OSIレイヤ3：コア機能、プロトコル、セキュリティのベストプラクティス

OSIレイヤー3（ネットワーク層）とは何か？

OSIモデルにおける第3層（ネットワーク層）は、論理アドレス指定（IPアドレスなど）や、異なるネットワーク間でのパケットのルーティングを担当し、エンドツーエンドの通信を実現します。主な機能としては、ルーティングアルゴリズムを用いてデータの最適な経路を決定すること、送信元および宛先のIPアドレスを付与してデータをパケットにカプセル化すること、そしてルーターなどのネットワーク機器を介してそれらを転送することが挙げられます。

OSIレイヤー3の主な機能には、以下のものがあります：

• 論理アドレス指定：ネットワークやホストを識別するために使用される、IPアドレス（IPv4またはIPv6）などの論理アドレスを割り当てます。
• ルーティング：データパケットが送信元ネットワークから宛先ネットワークへ到達するための最適な経路を決定します。
• 転送：パケットの宛先IPアドレスに基づいて、パケットを正しいネクストホップへ転送します。
• カプセル化：レイヤー3パケットを、送信元および宛先のIPアドレスを含むヘッダーで包み込み、データの周りに「封筒」を作る。
• インターネットワーキング：異なる種類のネットワークを相互に接続し、それらの間の通信を可能にすることで、インターネットのような大規模なネットワークを形成すること。
• 断片化と再構築：データパケットを分割・再構築することで、ネットワーク間の通信を可能にします。

これはOSIレイヤーに関する一連の記事の一部である。

OSIモデルにおけるレイヤー3の役割

ネットワーク層は、データリンク層（レイヤー2）とトランスポート層（レイヤー4）の架け橋としての役割を果たし、ローカルなリンクレベルの通信をネットワーク全体にわたるデータ転送に変換します。 レイヤー2が物理アドレス（MACアドレス）を使用して単一のネットワークセグメント内での通信を処理するのに対し、レイヤー3ではIPアドレスなどの論理アドレスが導入され、これによりデータが異なるネットワーク間を移動できるようになります。

物理アドレスと論理アドレスのこの分離により、異種のネットワーク（イーサネット、Wi-Fi、携帯電話ネットワークなど）を統合された通信システムとして相互接続することが可能になります。また、レイヤ3ではルーティングも管理されており、パケットがルーターなどの中間デバイスを経由して通過するための最適な経路を決定します。

これらのルーターは、ルーティングテーブルやアルゴリズム（OSPF、BGP、RIPなど）を用いて動的に判断を行い、ネットワークの変化や障害に対応します。さらに、ネットワーク層では、最大伝送単位（MTU）が異なるネットワーク間をデータが通過する必要がある場合、パケットの断片化と再組み立てを行います。

レイヤー3は、物理ネットワークの詳細を抽象化することで、スケーラブルなインターネットワーキング、障害の特定、および効率的なデータ転送を実現します。これにより、上位層は、物理的な接続やルーティングの複雑さを処理する必要なく、アプリケーションロジックやセッション管理に専念できるようになります。

ネットワーク層の主要な機能

論理アドレス指定とIPアドレスの割り当て

レイヤー3における論理アドレス指定は、ネットワーク上のすべてのデバイスを一意に識別する方法を提供します。これは主にインターネットプロトコル（IP）アドレスの使用によって実装されており、その機能はレイヤー2で使用される物理（MAC）アドレスとは異なります。IPアドレスの割り当てには静的割り当てと動的割り当てがあり、ネットワーク管理者は手動でアドレスを割り当てることも、DHCPなどの自動プロトコルを介して割り当てることも可能です。

動的割り当て方式（IPv4 の DHCP や IPv6 の SLAAC など）は、効率的な管理とネットワークの拡張を支える上で重要な役割を果たしています。 論理アドレスの効率的な管理は、アドレスの競合を防止し、階層的なネットワークモデルをサポートし、ルーティング効率を最適化します。これらのアドレス割り当て方式は、ネットワークをサブネットに分割し、組織構造に整合させ、効果的なルーティング、セキュリティによるセグメンテーション、およびトラブルシューティングを可能にします。

ルーティングと経路決定

ルーティングとは、レイヤー3デバイス（通常はルーター）が、相互接続されたネットワークを介してデータが送信元から宛先へ到達するための経路を選択する仕組みのことです。ルーターはルーティングテーブルを管理し、OSPFやBGPなどのプロトコルを使用してネットワークトポロジーを把握し、利用可能な最適な経路を決定します。 経路決定では、ホップ数、帯域幅、遅延、管理ポリシーなどの指標を考慮し、ネットワークの効率と信頼性を最適化します。

