末から不審な外部通信が発生している
通常利用しない国やサービスへ継続的な通信が発生している場合は、マルウェア感染や侵害済み端末が関係している可能性があります。
LAN内の攻撃端末が外部の指令サーバーと通信している場合もあるため、送信元端末と接続先を確認してください。
複数の異常が重なる場合は侵入を前提に確認する
未知端末が一台表示されたことや、通信が一時的に遅くなったことだけでは、LANハッキングとは断定できません。
ただし、設定変更、不審ログイン、未知端末、異常通信などが同時に確認された場合は、侵入が継続している恐れがあります。
端末や機器を初期化する前に、接続情報、ログ、設定内容を記録し、被害範囲を確認することが重要です。
LANハッキングが疑われる場合の確認方法
不審な通信や接続が見つかった場合は、接続端末、ネットワーク機器の設定、認証ログ、通信ログを順番に確認します。
接続中の端末を一覧化する
ルーター、無線LAN管理画面、DHCPログなどから、現在接続中の端末を確認します。
- ルーターや管理システムの接続端末一覧を開きます。
- 端末名、IPアドレス、機器識別情報を記録します。
- 資産管理台帳や利用者情報と照合します。
- 未知端末の接続開始時刻を確認します。
- 業務への影響を確認してから隔離を検討します。
ルーターやスイッチの設定を確認する
管理者アカウント、DNS、DHCP、ポート転送、リモート管理、無線LAN設定などに変更がないか確認します。
- 現在の設定ファイルを保存します。
- 管理者アカウントと権限を確認します。
- DNS、DHCP、ルーティング設定を確認します。
- ポート転送とリモート管理設定を確認します。
- 過去の正規設定との差分を確認します。
ARP・DHCP・DNSの記録を確認する
LAN内の通信経路が不正に変更されていないか、ARPテーブル、DHCP割り当て、DNS応答などを確認します。
- 端末とネットワーク機器のARP情報を保存します。
- DHCPの割り当て履歴を確認します。
- 重複したIPアドレスや不明な機器を確認します。
- 端末へ設定されたDNSとゲートウェイを確認します。
- 不審な変更の発生時刻を整理します。
管理画面へのログイン履歴を確認する
ルーター、スイッチ、アクセスポイント、ファイアウォールなどの管理ログを確認します。
- 管理画面のログイン履歴を保存します。
- 接続元IPアドレスと利用アカウントを確認します。
- 失敗したログイン試行を確認します。
- 設定変更とファームウェア更新の履歴を確認します。
- 管理担当者の作業記録と照合します。
不審な外部通信を確認する
ファイアウォール、プロキシ、NetFlow、侵入検知システムなどの記録から、不審な通信先や異常な通信量を確認します。
- 通信量が急増した時間帯を確認します。
- 送信元端末と外部接続先を確認します。
- 通常利用しないポートや通信先を確認します。
- 複数端末から同じ接続先への通信がないか確認します。
- 発生時刻と他のアラートを照合します。
端末側の不正アクセス痕跡を確認する
LAN内へ侵入された場合は、パソコンやサーバーへ不正ログインされている可能性があります。
- ログイン履歴と接続元を確認します。
- 新規作成されたユーザーや権限変更を確認します。
- 不審なサービスやプログラムを確認します。
- ファイル共有やリモート接続の履歴を確認します。
- 不審な端末は業務影響を考慮して隔離します。
侵入経路や被害範囲が分からない場合はフォレンジック調査会社に相談する
未知端末や不審な設定を見つけても、どの機器から侵入されたのか、どの端末まで影響したのかを社内だけで判断できない場合があります。
フォレンジック調査では、ネットワーク機器のログ、端末の操作履歴、認証記録、通信履歴などを分析し、侵入時期、侵入経路、攻撃者が行った操作、被害範囲を整理します。
ルーターや端末を初期化すると、侵入の痕跡が消える恐れがあります。不審な通信や設定変更が確認されている場合は、現在のログや設定を保ったまま専門会社へ相談することが重要です。
LANハッキングによって想定される被害
LANへの侵入を許すと、通信の盗み見だけでなく、アカウント、サーバー、業務システムへ被害が広がる可能性があります。
通信内容や認証情報の窃取
通信経路へ割り込まれると、暗号化されていない情報やセッション情報を盗まれる可能性があります。
偽サイトへの誘導
DNSやゲートウェイを変更されると、正しいURLを入力しても偽サイトへ誘導される場合があります。
端末やサーバーへの不正アクセス
LAN内で公開されている共有フォルダや管理サービスが悪用され、端末やサーバーへ侵入される可能性があります。
マルウェア感染の拡大
一台の端末が感染すると、共有サービスや認証情報を使って複数の端末へマルウェアが広がることがあります。
業務停止やネットワーク障害
大量通信や設定改ざんにより、IPアドレスを取得できない、社内システムへ接続できないなどの障害が発生する可能性があります。
顧客情報や機密情報の漏えい
ファイルサーバーや業務システムへ侵入されると、顧客情報、認証情報、設計資料などを外部へ持ち出される可能性があります。
LAN内の一台の侵害が全体被害につながることがある
ネットワークが分離されていない場合は、一台の侵害済み端末から複数のサーバーや業務端末へ攻撃が広がる可能性があります。
被害を最小限にするには、侵害端末だけでなく、同じセグメントに接続していた端末や利用アカウントも確認する必要があります。
