DHCPが安全でないと見なされるのはなぜですか？
私が働いたほとんどの場所では、DHCPは管理ネットワーク、つまり「セキュリティで保護された」ネットワークにとって悪い考えであると考えています。それがなぜなのか、私は興味があります。
このシナリオを検討してください...
- ISCSIストレージネットワークがある、たとえば
10.1.1.0/24 - クライアントには、外部通信用のインターフェースと、このISCSIストレージネットワーク上にストレージボリュームにアクセスするための2番目のインターフェースがあります。
人間にIPアドレスの管理と割り当てを要求することで、プロビジョニングプロセスをさらに複雑にするだけではありませんか？この目的で既存のテクノロジーを使用する方がはるかに簡単です。
私の論理は、悪意のあるアクターが「安全な」ネットワークに接続してIPアドレスを取得できる場合、セキュリティの観点から見るとDHCPよりもはるかに大きな問題があるということです。とにかく、ほとんどのネットワークにはx.x.x.1にゲートウェイがあり、サブネットマスクが/24であるため、悪意のあるデバイスがIPアドレスを自分で割り当てる可能性があります。
私の論理は、悪意のある俳優が「安全な」ネットワークに接続してIPアドレスを取得できる場合、セキュリティの観点から見るとDHCPよりもはるかに大きな問題があるということです。
私は部分的には同意しますが、ネットワークセキュリティの観点から、DHCPは内部ネットワークにとって追加の攻撃ベクトルになる可能性があるため、リスクと見なされます。 DHCPは、攻撃者によって悪用される可能性があるため、安全ではないと考えられていると思います。 2つのよく知られているDHCP関連の攻撃は次のとおりです。
- DHCP枯渇攻撃
- MITMにつながるDHCPスプーフィング
ほとんどの場合、攻撃者はDHCPを介して有用な情報を取得または変更できる可能性があります（ゲートウェイipなどの簡単なものだけでなく）：
- dNSサーバー（例はDNSスプーフィング攻撃に役立ちます）
- ドメイン名
- クライアントホスト名（例：標的型攻撃に役立つ可能性がある）
また、一部のネットワークでは、NetworkManager、NETBIOSサーバー、NISサーバー、NTPサーバーなど）のようなDHCPサーバーを介して他の設定も行われる場合があります。たとえば、DHCPの悪用/悪用により、もう1つの例はShellshockで、これもDHCPを介して悪用される可能性があります。
DHCPは攻撃者にとって有用であることが知られているので、DHCPはもう1つの攻撃ベクトルと考えられているため、リスクと見なされる可能性があります。
はい、DHCPは、攻撃者がセキュリティを侵害する別の方法である可能性がありますが、唯一のソースではない可能性があります。
たとえば、IPスプーフィングは、DHCPだけでなく、他の方法でも開始できます。
このスタックの質問を参照してください： インターネット上のIPアドレスのスプーフィングはどのように機能しますか？誰が実行できますか？
私の意見では、DHCPプロトコルを使用する方法を適切に強化してもDHCPを使用できますが、そのような対策のいくつかは次のとおりです。
Authenticated DHCP-DHCPプロトコルの上に認証メカニズムを実装できます。参照してください： https://social.technet.Microsoft.com/Forums/windowsserver/en-US/5411f480-a1ed-41a8-a333-0df3cf716718/dhcp-authentication?forum=winserverPN
MAC（有効）フィルタリングDHCP-MACバインディングまたはフィルタリングを実装することにより、dhcp IP割り当てを特定のホストのみに制限することでセキュリティを向上させます。参照してください： https://technet.Microsoft.com/en-us/library/ff521761.aspx
メカニズムの組み合わせ-これらの追加のセキュリティメカニズムを組み合わせて使用して、セキュリティを強化できます。
結論として、セキュアゾーンノードに割り当てられたIPアドレスを使用できればより良い可能性がありますが、DHCPを使用する必要がある場合は、前述のようにDHCPを強化して安全に使用することができます。