21년 1회차

IPv6는 기본 헤더를 40바이트 고정 길이로 단순화하고 선택 항목은 확장 헤더로 분리했으므로, 헤더를 고정길이에서 가변길이로 바꿨다는 설명이 사실과 반대로 옳지 않다.

IPv4의 가변 길이 헤더가 라우터 처리 부담을 키웠던 문제를 IPv6는 고정 길이 기본 헤더로 해결했고, 추가 기능은 필요할 때만 확장 헤더로 덧붙인다.

• 주소 공간을 32비트에서 128비트로 늘린 것은 IPv6의 핵심 특징으로 옳다.
• 주소 자동 설정을 통한 동적 할당을 지원하는 것도 옳다.
• IPsec을 기반으로 한 인증 및 보안 기능 지원도 옳다.

IETF가 만든 공개키 기반 전자우편 보안 표준을 따르며 전송 전 자동 암호화로 내용 유출을 막는 통신 규약은 PEM(Privacy Enhanced Mail)이다.

PEM은 PGP보다 보안 체계가 엄격하지만 중앙집중식 인증 구조 탓에 사용이 까다로운 전자우편 보안 표준이다.

• 지점 간 터널링 프로토콜은 VPN 터널 구성용이라 전자우편 암호화 표준이 아니다.
• 도메인 이름을 IP로 변환하는 프로토콜은 이름 해석용이지 메일 보안 표준이 아니다.
• 네트워크 장비를 감시·관리하는 프로토콜도 전자우편 보안과 무관하다.

무선 LAN의 사용자 인증에 쓰이는 프로토콜은 확장 인증 프로토콜(EAP)로, IEEE 802.1X 및 802.11i 환경에서 다양한 인증 방식을 수용하는 틀을 제공한다.

EAP는 인증 방식을 특정하지 않는 인증 프레임워크여서 여러 인증 방식을 실어 나를 수 있어 무선 접속 인증에 널리 쓰인다.

• 거리 벡터 기반 라우팅 프로토콜은 경로 정보 교환용이라 인증과 무관하다.
• 자율 시스템 간 경로를 교환하는 프로토콜도 라우팅용으로 인증 프로토콜이 아니다.
• 세션 설정·제어용 시그널링 프로토콜은 멀티미디어 세션 관리용이다.

Land 공격은 패킷의 출발지 주소와 목적지 주소를 동일하게 조작해 표적이 자기 자신에게 응답하도록 만드는 공격이므로, 두 주소가 모두 192.168.0.1로 같은 경우가 옳다.

출발지와 목적지가 같으면 시스템이 자기 응답을 무한 처리하며 자원을 소모해 서비스 거부가 발생한다.

• 출발지 192.168.0.1과 목적지 192.168.0.200처럼 두 주소가 다른 경우는 Land 공격 조건이 아니다.
• 출발지 192.168.0.5와 목적지 192.168.0.1처럼 서로 다른 경우도 해당하지 않는다.
• 출발지 192.168.0.5와 목적지 192.168.0.200처럼 다른 경우도 해당하지 않는다.

ESM의 전사적 보안 관리 기능에 내부 정보 유출 탐지와 빅데이터 기반 로그 분석까지 확장한 지능형 로그 관리 플랫폼은 SIEM이다.

SIEM은 다양한 정보시스템의 로그를 수집·상관 분석해 위협을 신속히 탐지하며, ESM과 상호보완적으로 쓰인다.

• 데이터 유출 방지 솔루션은 민감정보 유출 차단에 초점을 둔 기술이라 통합 로그 분석 플랫폼과 다르다.
• 네트워크 접근 제어 기술은 단말의 접속 허용·차단을 통제하는 기술이다.
• 디지털 저작권 관리 기술은 콘텐츠 사용 권한을 보호하는 기술이다.

UDP는 비연결형 프로토콜이라 3-way handshake 절차 자체가 없으므로, UDP 포트 스캔이 3-way handshake를 거쳐 수행된다는 설명이 옳지 않다.

UDP 스캔은 포트로 패킷을 보낸 뒤 ICMP 포트 unreachable 응답 여부로 개방·폐쇄를 추정하는 방식이다.

• 스텔스 스캔이 3-way handshake를 완성하지 않아 연결 로그를 남기지 않는다는 설명은 옳다.
• 모든 플래그를 켜서 보내는 스캔이 어떤 플래그도 켜지 않는 스캔과 대비된다는 설명은 옳다.
• 어떤 플래그도 설정하지 않고 보내는 스캔에 대한 설명도 옳다.

악성 스크립트가 삽입된 페이지를 열람하는 순간 브라우저를 공격하는 것은 드라이브 바이 다운로드 유형의 공격에 대한 설명이므로, 무차별 대입 공격 설명으로는 옳지 않다.

무차별 대입 공격은 가능한 문자 조합을 성공할 때까지 반복 입력해 계정 정보를 알아내는 공격이다.

