공격 기법과 보안 솔루션
쉽게 말하면
공격 기법 이름을 주고 설명을 고르는 문제가 매번 나와요. 서버에 요청을 퍼부어 마비시키는 서비스 거부(DoS), 그걸 여러 대가 함께 하는 DDoS, 남의 통신을 엿보는 스니핑, 남인 척 속이는 스푸핑, 파일을 잠그고 돈을 요구하는 랜섬웨어 같은 것들이에요. 막는 장비로는 드나드는 걸 걸러 내는 방화벽, 침입을 알려 주는 IDS, 알아서 막는 IPS, 안전한 전용 터널을 만드는 VPN이 있어요.
시험용 정의
서비스 거부(DoS) 공격은 자원을 고갈시켜 정상 서비스를 막는다: SYN 플러딩(SYN만 대량 전송), 스머프(출발지를 피해자로 속인 ICMP를 브로드캐스트로 보내 응답이 피해자에게 몰림), 핑 오브 데스(규정보다 큰 ICMP 패킷), 랜드(출발지와 목적지를 같게 해 자기 자신에게 응답), 티어드롭(IP 조각의 오프셋을 조작해 재조립 오류), UDP 플러딩. DDoS는 여러 감염 컴퓨터(좀비, 봇넷)로 동시에 공격하며 도구로 Trinoo, TFN, Stacheldraht가 있다. 정보 탈취·위장: 스니핑(통신 엿듣기), 스푸핑(IP·ARP·DNS를 위장), 세션 하이재킹(인증된 세션 가로채기), 피싱, 파밍(DNS 조작으로 가짜 사이트 유도), 사회 공학(사람의 심리를 이용). 악성 코드: 바이러스(다른 파일에 기생, 자기 복제), 웜(독자 실행, 네트워크로 스스로 전파), 트로이 목마(정상 프로그램으로 위장, 자기 복제 없음), 랜섬웨어(파일을 암호화하고 돈 요구), 백도어. APT는 특정 대상을 오랜 기간 지속적으로 공격한다. 보안 솔루션: 방화벽, IDS(침입 탐지), IPS(침입 방지), VPN(가상 사설망), NAC(네트워크 접근 제어), SIEM(보안 이벤트 통합 분석), 허니팟(공격자를 유인하는 가짜 시스템).
비유로 이해하기
가게로 비유하면 DoS는 장난 전화를 쉬지 않고 걸어 진짜 주문을 못 받게 하는 것, DDoS는 그걸 수천 명이 함께 하는 것이다. 스푸핑은 단골인 척하기, 랜섬웨어는 가게 금고를 잠그고 비밀번호를 팔기, 허니팟은 일부러 둔 가짜 금고다.
자세히
먼저 알아 둘 말
| 말 | 뜻 |
|---|---|
| 좀비 PC·봇넷 | 공격자에게 장악된 컴퓨터 / 그 컴퓨터들의 네트워크 |
| 패킷 | 네트워크로 보내는 데이터 묶음 |
| 브로드캐스트 | 네트워크 안 모든 장치에 보내기 |
| 오프셋 | 조각난 패킷이 원래 어디에 있었는지 나타내는 위치 값 |
| 시그니처 | 알려진 공격의 패턴 |
DoS 공격 정리
| 공격 | 방법 |
|---|---|
| SYN 플러딩 | SYN만 보내고 ACK를 안 보내 연결 대기 큐를 가득 채움 |
| 스머프 (Smurf) | 출발지를 피해자로 위조한 ICMP 에코 요청을 브로드캐스트 → 응답 폭주 |
| 핑 오브 데스 | 허용 크기(65,535바이트)보다 큰 ICMP 패킷으로 시스템 마비 |
| 랜드 (Land) | 출발지 IP = 목적지 IP로 위조해 자기 자신에게 무한 응답 |
| 티어드롭 | IP 조각의 오프셋을 겹치게 조작해 재조립 시 오류 |
| HTTP GET 플러딩 | 웹 페이지 요청을 대량으로 보냄 |
악성 코드 구분
| 종류 | 특징 |
|---|---|
| 바이러스 | 다른 프로그램(숙주)에 붙어 실행·자기 복제 |
| 웜 | 숙주 없이 독자 실행, 네트워크로 스스로 확산 |
| 트로이 목마 | 정상 프로그램으로 위장, 자기 복제 안 함 |
| 랜섬웨어 | 파일을 암호화하고 복호화 대가 요구 |
| 키로거 | 키보드 입력을 몰래 기록 |
| 백도어 | 인증을 거치지 않고 들어오는 비밀 통로 |
보안 솔루션
| 솔루션 | 역할 |
|---|---|
| 방화벽 | 정해진 규칙에 따라 내부·외부 트래픽을 허용·차단 |
| IDS | 침입을 탐지해 알림 (오용 탐지·이상 탐지) |
| IPS | 침입을 탐지하고 실시간으로 차단 |
| VPN | 공중망에 암호화된 터널을 만들어 전용선처럼 사용 (IPSec, SSL) |
| NAC | 단말이 네트워크에 접속할 때 보안 정책 준수 여부를 검사 |
| SIEM | 여러 보안 장비의 로그를 모아 통합 분석 |
| 허니팟 | 공격자를 유인해 행동을 관찰하는 가짜 시스템 |
기출에서 더 나온 것
| 말 | 뜻 |
|---|---|
| 스머프 (Smurf) | 출발지를 표적 IP로 위조한 ICMP Echo를 브로드캐스트로 보내, 응답이 모두 표적에 몰리게 하는 DoS 공격 |
