실기 · 네트워크 보안

정의URG · ACK · PSH · RST · SYN · FIN (앞에서부터 U-A-P-R-S-F)

정의TCP 20바이트(옵션 제외), UDP 8바이트

정의1=ICMP, 6=TCP, 17=UDP

정의패킷이 거칠 수 있는 최대 홉 수. 라우터를 지날 때마다 1 감소하고 0이 되면 폐기 + ICMP Time Exceeded 전송

정의Windows 128, Linux/Unix 64, Cisco 255

정의Identification(원본 식별자), Flags(DF/MF), Fragment Offset(단편 위치, 8바이트 단위)

정의수신 가능한 버퍼 크기를 알려 흐름 제어(Flow Control)를 수행

정의SYN → SYN+ACK → ACK. 연결 종료는 FIN → ACK → FIN → ACK의 4-way handshake

정의SYN Flooding 공격 의심. 백로그 큐가 고갈되어 정상 연결 불가

정의0=Echo Reply, 3=Destination Unreachable(Code 3=Port Unreachable), 8=Echo Request, 11=Time Exceeded

정의ARP=IP를 MAC으로 변환, RARP=MAC을 IP로 변환

정의4계층=세그먼트, 3계층=패킷, 2계층=프레임, 1계층=비트

정의1계층=허브·리피터, 2계층=스위치·브리지, 3계층=라우터·L3스위치, 4계층=L4스위치, 7계층=L7스위치·게이트웨이

정의21 FTP · 22 SSH · 23 Telnet · 25 SMTP · 53 DNS · 80 HTTP · 110 POP3 · 143 IMAP · 161 SNMP · 389 LDAP · 443 HTTPS · 445 SMB · 514 syslog · 3389 RDP

정의A: 10.0.0.0/8 · B: 172.16.0.0/12 · C: 192.168.0.0/16

정의2^(호스트비트) − 2. /24=254, /25=126, /26=62, /27=30, /28=14, /30=2

정의Static NAT(1:1 고정) · Dynamic NAT(풀에서 동적 할당) · PAT/NAPT(포트로 구분해 다수 사설IP를 공인IP 1개로)

정의128비트 주소, 헤더 고정 40바이트, 체크섬 없음, 브로드캐스트 없음(애니캐스트로 대체), IPSec 기본 지원

정의IEEE 802.1Q

정의미사용 포트 비활성화, 트렁크 포트 수동 지정(DTP 비활성), Native VLAN 변경

정의IGP(내부) — RIP(거리벡터, 최대 15홉), OSPF(링크상태), EIGRP / EGP(외부) — BGP(경로벡터, AS 간)

정의제어 평면과 데이터 평면을 분리하고 중앙 컨트롤러가 제어 → 컨트롤러가 단일 장애점(SPOF)이자 장악 시 전체 네트워크 통제권 탈취

정의TTL을 1부터 1씩 증가시키며 패킷을 보내고, 각 홉의 라우터가 반환하는 ICMP Time Exceeded(Type 11)의 출발지 IP로 경로를 파악

정의ifconfig 출력에 PROMISC 플래그가 있으면 스니핑 의심

정의tcpdump -i eth0 port 80 / -w capture.pcap 저장 / -r 파일 읽기 / host IP 필터

정의tcp.flags.syn == 1 && tcp.flags.ack == 0

정의SYN: 열림=SYN+ACK, 닫힘=RST+ACK / FIN·NULL·XMAS: 열림=무응답, 닫힘=RST+ACK / UDP: 닫힘=ICMP Type3 Code3

정의FIN + PSH + URG

정의세션을 완성하지 않아 로그를 남기지 않는 스캔 총칭 — SYN(Half-open), FIN, NULL, XMAS

정의Decoy=위장 IP를 다수 섞어 실제 공격자 은닉(-D) · Idle(Zombie)=제3 호스트의 IP ID 증가를 관찰해 간접 스캔

정의배너 그래빙=서비스 응답 배너로 버전 식별(nmap -sV) · OS 핑거프린팅=TCP/IP 스택 특성(TTL, Window Size) 차이로 OS 추정(-O)