• 단어·문자 조합을 성공할 때까지 대입해 계정 정보를 얻는다는 설명은 무차별 대입의 정의로 옳다.
• Telnet, FTP 등 인증 서비스가 공격 대상이 될 수 있다는 설명도 옳다.
• 포트 변경, 패스워드 변경, 필터링 도구 사용이 대응책이라는 설명도 옳다.

HMAC의 설계 목표는 기존 해시함수를 수정 없이 그대로 사용해 소프트웨어 구현을 쉽게 하는 것이므로, 수정 없이 쓰면 구현이 어렵다고 한 설명이 옳지 않다.

HMAC은 해시함수를 내부·외부 키와 함께 두 번 적용하는 단순한 구조여서, 이미 구현된 해시함수를 그대로 끌어다 쓸 수 있도록 고안되었다.

• IP 보안용 필수 MAC으로 채택되어 TLS나 SET에서 쓰인다는 설명은 옳다.
• 더 빠르고 안전한 해시함수로 쉽게 교체할 수 있다는 설명은 설계 목표에 부합해 옳다.
• 해시함수 본래 성능을 심각한 저하 없이 유지한다는 설명도 옳다.

유선망에서 반송파(채널 상태)를 감지한 뒤 전송하고 충돌을 처리하는 매체 접근 방식은 CSMA/CD(반송파 감지 다중 접근/충돌 검출)로, 이더넷의 표준 접근 방식이다.

CSMA/CD는 전송 전 채널이 비었는지 감지하고, 전송 중 충돌이 감지되면 전송을 멈춘 뒤 임의 시간 후 재전송한다.

• 충돌 회피 방식은 반송파를 감지하되 주로 무선망에서 쓰여 유선망 설명과 맞지 않는다.
• 토큰을 돌려 전송 권한을 주는 버스형 방식은 반송파 감지가 아니라 토큰 보유로 접근을 제어한다.
• 토큰을 돌려 전송 권한을 주는 링형 방식도 반송파 감지 방식이 아니다.

VLAN 태깅 표준은 IEEE 802.1Q이고 이를 다루는 조직도 802.1 작업그룹이므로, 802.3 부위원회가 802.3Q 표준을 제정했다는 설명이 옳지 않다.

802.1Q는 이더넷 프레임에 VLAN 식별 태그를 삽입하는 프레임 태깅 방식을 규정한 것으로, 설명의 명칭과 제정 주체가 모두 어긋난다.

• 물리적 이동·분리 없이 소프트웨어로 LAN을 구성한다는 설명은 옳다.
• 물리적이 아닌 논리적 세그먼트로 분할한다는 설명도 옳다.
• 멤버십 구성 정보로 포트 번호, MAC 주소, IP 주소 등을 쓸 수 있다는 설명도 옳다.

전송 계층 프로토콜인 TCP는 응용 계층 프로토콜이 아니므로 응용 계층 프로토콜로 옳지 않다.

TCP는 종단 간 신뢰성 있는 연결과 흐름·혼잡 제어를 담당하는 전송 계층 프로토콜이다.

• 파일 전송 프로토콜은 응용 계층에서 동작하므로 옳다.
• 웹 문서 전송 프로토콜도 응용 계층 프로토콜로 옳다.
• 전자우편 전송 프로토콜도 응용 계층에 속해 옳다.

L2 스위치는 OSI 2계층(데이터링크 계층)에서 동작하며 MAC 주소를 기준으로 프레임을 전달하므로, 2계층에서 고유 MAC 정보를 사용해 통신한다는 설명이 옳다.

L2 스위치는 MAC 주소 테이블을 학습해 목적지 포트로만 프레임을 보내 충돌 도메인을 분리한다.

• IP 주소 경로를 찾아 패킷을 전달하는 기능은 3계층 라우터(또는 L3 스위치)의 역할이다.
• 서로 다른 프로토콜을 변환해 주고받는 것은 게이트웨이의 역할이다.
• 응용 계층까지 분석해 로드밸런싱하는 것은 L7 스위치의 역할이다.

libpcap 라이브러리로 패킷을 수집해 네트워크 모니터링·패킷 분석에 쓰이며 유닉스·윈도우 등에서 동작하는 유틸리티는 tcpdump이다.

tcpdump는 명령행에서 패킷을 캡처·출력하는 대표적인 패킷 분석 도구로, 캡처 엔진으로 libpcap(윈도우는 WinPcap)을 사용한다.

• 도달 가능성과 지연을 확인하는 진단 유틸리티는 패킷 수집·분석 도구가 아니다.
• 소켓·연결 상태와 통계를 보여주는 유틸리티도 패킷 캡처 도구가 아니다.
• 목적지까지의 경유 라우터 경로를 추적하는 유틸리티도 패킷 분석 도구가 아니다.

취약점을 악용하는 프로그램뿐 아니라 공격 수행 절차·스크립트까지 아우르는 것은 익스플로잇(Exploit)이다.

