もし最近の企業の動向を追っていない場合、ロケーションスプーフィング攻撃の増加に気付くでしょう。監査、コンプライアンスレビュー、クライアントチェックの際に多くの事例が発見されています。
IPスプーフィングは、攻撃者が自分のIPアドレスを偽装し、信頼できる送信元のように見せかけることで発生します。これにより、システムは悪意のあるパケットを正規のものとして受け入れてしまい、ファイアウォールやあらゆるIPベースの認証を回避されます。本ガイドでは、IPスプーフィングの仕組み、検知方法、IPアドレススプーフィングの防止策について解説します。
.jpg)
なぜIPスプーフィングの防止が重要なのか？
IPスプーフィングの防止は、システムが悪意のあるトラフィックで溢れかえり、正規の送信元をブロックできなくなる事態を避けるために重要です。攻撃者は、信頼性の高いサービスを他者への攻撃手段として悪用することができます。
IPアドレスのスプーフィングにより、サイバー犯罪者は法執行機関やセキュリティチームから自身の正体を隠すことができます。もし攻撃者があなたのIPネットワークを使って違法行為を行った場合、あなたが誤って関与したとみなされる可能性があります。
IPアドレススプーフィングは、攻撃者が複数のIPアドレスや信頼されたデバイス間で行われるプライベートな通信を傍受・読み取り・改ざんし、なりすますことも可能にします。IPアドレスに依存した信頼関係を回避し、内部ネットワークのログイン保護をすり抜けて検知されずに活動できます。
IPスプーフィングが組織に与える影響
IPアドレススプーフィングは、ネットワークの基盤となる信頼を著しく損ない、重大なサイバー攻撃を可能にします。2026年には、サイバー犯罪者がさまざまなAIベースの自動化ツールを利用し、リモートワークモデルや5Gネットワークを活用して攻撃サービスを拡大しています。
IPスプーフィングは、より壊滅的な攻撃を大規模に展開するための入り口となります。攻撃者はサーバーに大量のトラフィックを送り込み、悪意のあるパケットと正規のパケットの判別を困難にします。IPアドレススプーフィングは、運用停止やサービス全体の停止につながる可能性があります。
また、データ漏洩や機密情報の流出が、当事者が気付かないうちに発生することもあります。これらが重なることで、長期的には深刻な財務損失や直接的な窃盗、特に不正な送金など他の金融犯罪の引き金となる可能性があります。
IPスプーファーは、あなたのIPアドレスを不正に世界的なブラックリストに載せ、ブランドのデジタルレピュテーションを損なうこともあります。コンプライアンスポリシー違反により、高額な罰金が科されるリスクもあります。
IPスプーフィングで使われる一般的な手法
IPスプーフィング攻撃は多様で、ネットワークアーキテクチャのさまざまな脆弱性を悪用します。サイバー犯罪者はネットワーク防御の進化に合わせて手法を洗練させ続けています：
ノンブラインドスプーフィング
ノンブラインドスプーフィングは、攻撃者がターゲットと信頼された送信元間のネットワーク通信を直接観測できる場合に発生します。攻撃者はシーケンス番号や確認応答番号など、システム間でリアルタイムにやり取りされる重要なデータを把握できます。
攻撃者は、ネットワークの期待される動作に完全に一致する応答を作成できるため、悪意のあるパケットが正規トラフィックとほとんど区別できなくなります。これらの攻撃は、自然な通信フローを維持しつつ悪意のある命令を注入するため、長期間検知されずに持続します。
ブラインドスプーフィング
ブラインドスプーフィングは、攻撃者が2者間の実際のネットワーク通信を観測できない場合に発生します。攻撃者は実際のトラフィックを観測せずに、重要なシーケンス番号や確認応答値を予測しなければなりません。この困難にもかかわらず、ブラインドスプーフィングはインターネット上のどこからでも直接ネットワークアクセスなしで実行できるため、依然として危険です。
攻撃者は、予測したシーケンス番号を含むスプーフィングパケットをターゲットに大量送信し、いくつかが実際の通信と一致することを狙います。
ソースルーティング
ソースルーティングは、攻撃者がネットワークパケットがインターネット上を通過する経路を指定できる手法です。ルーターに経路決定を任せるのではなく、攻撃者がパケットヘッダーに経路情報を直接埋め込みます。これにより、通常の入口ポイントに配置されたファイアウォールやセキュリティ制御を回避できます。
リフレクション／アンプリフィケーション攻撃
