🌐 2과목 · 네트워크 보안#

W2 (8/22~8/29) 진도 · 필기 20문항 · 실기 단답형 최다 출제 🔑 = 실기 직결 (답안카드 후보)

🚨 위험

이 과목이 최대 구멍이다. 개발자에게 가장 낯선 영역이고 실기 단답 비중도 가장 높다. 다른 과목은 "이해"로 넘어가지만, 여기는 헤더 필드·플래그·응답 패턴을 숫자 단위로 외워야 한다. W2에 최대 시간을 배정하고, 밀리면 3과목(애플리케이션, 강점)을 줄여서라도 시간을 준다.

📘 참고

출제기준 대응 (2023.1.12026.12.31) ① 네트워크 일반 → [16장](#1-osi-7계층과-tcpip-) ② 네트워크 기반 공격기술 → 7~12장 ③ 네트워크 보안 기술 → 13~18장

📑 목차#

1. OSI 7계층과 TCP/IP 🔑#

* ARP는 2·3계층 경계에 위치. 시험에선 2계층 또는 3계층 어느 쪽으로도 출제되니 문맥으로 판단.

TCP/IP 4계층 대응#

데이터 캡슐화 🔑#

[응용]   데이터
[전송]   TCP헤더 + 데이터        → 세그먼트
[네트워크] IP헤더 + TCP헤더 + 데이터 → 패킷
[링크]   프레임헤더 + IP패킷 + FCS  → 프레임

송신은 캡슐화(헤더 추가), 수신은 역캡슐화(디캡슐레이션).

TCP vs UDP 🔑#

2. 프로토콜 헤더 구조 🔑#

📌 중요

실기 단답형 최빈출. "TCP 헤더에서 ~를 나타내는 필드는?" 형태로 매년 나온다. 필드 이름과 크기(비트/바이트) 를 같이 외운다.

IP 헤더 (기본 20바이트)#

TTL로 OS 추정 🔑 — 초기 TTL: Windows 128, Linux/Unix 64, Cisco 255

TCP 헤더 (기본 20바이트)#

TCP 플래그 6종 🔑

암기: U-A-P-R-S-F (앞에서부터)

3-way handshake / 4-way handshake 🔑#

[연결]  Client → SYN          → Server
        Client ← SYN + ACK    ← Server
        Client → ACK          → Server

[종료]  Client → FIN          → Server
        Client ← ACK          ← Server
        Client ← FIN          ← Server
        Client → ACK          → Server

주요 상태: LISTEN → SYN_SENT / SYN_RECEIVED → ESTABLISHED → FIN_WAIT → TIME_WAIT → CLOSED

SYN_RECEIVED 상태가 대량으로 쌓여 있으면 SYN Flooding 의심 🔑

ICMP 주요 타입 🔑#

ARP / RARP#

arp -a 로 ARP 캐시 확인. Gratuitous ARP(자발적 ARP)가 스푸핑에 악용된다.

주요 포트 번호 🔑#

3. IP 주소 체계·서브네팅 🔑#

클래스#

127.x.x.x = 루프백

사설 IP 대역 🔑#

서브네팅 계산 🔑#

호스트 수 = 2^(호스트비트) − 2 (네트워크 주소 + 브로드캐스트 주소 제외)

예제: 192.168.10.0/26 → 호스트비트 6 → 2⁶−2 = 62대, 서브넷 4개(0/64/128/192)

• VLSM: 가변 길이 서브넷 마스크 — 필요한 크기만큼 쪼개 IP 낭비 최소화
• CIDR: 클래스 구분 없이 프리픽스로 표기 (/26), 라우팅 테이블 축약(수퍼네팅)

NAT 🔑#

보안 효과: 내부 IP 구조 은닉, 외부에서 내부로의 직접 접근 차단

IPv6#

4. 네트워크 종류·토폴로지#

토폴로지: 버스 / 링 / 스타(중앙 집중, 현재 주류) / 메시(내결함성↑) / 트리

Ethernet CSMA/CD — 충돌 감지 후 재전송. 무선은 CSMA/CA(충돌 회피)

SDN (Software Defined Network) 🔑

• 제어 평면(Control Plane)과 데이터 평면(Data Plane) 분리
• 중앙 컨트롤러가 소프트웨어로 네트워크 제어 (OpenFlow)
• 보안 이슈: 컨트롤러가 단일 장애점(SPOF), 컨트롤러 장악 시 전체 네트워크 통제권 탈취

5. 네트워크 장비#

VLAN 🔑#

물리적으로 같은 스위치를 논리적으로 분리. 브로드캐스트 도메인 분리 → 보안·성능 향상.