レイヤー3でのルーティングの主な利点は、複雑で階層的なネットワーク構造に対応できる点にあり、これにより企業ネットワークやグローバルネットワークの拡張性と耐障害性が確保されます。 ルーティングプロトコルは、リンクの障害、輻輳、トポロジの変更などに動的に適応し、継続的な接続性と最適なパフォーマンスを確保します。この適応性こそが、単一のセグメントや静的な通信経路に限定される下位層と、レイヤー3を区別する特徴です。

パケット転送とカプセル化

パケット転送とは、レイヤ3デバイスがパケットヘッダー（主に宛先IPアドレス）を参照して転送の判断を行い、パケットを所定の宛先へ送信するプロセスです。ルーターやレイヤ3スイッチは、ルーティングテーブルに基づいて最適なネクストホップを選択し、物理的な伝送のためにパケットをレイヤ2に渡します。

レイヤ3でのカプセル化とは、トランスポート層のセグメント（TCPやUDPセグメントなど）を、レイヤ3ヘッダー（通常はIPヘッダー）で包み込むことを指します。このカプセル化プロセスにより、正常な配信に必要なアドレス情報や制御情報が追加され、各ネットワーク層が独立して動作できるようになります。 カプセル化は、イーサネット、Wi-Fi、フレームリレーなど、さまざまなレイヤー2技術間の相互運用性を支えています。

インターネットワーキング

インターネットワーキングにより、基盤となる物理メディアやリンク層プロトコルに関係なく、異なるネットワーク間の通信が可能になります。ネットワーク層は、論理アドレス（IPアドレス）を使用することで、ローカルネットワークのハードウェア固有の詳細を抽象化し、異種環境間でのデータ転送を可能にします。 ルーターはこの層で動作し、異なるネットワークセグメントを接続することで、LAN、WAN、およびクラウドインフラストラクチャを横断したパケットの配信を可能にします。

この機能は、本質的に相互接続されたシステムからなる巨大なネットワーク群であるインターネットの基盤を成しています。ルーティングプロトコルと標準化されたIPアドレス指定を通じて、レイヤー3は、異なるネットワーク上にあり、異なる技術を使用しているデバイス間でも、確実にデータをやり取りできるようにします。また、マルチサイト接続、ハイブリッドクラウドの統合、スケーラブルなネットワーク設計といった、企業にとって重要な機能もサポートしています。

断片化と再構築

フラグメンテーションとは、レイヤ3が、下位ネットワークの最大伝送単位（MTU）に対応するために、大きなパケットをより小さなフラグメントに分割する仕組みです。すべてのネットワークリンクが大きなパケットに対応しているわけではないため、ルーターや送信元デバイスは必要に応じてパケットをフラグメント化することがあります。 各フラグメントには独自のヘッダーがカプセル化されており、これにより受信側は元のパケットを正しく識別し、再構築することができます。

再組み立ては受信エンドポイントで行われ、そこで同じ元のパケットに属するすべてのフラグメントが正しい順序で結合されます。フラグメントが失われたり、順序が乱れて到着したりした場合でも、プロトコルに組み込まれた適切な再組み立てメカニズムにより、データの整合性が維持されます。この機能は、再組み立ては受信エンドポイントで行われ、そこで同じ元のパケットに属するすべてのフラグメントが正しい順序で結合されます。 フラグメントが失われたり、順序が乱れて到着したりした場合でも、プロトコルに組み込まれた適切な再組み立てメカニズムにより、データの整合性が維持されます。この機能は、技術の違いやポリシー設定によってパケットサイズの制限が大きく異なる多様なインターネットワーク間での通信において、極めて重要です。

主要なレイヤー3プロトコルの解説

インターネットプロトコル（IPv4 および IPv6）

インターネットプロトコル（IP）は、レイヤー3の中核となるプロトコルであり、論理的なアドレス指定や、ネットワークを介したデバイス間のパケットルーティングを担っています。最も広く使用されているIPバージョンであるIPv4は、32ビットのアドレス構造を採用しており、約43億個の固有アドレスをサポートしています。

しかし、アドレスの枯渇や接続ニーズの高まりを受けて、128ビットのアドレス空間を持つIPv6が導入され、事実上無制限の固有アドレスが可能となり、現代のネットワーク要件に対応できるようになりました。

