Smurf攻撃とは？ICMP・ブロードキャスト・ルーターの動作まで図解

1. まず、スマートフォンがWi-Fiにつながると何が起こる？

自宅でスマートフォンからWebサイトを見るとき、スマートフォンはWebサーバーに向かって直接電波を飛ばしているわけではありません。まず家庭のWi-Fiアクセスポイント（AP）に無線で送ります。その機器がルーターとしても機能していれば、外部ネットワークへIPパケットを転送します。

SSIDはWi-Fi一覧で見えるネットワーク名です。アクセスポイントは無線端末をLANにつなぐ機能、ルーターはIPアドレスを見て別のネットワークにパケットを送る機能です。家庭用Wi-Fiルーターはこれらを1台にまとめることが多いため、別の概念であると気づきにくいのです。

MACアドレスはWi-FiやEthernetなど、データリンク層で使うインターフェースの識別子です。IPアドレスはネットワーク層で宛先を示します。ルーターを越えて別のLANへ行くときは、リンク層の宛先MACは区間ごとに変わりますが、最終宛先IPは通常変わりません（NAPTなどを行う場合は例外があります）。

2. IPアドレス・サブネット・ブロードキャストをゼロから

IPv4アドレスは通常「192.168.10.20」のように4つの0〜255の数値で表します。各数値は8ビット（1バイト）で、合計32ビットです。どこまでがネットワークの範囲かを表すのがサブネットマスクです。

たとえば 198.51.100.0/24 では 198.51.100.255 が有向ブロードキャストアドレスです。「その特定のネットワークにいる全端末に宛てた通信」を意味します。これは普通の端末1台のアドレスとは異なります。

255.255.255.255 は限定ブロードキャストと呼ばれ、そのローカルネットワークだけで使われ、通常ルーターを越えて転送されません。一方、ネットワーク有向ブロードキャストは特定の遠隔ネットワークを指定できるため、過去には転送設定の問題から攻撃に悪用されました。

3. ARPとルーター：相手のMACアドレスはどうやって分かる？

ARP（Address Resolution Protocol）は、同じIPv4リンク上で、指定したIPアドレスに対応するMACアドレスを調べる仕組みです。遠方のWebサーバーのMACアドレスを探すのではなく、通常は最初の転送相手（デフォルトゲートウェイ）のMACアドレスを調べます。

ARP Requestは同じLAN内のブロードキャストです。ただし、Smurf攻撃で悪用されるのはARPではなくICMP Echo Requestを運ぶIPv4パケットのブロードキャストです。「ARPもブロードキャストする」からといって、同じ仕組みではありません。

4. レイヤとカプセル化：ICMPはUDPではない

レイヤは仕事の分担で、カプセル化は実際のデータをヘッダで包むことです。pingを実行すると、アプリケーションはOSへICMP Echoの送信を依頼し、OSがICMPメッセージをIPv4の中へ入れます。

逆にNTP通信なら IP → UDP → NTP になります。Smurf攻撃がICMPを使うのに対し、NTPリフレクション攻撃はUDP上のNTPを利用します。どちらも反射型ですが、プロトコルと増幅の仕組みは同一ではありません。

5. pingで使うICMP Echo Request/Replyを中身から見る

ICMP（Internet Control Message Protocol）は、IP通信に関する通知や診断で使う制御プロトコルです。pingはICMP Echo Requestを送ってEcho Replyが返るか確かめる代表的なコマンドです。pingという名称とICMPというプロトコル名は同義ではありません。

IPv4 Header（要求）
  Source IP      = 192.0.2.50       ← 偽装された標的
  Destination IP = 198.51.100.255  ← /24のブロードキャスト
  Protocol       = 1               ← ICMP
ICMP Message
  Type           = 8               ← Echo Request
  Code           = 0
  Identifier     = 0x1234          ← 模式値
  Sequence       = 1
  Data           = （任意のペイロード）

このフィールド例は読み方を理解するためのものです。IPのProtocol=1 とICMPのType=8は別のヘッダの別の値です。ICMP EchoにはTCPのSYNフラグも、UDPのポート123もありません。

6. なぜルーターが重要なのか：有向ブロードキャストの境界

通常のルーターは、IPパケットの宛先アドレスを読んで次のネットワークを選びます。別ネットワークに転送するとき、IPのTTL（転送可能なホップ数に関わる値）を減らし、次のリンクに合わせてEthernetやWi-Fiなどのフレームを作り直します。

ところが、宛先が 198.51.100.255 のように「特定ネットワーク全体」だと事情が異なります。かつては、ルーターがこの有向ブロードキャストをネットワーク内へ転送し、LAN上の複数ホストが受信する環境がありました。Smurf攻撃はそれを悪用します。

7. 通信ラボ：同じノード図で要求から返信まで追う

まず「構成」→「要求」→「経路」→「配布」→「反射」の順に進めてみてください。ルーターの有向ブロードキャストを「遮断」のままにした場合、現在の防御設定によって途中で止まります。「許可」に切り替えると、歴史的に成立した条件を観察できます。

例では1個のEcho Requestから、3台が応答すれば3個のEcho Replyになると考えます。これは「返信数が増える」というファンアウト型の増幅を示すもので、実際の帯域増幅率は要求・応答それぞれのサイズ、端末数、端末が応答するか、経路の制限によって変わります。

8. 似ている攻撃との違い：仕組みを一つずつ図解

同じサービス妨害でも、何を送り、誰が返事をし、何が枯渇するかは異なります。名前ではなく通信の動きで区別しましょう。

9. 防御するには：どこで止めるべきか

10. 最後に：4つの質問で自分の理解を確認

一次資料・技術仕様

本文の基礎を理解したうえで、実際のメッセージ形式やルーターの要件を確かめたい場合は、次の公開仕様を参照できます。

• RFC 792 — Internet Control Message Protocol
• RFC 791 — Internet Protocol
• RFC 919 — Broadcasting Internet Datagrams
• RFC 922 — Broadcasting Internet Datagrams in the Presence of Subnets
• RFC 2644 — Changing the Default for Directed Broadcasts in Routers
• RFC 2827 (BCP 38) — Network Ingress Filtering
• RFC 826 — An Ethernet Address Resolution Protocol
• RFC 9293 — Transmission Control Protocol