16년 1회차

㉠은 데이터링크 계층, ㉡은 논리링크제어, ㉢은 매체접근제어이다.

물리 계층 위에서 인접 장치 간 프레임 송수신을 맡는 것은 데이터링크 계층이며, IEEE 802 모델에서 이 계층은 LLC(논리링크제어)와 MAC(매체접근제어) 두 부계층으로 나뉜다.

• 네트워크 계층: 인접 장치가 아니라 종단 간 경로 설정(라우팅)을 담당한다.
• 오류제어·흐름제어: 데이터링크 계층의 기능이지 부계층의 이름이 아니다.

㉠은 오용탐지, ㉡은 이상탐지, ㉢은 네트워크 기반이다.

알려진 공격 패턴(시그니처)과 대조하는 것은 오용탐지이고, 정상 행위 프로파일에서 확률적으로 벗어나는 행위를 잡는 것은 이상탐지이다. 네트워크의 모든 패킷을 캡처해 분석하는 것은 네트워크 기반 IDS이다.

• ㉠을 이상탐지로 보는 조합: 알려진 패턴 근거 탐지는 오용탐지의 정의이므로 틀리다.
• ㉢을 호스트 기반으로 보는 조합: 호스트 기반 IDS는 개별 시스템의 로그·이벤트를 분석하므로 패킷 캡처 방식과 맞지 않는다.

설명하는 공격은 지능적 지속 위협(APT) 공격이다.

특정 목표를 정해 사전 조사 → 악성코드 감염 → 백도어 설치 → 권한 상승·정보 탈취 → 장기간 잠복하며 추가 피해를 일으키는 단계적 흐름이 APT의 특징이다.

• 루트킷 공격: 침입 흔적과 악성 프로그램을 숨기는 도구로, 공격 전 과정을 가리키지 않는다.
• 랜섬웨어 공격: 파일을 암호화하고 복구 대가를 요구하는 공격이다.
• 블루스나프 공격: 블루투스 취약점을 이용해 기기의 정보를 빼내는 공격이다.

설명하는 네트워크는 VPN(Virtual Private Network)이다.

공용 네트워크 위에 터널링과 암호화·메시지 인증을 적용해 전용선보다 저렴하게 사설망처럼 안전한 망을 구성하는 기술이다.

• LAN: 건물·캠퍼스 등 좁은 지역을 잇는 네트워크로 범위에 따른 분류이다.
• WAN: 국가·대륙 등 넓은 지역을 잇는 네트워크로 범위에 따른 분류이다.
• MAN: 도시 규모 지역을 잇는 네트워크로 범위에 따른 분류이다.

실행 결과를 제시하는 명령어는 netstat이다.

프로토콜·로컬 주소·외부 주소와 ESTABLISHED, TIME_WAIT 같은 TCP 연결 상태를 나열하는 것은 netstat의 출력 형식이다.

• nslookup: DNS 서버에 도메인 이름과 IP 주소를 질의한다.
• route: 라우팅 테이블을 조회·변경한다.
• tracert: 목적지까지 거치는 라우터 경로를 홉 단위로 표시한다.

패킷 필터 방화벽이 검사할 수 없는 정보는 TCP 연결 상태이다.

단순 패킷 필터는 패킷을 하나씩 독립적으로 보고 헤더 필드만 규칙과 대조하므로, 이전 패킷과의 관계로 정해지는 세션 상태는 알 수 없다. 연결 상태 추적은 상태 기반 검사(Stateful Inspection) 방화벽의 기능이다.

• 송·수신지 IP주소: IP 헤더 필드로 패킷 필터의 기본 검사 대상이다.
• 송·수신지 포트 번호: TCP/UDP 헤더 필드로 서비스별 허용·차단에 쓰인다.
• TCP 플래그 비트: 헤더의 SYN·ACK 등 플래그도 개별 패킷에서 바로 읽을 수 있다.

안전하지 않은 대책은 SSID 브로드캐스팅을 켜는 것이다.

SSID를 브로드캐스팅하면 주변의 누구나 AP 이름을 쉽게 찾아 접속을 시도할 수 있으므로, 보안 강화를 위해서는 SSID 브로드캐스팅을 숨기도록(비활성화) 설정한다.

