Number Resource Society

IPハイジャック攻撃を見抜き、被害を防ぐには

経路ハイジャックの仕組み、異常な起点の確かめ方、被害発生時の連携を整理し、BGPの観測結果と登録上の権利、DNSの完全性を混同しないための基準を示します。

NRS初回公開 2025年4月18日更新 2025年11月4日

このページの内容

経路の異常を見つけたら、まず事実をそろえる

影響を受けたプレフィックス、起点ASN、発生時刻、観測地点、サービスの症状、各情報の出所を記録します。起点の変化、アプリ障害、DNS改ざん、機器侵害、登録上の争いを切り分けてください。

複数の観測点を、自社ルーター、プロバイダー、サービスログと照合します。侵害が確認された範囲は隔離しながら、調査に必要な記録を残します。

宣告を変更できるのは、その経路を管理する事業者と上流です。NRS Shield は資源とガバナンスのリスクを理解するための入口であり、委任状（POA）は、範囲・期間・決定権・撤回方法をあなたが定めたうえで、NRS にネットワークのために動く権限を与える手段です。

インターネット上のサービスは、他のネットワークが自社プレフィックスへ正しく到達できることにも依存します。誤った、または悪意のある起点宣告は、接続断、トラフィックの迂回、情報露出、顧客のアクセス不能を招きます。

「理解する、検知する、防ぐ、対応する」という流れで、経験を継続的な運用へつなげます。外部から見えた異常は、調査の手がかりであって結論ではありません。

IPハイジャックは、組織宛てのトラフィックを不正な経路宣告で迂回させる事象を指します。BGPは経路情報を交換する仕組みであり、誤った起点やパスを受け入れると、通信が検査、改変、破棄されたり、別のサービスへ送られたりします。

偽の起点、設定ミス、侵害されたルーター、登録やアカウントの問題は似た症状を生みます。見慣れないASNからの宣告は確認が必要だという意味であり、攻撃や正当な権利を単独で証明しません。

BGP宣告、起点ASN、ASパス、プレフィックスの変化を継続的に確認します。BGPStreamやRIPE NCCのデータを、自社ルーター、プロバイダーの通知、traceroute、ログ、アカウント操作と照合します。

見慣れないパス、急に現れたより具体的なプレフィックス、遅延、パケット損失、想定外の場所へ送られる利用者は調査のきっかけです。複数の地点と時間を比べ、正常なトポロジー変更を誤認しないようにします。

ネットワーク境界のプレフィックスフィルターとピアリング方針を正確に保ちます。ROA、RPKI検証、アラートの担当者を決め、認可が実際の構成と一致しているか定期的に確認します。

RPKIの起点検証は、正しいROAがあり、受信側が結果を適用する場合に、認可と合わない宣告を見つける助けになります。DNSSECはDNSデータを認証する仕組みで、BGP経路を直接保護するものではありません。

動かせるISP、上流、ピアへ、プレフィックス、ASN、時系列、観測結果を示して連絡します。自分が管理するBGPセッションの宣告は撤回できますが、他の事業者の宣告をインターネットから直接撤回することはできません。

経路観測、ログ、設定、アカウント変更、サービス影響を保全します。登録が関係する場合は担当RIRと連携し、事実と管轄に応じて通報を検討します。復旧後も再発を監視してください。

IPハイジャックは深刻な経路セキュリティのリスクです。観測、技術的な制御、事業者間の連携、証拠の保全を一つの対応として扱う必要があります。単一のツールがプレフィックスの安全や犯人を保証するわけではありません。

フィルター、ROA、連絡先、継続計画を日常運用に組み込みます。資源と認可、責任の経路を事業継続の資産として管理すれば、異常時の判断と連携を速められます。

NRS が 2025 年 4 月 18 日に公開し、2025 年 11 月 4 日に更新した記事です。参考資料は、それぞれ異なる技術層を扱っています。

NRS Shield は、事業者が個々のリスクを集団の力に変える場です。そして委任状は、あなたのネットワークのために行動する権限を NRS に与える手段です。