정의ARP Spoofing, MAC Flooding, ARP Redirect, ICMP Redirect, 포트 미러링(SPAN) 악용

정의위조 MAC을 대량 전송해 스위치 MAC 테이블을 오버플로우시키면 스위치가 허브처럼 모든 포트로 전송(Fail-open) → 대응은 포트 보안(Port Security)

정의① PROMISC 플래그 확인 ② Ping 테스트(위조 MAC+정상 IP에 응답하는지) ③ ARP 테스트 ④ DNS 테스트(역방향 조회 발생 여부)

정의시퀀스 번호 비동기화, ACK Storm(ACK 폭주), 예상치 못한 RST, 세션 중 IP·MAC 변경

정의ARP=MAC 주소 · IP=출발지 IP · DNS=DNS 응답 · MAC=MAC 주소 · Email=발신자 주소

정의요청 없이 자발적으로 보내는 ARP 응답. 정상적으로는 IP 충돌 감지에 쓰이나 ARP Spoofing에 악용

정의DHCP Snooping 바인딩 테이블과 대조해 위조된 ARP 패킷을 차단하는 스위치 기능

정의DNS 응답에 전자서명을 붙여 무결성과 출처를 검증하는 확장 — DNS 스푸핑·캐시 포이즈닝 대응

정의SYN Cookie, 백로그 큐 크기 증가, SYN 타임아웃 단축, 방화벽 임계치 설정

정의출발지 IP와 목적지 IP를 동일하게 설정해 시스템이 자기 자신에게 무한 응답하도록 만드는 공격

정의Fragment Offset을 중첩·조작해 재조립 시 오류를 유발하는 공격

정의규격(65,535바이트)을 초과하는 ICMP 패킷을 보내 재조립 시 버퍼 오버플로우를 유발

정의Smurf=출발지를 피해자로 위조한 ICMP를 브로드캐스트해 모든 호스트가 피해자에게 응답 · Fraggle=같은 방식의 UDP 버전

정의라우터에서 directed-broadcast 차단(no ip directed-broadcast), 브로드캐스트 ICMP 응답 비활성화, ingress 필터링

정의Slowloris=HTTP 헤더를 아주 천천히 보내 연결을 점유 · RUDY=POST 본문을 느리게 전송. 대응은 연결 타임아웃·동시연결 수 제한

정의DNS·NTP(monlist)·Memcached 등 요청 대비 응답이 큰 프로토콜에 출발지를 피해자로 위조해 반사시키는 공격

정의공격자 → C&C(명령·제어) 서버 → 다수 좀비 PC → 피해자

정의피해 시스템이 외부 공격자에게 먼저 연결을 개시하는 셸. 방화벽 인바운드 정책을 우회하므로 아웃바운드 통제가 필요

정의WEP=RC4+24bit IV(취약) · WPA=TKIP · WPA2=CCMP/AES · WPA3=AES-GCMP+SAE

정의IV(초기화 벡터)가 24비트로 짧아 재사용이 발생하고, 이를 다량 수집하면 키를 복원할 수 있음

정의정상 AP와 동일한 SSID의 가짜 AP를 설치해 접속을 유도하고 트래픽을 가로채는 공격 — 대응은 무선 IPS(WIPS)

정의AH=무결성+인증(기밀성 없음) · ESP=기밀성(암호화)+무결성+인증

정의전송 모드=페이로드만 보호(종단 간) · 터널 모드=원본 IP 헤더까지 전체를 캡슐화(VPN 게이트웨이 간)

정의기밀성, 무결성, 서버 인증(선택적으로 클라이언트 인증)

정의TLS 1.2, TLS 1.3만 사용. SSL 2.0/3.0, TLS 1.0/1.1은 폐기

정의OpenSSL Heartbeat 확장의 경계 검사 누락으로 서버 메모리가 유출되는 취약점(CVE-2014-0160)

정의대칭키 기반 티켓 인증 프로토콜. KDC(AS+TGS)가 티켓을 발급하며 타임스탬프로 재전송 공격을 방어

정의RADIUS=UDP 사용, 패스워드만 암호화 · TACACS+=TCP 사용, 페이로드 전체 암호화, 인증·인가·과금 분리

정의패킷 필터링(3~4계층) · 상태 기반 검사(세션 테이블 유지) · 애플리케이션 게이트웨이(프록시, 7계층) · 회선 게이트웨이(5계층)