| 핑 플러드 (Ping Flood) | ICMP Echo를 쉴 새 없이 보내 응답하느라 자원을 다 쓰게 만드는 공격 |
| 핑 오브 데스 (Ping of Death) | 허용 크기보다 큰 ICMP 패킷을 조각내 보내 재조립 과정에서 시스템을 멈추게 하는 공격 |
| TFN (Tribe Flood Network) | 여러 대의 좀비를 조종해 DDoS를 일으키는 공격 도구 |
| tripwire | 파일의 해시를 저장해 두고 비교해 변조된 파일(백도어·설정 변경)을 찾는 무결성 점검 도구 |
| nmap | 서버의 열린 포트를 스캔해 취약점을 찾는 도구 |
| 키로거 (Key Logger) | 키보드 입력을 몰래 기록해 아이디·비밀번호를 빼내는 공격 |
| 이블 트윈 (Evil Twin) | 진짜와 같은 이름의 가짜 무선 AP를 띄워 접속한 사용자의 정보를 가로채는 공격 |
| 스위치 재밍 (Switch Jamming) | 가짜 MAC 주소를 계속 보내 스위치 MAC 테이블을 넘치게 해 허브처럼 동작하게 만드는 공격 |
| 블루투스 공격 | 블루버그(장비 제어), 블루스나프(파일 탈취), 블루재킹(스팸 메시지), 블루프린팅(공격할 장치 검색) |
| DPI (Deep Packet Inspection) | 패킷 헤더뿐 아니라 내용까지 7계층 전부를 분석해 침입을 탐지하고 트래픽을 조절하는 기술 |
| IDS 탐지 방식 | 오용 탐지(알려진 공격 패턴·시그니처와 비교), 이상 탐지(평소와 다른 행동을 찾음) |
| 방화벽 구축 유형 | 스크리닝 라우터, 배스천 호스트, 듀얼 홈드 게이트웨이, 스크린드 호스트, 스크린드 서브넷(두 라우터 사이 DMZ) |
| 백도어 탐지 | 열린 포트 확인, 무결성 검사, 로그 분석, SetUID 파일 검사 |
| 세션 하이재킹 탐지 | 비동기화 상태 탐지, ACK 폭풍 탐지, 패킷 유실·재전송 증가 탐지 |
| 물리적 위협 | 천재지변, 하드웨어 고장, 방화·테러로 인한 파괴 (설정 실수는 물리적 위협이 아님) |
시험에 이렇게 나와요
- ICMP Echo를 브로드캐스트로 보내 응답이 표적에 몰리게 함 → 스머프(Smurfing)
- 아주 많은 ICMP Echo로 자원 소진 → 핑 플러드 / 크기가 큰 ICMP 패킷 → 핑 오브 데스
- DDoS 공격 도구 → TFN·트리누·스테셀드라트
- 침입 뒤 백도어·설정 변경을 찾는 도구 → tripwire, 열린 포트 스캔 → nmap
- 키보드 입력을 몰래 가로챔 → 키로거
- 가짜 MAC으로 스위치를 허브처럼 만듦 → 스위치 재밍 / 패킷 내용까지 분석 → DPI
확인 문제
Q1. TCP 연결 요청(SYN)만 대량으로 보내고 응답을 마무리하지 않아 서버의 연결 대기 자원을 고갈시키는 공격은?
- SYN 플러딩
- 스머프
- 랜드 공격
- 티어드롭
정답 보기
1번 SYN 플러딩
SYN 플러딩은 3-웨이 핸드셰이크의 마지막 ACK를 보내지 않아 서버가 반쯤 열린 연결로 가득 차게 만든다.
Q2. 출발지 IP와 목적지 IP를 같게 위조해 피해 시스템이 자기 자신에게 계속 응답하게 만드는 공격은?
- 스머프
- 티어드롭
- 랜드
- SYN 플러딩
정답 보기
3번 랜드
랜드(Land) 공격이다. 피해 시스템이 자기 자신에게 계속 응답하게 만든다. 스머프는 브로드캐스트로 응답을 몰아주고, 티어드롭은 조각난 패킷의 순서 정보를 조작한다.
Q3. 다른 프로그램에 기생하지 않고 독자적으로 실행되며 네트워크로 스스로 퍼지는 악성 코드는?
- 바이러스
- 키로거
- 트로이 목마
- 웜
정답 보기
4번 웜
웜이다. 혼자 실행되며 네트워크로 스스로 퍼진다. 바이러스는 다른 파일에 붙어야 퍼지고, 트로이 목마는 쓸모 있는 프로그램인 척 숨는다.
Q4. 침입을 탐지할 뿐 아니라 실시간으로 차단까지 하는 보안 솔루션은?
- IPS
- 허니팟
- IDS
- SIEM
정답 보기
1번 IPS
IDS는 탐지·알림, IPS는 차단까지.
Q5. DNS 정보를 조작해 사용자가 정상 주소를 입력해도 가짜 사이트로 접속하게 하는 공격은?
- 스니핑
- 피싱
- 스미싱
- 파밍
정답 보기
4번 파밍
파밍이다. 피싱은 가짜 메일·링크로 유인하고, 스미싱은 문자 메시지를, 스니핑은 네트워크 패킷을 몰래 엿본다.
헷갈리기 쉬운 O·X
트로이 목마는 스스로를 복제해 다른 파일을 감염시킨다.
정답 보기
X 트로이 목마는 자기 복제를 하지 않는다.
허니팟은 공격자를 유인해 공격 기법을 분석하기 위한 시스템이다.
정답 보기
O
스니핑은 네트워크를 지나는 패킷을 몰래 엿보는 공격이다.
정답 보기
O