• 태깅 표준: IEEE 802.1Q
• 공격: VLAN Hopping (스위치 스푸핑, 이중 태깅) → 대응: 미사용 포트 비활성화, 트렁크 포트 수동 지정, Native VLAN 변경

라우팅 프로토콜#

네트워크 공유#

6. 네트워크 도구 🔑#

출제기준에 도구명이 직접 명시되어 있다. "이 도구로 무엇을 알 수 있는가" 가 핵심.

💡 TIP

traceroute의 원리를 묻는 문제가 반복 출제. TTL을 1, 2, 3…으로 늘려 보내면 각 홉의 라우터가 TTL 초과(ICMP Type 11) 를 회신하고, 그 출발지 IP가 곧 경로다. 리눅스는 UDP, 윈도우 tracert는 ICMP 를 기본 사용.

7. 스캐닝 🔑#

스캔 유형별 응답 판정 (최빈출)#

📌 중요

FIN/NULL/XMAS는 열려 있으면 무응답, 닫혀 있으면 RST. 직관과 반대라 헷갈린다. 이유: RFC 793상 열린 포트는 비정상 플래그 조합을 무시하도록 규정되어 있기 때문. ※ Windows는 이 RFC를 따르지 않아 항상 RST를 보낸다 → OS 판별에 역이용 가능

기타 스캔 기법#

스캐닝 대응 🔑#

① 불필요한 포트·서비스 차단(방화벽 최소 허용) ② IDS/IPS로 스캔 패턴 탐지 (짧은 시간에 다수 포트 접근) ③ 배너 정보 숨김 / 변조 ④ ICMP 응답 제한 ⑤ 포트 스캔 탐지 도구(PortSentry) 운영

8. 스니핑·세션 하이재킹 🔑#

스니핑 (Sniffing)#

원리: NIC를 무차별 모드(Promiscuous Mode) 로 전환 → 자신에게 오지 않은 패킷도 수집

스위치 환경 스니핑 기법 🔑

탐지 방법 🔑

• ifconfig에 PROMISC 플래그 확인
• Ping 테스트: 위조 MAC + 정상 IP로 ping → 응답하면 무차별 모드
• ARP 테스트, DNS 테스트(역방향 조회 발생 여부)
• 도구: ifstatus, promiscdetect, Sniffdet

대응 🔑 ① 암호화가 근본 대책 (HTTPS, SSH, VPN — 평문 프로토콜인 Telnet/FTP/HTTP/POP3 제거) ② 스위치 환경 구성 + 포트 보안(Port Security) 으로 MAC 수 제한 ③ 정적 ARP 등록 ④ 무차별 모드 주기 점검

세션 하이재킹 (Session Hijacking) 🔑#

원리: 이미 인증이 완료된 TCP 세션을 가로채 정상 사용자인 척 통신 → 시퀀스 번호를 예측·동기화하고, 정상 클라이언트에는 RST를 보내 끊는다

특징: 인증 과정을 거치지 않으므로 일회용 패스워드(OTP)나 강한 인증도 우회 가능

탐지: 비동기화 상태(시퀀스 번호 불일치), ACK Storm(ACK 폭주), 예상치 못한 RST, 세션 중 IP/MAC 변경

대응 🔑 ① 암호화 세션 사용(SSH, TLS) ② 지속적 인증(재인증) ③ 세션 타임아웃 짧게 ④ 시퀀스 번호 무작위화 ⑤ MAC-IP 정적 매핑

9. 스푸핑 🔑#

스푸핑 = 위조. 무엇을 위조하느냐로 종류가 갈린다.