• 데이터 암호화와 사용자 인증 설정: 도청과 비인가 접속을 막는 기본 대책이다.
• 지향성 안테나 사용: 전파가 필요한 방향으로만 퍼지게 해 건물 밖 신호 누출을 줄인다.
• MAC 주소 필터링: 등록된 단말만 접속을 허용해 비인가 접근을 제한한다.

ESP에서만 제공하는 보안서비스는 메시지 기밀성이다.

AH는 패킷 인증(무결성·출처 인증)만 제공하고 암호화를 하지 않는다. 페이로드를 암호화해 기밀성을 주는 것은 ESP뿐이다.

• 재전송 공격 방지: AH와 ESP 모두 순서 번호로 제공한다.
• 메시지 무결성: AH와 ESP(인증 옵션) 모두 제공한다.
• 개체 인증: AH와 ESP(인증 옵션) 모두 데이터 출처 인증을 제공한다.

옳지 않은 설명은 매핑이 1:1만 가능하다는 것이다.

NAT는 1:1 정적 매핑 외에도 여러 사설 IP가 하나의 공인 IP를 포트로 구분해 나눠 쓰는 N:1 방식(PAT, NAPT)과 공인 IP 풀을 동적으로 배정하는 방식을 지원한다.

• 공인 IP주소 부족 해결: 여러 내부 호스트가 적은 공인 IP를 공유할 수 있어 옳다.
• 주소 변환 기능: NAT의 본래 기능으로 옳다.
• 내부 네트워크 구조 은닉: 외부에는 변환된 주소만 보이므로 옳다.

SSL 레코드 프로토콜의 처리 순서는 단편화 → 압축 → MAC 첨부 → 암호화 → SSL 레코드 헤더 붙이기이다.

응용 메시지를 먼저 블록 단위로 나눈 뒤, 각 블록을 압축하고, 압축된 데이터에 대해 MAC을 계산해 붙이며, 그 전체를 암호화한 다음 레코드 헤더를 앞에 붙여 전송한다.

• 압축을 단편화보다 먼저 하는 순서: 압축은 단편화된 블록 단위로 수행되므로 틀리다.
• 암호화 후 MAC을 첨부하는 순서: SSL은 MAC을 붙인 뒤 함께 암호화하므로 틀리다.
• MAC 첨부 후 압축하는 순서: 압축이 MAC 계산보다 먼저이므로 틀리다.

㉠은 Sniffing, ㉡은 SSH이다.

네트워크 중간에서 패킷을 도청하는 수동적 공격은 스니핑이며, 평문으로 전송되는 텔넷 대신 암호화된 원격 접속을 제공하는 것은 SSH이다.

• ARP watch: ARP 테이블 변화를 감시해 ARP 스푸핑을 탐지하는 도구로 공격 이름이 아니다.
• PGP: 전자우편 암호화 도구로 텔넷 원격 접속의 대체 수단이 아니다.

설명에 해당하는 시스템은 ESM(Enterprise Security Management)이다.

ESM은 방화벽·IDS·VPN 등 여러 정보보호 시스템의 로그와 이벤트를 통합 수집·분석하여 전사 차원에서 보안을 관제·관리한다.

• NAC: 단말이 네트워크에 접속할 때 보안 정책 준수 여부를 검사해 접근을 통제한다.
• MAM: 모바일 기기에 설치된 업무용 애플리케이션을 관리한다.
• MDM: 모바일 기기 자체의 분실·설정·정책을 원격으로 관리한다.

옳지 않은 설명은 원하지 않는 접근을 차단할 수 없다는 것이다.

베스천 호스트는 내부와 외부를 잇는 관문으로서 접근 통제와 인증을 수행하므로, 외부에서 내부로의 원하지 않는 접근을 차단하는 것이 본래 역할이다.

• 외부와 내부 네트워크 연결: 베스천 호스트의 역할로 옳다.
• 로그인 정보 누출 시 보호 불가: 인증이 뚫리면 정상 사용자로 통과하므로 옳다.
• 베스천 호스트 손상 시 보호 불가: 단일 방어 지점이 무너지는 약점으로 옳다.

ㄱ은 A, ㄴ은 B, ㄷ은 C와 연결된다.

제3자가 수신측과 연결할 수 없게 막는 것은 방해(가용성 침해), 중간에서 도청하는 것은 가로채기(기밀성 침해), 내용을 바꿔 전달하는 것은 변조(무결성 침해)이다.

