26년 2회차

트로이 목마는 자기 복제를 하지 않는다는 점에서 바이러스·웜과 구별된다.

정상 프로그램으로 위장해 사용자가 직접 설치·실행하게 만든 뒤, 숨겨진 기능으로 백도어를 열어 악성 행위를 한다. 다른 파일을 감염시키거나 스스로 퍼지지 않는다.

• 데이터 유출: 키로깅·정보 탈취 기능을 숨겨 실행하는 대표적 특징이다.
• 시스템 파일 파괴: 숨겨진 악성 기능으로 파일 삭제·손상을 일으킬 수 있다.
• 원격 조정: 백도어를 통해 공격자가 감염 시스템을 원격 제어하는 것이 핵심 특징이다.

NetBIOS는 137~139 포트를 사용하므로 140과의 연결이 틀렸다.

NetBIOS 이름 서비스는 137, 데이터그램 서비스는 138, 세션 서비스는 139 포트를 쓴다.

• POP3 over SSL(POP3S): 995 포트가 맞다.
• SNMP Manager: 에이전트가 보내는 Trap을 매니저가 162 포트에서 수신하므로 맞다(에이전트의 요청 수신은 161 포트).
• FTP Data: 능동 모드 데이터 연결은 20 포트, 제어 연결은 21 포트이므로 맞다.

MAC 주소 값 인증은 비밀키 없이 장치 고유 주소만 대조하므로 대칭키 기반 인증이 아니다.

MAC 주소는 평문으로 노출되고 쉽게 위조할 수 있어 암호학적 인증이라기보다 단순 식별자 대조에 가깝다.

• OTP 인증: 토큰과 서버가 공유한 비밀값(시드)으로 같은 일회용 값을 생성해 비교하는 대칭키 방식이다.
• RFID 태그–리더 인증: 양측이 공유한 비밀키로 시도-응답을 수행하는 대칭키 기반 인증이 일반적이다.
• WEP 키 이용: 단말과 AP가 동일한 공유키를 미리 설정해 인증·암호화에 쓰는 대칭키 방식이다.

IPv4의 주소 방식은 유니캐스트·브로드캐스트·멀티캐스트이며, Anycast는 IPv6에서 주소 유형으로 정식 도입된 방식이다.

IPv6는 브로드캐스트를 없애고 유니캐스트·멀티캐스트·애니캐스트 세 가지 주소 유형을 둔다. 애니캐스트는 같은 주소를 가진 여러 인터페이스 중 가장 가까운 하나에 전달한다.

• Unicast: 하나의 송신자가 하나의 수신자에게 보내는 IPv4 기본 방식이다.
• Broadcast: 같은 네트워크의 모든 호스트에게 보내는 방식으로 IPv4에 존재한다.
• Multicast: 특정 그룹(D 클래스 주소)에 속한 호스트들에게 보내는 IPv4 방식이다.

㉠은 ESP, ㉡은 IKE이다.

ESP는 발신지 인증·무결성에 더해 암호화로 기밀성까지 제공하지만, AH는 인증·무결성만 제공한다. SA를 협상·생성하고 키를 교환하는 프로토콜은 IKE이다.

• ㉠에 AH를 넣는 조합: AH는 암호화 기능이 없어 데이터 기밀성 조건을 충족하지 못한다.
• ㉡에 OSPF를 넣는 조합: OSPF는 링크 상태 기반 라우팅 프로토콜로 SA 생성·키 교환과 무관하다.

SYN flood는 TCP 3-way 핸드셰이크, 즉 초기 연결 설정 단계를 악용하는 공격이다.

공격자가 SYN만 대량으로 보내고 마지막 ACK를 보내지 않으면, 서버는 SYN+ACK를 보낸 반개방(half-open) 연결을 백로그 큐에 쌓아 두다가 큐가 가득 차 정상 연결을 받지 못한다.

• 브로드캐스트 주소 대상: 브로드캐스트로 ICMP 응답을 증폭시키는 것은 Smurf 공격의 특징이다.
• 무결성 저하: SYN flood는 패킷 내용을 변조하는 공격이 아니라 자원을 고갈시키는 가용성 공격이다.
• 패킷 내용 엿보기: 스니핑에 해당하는 기밀성 침해 공격이다.

허니팟은 공격자를 끌어들이는 미끼이므로 쉽게 노출되는 곳에 두어야 하며, 숨겨 두는 것은 옳지 않다.

허니팟은 실제 자산처럼 꾸며 공격자의 접근을 유도하고 그 행위를 기록·분석하는 유인 시스템이다.

• 오래 머물게 함: 공격자를 허니팟에 붙잡아 두는 동안 관리자는 추적·대응을 준비할 수 있다.
• 행동패턴 수집: 공격 기법·도구 등 정보를 수집하는 것이 주요 목적이다.
• 중요 시스템 보호: 공격자의 관심을 허니팟으로 돌려 실제 중요 시스템 접근을 막는다.