ARP Spoofing 🔑 (서술형 단골)#

동작 원리 ① 공격자가 게이트웨이 IP + 자신의 MAC 을 담은 위조 ARP 응답을 브로드캐스트 ② 피해자의 ARP 캐시가 오염됨 ③ 피해자의 모든 트래픽이 공격자를 경유 → 스니핑·변조 후 게이트웨이로 전달(MITM)

대응 ① 정적 ARP 등록 (arp -s) ② DAI(Dynamic ARP Inspection) ③ DHCP Snooping ④ 통신 암호화(HTTPS/VPN) ⑤ ARP 감시 도구(arpwatch)

IP Spoofing#

출발지 IP를 위조 → 신뢰 기반 인증(r-command, /etc/hosts.equiv) 우회, 응답을 못 받으므로 블라인드 공격 형태 대응: 시퀀스 번호 무작위화, ingress/egress 필터링(사설IP·내부대역 출발 패킷 차단), r-command 제거

DNS Spoofing / 캐시 포이즈닝#

DNS 질의에 정상 응답보다 먼저 위조 응답을 보내 가짜 IP로 유도(파밍) 대응: DNSSEC(응답 무결성 서명), 재귀 질의 제한, 최신 패치, hosts 파일 무결성 점검

10. DoS·DDoS 🔑#

DoS 유형 — 자원 소진형#

DoS 유형 — 취약점 이용형 🔑#

분산·증폭형 (DDoS) 🔑#

증폭 공격의 공통 구조 = IP 스푸핑 + 요청보다 응답이 큰 프로토콜 + 다수 반사 서버 대응: 스푸핑 방지 필터링(ingress), 브로드캐스트 응답 비활성화(no ip directed-broadcast), 불필요 UDP 서비스 차단

DDoS 구조·대응#

봇넷 구조: 공격자 → C&C 서버 → 좀비 PC 다수 → 피해자

대응 체계 🔑 ① DDoS 대응 장비 / 클린존(Scrubbing Center) ② CDN·Anycast 분산 ③ ISP 협조 차단, BGP 블랙홀 라우팅 ④ 임계치 기반 차단, 정상 트래픽 학습(베이스라인) ⑤ 서버 확장성 확보(오토스케일)

11. 원격접속 공격#

출제기준 2-5. Trojan / Exploit이 명시되어 있다.

대응 🔑 ① 불필요 원격 서비스 제거(Telnet → SSH) ② 아웃바운드 정책도 통제 (리버스 셸 차단) ③ 계정 잠금 정책 + 키 기반 인증 ④ 관리 포트 접근 IP 제한(VPN 경유) ⑤ 이상 프로세스·연결 모니터링(netstat -antp)

12. 무선 네트워크 보안 🔑#

인증 방식: PSK(개인용) vs 802.1X/EAP + RADIUS(기업용)

주요 공격

• WEP 크래킹 (Aircrack-ng), 핸드셰이크 캡처 후 사전공격(WPA/WPA2)
• Evil Twin / Rogue AP — 동일 SSID 가짜 AP
• KRACK — WPA2 키 재설치 취약점
• 워 드라이빙, 디어센티케이션(강제 연결 해제)

대응: WPA2/WPA3 + 강한 PSK, SSID 브로드캐스트 제한(보조수단), MAC 필터링(우회 가능하므로 보조), 기업은 802.1X, 무선 IPS(WIPS) 로 Rogue AP 탐지

13. 보안 프로토콜 🔑#

계층별 보안 프로토콜#

IPSec 🔑#

SA(Security Association) = 단방향 보안 연결. 양방향 통신엔 2개 필요.

SSL / TLS 🔑#

Handshake 절차

① Client Hello  (지원 암호 스위트, 랜덤값)
② Server Hello  (선택된 암호 스위트) + 인증서
③ 서버 인증서 검증 → Pre-Master Secret을 서버 공개키로 암호화 전송
④ 양측이 Master Secret → 세션키 생성
⑤ Change Cipher Spec → Finished → 암호화 통신 시작

• 제공 기능: 기밀성 · 무결성 · 서버 인증(+ 선택적 클라이언트 인증)
• 버전: SSL 2.0/3.0 ❌ 폐기, TLS 1.0/1.1 ❌ 폐기, TLS 1.2 / 1.3 ✅
• TLS 1.3 개선: 핸드셰이크 1-RTT, 취약 알고리즘 제거, PFS(순방향 비밀성) 필수
• 주요 취약점: Heartbleed(OpenSSL 메모리 유출), POODLE, BEAST, FREAK

기타#

14. 방화벽 🔑#

유형별 비교#

구축 형태 🔑#

DMZ = 외부 공개 서버(Web, Mail, DNS)를 두는 완충 구간. 내부망과 분리해 침해 확산 차단.