익스플로잇은 특정 취약점을 공격 가능한 형태로 구현한 코드·절차를 가리키며, 공격 성공을 위한 스크립트도 포함한다.

• Bell-LaPadula는 기밀성 보장을 위한 접근 통제 보안 모델로 공격 프로그램이 아니다.
• Biba는 무결성 보장을 위한 접근 통제 모델로 보안 정책 모델일 뿐 공격 도구가 아니다.
• IP 계층 보안 프로토콜은 통신 보호 기술이지 취약점 악용 프로그램이 아니다.

SSH는 전송 계층 프로토콜, 사용자 인증 프로토콜, 연결 프로토콜의 세 구성요소로 이루어지므로, 이들을 포함한다는 설명이 옳다.

전송 계층 프로토콜은 서버 인증과 기밀·무결성을, 인증 프로토콜은 사용자 인증을, 연결 프로토콜은 채널 다중화를 담당한다.

• SSH는 TCP(포트 22) 기반이며 UDP 기반이라는 설명은 옳지 않다.
• SSH는 포트 포워딩을 통한 터널링을 지원하므로 지원하지 않는다는 설명은 옳지 않다.
• 여러 연결을 하나로 다중화하는 것은 연결 프로토콜의 역할이지 전송 계층 프로토콜의 역할이 아니다.

중간자 공격(MITM)은 통신 경로에 끼어들어 데이터를 가로채거나 변조하는 공격이지 분산 서비스 거부(DDoS) 도구가 아니므로, DDoS 공격 기법에 해당하지 않는다.

DDoS는 다수의 좀비 호스트로 표적에 트래픽을 집중시키는 공격으로, 마스터·에이전트 구조의 전용 공격 도구가 다수 존재한다.

• 초창기 분산 공격 도구는 마스터와 데몬 구조로 트래픽을 발생시키는 DDoS 도구다.
• 부족 홍수 공격 도구도 다양한 플러딩을 수행하는 DDoS 도구다.
• 암호화된 통신을 쓰는 또 다른 분산 공격 도구도 DDoS 기법에 속한다.

스위치의 MAC 테이블 저장 용량을 넘기는 대량의 MAC 주소를 흘려보내 스위치를 더미 허브처럼 동작하게 만드는 스니핑 기법은 스위치 재밍(MAC 플러딩)이다.

MAC 테이블이 넘치면 스위치가 모든 포트로 프레임을 방출하게 되어 공격자가 다른 포트의 트래픽까지 엿볼 수 있다.

• 거짓 라우팅 정보로 경로를 바꿔 트래픽을 가로채는 기법은 저장 용량을 넘기는 방식과 다르다.
• 스위치의 미러링 포트로 트래픽을 복제해 수집하는 방식도 MAC 테이블을 넘치게 하는 방식이 아니다.
• 거짓 주소 응답으로 경로를 위조해 트래픽을 끌어오는 기법도 MAC 플러딩과 다르다.

호스트기반 침입탐지시스템(HIDS)은 주로 시스템 로그·감사 기록을 분석해 침입을 판단하므로, 로그 탐지보다 네트워크 패킷을 수집해 공격을 판단한다는 설명이 옳지 않다.

네트워크 패킷 수집·분석은 네트워크기반 침입탐지시스템의 역할로, 두 방식의 분석 대상이 서로 바뀌어 서술되어 있다.

• IDS를 네트워크기반과 호스트기반으로 분류할 수 있다는 설명은 옳다.
• 오용탐지기법을 시그니처기반 또는 지식기반 탐지로 부른다는 설명도 옳다.
• 네트워크기반 침입탐지시스템이 네트워크 전반을 감시할 수 있다는 설명도 옳다.

Wireshark는 윈도우뿐 아니라 리눅스·macOS 등 여러 운영체제를 지원하는 크로스 플랫폼 도구이므로, 윈도우즈 운영체제만 지원한다는 설명이 옳지 않다.

Wireshark는 공식 사이트에서 배포되는 대표적인 네트워크 프로토콜 분석 도구다.

• 공식 사이트에서 내려받을 수 있는 프로그램이라는 설명은 옳다.
• 네트워크 분석 도구라는 설명도 옳다.
• 윈도우 환경에서 트래픽 수집에 WinPcap을 사용한다는 설명도 옳다.

상호 연결 및 네트워크 구성 정보를 제공하는 기능은 구성 관리이므로, 구성 관리를 그렇게 설명한 것이 옳다.

네트워크 관리 기능은 장애·구성·계정·성능·보안 관리로 나뉘며, 각 기능의 정의를 서로 바꿔 놓은 설명들과 구별해야 한다.

• 네트워크 동작·효율성을 평가하는 것은 성능 관리의 기능이므로 장애 관리 설명으로는 틀리다.
• 비정상 동작을 발견·대처하는 것은 장애 관리의 기능이므로 성능 관리 설명으로는 틀리다.
• 자원 사용량 관련 데이터를 수집하는 것은 계정 관리의 기능이므로 보안 관리 설명으로는 틀리다.