19년 1회차

네트워크 구성 요소가 유지하는 변숫값(MIB)을 조회·변경하며 장비를 원격 관리하는 프로토콜은 SNMP이다.

SNMP는 관리 시스템이 에이전트의 MIB 객체 값을 Get/Set 명령으로 읽고 바꾸어 장비를 모니터링·설정하도록 고안된 네트워크 관리 프로토콜이다.

• 파일을 주고받는 전송 프로토콜은 변숫값 기반 원격 관리와 무관하다.
• 원격 파일 시스템을 공유하는 프로토콜은 장비 변숫값 조회·변경 기능이 아니다.
• 전자우편을 송신하는 프로토콜은 장비 환경 설정과 관계가 없다.

피해자의 IP에 대응하는 MAC 주소를 공격자 MAC으로 위조해 LAN 트래픽을 가로채는 공격은 ARP 스푸핑이다.

ARP는 IP에 대한 MAC을 묻고 응답받는 과정에 인증이 없어, 공격자가 위조 응답을 보내 피해자의 ARP 캐시를 오염시키면 피해자가 보내는 데이터가 공격자에게 전달된다.

• 스위치의 MAC 테이블을 넘치게 해 허브처럼 동작시키는 기법은 MAC 주소 자체를 위조하지 않는다.
• 출발지 IP 주소를 위조하는 기법은 MAC 주소 변조와 다르다.
• 도메인 질의에 위조 응답을 보내는 기법은 MAC 주소를 바꾸는 공격이 아니다.

라우터를 빠져나가는 패킷의 출발지 IP를 검사해 내부에서 출발지를 위조한 패킷을 걸러 내는 기법은 egress 필터링이다.

내부 네트워크 대역에 속하지 않는 출발지 IP를 가진 나가는 패킷을 차단하므로, 내부 호스트가 출발지 IP를 위조해 다른 네트워크를 공격하는 행위를 막는다.

• 외부에서 들어오는 패킷의 출발지를 검사하는 기법은 나가는 트래픽을 대상으로 하지 않는다.
• 특정 목적지 트래픽을 폐기 경로로 몰아 버리는 기법은 출발지 위조 차단이 목적이 아니다.
• 경로를 지정하지 않아 트래픽을 폐기하는 기법도 출발지 IP 검사와 다르다.

접속·거래·단말기 정보를 종합 분석해 이상 금융거래를 탐지·차단하는 시스템은 FDS이다.

FDS는 전자금융거래의 패턴을 분석해 평소와 다른 의심 거래를 찾아내므로, 일반 보안 프로그램이 걸러 내지 못하는 이상 전자금융거래를 탐지하고 조치한다.

• 스위칭 루프를 방지하는 프로토콜은 금융거래 탐지와 무관하다.
• 국내 표준 블록 암호 알고리즘은 이상거래 탐지 기능이 아니다.
• 시스템 취약점을 점검하는 도구도 이상 금융거래 차단과 다르다.

사설 IPv4 주소에 해당하는 것은 172.16.10.20이다.

사설 주소 대역은 10.0.0.0/8, 172.16.0.0 ~ 172.31.255.255, 192.168.0.0/16이며, 172.16.10.20은 이 중 172.16~172.31 범위에 든다.

• 마지막 옥텟이 255를 넘는 주소는 유효한 IPv4 주소 자체가 아니다.
• 168로 시작하는 주소는 어느 사설 대역에도 속하지 않는 공인 주소이다.
• 192로 시작해도 192.168 대역이 아니면 사설 주소가 아니다.

URL의 구성 요소가 아닌 것은 Sequence Number이다.

URL은 접근 방식을 나타내는 프로토콜(스킴), 자원이 있는 호스트, 호스트 내 자원의 위치인 경로 등으로 이루어진다. 순서 번호는 전송 계층(TCP) 헤더의 필드로, 자원을 식별하는 URL과 무관하다.

• 통신 방식을 지정하는 프로토콜은 URL의 맨 앞 식별자이다.
• 자원이 위치한 서버를 가리키는 호스트는 URL 구성 요소이다.
• 호스트 내 자원의 위치를 나타내는 경로도 URL 구성 요소이다.

옳지 않은 설명은 계층 번호와 이름을 반대로 짝지은 것으로, Layer 1이 물리 계층이고 Layer 7이 응용 계층이다.

OSI 참조 모델은 최하위인 Layer 1 물리 계층부터 최상위인 Layer 7 응용 계층까지 구성되므로, 응용 계층을 Layer 1 최상위, 물리 계층을 Layer 7 최하위라고 한 설명은 계층 순서가 뒤바뀌어 틀렸다.

