Cisco Certified Network Associate（CCNA） 練習問題 58：スイッチセキュリティ
スイッチのセキュリティ機能であるダイナミックARPインスペクション（DAI）について、正しい説明はどれか。
- ネットワーク上のすべてのARP要求をルーターが代理応答することで、ブロードキャストトラフィックを削減する機能である。
- 接続された全端末のMACアドレスを自動的に暗号化し、盗聴者によるARPスプーフィング攻撃を未然に防止する仕組みである。
- DHCPスヌーピングのバインディングデータベースを参照し、無効なARPパケットを破棄するセキュリティ機能である。
- ARPキャッシュのタイムアウト時間を動的に変更し、古いエントリーを強制的に削除してメモリ使用量を最適化する技術である。
- スイッチの各ポートで受信可能なARPパケットのレートを制限し、DDoS攻撃からCPUを保護するための専用プロトコルである。
正解と解説を見る
正解：DHCPスヌーピングのバインディングデータベースを参照し、無効なARPパケットを破棄するセキュリティ機能である。
ダイナミックARPインスペクション（DAI）は、DHCPスヌーピングによって作成されたバインディングデータベースを利用してARPパケットの正当性を検証し、不正なARPを破棄する機能であるため正解です。
【正解の理由】
DAIは、中間者攻撃（Man-in-the-Middle）の一種であるARPスプーフィング（偽装）を防ぐためのレイヤー2セキュリティ機能です。IPアドレスとMACアドレスの正しい対応表（バインディングデータベース）と照合し、一致しないARP応答をブロックします。
【不正解の理由】
• 「ネットワーク上のすべてのARP要求をルーターが代理応答することで、ブロードキャストトラフィックを削減する機能である」という説明は誤り。これはプロキシARP（Proxy ARP）の機能です
• 「接続された全端末のMACアドレスを自動的に暗号化し、盗聴者によるARPスプーフィング攻撃を未然に防止する仕組みである」という説明は誤り。MACアドレスの暗号化を行う機能ではありません
• 「ARPキャッシュのタイムアウト時間を動的に変更し、古いエントリーを強制的に削除してメモリ使用量を最適化する技術である」という説明は誤り。ARPキャッシュの管理機能ではありません
• 「スイッチの各ポートで受信可能なARPパケットのレートを制限し、DDoS攻撃からCPUを保護するための専用プロトコルである」という説明は誤り。レート制限の機能（ARPレートリミット）はDAIの一部として設定可能ですが、DAIの主目的はパケットの正当性検証です