• 방해를 B로 보는 조합: B는 메시지를 도청하는 행위이므로 가로채기에 해당한다.
• 가로채기를 A로 보는 조합: A는 전달 자체를 막는 행위이므로 방해에 해당한다.
• 가로채기를 C로 보는 조합: C는 메시지를 바꿔 전송하는 행위이므로 변조에 해당한다.

옳지 않은 설명은 요청된 문서의 URL은 암호화할 수 없다는 것이다.

HTTPS에서는 SSL/TLS 연결이 먼저 성립한 뒤 HTTP 메시지 전체가 암호화되므로, 요청 줄의 URL·헤더·본문이 모두 암호화되어 전달된다.

• 포트 443 사용: HTTPS 연결은 포트 443으로 SSL을 호출하므로 옳다.
• 브라우저와 웹 서버 간 안전한 통신: HTTPS의 목적으로 옳다.
• HTTP over TLS 표준 문서: HTTPS가 기술된 표준 문서명으로 옳다.

㉠은 RST, ㉡은 RST＋ACK이다.

half open 스캔은 SYN을 보내 SYN＋ACK가 오면 포트가 열린 것으로 판단하고, 연결을 완성하지 않도록 즉시 RST를 보내 세션을 끊는다.

포트가 닫혀 있으면 공격 대상 서버가 SYN에 대해 RST＋ACK로 응답한다.

• ㉠을 ACK로 보는 조합: ACK를 보내면 3-way handshake가 완성되어 half open이 아니게 된다.
• ㉡을 SYN＋ACK로 보는 조합: SYN＋ACK는 포트가 열린 경우의 응답이다.

옳은 설명은 Smurf 공격에 대한 것이다.

Smurf 공격은 출발지를 공격대상 IP로 위장한 ICMP echo request를 브로드캐스트 주소로 보내, 다수 호스트가 응답한 ICMP echo reply가 공격대상에 몰리게 하여 서비스를 거부하게 만든다.

• MITM 공격: 통신 당사자 사이에 끼어들어 내용을 가로채거나 변조하는 공격이지, 에러 메시지로 흐름을 통제하는 공격이 아니다.
• Salami 공격: 눈에 띄지 않을 만큼 작은 금액·데이터를 조금씩 빼돌리는 공격이며, 위조 ARP reply를 쓰는 것은 ARP 스푸핑이다.
• Teardrop 공격: IP 단편의 오프셋을 겹치게 조작해 재조립 오류를 일으키는 공격이며, 출발지와 목적지가 같은 SYN 패킷은 Land 공격이다.

ARP Spoofing 대응 명령어는 arp -s IP주소 MAC주소이다.

-s 옵션은 IP주소와 MAC주소의 대응을 정적(static) 항목으로 ARP 캐시에 등록하므로, 위조된 ARP reply가 와도 캐시가 바뀌지 않는다.

• arp -a: 현재 ARP 캐시 테이블을 조회하는 옵션이다.
• arp -d: ARP 캐시 항목을 삭제하는 옵션이다.
• arp -v: 상세 정보를 출력하는 옵션으로 대응 수단이 아니다.

㉠은 new IP header, ㉡은 ESP/AH이다.

터널 모드는 원래 IP 패킷(IP header와 data) 전체를 보호 대상으로 삼아 그 앞에 IPSec 헤더(ESP/AH)를 붙이고, 맨 앞에 터널 종단 간 새 IP 헤더를 추가한다.

• ESP/AH를 맨 앞에 두는 조합: 라우팅을 위해 새 IP 헤더가 가장 바깥에 와야 하므로 틀리다.
• IKE header를 넣는 조합: IKE는 키 교환·SA 협상 프로토콜로 데이터 패킷에 덧붙는 헤더가 아니다.

연결이 옳지 않은 것은 데이터링크 계층과 TLS이다.

TLS는 SSL을 계승한 프로토콜로 전송 계층(TCP) 위에서 동작해 응용 데이터를 보호한다.

• 네트워크 계층 - IPsec: IP 패킷 단위로 보호하므로 옳다.
• 응용 계층 - SSH: 원격 접속용 응용 계층 보안 프로토콜로 옳다.
• 전송 계층 - SSL: TCP 위의 전송 계층 보안 프로토콜로 옳다.