LANハッキングを防ぐための対策
LANハッキングを防ぐには、ネットワーク機器、Wi-Fi、端末認証、セグメント分離、監視を組み合わせることが重要です。
ネットワーク機器の管理設定を強化する
ルーターやスイッチの初期パスワードを変更し、不要なリモート管理や古い通信方式を無効にします。
- 初期管理者パスワードを変更します。
- 不要なリモート管理を無効にします。
- 管理画面への接続元を制限します。
- ファームウェアを最新の状態にします。
- 設定変更ログを保存します。
Wi-Fiの暗号方式とパスワードを見直す
Wi-Fiでは、WPA2のAES方式またはWPA3など、現在利用できる安全性の高い方式を使用します。
- 利用中の暗号方式を確認します。
- 古い暗号方式を無効にします。
- 長く推測されにくいパスワードへ変更します。
- 管理者用と利用者用のパスワードを分けます。
- 接続中の端末を定期的に確認します。
端末認証とポート制御を導入する
LANケーブルを挿しただけで接続できる環境では、不審な端末が内部ネットワークへ入る可能性があります。
- 利用中のLANポートを棚卸しします。
- 未使用ポートを無効にします。
- 端末認証の導入を検討します。
- ポートごとの接続端末を制限します。
- 認証失敗や未知端末を監視します。
用途ごとにネットワークを分離する
社員端末、来訪者、IoT機器、サーバー、管理機器を同じネットワークへ接続すると、侵入後の被害が広がりやすくなります。
- 接続機器を用途ごとに分類します。
- 社員用、ゲスト用、IoT用を分けます。
- サーバーと管理系ネットワークを分離します。
- ネットワーク間の通信を必要最小限に制限します。
- 定期的にアクセス権を見直します。
ARP・DHCP攻撃への対策を行う
対応するスイッチでは、不正なDHCP応答やARP情報を検証する機能を利用できます。
- 利用機器が対応する保護機能を確認します。
- 正規のDHCPサーバーと接続ポートを定義します。
- 不正なARP応答を検知する設定を行います。
- IPアドレスと端末情報の整合性を確認します。
- 検知ログを集中管理します。
ログを集中管理して異常を監視する
ネットワーク機器のログを端末内だけに保存していると、機器が侵害された際に削除される可能性があります。
- ルーター、スイッチ、無線LANのログを有効にします。
- ログを外部の管理システムへ転送します。
- 時刻同期を統一します。
- 未知端末や設定変更を検知するルールを作ります。
- 定期的にアラートと保存期間を見直します。
公衆Wi-Fiを安全に利用する
公衆Wi-Fiでは、提供元が確認できないネットワークへ接続しないことが重要です。
- 接続先の正式な名称を確認します。
- 自動接続を無効にします。
- 重要な業務や金融操作を避けます。
- 共有機能やリモート管理を無効にします。
- 必要に応じて信頼できるVPNを利用します。
対策後も定期的な診断と監視を続ける
LANの安全性は、機器を一度設定しただけでは維持できません。端末の追加、組織変更、クラウド利用、IoT機器の導入などにより、ネットワーク構成は変化します。
定期的に資産、接続端末、権限、ログ、ファームウェアを見直し、必要に応じて脆弱性診断や侵入テストを実施することが重要です。
LANハッキングをフォレンジック調査で確認する方法
不審な通信や設定変更が見つかった場合は、ネットワーク機器と端末の記録を時系列で分析します。
ネットワーク機器の設定変更を確認する
ルーター、スイッチ、アクセスポイント、ファイアウォールの設定と管理ログを確認し、不審な変更が行われた時期を整理します。
接続端末と認証履歴を確認する
DHCP、無線LAN、端末認証、管理画面のログを確認し、未知端末や不審なアカウントが利用されていないかを調べます。
不審な通信と侵入経路を確認する
通信ログやネットワーク記録を分析し、侵入元、攻撃対象、外部通信先などを確認します。
被害を受けた端末とデータを特定する
不正ログイン、ファイル操作、マルウェア感染、外部送信などの痕跡を確認し、影響を受けた端末や情報を整理します。
侵入から発見までの時系列を整理する
最初の侵入、設定変更、端末への横展開、外部通信、検知までを時系列で整理し、再発防止策へつなげます。
おすすめのフォレンジック調査会社
LAN内に不審な端末や設定変更が見つかり、侵入経路や被害範囲を確認したい場合は、ネットワークと端末の記録を調べられるフォレンジック調査会社への相談が選択肢になります。
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
LANハッキングでは、ARPスプーフィング、偽DHCPサーバー、Wi-Fiへの不正接続、ルーターの設定改ざんなどにより、通信や端末が侵害される可能性があります。
未知端末、不審な設定変更、異常なARPやDHCP通信、管理画面への不審ログインなどが見つかった場合は、接続端末、ネットワーク機器、通信ログ、端末側の履歴を順番に確認してください。
再発防止には、Wi-Fiや管理画面の強化、端末認証、ネットワーク分離、ARP・DHCP対策、ログの集中管理が重要です。侵入経路や被害範囲が分からない場合は、機器や端末を初期化せず、フォレンジック調査を検討する必要があります。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
