Attacker
   │
   │ Echo Request × 大量
   ▼
Victim

Smurf攻撃

Smurf攻撃では、攻撃者が送信元IPアドレスを被害者のアドレスに偽装します。

そして、ブロードキャスト宛てにICMP Echo Requestを送信します。

             spoofed source = Victim
Attacker
   │
   ▼
Broadcast Network
 ├─ Host A ───┐
 ├─ Host B ───┤
 ├─ Host C ───┼──▶ Victim
 ├─ Host D ───┤
 └─ Host E ───┘

多数の端末が被害者へEcho Replyを返すことで、トラフィックが反射されます。

現在のMITRE ATT&CKでは、こうした仕組みはT1498.002 Reflection Amplificationに分類できます。

RFC 2644では、このようなSmurf Amplifierになることを防ぐため、ルーターがDirected Broadcastをデフォルトで転送しない設計が示されています。

9. LinuxもSmurf対策を持っている

現在のLinux Kernelには、

net.ipv4.icmp_echo_ignore_broadcasts

という設定があります。