• ISO가 서로 다른 컴퓨터 간 기능을 계층별로 표준화해 만든 모델이라는 설명은 옳다.
• 데이터 링크 계층이 물리 계층에서 생길 수 있는 오류를 발견한다는 설명은 옳다.
• 네트워크 계층이 IP 같은 논리 주소로 여러 링크를 거쳐 패킷을 포워드한다는 설명은 옳다.

HTTPS 통신에서 암호화되는 것은 요청되는 문서의 URL이다.

HTTPS는 HTTP 메시지를 TLS 위에서 전송하므로 요청 라인·헤더·본문 같은 응용 계층 데이터가 암호화되는 반면, 그 아래 계층인 IP·TCP 헤더 필드는 전달·라우팅을 위해 평문으로 남는다.

• 네트워크 계층 IP 헤더의 TTL 필드는 중간 라우터가 읽어야 하므로 암호화되지 않는다.
• 전송 계층 TCP 헤더의 플래그 비트는 TLS 보호 범위 밖이라 평문이다.
• 탐색엔진은 통신 중 암호화되는 메시지 요소가 아니다.

HTTP 헤더를 조금씩 보내 헤더 수신이 끝나지 않게 함으로써 연결을 오래 붙잡아 서버 가용량을 고갈시키는 공격은 Slowloris 공격이다.

Slowloris는 불완전한 HTTP 헤더를 천천히 전송해 서버가 헤더를 완전히 받을 때까지 연결을 유지하도록 만들어, 동시 연결 수를 소진시켜 정상 사용자의 접속을 막는다.

• 헤더가 아닌 본문(POST 데이터)을 느리게 전송해 연결을 붙잡는 공격은 조작 대상이 다르다.
• 요청을 대량 반복해 자원을 소모시키는 공격은 연결 지연 방식이 아니다.
• 정상 형식의 GET 요청을 대량 발생시키는 공격도 헤더 수신 지연과 다르다.

빈칸에 들어갈 용어는 가상 사설망과 이를 구현하는 세 가지 터널링 프로토콜로, 각각 VPN·PPTP·L2F·L2TP이다.

㉠은 공중망 위에 가상의 전용 통신로를 세워 접근 제어와 보안서비스, 터널링 기술을 요구하는 가상 사설망이다.

㉡은 마이크로소프트가 PPP를 확장해 만든 PPTP, ㉢은 시스코가 개발한 L2F이고, ㉣은 이 둘을 결합한 형태로 표준화된 L2TP이다.

다수의 디바이스가 하나의 링크를 공유해 전송하도록 묶어 주는 기술은 다중화이다.

다중화(multiplexing)는 여러 신호를 시간·주파수 등으로 나누어 단일 전송 매체에 함께 실어 보내므로 링크 사용 효율을 높인다.

• 신호를 전송에 맞게 반송파에 싣는 변조는 링크 공유 기술이 아니다.
• 데이터를 특정 형식의 부호로 바꾸는 부호화는 다중화와 다르다.
• 데이터를 비밀로 바꾸는 암호화는 링크 공유와 무관하다.

부인 봉쇄(non-repudiation) 기능을 제공하는 것은 디지털 서명이다.

디지털 서명은 서명자만 가진 개인키로 생성되고 공개키로 검증되므로, 서명자가 자신의 행위를 부인하지 못하게 만든다.

• 트래픽에 임의 데이터를 채워 분석을 방해하는 기법은 부인 방지와 무관하다.
• 자원 사용 권한을 통제하는 접근 제어는 부인 봉쇄 기능이 아니다.
• 오류 검출용 순환 중복 검사는 송신 사실을 입증하지 못한다.

무선랜 공격에 대한 대응 기법이 아닌 것은 WEP/WPA 키 크래킹이다.

키 크래킹은 무선 암호화 키를 깨뜨려 네트워크에 침입하는 공격 행위이므로, 방어 수단이 아니라 오히려 막아야 할 대상이다.

• SSID를 숨겨 운영하는 폐쇄 시스템은 접속을 제한하는 대응 기법이다.
• 단말의 MAC 주소를 확인해 허용하는 인증은 대응 기법이다.
• SSID 설정으로 접속을 제한하는 것도 대응 기법이다.

내부 사설 IP를 가진 클라이언트가 방화벽의 NAT를 거쳐 외부로 접속하는 순서는 ㄴ → ㄷ → ㄱ → ㄹ이다.

먼저 클라이언트가 내부 IP를 출발지, 외부 서버를 목적지로 하는 패킷을 만들어 방화벽으로 보내고(ㄴ), 방화벽은 출발지 주소를 자신의 IP로 바꾸는 출발지 주소 변환을 수행해 원격지 서버로 전송한다(ㄷ).

원격지 서버가 방화벽 IP를 목적지로 응답 패킷을 보내면(ㄱ), 방화벽은 목적지 주소를 처음 접속을 시도한 클라이언트의 내부 IP로 되돌리는 목적지 주소 변환 후 클라이언트로 전달한다(ㄹ).