IPv6には、ヘッダーの簡素化、モバイルネットワークへの対応強化、マルチキャスト機能の向上、IPsecの統合によるネイティブなセキュリティ機能など、さまざまな機能強化がもたらされています。IPv4もIPv6も、フラグメンテーション、ルーティング、アドレス指定といった基本的なレイヤー3機能をサポートしていますが、IPv6の改良点により、拡大を続けるインターネットにおいてより優れたパフォーマンスが実現されています。

ICMPと診断メッセージ

インターネット制御メッセージプロトコル（ICMP）は、レイヤー3において診断およびエラー報告機能を提供することで、主要なインターネットプロトコルを補完するものです。ICMPは、ホストへの到達不能、ネットワークの輻輳、またはTTL（Time-to-Live）の期限切れといった問題を通知し、デバイスやネットワーク管理者が問題をリアルタイムで診断・修正できるようにします。

ICMPは、ネットワーク接続されたデバイス間の接続性をテストしたり、ネットワーク経路を辿るパケットの経路を追跡したりする「ping」や「traceroute」といったツールにとって不可欠です。ICMPはネットワークのトラブルシューティングや運用状況の可視化に不可欠である一方、特定のネットワーク攻撃の標的ともなり得るため、ICMPトラフィックの適切なフィルタリングと監視が重要です。

ARPおよびネイバーディスカバリ

アドレス解決プロトコル（ARP）は、IPv4ネットワークにおいて、レイヤー3のIPアドレスをレイヤー2のMACアドレスに紐付けるために使用され、ローカルネットワークでの通信を可能にします。 あるデバイスが、同じサブネット上の別のデバイスにパケットを送信する必要があるものの、そのデバイスのIPアドレスしか知らない場合、ARPはフレームの送信に必要な物理（MAC）アドレスを特定するのに役立ちます。

ARPの要求と応答はローカルでやり取りされ、IPアドレスとデバイスのハードウェアアドレスとの正しい関連付けが確保されます。 IPv6ネットワークでは、ネイバーディスカバリプロトコル（NDP）がARPに取って代わり、アドレス解決、ネイバーの到達不能検出、ルータの検出など、同様の機能を実行します。NDPはICMPv6メッセージを採用しており、ステートレスなアドレス自動設定などの追加機能も提供します。

OSPF、BGP、およびその他のルーティングプロトコル

オープン・ショートエスト・パス・ファースト（OSPF）とボーダー・ゲートウェイ・プロトコル（BGP）は、レイヤー3ルーティングプロトコルの2大基盤となるプロトコルです。 OSPFは主に単一の組織内で使用され、高速な収束、階層型ルーティング、および大規模で複雑な企業ネットワークへの対応を実現します。OSPFは、リンクコストやネットワークトポロジーの変化に基づいてデータの最短経路を動的に計算し、ダウンタイムを短縮して信頼性を向上させます。

より広い範囲で見ると、ボーダーゲートウェイプロトコル（BGP）は、インターネット全体でのルーティングを可能にするプロトコルであり、自律システム間でルーティング情報を交換し、ポリシーに基づく意思決定をサポートします。BGPは膨大なルーティングテーブルを処理し、負荷分散をサポートし、ドメイン間のトラフィックを管理するため、インターネットサービスプロバイダーや大企業にとって不可欠な存在となっています。

その他の注目すべきプロトコルとしては、RIP、EIGRP、IS-ISなどが挙げられ、それぞれ異なる種類の環境や運用上のニーズに適しています。

レイヤー3におけるセキュリティ上の脅威と脆弱性

ルーティング攻撃

レイヤー3ネットワークは、さまざまなルーティングを悪用した攻撃に対して脆弱です。攻撃者は、偽のルーティング更新情報を注入することで動的ルーティングプロトコルを悪用し、トラフィックのブラックホール化やルートフラッピングを引き起こしたり、機密性の高いトラフィックを悪意のある中間システムを経由して迂回させ、傍受したりすることが可能です。

これらの攻撃は、一部のルーティングプロトコル（初期バージョンのRIPやセキュリティ対策が施されていないBGPセッションなど）に内在する脆弱な認証モデルや信頼モデルを悪用し、ネットワーク経路選択の信頼性と完全性を損なうものです。ルーティング攻撃が成功すると、サービス拒否、データの傍受、あるいは広範囲にわたるネットワークの不安定化を招くおそれがあります。