リフレクションおよびアンプリフィケーション攻撃は、正規のネットワークサービスを武器化し、ターゲットのIPアドレスをスプーフィングしてサードパーティサーバーにリクエストを送信します。攻撃者は、被害者のネットワークからのように見せかけたスプーフィングリクエストを送信し、応答サーバーが被害者に大量のレスポンスを返すことで、無関係な第三者を介して攻撃を増幅させます。
アンプリフィケーションは、応答が元のリクエストよりも大幅に大きい場合に発生します。小さなリクエストが10倍、20倍の応答を引き起こすことがあり、攻撃者は最小限の帯域幅で壊滅的なフラッド攻撃を実行できます。DNSサーバー、NTPサーバー、その他のパブリックサービスが意図せず攻撃の武器となります。1つのスプーフィングリクエストが、数千のリフレクターを介して数百ギガバイトの不要なトラフィックを発生させることもあります。
中間者攻撃（MitM）
IPスプーフィングを利用した中間者攻撃は、攻撃者が2者間の通信経路上に割り込む手法です。送信者と受信者の両方のIPアドレスをスプーフィングすることで、両者が互いに直接通信しているように見せかけつつ、実際には攻撃者と通信させます。
これにより、パスワード、財務情報、機密通信などのセンシティブデータを受信者に届く前に完全に把握できます。攻撃者はメッセージを選択的に改ざんしたり、新たなメッセージを挿入したりして、取引のリダイレクト、認証情報の窃取、悪意のあるコンテンツの挿入などを行えます。ユーザーは自分のトラフィックが通常通りに見えるため、全く気付きません。
TCP SYNフラッディング
TCP SYNフラッディングは、TCP接続確立時の3ウェイハンドシェイクを悪用します。攻撃者は、偽装した送信元IPアドレスで大量のTCP接続要求（SYNパケット）をターゲットサーバーに送信します。サーバーは各リクエストに応答しようとしますが、送信元アドレスが偽装されているため、応答が返ってくることはありません。
これらのハーフオープン接続がサーバーのリソース（メモリ、CPU、接続テーブルなど）を消費し、サーバーが正規の接続要求を受け付けられなくなります。ユーザーはタイムアウトやサービス利用不可を経験し、サーバーは偽のリクエスト処理で疲弊します。攻撃者は直接アクセスや単一拠点からの攻撃を維持する必要はなく、スプーフィングアドレスを使ってターゲットをフラッドします。中規模の攻撃でもサービスを停止させることができ、巧妙な攻撃者はボットネットを使って対策を困難にします。
ボットネットマスキング
ボットネットマスキングは、攻撃者の実際の発信元（ボットネット内のデバイス）を隠蔽します。ボットネットオペレーターは数千から数百万台の感染デバイスを制御し、ターゲットに向けてスプーフィングパケットを送信させ、複数の場所から同時に攻撃が発生しているように見せかけます。
各感染デバイスは攻撃参加時にIPアドレスをスプーフィングし、さらに難読化の層を追加します。防御側は攻撃元IPアドレスを単純にブロックできません。なぜなら数が多すぎ、ほとんどが攻撃者の実インフラではないからです。ボットネットオペレーターはサービスを他のサイバー犯罪者に貸し出したり、自身のキャンペーンに利用したりします。
IPスプーフィングの兆候を検知する方法
IPスプーフィング攻撃はさまざまな手法で検知できます。パケットフィルタリング技術として、インバウンド（イングレス）フィルタリングやアウトバウンド（エグレス）フィルタリングが有効です。これらは受信パケットや送信トラフィックを検査し、送信元IPがネットワークと一致しているか、正規のネットワーク割り当てIPのみが使用されているかを確認します。これにより、内部デバイスの侵害や相互間でのスプーフィング攻撃の発生を防止できます。
もう一つのIPスプーフィング検知手法は、ネットワークベースの監視と異常検知です。ディープラーニングモデルは、スプーフィングトラフィックを最大99%の精度で検知し、正規ユーザーの行動と異なる複雑なパターンをデータフローから見つけ出します。
Time-to-Live（TTL）値の分析も有効です。TTL値はホストOSやネットワーク距離に影響されるため、パケットが期待される送信元から来ているか、スプーフィングされているかを判別できます。
パケット内のシーケンス番号が同期から外れた場合を検知できるツールもあり、ノンブラインドスプーフィング攻撃の防止に役立ちます。また、Network Access Control（NAC）ツールを使って、スプーフィングトラフィックを送信しようとするゾンビデバイスを検知できます。高度なSIEMソリューションは、不可能なログインイベント（例えば、同一IPが同時に異なる地理的場所でアクティブになるなど）を検知し、IPスプーフィング攻撃の早期発見に貢献します。