정의외부·내부 라우터 2대 사이에 DMZ를 두는 구조. 가장 안전한 방화벽 구축 형태

정의외부에 공개하는 서버(Web, Mail, DNS)를 두는 완충 구간. 내부망과 분리해 침해 확산을 차단

정의Default Deny(화이트리스트) — 모두 차단 후 필요한 것만 허용. 규칙은 위에서 아래로 순차 적용, 마지막에 deny all

정의체인=INPUT(수신)·OUTPUT(송신)·FORWARD(경유) / 타겟=ACCEPT·DROP·REJECT·LOG

정의IDS=미러링(수동) 방식으로 탐지·경보만 · IPS=인라인(경로상)에 위치해 탐지 후 차단까지 수행

정의오용(Misuse/시그니처)=알려진 패턴 매칭, 오탐 낮으나 신종 탐지 불가 · 이상(Anomaly)=정상 프로파일 이탈 감지, 신종 탐지 가능하나 오탐 높음

정의False Positive(오탐)=정상을 공격으로 판단 · False Negative(미탐)=공격을 정상으로 판단(더 위험)

정의액션(alert/log/pass/drop) 프로토콜 출발지IP 출발지포트 방향(-> 또는 <>) 목적지IP 목적지포트

정의msg(경보 메시지) · content(내용 매칭) · nocase(대소문자 무시) · offset/depth(검사 위치·범위) · flags(TCP 플래그) · threshold(임계치) · sid(룰 ID, 100만 이상은 사용자 정의) · rev(버전)

정의의도적으로 취약하게 구성한 미끼 시스템. 공격자를 유인·격리하고 공격 기법을 수집·분석

정의IPSec VPN=3계층, 전용 클라이언트 필요, 전체 트래픽 보호(지사 간) · SSL VPN=응용계층, 브라우저로 접속 가능, 특정 애플리케이션 위주(재택·외부 접속)

정의방화벽·IDS/IPS·VPN·안티바이러스를 단일 장비로 통합. 관리 효율은 높으나 단일 장애점(SPOF)과 성능 저하 위험

정의ESM=이기종 보안장비 로그 통합 관제 · SIEM=빅데이터 기반 상관분석과 장기 보관까지 확장

정의네트워크 접속 통제. 인가되지 않았거나 보안 정책을 준수하지 않는 단말의 접속을 차단·격리

정의TCP Connection Traceback=우회 경유지를 거친 접속의 연결 체인 추적 · IP Packet Traceback=스푸핑된 출발지 IP를 패킷 마킹·ICMP 트레이스백 등으로 추적

정의위조된 ARP 응답을 보내 피해자의 ARP 캐시를 오염시키고 트래픽을 공격자 경유로 유도하는 중간자 공격

원리① 공격자가 게이트웨이 IP와 자신의 MAC을 담은 위조 ARP 응답을 브로드캐스트 ② 피해자 ARP 캐시가 오염됨 ③ 피해자의 모든 트래픽이 공격자를 경유 ④ 공격자가 스니핑·변조 후 게이트웨이로 정상 전달

영향평문 통신 도청, 세션 하이재킹, 데이터 변조, 중간자 공격

대응① 정적 ARP 등록(arp -s) ② DAI(Dynamic ARP Inspection) ③ DHCP Snooping ④ 통신 암호화(HTTPS·VPN) ⑤ arpwatch로 ARP 변화 감시

명령arp -a 로 동일 MAC이 여러 IP를 주장하는지 확인

정의이미 인증이 완료된 TCP 세션을 가로채 정상 사용자로 위장해 통신하는 공격

원리① 대상 세션의 시퀀스 번호를 스니핑으로 획득 ② 정상 클라이언트에 RST를 보내 연결을 끊음 ③ 시퀀스 번호를 맞춘 패킷을 삽입해 세션 탈취 ④ 서버는 정상 사용자로 인식