스니퍼 탐지 방법으로 옳지 않은 것은 FIN 패킷에 RST가 오면 스니퍼로 추측한다는 내용이다.

스니퍼는 NIC를 무차별 모드(promiscuous mode)로 두어 자신에게 향하지 않는 프레임까지 받아들이는지로 판별한다. FIN에 대한 RST 응답은 닫힌 포트의 정상적인 반응일 뿐 무차별 모드 여부와 무관하므로 탐지 근거가 되지 못한다.

• 틀린 MAC으로 위장한 ICMP 요청에 응답이 오면 무차별 모드로 보는 ping 방법은 옳다.
• 무차별 모드 설정 여부를 직접 확인하는 방법은 옳다.
• ARP 트래픽을 감시하는 ARP watch를 이용하는 방법도 옳다.

IPSec에 대한 설명으로 옳지 않은 것은 방화벽의 IPSec이 우회 트래픽을 막지 못하고 개별 사용자에게 보안을 제공할 수 없다는 내용이다.

외부의 모든 트래픽이 반드시 IP를 사용하고 방화벽이 유일한 진입점이라면 방화벽의 IPSec은 오히려 우회 트래픽을 차단할 수 있고, IPSec은 종단 시스템에도 구현될 수 있어 보안이 필요한 개별 사용자에게도 보안을 제공한다.

• 경계를 지나는 모든 트래픽에 강한 보안을 적용해 작업그룹 간 트래픽을 보호한다는 설명은 옳다.
• 전송 계층 아래에서 동작해 응용 프로그램에 투명하며 서버·사용자 소프트웨어를 바꿀 필요가 없다는 설명은 옳다.
• 종단 사용자에게 투명해 보안 교육이나 개별 키 발급·취소가 필요 없다는 설명은 옳다.

SSL/TLS에 대한 설명으로 옳은 것은 Change Cipher Spec 프로토콜이 사용할 암호 그룹을 갱신·적용한다는 내용이다.

Change Cipher Spec 프로토콜은 협상된 암호 방식(cipher spec)을 이후 레코드부터 적용하도록 상태를 전환시키는 역할을 한다.

• 발신지 호스트 인증과 페이로드 무결성을 위한 Authentication Header는 SSL/TLS가 아니라 IPSec의 프로토콜이다.
• 암호화·인증 결합을 위한 캡슐화 헤더·트레일러로 구성된다는 설명은 IPSec의 ESP에 해당한다.
• Handshake 프로토콜은 응용데이터 전송 전에 수행되며 상호인증과 함께 암호화 키를 협상하므로, 응용데이터 이후에 쓰이고 키를 협상하지 않는다는 설명은 틀렸다.

TCP 세션 하이재킹에 대한 설명으로 옳지 않은 것은 인증이 성립된 후에는 이 공격을 막을 수 있다는 내용이다.

세션 하이재킹은 이미 인증이 끝난 세션을 시퀀스 번호를 맞춰 가로채는 공격이므로, 인증 성립이 곧 방어가 되지 못하고 오히려 인증 이후의 연결을 노린다.

• 데이터를 암호화해 전송하는 것이 대응 방안이라는 설명은 옳다.
• TCP의 시퀀스 번호를 이용한 공격이라는 설명은 옳다.
• 성공을 위해 ARP 스푸핑 같은 추가 기술이 필요하다는 설명은 옳다.

네트워크 공격 기법 설명으로 옳지 않은 것은 CSRF를 요청하지 않은 이메일 공격으로 설명한 내용이다.

CSRF(교차 사이트 요청 위조)는 인증된 이용자의 브라우저가 원치 않는 요청을 전송하도록 유도하는 웹 공격으로, 메일 서버에 보내는 스팸성 이메일 공격과는 전혀 다르다.

• 대상 시스템의 서비스를 중단시키는 서비스 거부 공격 설명은 옳다.
• 두 컴퓨터의 통신 중간에 끼어드는 중간자 공격 설명은 옳다.
• 증폭시키는 중간자를 이용하는 분산 서비스 거부 공격 설명은 옳다.

30개의 서브넷과 서브넷당 5개 호스트를 수용하는 서브넷 마스크는 255.255.255.248이다.

호스트 5개를 담으려면 호스트 비트가 3개 필요하다($2^3 - 2 = 6 \ge 5$). C 클래스의 호스트 8비트 중 3비트를 호스트에 남기고 5비트를 서브넷에 할당하면 서브넷은 $2^5 = 32$개로 30개를 만족한다.

서브넷 비트 5개를 더한 마스크는 $/29$, 즉 마지막 옥텟이 $11111000_{(2)} = 248$이 되어 255.255.255.248이다.