ARPで端末を見分ける — L2可視化で分かること・分からないこと

外向き通信のログに「送信元 192.0.2.24」と記録されていても、それが誰の、どの機器なのか分からなければ調査は進みません。DHCPを使うネットワークではIPアドレスが変わるため、昨日の .24 と今日の .24 が同じ端末とも限りません。

そこで手がかりになるのが、L2（同じネットワーク区間内でフレームを届ける層）の情報です。IPv4環境ではARPを観測することで、IPアドレスとMACアドレスの対応を結びつけられます。この記事では、ARPによる可視化を「端末特定の万能技術」と誤解せず、運用にどう組み込むかを整理します。

ARPが結びつける2つのアドレス

Ethernet上でIPv4パケットを届けるには、宛先IPアドレスに対応するMACアドレスが必要です。ARP（Address Resolution Protocol）は、その対応を問い合わせ、応答から学習する仕組みです。基本動作は RFC 826 で定義されています。

同一L2区間を通るARPを観測すると、たとえば次のような対応を一定時間の事実として記録できます。

観測項目	分かること	それだけでは分からないこと
IPv4アドレス	その時点の論理的な送信元	長期間同じ端末か
MACアドレス	同一L2区間で使われたインターフェース	利用者本人・機器の真正性
観測時刻	いつ対応が見えたか	観測していない時間帯の状態

重要なのは、対応を固定情報ではなく時刻付きの観測結果として扱うことです。ARPキャッシュもDHCPリースも更新されます。「MAC A は10時にIP Bを使っていた」という形なら、外向き通信ログの時刻と突き合わせられます。

外向き通信の調査を端末単位へ近づける

ARP観測だけで端末名は分かりません。しかし、DHCPリース、スイッチのMACアドレステーブル、無線LANコントローラ、資産台帳と結びつけることで、調査の解像度を段階的に上げられます。

1. 外向き通信ログから送信元IPと時刻を得る
2. 同時刻付近のARP観測からMACアドレス候補を得る
3. DHCPやネットワーク機器の記録からホスト名・接続ポートを確認する
4. 資産台帳や担当部門で、管理対象と実機を照合する

この流れは、管理ソフトを入れられない複合機や監視カメラの棚卸しにも役立ちます（IoT・複合機の外向き通信）。「未知のIPが不審な宛先へ接続した」で止めず、「会議室フロアの未登録機器らしい」まで絞れれば、確認先と初動が明確になります。

変化そのものを運用シグナルにする

正常な対応を一定期間記録すると、変化も見つけやすくなります。未登録MACアドレスの出現、同じIPに対するMACアドレスの急な交代、普段と異なる区画での観測は、資産変更や設定変更を確認するきっかけです。

ただし、変化を即座に攻撃と断定してはいけません。端末交換、仮想マシンの移動、冗長化、OSのプライバシー機能によるMACアドレス変更など、正常な理由もあります。まず観測し、業務上の変更履歴と照合してから判断する設計が必要です（遮断する前に観測する）。

また、ARPを悪用したなりすましや誤った応答もあり得ます。ARPは相手の身元を暗号学的に証明する仕組みではありません。単一のARP応答だけを根拠に自動遮断するより、複数のログと継続時間を合わせて評価する方が安全です。

限界

• ARPで見えるのは原則として同一L2区間のIPv4です。ルーター越しでは、観測点から見えるMACアドレスがルーターのものになる場合があります
• IPv6ではARPではなくNeighbor Discoveryが使われます。動作は RFC 4861 に定義されており、IPv4とIPv6の両方を使う環境では両方の観測が必要です
• MACアドレスは変更・偽装でき、利用者本人や資産番号を保証しません。認証や資産台帳の代わりにはなりません
• 端末がオフラインの間や、観測点を通らない通信は記録できません。ネットワーク構成に合った観測点の設計が前提です

まとめ

• ARPは同一L2区間でIPv4アドレスとMACアドレスを結びつける
• 時刻付きで記録し、外向き通信・DHCP・資産台帳と突き合わせると端末調査に使える
• 未知の対応や急な変化は確認のきっかけになるが、正常な変更との区別が必要
• MACアドレスは身元証明ではなく、IPv6やルーター越しには別の手段が必要

Tate（盾）は、外向き通信を送信元と宛先の関係として記録し、調査の入口を作るアプライアンスです。何を観測してから制御へ進むかは導入の流れにまとめています。