영향인증 과정을 거치지 않으므로 OTP 등 강한 인증도 우회 가능. 권한 도용, 데이터 유출

대응① 암호화 세션 사용(SSH·TLS) ② 세션 중 지속적 재인증 ③ 세션 타임아웃 단축 ④ 시퀀스 번호 무작위화 ⑤ MAC-IP 정적 매핑

정의NIC를 무차별 모드로 전환해 자신에게 오지 않은 패킷까지 수집하여 평문 정보를 훔쳐보는 공격

원리① NIC를 Promiscuous Mode로 설정 ② 허브 환경에서는 모든 트래픽을 그대로 수집 ③ 스위치 환경에서는 ARP Spoofing·MAC Flooding으로 트래픽을 유도한 뒤 수집

영향ID·패스워드, 세션 쿠키, 메일 내용 등 평문 정보 유출

대응① 통신 암호화가 근본 대책 — Telnet·FTP·HTTP·POP3를 SSH·SFTP·HTTPS로 대체 ② 스위치 환경 구성 + 포트 보안(Port Security) ③ 정적 ARP 등록 ④ 무차별 모드 주기 점검(PROMISC 플래그, Ping·ARP·DNS 테스트)

정의TCP 연결 요청(SYN)만 대량으로 보내고 응답하지 않아 서버의 연결 대기 큐를 고갈시키는 서비스 거부 공격

원리① 출발지 IP를 위조한 SYN을 대량 전송 ② 서버는 SYN+ACK를 보내고 SYN_RECEIVED 상태로 대기 ③ 마지막 ACK가 오지 않아 백로그 큐에 연결이 쌓임 ④ 큐가 가득 차면 정상 사용자의 연결 요청을 거부

영향서비스 접속 불가, 가용성 침해

대응① SYN Cookie — 큐에 저장하지 않고 시퀀스 번호에 정보를 인코딩 ② 백로그 큐 크기 증가 ③ SYN 수신 타임아웃 단축 ④ 방화벽·DDoS 장비의 임계치 기반 차단 ⑤ ingress 필터링으로 스푸핑 차단

명령netstat -an | grep SYN_RECV 로 상태 확인

정의다수의 좀비 PC로 구성된 봇넷을 이용해 대역폭이나 자원을 고갈시키는 분산 서비스 거부 공격에 대한 방어 체계

원리① 공격자가 악성코드로 좀비 PC 확보 ② C&C 서버를 통해 일제히 명령 하달 ③ 대역폭 소진형(UDP·ICMP Flooding, 증폭 공격) 또는 자원 소진형(HTTP Flooding, Slowloris)으로 공격

영향서비스 전면 중단, 매출·신뢰 손실

대응① DDoS 대응 장비·클린존(Scrubbing Center) 경유 ② CDN·Anycast로 트래픽 분산 ③ ISP 협조 및 BGP 블랙홀 라우팅 ④ 임계치 기반 차단과 정상 트래픽 베이스라인 학습 ⑤ 오토스케일로 수용력 확보 ⑥ CAPTCHA로 애플리케이션 계층 방어

정의대상 시스템의 열린 포트와 동작 중인 서비스를 식별해 공격 지점을 찾는 사전 정보수집 행위

원리① TCP Connect 스캔은 3-way handshake를 완성해 확인(로그에 남음) ② SYN 스캔은 SYN만 보내고 RST로 종료해 로그 회피 ③ FIN·NULL·XMAS 스캔은 비정상 플래그를 보내 응답 유무로 판별(열림=무응답, 닫힘=RST) ④ UDP 스캔은 ICMP Port Unreachable 여부로 판별

영향취약 서비스·버전 노출로 후속 공격의 발판 제공

대응① 불필요한 포트·서비스 차단(방화벽 최소 허용) ② IDS/IPS로 단시간 다수 포트 접근 패턴 탐지 ③ 배너 정보 숨김·변조 ④ ICMP 응답 제한 ⑤ 포트 스캔 탐지 도구(PortSentry) 운영

정의DNS 질의에 대해 정상 서버보다 먼저 위조된 응답을 보내 사용자를 가짜 사이트로 유도하는 공격(파밍)

원리① 피해자의 DNS 질의를 스니핑 ② 정상 DNS 응답보다 먼저 위조 응답 전송 ③ 피해자가 위조 IP를 캐시에 저장 ④ 정상 도메인 주소로 접속해도 공격자 서버로 연결

영향금융 사이트 위장을 통한 계정·금융정보 탈취, 악성코드 유포

대응① DNSSEC으로 응답 무결성 검증 ② 재귀 질의를 내부 대역으로 제한 ③ DNS 서버 최신 패치 ④ 질의 ID·출발지 포트 무작위화 ⑤ hosts 파일 무결성 점검