Pingを利用した攻撃

Ping ベースの攻撃は、ICMP エコーリクエスト（一般に「ping」と呼ばれる）を悪用して、ネットワークリソースを妨害したり、ネットワークトポロジーに関する情報を収集したりします。攻撃者は、大量の ICMP エコーリクエストを送信して「ping フラッド」を引き起こし、ターゲットを機能不全に陥らせ、帯域幅や計算リソースを消費させることがあります。

「スマーフ攻撃」と呼ばれる別の攻撃手法では、設定ミスのあるネットワーク機器にICMPリクエストを反射させることでトラフィックを増幅させ、その影響を倍増させます。ICMPは診断において極めて有用なツールですが、過度な使用や悪意のある使用は、ネットワークのパフォーマンスを低下させ、正当なユーザーがデバイスを利用できなくなる原因となります。

DDoS攻撃

レイヤー3における分散型サービス拒否（DDoS）攻撃では、通常、偽装されたIPパケットを利用することが多く、ルーターやファイアウォールなどのネットワークインフラに膨大な量の偽のトラフィックを流し込み、それらを機能不全に陥らせる。

こうした攻撃は、サービス全体をダウンさせたり、接続を妨害したり、ネットワークリソースを枯渇させたりする可能性があり、標的となった被害者だけでなく、巻き添えを食ったユーザーにも影響を及ぼします。レイヤー3 DDoS攻撃は、送信元検証が行われていないことや、IP転送がステートレスであるという特性を悪用することがよくあります。

IPフラグメンテーション攻撃

IPフラグメンテーション攻撃は、パケットのフラグメンテーションおよび再構築プロセスを悪用して、セキュリティ対策を回避したり、システムリソースを枯渇させたりするものです。攻撃者は、重複したパケット、不正な形式のパケット、あるいは過度に細分化されたパケットを作成することで、エンドシステムやセキュリティアプライアンスに多大なリソースを消費させたり、再構築されたデータストリームを誤って解釈させたりすることがあります。

一部の旧式のファイアウォールでは、フラグメント化されたトラフィックを適切に検査できず、悪意のあるペイロードが検知をすり抜けてしまう可能性があります。IPフラグメント化攻撃に対する防御策としては、最小フラグメントサイズの適用、フラグメントの一貫性の検証、およびセキュリティ機器がディープパケットインスペクションと適切な再組み立て処理を実行できることを確保することが挙げられます。

詳しくは、OSIレイヤーの攻撃に関する詳細ガイド（近日公開予定）をご覧ください。

OSIレイヤー3のセキュリティ確保に関するベストプラクティス

組織がレイヤー3の設定を改善するための方法をいくつかご紹介します。

1. 階層型アドレス体系を維持する

階層型アドレス指定は、ネットワークの物理的または論理的なトポロジーを反映するようにIPアドレスを構成することで、ルーティングを簡素化します。この構成により、ルーティングの要約が可能となり、複数の連続したIPアドレスを単一の要約ルートで表現できるため、ルーティングテーブルのサイズと複雑さを軽減できます。 大規模な企業ネットワークやISPネットワークにおいて、これによりルーティングのスケーラビリティが向上し、トポロジの変更時の収束が高速化されます。

綿密に計画された階層的なアドレス体系は、トラブルシューティングやアクセス制御の効率化にもつながります。例えば、部署、地域、または機能ごとにアドレスをグループ化することで、ファイアウォールルールやアクセス制御リスト（ACL）をよりきめ細かく適用できるようになります。また、インシデント対応やパフォーマンス分析の際にも、トラフィックの送信元を容易に特定できるようになります。

2. 冗長化と動的ルーティングプロトコルを活用する

冗長化されたネットワーク経路やデバイスを導入することで、レイヤ3における高可用性と耐障害性を確保できます。これには、複数のルーターの使用、冗長化されたアップリンク、および障害を検知してトラフィックを再ルーティングできる動的ルーティングプロトコルの採用が含まれます。OSPFやBGPなどのプロトコルは、リンクやノードがダウンした際に迅速な収束と経路の再計算を行い、通信の中断を防ぐことができます。

冗長性は、ループや非最適なルーティングを防ぐため、慎重なルート設計と組み合わせる必要があります。不安定な状態やブラックホール現象を回避するためには、管理距離、ルートメトリック、およびフォールバックパスを正しく設定する必要があります。フェイルオーバーシナリオを定期的にテストすることで、実際の障害発生時に冗長性メカニズムが期待通りに機能することを確実にすることができます。