IPスプーフィング防止のベストプラクティス
まずパケットフィルタリングから始め、IPアドレス以外の認証を追加し、通信を暗号化しましょう。単一の防御策だけでは不十分です。以下のIPアドレススプーフィング防止のベストプラクティスを段階的に実装してください：
1. イングレスおよびエグレスフィルタリングの実装
イングレスフィルタリングは、すべての受信パケットを検査し、正規の経路と一致しない送信元IPを持つパケットを破棄します。これはBCP 38に準拠しており、組織やISPがパケットの送信元アドレスをネットワークに入る前に検証することを求めています。ルーターやファイアウォールで実施します。
エグレスフィルタリングは、送信トラフィックに対して同様の処理を行います。送信元IPが内部範囲に属していない限り、パケットの送信を許可しません。内部の感染デバイスがスプーフィングパケットを外部に送信しようとしても、エグレスフィルタリングが阻止します。これら2つの対策を組み合わせることで、最も基本的なスプーフィング攻撃を防止できます。
2. Unicast Reverse Path Forwarding（uRPF）の有効化
uRPFは、パケットの送信元IPアドレスが到着したインターフェース経由で到達可能かどうかを検証するルーター機能です。ルーターはルーティングテーブルで送信元IPを検索し、そのインターフェース経由で有効な経路がなければ、スプーフィングパケットとみなして破棄します。自動かつ高速に動作します。ISPでは大規模なスプーフィング対策として広く利用されています。
3. IPベース認証からの脱却
IPアドレスを信用しないでください。多くの組織は、接続元が「信頼された」IPかどうかでアクセスを許可していますが、攻撃者はこれらのIPを日常的にスプーフィングしています。
多要素認証（MFA）はこの依存を断ち切ります。攻撃者が信頼されたIPをスプーフィングしても、第二要素（携帯電話のコード、ハードウェアトークン、プッシュ通知など）が必要です。攻撃者はこれを持っていません。
Network Access Control（NAC）はさらに進んで、アクセス許可前にデバイスのIDや健全性を検証します。NACは、デバイスが最新のアンチウイルスを実行し、パッチが適用され、セキュリティ基準を満たしているかを確認します。デバイスIDが重要であり、主張するIPアドレスは重要ではありません。
4. セキュア通信プロトコル（IPsecおよびTLS）の導入
暗号化により、確立済み接続内でのスプーフィングはほぼ不可能になります。IPsecはすべてのIPパケットを認証・暗号化するため、攻撃者は暗号鍵なしに進行中の通信へスプーフィングパケットを挿入できません。TLS/SSLはアプリケーショントラフィックに同様の効果をもたらします。
すべてのWebトラフィックでHTTPSを強制し、メールにはSMTPS、IMAPにはIMAPSを使用してください。これにより盗聴や改ざんを防止し、セキュアな接続確立後のスプーフィングも防げます。
5. IPソースルーティングの無効化
ソースルーティングは、送信者がパケットの経路を指定できる機能です。攻撃者はこれを利用してセキュリティ制御を回避したり、トラフィックを内部ネットワークからのように見せかけたりします。この機能が不要であれば（現在ほとんどの環境で不要です）、すべてのルーターとファイアウォールで無効化してください。
6. 侵入検知・防御システム（IDS/IPS）の導入
リアルタイムでトラフィックを監視し、ベースラインと一致しないパケットヘッダーやパターンを検出できるツールがあります。通常通信しないアドレスからの急激なトラフィックや、パブリックインターネット上でプライベートIPレンジからのトラフィックを検知します。パケットシーケンスを既知の攻撃シグネチャと照合します。
2026年の最新IDS/IPSはAIによる行動分析を活用し、通常のトラフィックパターンを学習して自動的に逸脱を検知します。これにより、ファイアウォールが見逃す攻撃も検知できます。
7. アクセスコントロールリスト（ACL）の管理
ACLはルーターやファイアウォール上の明示的なルールです。RFC 1918（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）などのプライベートIPレンジからのパブリックインターネット経由のトラフィックを拒否するよう維持してください。インターネットから内部ネットワークのIPを名乗るパケットはスプーフィングです。自動的に破棄するよう境界デバイスを設定してください。
8. ドメインネームシステムのセキュリティ（DNSSEC）