정의패킷의 출발지 IP 주소를 위조해 신뢰받는 호스트로 위장하거나 공격 근원지를 은닉하는 공격

원리① 대상이 신뢰하는 IP로 출발지를 위조 ② 응답 패킷은 위조된 IP로 가므로 공격자는 받지 못함(블라인드 공격) ③ 시퀀스 번호를 예측해 세션을 성립시키거나, DoS·증폭 공격의 반사에 이용

영향신뢰 기반 인증(r-command) 우회, 추적 회피, 증폭 DDoS의 기반

대응① ingress·egress 필터링으로 비정상 출발지 대역 차단 ② 시퀀스 번호 무작위화 ③ r-command 제거 및 암호화 인증 사용 ④ 라우터에서 사설 IP 출발 패킷 차단

정의미리 정의한 정책에 따라 네트워크 구간을 통과하는 트래픽을 허용하거나 차단하는 접근통제 시스템

원리① 패킷 필터링은 IP·포트·플래그 등 헤더 정보로 판단 ② 상태 기반 검사는 세션 테이블을 유지해 정상 응답 패킷을 자동 허용 ③ 애플리케이션 게이트웨이는 서비스별 프록시가 페이로드까지 검사 ④ 규칙은 위에서 아래로 순차 적용

영향정책 미흡 시 불필요 서비스 노출, 과도 시 업무 장애

대응① Default Deny 정책으로 필요한 것만 허용 ② 아웃바운드 정책도 통제해 리버스 셸·정보유출 차단 ③ DMZ를 구성해 공개 서버와 내부망 분리 ④ 규칙 정기 검토로 불필요 정책 제거 ⑤ 로그 보관·분석

명령iptables -P INPUT DROP 후 필요한 포트만 -j ACCEPT

정의네트워크나 호스트의 침입 시도를 탐지하는 시스템(IDS)과 탐지에 더해 차단까지 수행하는 시스템(IPS)

원리① IDS는 미러링 포트에서 트래픽 사본을 수동적으로 분석해 경보만 발생 ② IPS는 트래픽 경로상(인라인)에 위치해 실시간 차단 ③ 탐지 방식은 알려진 패턴을 찾는 오용 탐지와 정상 프로파일 이탈을 찾는 이상 탐지로 구분

영향미탐(False Negative)은 침해 방치, 오탐(False Positive)은 정상 업무 차단을 유발

대응① 시그니처 최신화 ② 오용·이상 탐지 병행 ③ 임계치 튜닝으로 오탐 감소 ④ 중요 구간은 IPS, 관측 구간은 IDS로 배치 ⑤ SIEM 연동 상관분석

정의오픈소스 IDS인 Snort에서 탐지 조건을 정의하는 규칙으로, 룰 헤더와 룰 옵션으로 구성된다

원리① 룰 헤더 — 액션, 프로토콜, 출발지 IP·포트, 방향, 목적지 IP·포트 ② 룰 옵션 — msg로 경보 메시지, content로 페이로드 문자열 매칭, flags로 TCP 플래그, threshold로 임계치, sid로 고유 식별

영향룰이 부정확하면 오탐·미탐이 급증

대응① sid는 100만 이상 사용자 영역 사용 ② content에 nocase·offset·depth로 정확도 향상 ③ threshold로 반복 경보 억제 ④ 룰 적용 전 테스트 트래픽으로 검증

명령alert tcp any any -> any 22 (msg:"SSH Brute Force"; flags:S; threshold:type threshold, track by_src, count 5, seconds 60; sid:1000002;)

정의IP 계층에서 기밀성·무결성·인증을 제공하는 보안 프로토콜 집합으로 VPN 구축의 표준

원리① AH는 무결성과 인증을 제공(기밀성 없음) ② ESP는 암호화까지 제공 ③ IKE로 키를 교환하고 SA(단방향 보안 연결)를 협상 ④ 전송 모드는 페이로드만, 터널 모드는 원본 IP 헤더까지 캡슐화

