ARPキャッシュとは？

ARPキャッシュの意味

解決済みのIPアドレスとMACアドレスの対応を一定時間保持する表。毎回ARP要求を出す無駄を省くが、エントリには保持時間（エージングタイム）があり、期限切れで削除されると再度解決処理が走る。機器の入れ替え時の通信断の長さを左右する。

ARPキャッシュの具体例

冗長化した機器を切り替えてMACアドレスが変わる場合、端末側のキャッシュが残っている間は旧MACアドレス宛てに送り続けるため通信が止まる。そこで切替時にGARPを送出してキャッシュを更新させ、断時間を数秒に抑える設計にする。

ARPキャッシュは試験でどう引っ掛けられる？

端末のキャッシュ保持時間とスイッチのMACアドレステーブルの保持時間は別物で、値も一般に異なる。後者のほうが短いと、キャッシュは生きているのに転送先が分からずフラッディングが起きるという現象につながる。

ARPキャッシュと関連する用語

• ARP
• GARP
• MACアドレステーブル

ARPキャッシュが出た過去問

• マルウェア感染の調査対象のPCに対して,電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち,最も優先して保全すべきものは…

  正解：調査対象のPCで動的に追加されたルーティングテーブル

  要点：証拠保全は揮発性の高いメモリ上の情報から先に採取する

  証拠保全では、失われやすい情報から先に採取するという揮発性の順序(order of volatility)に従う。ARPキャッシュと同様にメモリ上にしか存在せず電源断で消えるのは、動的に追加されたルーティングテーブルなので、アを最優先で保全する。HDD上のファイルやシステムログ、別サーバ内のログは不揮発性で電源を切っても残るため、優先度は低い。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問13（IPA）

• マルウェア感染の調査対象のPCに対して、電源を切る前に全ての証拠保全を行いたい。ARPキャッシュを取得した後に保全すべき情報のうち、最も優先して保全すべきものは…

  正解：調査対象のPCで動的に追加されたルーティングテーブル

  要点：証拠保全は揮発性の高い情報から順に採取する

  証拠保全は「揮発性の高いものから順に採取する」という原則（order of volatility）に従います。ARPキャッシュと同様に動的なルーティングテーブルはメモリ上にあり、時間経過や電源断で失われるため最優先です。HDD上のファイルやシステムログはディスクに残り、VPNサーバ内のログは調査対象PCの電源とは無関係なので、いずれも後回しにできます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問15（IPA）