攻撃者はIPスプーフィングとDNS攻撃を組み合わせます。DNS応答をスプーフィングし、正規のDNSサーバーからのように見せかけてユーザーを偽サイトに誘導します。DNSSECはDNSデータにデジタル署名を追加し、応答が本物のDNSサーバーから改ざんなく届いたことを証明します。DNSSECがなければ、ドメインのIPアドレスを信用できません。
9. 定期的なネットワーク監査とペネトレーションテストの実施
防御策をテストしてください。ファイアウォールルール、ルーター設定、IDSシグネチャを定期的に監査し、既知の脅威に対して最新であることを確認します。ScapyやHpingなどのツールを使い、制御された環境でスプーフィング攻撃をシミュレーションするペネトレーションテストを実施します。フィルタがテストトラフィックを検知できなければ、実際の攻撃も防げません。結果をもとにギャップを修正してください。
10. Resource Public Key Infrastructure（RPKI）の導入
大規模組織やISP向けに、RPKIはIPアドレスプレフィックスが正しい自律システム（AS）から発信されていることを検証し、グローバルなルーティングを保護します。これにより、BGPハイジャックやインターネット全体に影響する大規模なルーティングスプーフィング攻撃を防止できます。ISPや主要インフラ運用者には不可欠です。
クラウドおよびハイブリッド環境におけるIPスプーフィング防止
クラウドネットワークでは従来のフィルタリングモデルが通用しません。ルーターを所有しておらず、uRPFも適用できません。トラフィックはロードバランサー、プロキシ、CDNを経由し、IPヘッダーが書き換えられます。パケットの送信元アドレスはクライアントの実IPではなく中継機器のIPになります。
クラウドでは以下のような異なる防御策が必要です：
マイクロセグメンテーション
クラウドネットワークを仮想ネットワーク（Azure VNet、AWS VPC）で小さく分割し、各セグメントに独自のネットワークアクセスルールを設定します。1つのセグメントでインスタンスが侵害されても、他のセグメントへのアクセスは容易ではありません。AzureのNetwork Security Group（NSG）やAWSのSecurity Groupを使い、セグメント間の許可トラフィックを明示的に定義してください。
IP検証のためのプラットフォーム固有ヘッダーの利用
クラウドのロードバランサーやCDNは、実際のクライアントIPを含むカスタムHTTPヘッダーを追加します。パケットの送信元IPはプロキシのIPとなるためです。X-Forwarded-Forヘッダーが一般的ですが、どのプロキシでも書き換え可能なため、スプーフィングされやすいです。
より良い方法： CDNやロードバランサーが付与するプラットフォーム固有のヘッダーを参照してください。CloudflareはCF-Connecting-IP、FastlyはFastly-Client-IP、AWS CloudFrontはCloudFront-Viewer-Addressを付与します。これらはエッジで一度だけ設定され、下流に転送されるためスプーフィングが困難です。X-Forwarded-Forヘッダーはエッジ（ロードバランサーやCDN）でリセットし、下流での悪用を防止してください。
すべてのレイヤーでTLSを強制
オンプレミスネットワークでは、内部トラフィックはファイアウォール内であることを前提に暗号化されていないことが多いですが、クラウドではこの前提が崩れます。クラウド内の内部APIコールも、パブリックインターネットを経由しなくてもTLSを使用してください。すべてのパケットが暗号化・認証され、内部サービス間通信のスプーフィングを防止します。
ハイブリッド環境向けEntra IDおよびIAMの実装
オンプレミスとクラウドの両方を運用している場合は、Microsoft Entra IDでID管理を行ってください。Entra IDは両環境で一貫したMFA、条件付きアクセス、権限管理を適用します。条件付きアクセスポリシーは、予期しない場所からのログイン時に追加認証を要求します。攻撃者が「信頼された」範囲のIPをスプーフィングしても、第二要素がなければログインできません。
クラウドネイティブネットワークセキュリティの導入
クラウド境界にはAzure FirewallやAWS Network Firewallを利用してください。これらのサービスはクラウドインフラへのすべてのトラフィックを検査し、既知の悪意あるIPからの通信をブロックします。高リスクプロトコル（RDP、SSH）をフィルタし、SMBやKerberosなどの内部プロトコルがパブリックインターネットに到達するのを制限します。多くは既知攻撃パターンの侵入防止もサポートしています。