지문은 라우터에서 패킷 필터링만 수행하는 스크리닝 라우터의 특징이다.

스크리닝 라우터는 IP 주소·포트 등 네트워크·전송 계층 헤더만 검사하므로 빠르고 저렴하며 클라이언트·서버 변경이 필요 없지만, 패킷 데이터 내용을 이용한 공격은 막지 못한다.

• 어플리케이션 프록시: 응용 계층에서 데이터 내용까지 검사하므로 데이터 공격을 차단하지 못한다는 지문과 맞지 않는다.
• 듀얼 홈 게이트웨이: 두 개의 네트워크 인터페이스를 가진 배스천 호스트가 응용 계층 수준에서 트래픽을 중계·통제하는 구조다.
• 싱글 홈 게이트웨이: 인터페이스가 하나인 배스천 호스트를 두고 응용 계층 수준까지 통제하는 구조로, 패킷 필터링만 하는 형태가 아니다.

RIP는 홉 수 16을 무한대(도달 불가)로 간주하므로 10이라는 설명이 틀렸다.

RIP의 최대 유효 홉 수는 15이며, 경로가 끊기면 해당 경로를 홉 수 16으로 광고하는 Route Poisoning으로 도달 불가를 알린다.

• 거리 벡터 알고리즘: RIP는 벨만-포드 기반 거리 벡터 라우팅 프로토콜이다.
• UDP 포트: RIP는 UDP 포트 520, IPv6용 RIPng는 UDP 포트 521을 사용한다.
• Triggered Update: 경로 정보가 바뀌면 갱신 주기를 기다리지 않고 즉시 전송해 수렴을 앞당긴다.

같은 데이터를 두 디스크에 동시에 기록하는 방식은 RAID 1(미러링)이다.

한 디스크가 고장 나도 다른 디스크의 복사본으로 바로 운용할 수 있지만, 저장 용량 효율은 절반이 된다.

• RAID 0: 데이터를 여러 디스크에 나누어 쓰는 스트라이핑으로, 중복이 없어 한 디스크만 고장 나도 데이터를 잃는다.
• RAID 2: 비트 단위 스트라이핑에 해밍 코드로 오류를 정정하는 방식이다.
• RAID 3: 바이트 단위 스트라이핑에 전용 패리티 디스크를 두는 방식이다.

발신억제(Source Quench)는 혼잡으로 라우터나 목적지 호스트의 버퍼가 넘칠 때 송신자에게 전송 속도를 줄이라고 알리는 오류 메시지이다.

ICMP는 IP 패킷 전달 중 오류·제어 정보를 알리는 네트워크 계층 프로토콜로, IP 데이터그램에 실려 전송된다.

• 전송계층에서 작동: ping 등 진단에 쓰이는 것은 맞지만 ICMP는 네트워크 계층 프로토콜이다.
• Parity bit 필드: ICMP 헤더는 오류 검출에 체크섬(Checksum) 필드를 사용하며 패리티 비트 필드는 없다.
• 시간초과 조건: 라우터가 TTL을 감소시켜 0이 되면 패킷을 폐기하고 시간초과 메시지를 보낸다.

기밀성은 정보보호의 목표 중 하나일 뿐 디지털 포렌식 증거 처리의 기본원칙에는 포함되지 않는다.

디지털 포렌식 기본원칙은 일반적으로 정당성·재현·신속성·연계보관성·무결성의 원칙으로 정리한다.

• 정당성의 원칙: 증거는 적법한 절차로 수집되어야 하며, 위법하게 수집된 증거는 증거능력을 잃는다.
• 재현의 원칙: 같은 조건에서 같은 분석을 하면 같은 결과가 나와야 한다.
• 연계보관성의 원칙: 증거의 획득·이송·분석·보관·제출 각 단계에서 담당자와 책임이 명확히 기록되어야 한다.

CSMA/CD는 충돌을 전제로 검출·재전송하는 방식이므로 패킷 손실이 거의 없다는 설명은 옳지 않다.

호스트와 트래픽이 늘수록 충돌이 잦아져 재전송이 늘고 효율이 떨어진다. 충돌을 회피하도록 설계된 방식은 무선 LAN의 CSMA/CA이다.

• 반송파 감지·충돌 검출: 전송 전 매체를 감지하고 전송 중 충돌을 검출하는 것이 CSMA/CD의 정의이다.
• 논리적 버스 토폴로지: 모든 호스트가 하나의 공유 매체를 경쟁적으로 사용하는 버스 구조에 기반한다.
• 충돌 시 대기 후 재전송: 충돌이 나면 재밍 신호를 보내고 백오프로 정한 임의 시간만큼 기다린 뒤 재전송한다.

UDP Flooding은 대역폭을 소진시키는 공격이므로 대역폭을 축소하면 오히려 피해가 커진다.

대응은 회선 대역폭을 충분히 확보하고 불필요한 UDP 트래픽을 걸러 내는 방향으로 한다.

