ネットワークセキュリティ基礎 — TCP/IP・DNS・HTTP を守る

なぜネットワークを理解する必要があるか

すべてのサイバー攻撃はネットワークを通じて行われます。プロトコルの仕組みを理解することで、「なぜその攻撃が成立するのか」「どう防ぐのか」が明確になります。

OSIモデルとセキュリティ

ネットワーク通信は7層のOSIモデルで理解できます。各層に特有の脅威と対策があります。

TCP/IP とセキュリティ

TCPの3ウェイハンドシェイク

クライアント → SYN       → サーバー
クライアント ← SYN-ACK  ← サーバー
クライアント → ACK       → サーバー

SYNフラッド攻撃はこのハンドシェイクを悪用します。攻撃者は大量のSYNパケットを送り、サーバーのキューを枯渇させます。

対策: SYN Cookie（TCPスタックの機能）、レート制限、Anycast型DDoS防御

IPアドレスとNAT

プライベートIPアドレス（10.x.x.x / 172.16-31.x.x / 192.168.x.x）はインターネットにルーティングされません。NATは内部ネットワークを隠蔽する効果がありますが、セキュリティ対策の代替にはなりません。

DNSの仕組みと攻撃

DNS（Domain Name System）はドメイン名をIPアドレスに変換するシステムです。インターネットの「電話帳」と呼ばれます。

DNSキャッシュポイズニング

攻撃者がDNSサーバーのキャッシュに
偽の応答を注入 → ユーザーを悪意のあるサイトへ誘導

対策:

• DNSSEC: DNSレスポンスへのデジタル署名
• DNS over HTTPS (DoH): DNS通信の暗号化
• DNS over TLS (DoT): TLSによるDNS保護

HTTP vs HTTPS

TLSのハンドシェイク

TLS（Transport Layer Security）は以下の手順で安全な通信路を確立します：

1. Client Hello（対応するTLSバージョン・暗号スイートを提示）
2. Server Hello（選択した暗号スイート）+ サーバー証明書送信
3. 証明書の検証（CAチェーン、有効期限、ドメイン一致）
4. 鍵交換（Diffie-Hellman等で共通シークレット生成）
5. 暗号化通信の開始

sequenceDiagram
  participant C as クライアント
  participant S as サーバー

  C->>S: ① ClientHello（TLSバージョン、暗号スイート一覧）
  S->>C: ② ServerHello（選択した暗号スイート）
  S->>C: ③ Certificate（サーバー証明書）
  S->>C: ④ ServerHelloDone

  Note over C: 証明書の検証<br/>（CAチェーン・有効期限・ドメイン）

  C->>S: ⑤ ClientKeyExchange（鍵交換）
  C->>S: ⑥ ChangeCipherSpec（暗号化開始を通知）
  C->>S: ⑦ Finished（ハッシュで整合性確認）

  S->>C: ⑧ ChangeCipherSpec
  S->>C: ⑨ Finished

  Note over C,S: 🔒 暗号化通信開始

ファイアウォールの基本

ファイアウォールはネットワークトラフィックをルールに基づいてフィルタリングします。