ExpressRouteまたはAWS Direct Connectの利用
機密データには、パブリックインターネットではなく専用ネットワーク接続を利用してください。Azure ExpressRouteやAWS Direct Connectは、オンプレミスネットワークとクラウドインフラ間にプライベートかつ暗号化された接続を構築します。これにより、攻撃者が活動するパブリックインターネットを経由しないため、スプーフィングのリスクが低減します。
EDR/XDRによるIPスプーフィング防止支援
エンドポイント検知・対応（EDR）ツールは、ネットワーク層でのIPスプーフィング自体を阻止することはできません（これはファイアウォールやルーターの役割です）。しかし、スプーフィングトラフィックがデバイスに到達し、悪意のある活動を引き起こした場合に検知します。
攻撃者がIPをスプーフィングしてファイアウォールルールを回避し、エンドポイントに到達した場合、EDRツールはその後の動作を検知します。攻撃者はパケットヘッダーをスプーフィングできますが、コンピュータ上で実行される悪意のあるプロセスまではスプーフィングできません。EDRツールはすべてのプロセスをリアルタイムで監視し、システムサービスによるシェルの生成、正規ソフトウェアによる予期しないネットワーク接続、プロセスによる機密ファイルへのアクセスなど、侵害の兆候となる動作を検知します。IPスプーフィングがコマンドインジェクションやラテラルムーブメントにつながった場合、EDRは被害が拡大する前にプロセスを検知します。
SentinelOneによるIPスプーフィング攻撃防止支援
SentinelOneはAIによる行動分析を活用し、通常の活動と攻撃を区別します。プラットフォームはStorylineテクノロジーを用いてイベントを可視化し、攻撃の全体像をタイムラインで表示します。攻撃者が信頼された内部IPをスプーフィングしてファイアウォールを回避し、Webアプリケーションにコマンドを注入した場合でも、SentinelOneは両方のイベントを検知し、攻撃の経緯を再構築します。
感染したエンドポイントを自動的に隔離し、悪意のあるプロセスを停止し、不正な変更をロールバックします。ワンクリックロールバック機能は、スプーフィングやラテラルムーブメントを利用したランサムウェア攻撃でファイルが暗号化された場合にも、手動介入なしで変更を元に戻せるため重要です。
SentinelOneは、ネットワーク上に無許可で出現した管理外エンドポイントも検知します。攻撃者がIPスプーフィングで不正デバイスを信頼された内部ネットワークの一部に見せかけても、SentinelOneのNetwork Discoveryは、デバイスにSentinelOneエージェントがなく、既知のデバイスインベントリと一致しないため検知します。NACと組み合わせることで、スプーフィングIPが許可されていても不正デバイスの通信を防止します。
拡張検知・対応（XDR）
XDRは、エンドポイントだけでなく、ファイアウォール、ルーター、ネットワークIDS/IPSシステムのログまで可視化範囲を拡大します。IDSが疑わしいパケットパターンを検知し、EDRが同一エンドポイントで悪意のあるプロセス実行を数秒以内に検知した場合、XDRはこれらのシグナルを相関させ、アクティブな攻撃を確認します。このクロスレイヤーの可視化により、スプーフィング、ラテラルムーブメント、ペイロード配信が複数のセキュリティレイヤーをまたいで発生する高度な攻撃も検知できます。個別ツールのアラートではなく、攻撃の全体像を把握できます。
まとめ
これでIPスプーフィング防止の全体像が把握できたはずです。本ガイドが役立つことを願っていますので、ぜひIPスプーフィング防止のベストプラクティスを取り入れてください。手遅れになる前に、今すぐ行動を開始しましょう。脅威アクターは待ってくれません。積極的なセキュリティ姿勢を採用することで、IPスプーフィングを効果的に防止できます。方法が分からない場合は、SentinelOneチームまでご相談ください。
よくある質問
スプーフィングとは、攻撃者が送信元アドレスや認証情報を偽装し、正規の送信元であるかのように見せかける行為です。攻撃者はネットワークパケットや通信を改ざんし、トラフィックが信頼できる場所から来ているように見せかけます。スプーフィングには、IPスプーフィング、メールスプーフィング、DNSスプーフィング、MACアドレススプーフィングなど、さまざまな種類があります。スプーフィングの仕組みは、攻撃者がツールを使用してデータの発信元を偽装し、それをシステムに送信することです。システムがそれを正規のものとして処理すると、攻撃者は検知されずに攻撃を実行できます。