• 패킷 크기 기반 차단: 공격 패킷이 비정상적으로 크거나 일정한 크기일 때 크기 기준으로 차단할 수 있다.
• 발신자 IP별 임계치: 특정 출발지에서 기준치 이상의 패킷이 들어오면 차단한다.
• 미사용 프로토콜 필터링: 서비스에 쓰지 않는 UDP 트래픽을 방화벽·라우터에서 차단한다.

워 드라이빙은 이동하며 보안이 취약한 무선 AP를 찾아내는 공격자의 탐색 기법이고, MAC 주소 인증은 주소 위조로 쉽게 우회되므로 보안 강화 방법으로 옳지 않다.

안전한 무선 네트워크 운영은 망 분리, 강력한 비밀번호와 주기적 변경, 전송 암호화, 접근통제와 WIPS 같은 탐지·차단 체계를 중심으로 한다.

• 업무용·방문자용 AP 분리: 외부인이 내부 업무망에 접근하지 못하게 하는 기본 접근통제이다.
• 비밀번호 주기적 변경·암호화 전송: 무단 접속과 무선 구간 도청을 막는다.
• 접근권한 통제·WIPS: 비인가 사용자와 불법(Rogue) AP를 탐지·차단한다.

오용탐지는 알려진 시그니처와 일치하는 것만 잡으므로 새로운 공격을 놓치는 미탐(False Negative)이 높다.

오용탐지는 오탐이 낮고 미탐이 높으며, 이상탐지는 정상 행위에서 벗어난 것을 잡아 미탐이 낮고 오탐이 높다.

• 오용탐지·오탐 낮음: 정확히 일치하는 패턴만 탐지하므로 정상을 공격으로 오판할 가능성이 낮다.
• 이상탐지·미탐 낮음: 기준에서 벗어나면 탐지하므로 알려지지 않은 공격도 잡아낼 수 있다.
• 이상탐지·오탐 높음: 정상 사용자의 평소와 다른 행동도 공격으로 판정할 수 있다.

두 네트워크를 연결하는 사이트 간(Site-to-Site) VPN은 일반적으로 IPSec으로 구성한다.

IPSec은 네트워크 계층에서 동작해 두 게이트웨이 사이의 모든 IP 트래픽을 터널 모드로 보호하므로 망 대 망 연결에 적합하다.

• 로그분석을 주요기능에 포함: VPN의 핵심 기능은 터널링·암호화·인증·접근제어이며 로그분석은 해당하지 않는다.
• 터널링이 무결성 보장: 터널링은 패킷을 캡슐화해 가상 경로를 만드는 것이고, 무결성은 별도의 인증·무결성 메커니즘이 제공한다.
• SSL VPN의 3계층 터널링: SSL VPN은 전송 계층 위의 SSL/TLS를 이용하며, 주로 원격 사용자의 접속에 쓰인다.

수신측이 송신측의 전송량·속도를 조절하는 기능은 흐름 제어이다.

수신 버퍼가 넘치지 않도록 정지-대기나 슬라이딩 윈도우 방식으로 한 번에 보낼 수 있는 양을 제한한다.

• 연결 제어: 통신 개체 간 연결의 설정·유지·해제를 담당한다.
• 오류 제어: 전송 중 손상·분실된 데이터를 검출하고 재전송 등으로 복구한다.
• 순서 제어: 데이터 단위에 순서 번호를 붙여 수신측에서 올바른 순서로 재조립하게 한다.

동일 수준의 자원을 원격지에 두고 Active-Standby로 대기하다가 재해 시 운영 상태로 전환하는 방식은 Hot Site이다.

Hot Site는 대기 중인 원격지 시스템에 데이터를 지속적으로 반영해 두므로 짧은 시간 안에 업무를 재개할 수 있다.

• Mirror Site: 주 센터와 원격지가 모두 Active-Active로 동시에 운영되어 복구가 사실상 즉시 이루어진다.
• Warm Site: 중요 업무 위주로 일부 자원만 갖추어 두므로 Hot Site보다 복구에 오래 걸린다.
• Cold Site: 장소와 전원 등 기본 설비만 확보하고 재해 후 장비를 들여오므로 복구 시간이 가장 길다.

TOE(평가대상)는 CC 평가를 받는 보안 제품·시스템을 말하므로 옳은 설명이다.

CC에서 PP는 제품 유형별 구현 독립적 요구사항이고, ST는 특정 제품의 구현 종속적 보안 명세로 구분된다.

• EAL 등급: EAL은 EAL1부터 EAL7까지 7단계이며, EAL1은 가장 낮은 보증 등급일 뿐 부적합 판정이 아니다.
• PP 설명: PP는 특정 제품 유형에 공통으로 요구되는 보안 요구사항 집합이고, 공급업체가 자사 제품의 보안 기능을 기술하는 문서는 ST이다.
• ST 설명: 공통적인 보안 요구사항을 모아 놓은 것은 PP의 설명이며, ST는 특정 TOE의 보안 기능과 보증 수단을 기술한 명세서이다.