정책 원칙#

• Default Deny (화이트리스트) — 모두 차단 후 필요한 것만 허용 ✅
• Default Permit — 위험
• 규칙은 위에서 아래로 순차 적용, 마지막에 deny all
• 아웃바운드 정책도 반드시 통제 (리버스 셸·정보유출 차단)

iptables 🔑#

iptables -P INPUT DROP                                  # 기본 정책 차단
iptables -A INPUT -p tcp --dport 22 -s 192.168.0.0/24 -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
iptables -A INPUT -s 10.0.0.5 -j DROP                   # 특정 IP 차단
iptables -L -n -v                                       # 규칙 확인

체인: INPUT(수신) / OUTPUT(송신) / FORWARD(경유) · 타겟: ACCEPT / DROP / REJECT / LOG

15. IDS·IPS·Snort 🔑#

IDS vs IPS#

탐지 방식 🔑

오탐 용어 🔑

설치 위치: NIDS(네트워크 구간) vs HIDS(호스트 내부)

Snort 룰 구조 🔑 (실무형 단골)#

alert tcp any any -> 192.168.0.0/24 80 (msg:"SQL Injection"; content:"union select"; nocase; sid:1000001; rev:1;)
└─┬─┘ └┬┘ └┬┘ └┬┘ └┬┘ └──────┬──────┘ └┬┘  └────────────── 옵션 ──────────────┘
 액션  프로토콜 출발지    방향   목적지 포트

룰 헤더

주요 옵션 🔑

예시 해석 연습

alert tcp any any -> any 22 (msg:"SSH Brute Force"; flags:S; \
  threshold:type threshold, track by_src, count 5, seconds 60; sid:1000002;)

→ 어떤 출발지든 22번 포트로 60초 내 SYN 5회 이상 보내면 "SSH 무차별 대입" 경보

허니팟 / 허니넷#

의도적으로 취약하게 구성한 미끼 시스템 → 공격 기법 수집·분석, 실제 자산에서 공격자 유인·격리

16. VPN 🔑#

정의: 공중망(인터넷) 위에 암호화 터널을 만들어 사설망처럼 사용

제공 기능: 기밀성, 무결성, 인증, (부분적) 접근통제

17. 통합 보안 솔루션#

역추적 (Traceback) 🔑#

18. 패킷·로그 분석·역추적 🔑#

tcpdump#

tcpdump -i eth0                       # 인터페이스 캡처
tcpdump -i eth0 port 80               # 포트 필터
tcpdump -i eth0 host 192.168.0.10     # 호스트 필터
tcpdump -i eth0 'tcp[13] & 2 != 0'    # SYN 플래그만
tcpdump -w capture.pcap               # 파일 저장
tcpdump -r capture.pcap -nn -X        # 파일 읽기 + 16진수/ASCII

Wireshark 표시 필터#

공격 유형별 트래픽 특징 🔑#

방화벽·IDS 로그 분석 관점#

① 출발지 IP 집계 — 특정 IP의 반복 시도 ② 차단(DROP) 로그 급증 시점 — 스캔·공격 개시 시각 ③ 비정상 시간대 접속 — 심야 관리 포트 접근 ④ 아웃바운드 이상 트래픽 — 내부 → 외부 대용량 전송(정보유출), 미상 포트 연결(C&C)

19. 빈출 암기표#

출퇴근길 마지막 5분에 이것만 훑어도 된다.

TCP 플래그 6종#

스캔별 응답 (최빈출)#

헤더·프로토콜 숫자#

포트 번호#

서브넷 호스트 수#

공격 → 핵심 대응 1개씩 🔑#

IPSec 정리#

Snort 룰 한 줄#

alert tcp any any -> any 80 (msg:"..."; content:"..."; nocase; sid:1000001;)
액션 프로토콜 출발지IP 포트 방향 목적지IP 포트 (옵션)

✅ 이 과목 카드 후보 (목표 55장)#