ファイアウォールはIPスプーフィングの防止に役立ちますが、それだけで完全に防ぐことはできません。ファイアウォールは設定したルールや信頼済みとマークしたIPアドレスに基づいてトラフィックをフィルタリングします。攻撃者が内部または信頼済みのIPアドレスをスプーフィングした場合、そのトラフィックは正規のものに見えるため、ファイアウォールが通過させてしまうことがあります。侵入検知システムなど他のセキュリティツールと組み合わせることで、ファイアウォールはスプーフィングされたトラフィックの検出により効果的になります。
IPスプーフィングの仕組みは、攻撃者がネットワークパケット内の送信元IPアドレスを改ざんし、異なる場所や信頼されたデバイスから送信されたように見せかけることです。攻撃者はツールを使用して偽の送信元アドレスを持つカスタムパケットを作成し、ターゲットに送信します。システムはこれらのパケットを受信し、正規の送信元からのものとして処理します。
IPスプーフィングには主に3つのタイプがあります。ダイレクトスプーフィングはパケットを直接ターゲットに送信し、応答を受け取ります。インダイレクトスプーフィングはパケットを第三者に送信し、応答がスプーフィングされたアドレスに返されます。ブラインドスプーフィングは攻撃者が応答を全く確認できない場合に発生します。パケットがシステムに到達すると、DDoS攻撃、DNSポイズニング、不正アクセスの試行などに利用される可能性があります。
最も効果的な予防策は、複数のセキュリティ対策を組み合わせて連携させることです。ファイアウォールやルーターでインバウンドおよびアウトバウンドのフィルタリングを実施し、不審な送信元アドレスを持つパケットをブロックしてください。ネットワークトラフィックを監視し、なりすましパケットを識別するために、侵入検知システム（IDS）を導入します。リバースDNSルックアップを有効にして、トラフィックが主張する送信元から来ていることを確認してください。また、HTTPSやSSHなどの暗号化および認証プロトコルを使用することで、なりすましを困難にします。SentinelOneや同様のXDRプラットフォームなどのセキュリティツールがある場合、なりすましの試みを検出できます。定期的なネットワーク監視とセキュリティ監査により、被害が発生する前に偽装トラフィックを発見することができます。
攻撃者はIPスプーフィングを利用して、自身のトラフィックが信頼された内部ソースや正規の外部アドレスから送信されているように見せかけます。これにより、ファイアウォールを騙してトラフィックを遮断せずに通過させることができます。また、コマンドサーバーや正規ウェブサイトのアドレスをスプーフィングして、検知システムを回避することも可能です。ファイアウォールを突破した後、攻撃者はDDoS攻撃の実行、中間者攻撃の実施、またはネットワークへの悪意あるコマンドの注入を行うことができます。メールスプーフィングも別の手法であり、攻撃者はメールヘッダーを偽造して、フィッシングメールが自組織やパートナーから送信されたように見せかけます。セッションハイジャックも可能であり、攻撃者はパケットをスプーフィングして既存のネットワーク接続を乗っ取ることができます。
ファイアウォールでスプーフィングされたトラフィックをブロックするための設定方法は以下の通りです。
- インバウンドフィルタリングの場合、想定される外部ネットワークに属さない送信元アドレスを持つ受信トラフィックをファイアウォールでブロックしてください。
- アウトバウンドフィルタリングの場合、自ネットワーク外の送信元アドレスを持つ送信トラフィックをブロックしてください。
- リバースDNSルックアップを有効にして、送信元アドレスが主張された発信元と一致するか検証してください。インターネットからのプライベートIPアドレスを持つパケットを拒否するルールを設定してください。
- ハードウェアファイアウォールを使用している場合、不審なアドレスパターンを検出するアンチスプーフィング機能を有効にしてください。
- ファイアウォールのログを定期的に監視し、スプーフィングの試みを検出してください。また、ネットワークセグメンテーションを活用して重要なシステムを分離することで、スプーフィングされたトラフィックが通過しても最も機密性の高い資産に到達できないようにすることが可能です。