3. 厳格なACLおよびファイアウォールポリシーを実施する

アクセス制御リスト（ACL）とファイアウォールは、IPアドレス、プロトコル、ポート番号に基づいてレイヤー3のトラフィックフローを制御するために不可欠なツールです。慎重に作成されたACLは、業務運営に必要なトラフィックに限定することで、攻撃対象領域を縮小し、ネットワーク内での不正アクセスや横方向の移動のリスクを最小限に抑えます。

ACLは、ネットワークの境界および内部セグメント内に適用し、セグメンテーションとゼロトラストの原則を徹底する必要があります。静的なルールに加え、ID、コンテキスト、または時間帯に基づく動的なポリシーを適用することで、アクセス制御をさらにきめ細かく調整できます。ACLおよびファイアウォールポリシーに対するすべての変更は、適切な検証と監査を伴う管理されたプロセスに従って行う必要があります。

4. 監視、ログ記録、および異常検知

継続的な監視レイヤー3のアクティビティを把握することで、ネットワークの健全性、パフォーマンス、およびセキュリティに関する可視性が得られます。ルーター、ファイアウォール、侵入検知システム（IDS）からのログを集約・分析することで、予期しないトラフィックパターン、経路の変更、アクセス違反などの異常を検出できます。NetFlowやIPFIXなどのツールを利用すれば、トラフィックの流れを追跡し、異常な挙動を特定するのに役立ちます。

異常検知システム、特に機械学習を活用するものは、DDoS攻撃やホストの侵害といった脅威を示す可能性のある微妙な逸脱を検知することができます。また、レイヤー3のログは、インシデント調査やコンプライアンス遵守においても不可欠です。ログシステムが効果的に機能するためには、スケーラブルであり、タイムスタンプが同期されており、改ざんから保護されている必要があります。

5. IPアドレスの割り当てを記録・監視する

IPアドレスの割り当てに関する最新情報を常に記録しておくことは、競合の回避、インシデント対応の支援、およびトラブルシューティングの助けとなります。IPアドレス管理（IPAM）ツールを使用することで、アドレスの割り当て状況、リース期限、サブネットの利用状況の追跡を自動化し、現在および過去の利用状況の可視化を図ることができます。

IPアドレスの使用状況を積極的に監視することで、不正なデバイス、不正なDHCPサーバー、またはアドレスのなりすまし試みを検出することも可能です。定期的な監査を行うことで、IPアドレスの割り当てが組織のポリシーに沿った状態を維持できるようになり、未使用のアドレス空間を回収するのに役立ちます。IPv4とIPv6の両方を使用しているネットワークでは、規模が大きくなると手動での追跡はミスを招きやすいため、正確な文書化が特に重要となります。

ネットワーク・セキュリティExabeam

セキュリティ運用プラットフォームは、特にOSIレイヤー3（ネットワーク層）に焦点を当て、ネットワークセキュリティを強化します。このプラットフォームは、論理アドレス、ルーティングテーブルの更新、パケット転送イベントなど、さまざまなデータソースを収集・分析します。この包括的なデータ収集により、論理アドレス指定、経路決定、フラグメンテーションなど、データパケットが異なるネットワーク間でどのようにルーティングされるかについての洞察が得られます。 このプラットフォームは、典型的なレイヤー3の動作に関する基準値を確立することで、セキュリティ侵害や攻撃経路を示唆する可能性のある逸脱を特定することができます。

不審な事象（通常とは異なるルーティング更新、ping ベースの攻撃、DDoS トラフィックの急増、IP フラグメンテーションの異常など）が発生した場合、本プラットフォームはこれらの検知結果を、より広範なセキュリティインテリジェンスと統合します。この統合により、より広範な脅威環境の中でレイヤー 3 の異常を文脈的に把握できるようになり、セキュリティチームは攻撃の潜在的な影響や発生源を理解できるようになります。 ルーティング動作や各レイヤーにわたるパケットフローを監視する本システムの機能により、悪意のあるレイヤー3の動作を特定のネットワークやデバイスに結びつけることが可能になります。
高度な分析と行動モデリングを通じて、このプラットフォームは、従来のシグネチャベースの防御を迂回する可能性のある複雑なレイヤー3攻撃の発見を促進します。その目的は、セキュリティチームに、脅威を効果的に調査し対応するための実践的な知見を提供することです。この戦略により、ネットワークの基本的なルーティングおよびアドレス指定メカニズムを標的とした脆弱性や悪意のある活動に対処することで、より強靭なセキュリティ体制を構築します。