영향터널 모드로 게이트웨이 간 VPN을 구성하면 공중망에서도 사설망처럼 안전한 통신 가능

대응① 기밀성이 필요하면 ESP 사용 ② 게이트웨이 간 연결은 터널 모드 ③ 강한 암호 스위트와 주기적 키 재협상 ④ 양방향 통신에는 SA 2개 필요

정의클라이언트와 서버가 암호 스위트를 합의하고 서버를 인증한 뒤 세션키를 안전하게 생성하는 절차

원리① Client Hello로 지원 암호 스위트와 랜덤값 전송 ② Server Hello로 암호 스위트 선택 + 인증서 전달 ③ 클라이언트가 인증서를 검증하고 Pre-Master Secret을 서버 공개키로 암호화해 전송 ④ 양측이 Master Secret에서 세션키 생성 ⑤ Change Cipher Spec·Finished 후 암호화 통신 시작

영향구버전·취약 암호 사용 시 도청·위조 위험(POODLE, BEAST, Heartbleed)

대응① TLS 1.2 이상만 허용, SSL 및 TLS 1.0/1.1 비활성화 ② 강한 암호 스위트 + PFS(순방향 비밀성) 적용 ③ 인증서 유효성·체인 검증 ④ HSTS 적용 ⑤ OpenSSL 최신 패치

정의공중망 위에 암호화 터널을 구성해 사설망처럼 안전하게 통신하도록 하는 기술

원리① 터널링 프로토콜로 원본 패킷을 캡슐화 ② 암호화·인증을 적용해 전송 ③ 수신 측에서 복호화 후 원본 패킷 복원 ④ IPSec VPN은 3계층에서 전체 트래픽을, SSL VPN은 응용계층에서 특정 서비스를 보호

영향재택·지사 간 통신의 도청·변조 방지

대응① 지사 간 상시 연결은 IPSec 터널 모드 ② 외부 사용자 접속은 SSL VPN ③ 다중 인증 적용 ④ 접속 계정·기간 관리 ⑤ 분할 터널링 제한으로 우회 차단

정의전파를 매체로 사용해 물리적 접근 통제가 어려운 무선랜의 인증·암호화 보안 대책

원리① WEP은 24비트 IV 재사용으로 키 복원이 가능해 폐기 ② WPA는 TKIP로 과도기적 보완 ③ WPA2는 AES 기반 CCMP 적용 ④ WPA3는 SAE로 오프라인 사전공격을 방어

영향취약 설정 시 도청, 무단 접속, Evil Twin을 통한 중간자 공격

대응① WPA2 이상 사용, WEP 즉시 폐기 ② 강한 PSK 또는 기업용 802.1X/EAP + RADIUS ③ WIPS로 Rogue AP 탐지 ④ SSID 숨김·MAC 필터링은 보조 수단으로만 ⑤ 관리자 페이지 기본 계정 변경

정의물리적으로 하나인 스위치를 논리적으로 분리해 브로드캐스트 도메인을 나누는 기술

원리① 포트 또는 MAC 기준으로 VLAN을 할당 ② 스위치 간에는 802.1Q 태그를 붙여 전달 ③ 서로 다른 VLAN 간 통신은 라우터나 L3 스위치를 경유해야 함

영향부서·업무별 망 분리로 보안·성능 향상. 단 설정 미흡 시 VLAN Hopping으로 우회 가능

대응① 미사용 포트 비활성화 및 미사용 VLAN에 할당 ② 트렁크 포트를 수동 지정하고 DTP 비활성화 ③ Native VLAN을 기본값에서 변경 ④ VLAN 간 접근통제 정책 적용

정의분산된 보안장비의 로그를 통합 수집·분석해 위협을 탐지하고 대응을 자동화하는 관제 체계

원리① ESM이 이기종 보안장비 로그를 통합 수집·관제 ② SIEM이 빅데이터 기반 상관분석과 장기 보관으로 확장 ③ SOAR가 플레이북에 따라 차단·격리 등 대응 절차를 자동 수행

영향단일 장비로는 보이지 않는 다단계 공격을 상관분석으로 탐지

대응① 로그 수집 대상·보관 기간 정의 ② 상관분석 룰을 조직 환경에 맞게 튜닝 ③ 시간 동기화(NTP)로 타임라인 정합성 확보 ④ 반복 대응은 SOAR로 자동화

🌐 네트워크 보안