[9급 국가직 네트워크보안] 18년 1회차 기출문제 정답·해설 페이지

멀티캐스트 그룹 가입·탈퇴 등 그룹 멤버십을 보고하는 기능은 ICMP가 아니라 IGMP(Internet Group Management Protocol)가 담당한다.
ICMP는 IP 계층에서 전달 과정의 오류와 제어 정보를 송신측에 알리는 프로토콜이다.
전송 중 발생한 오류를 알리는 기능은 Destination Unreachable 등 ICMP 메시지가 수행한다.
네트워크 혼잡을 알리는 기능은 Source Quench 메시지로 ICMP가 수행한다.
시간 초과(TTL 소진)를 알리는 기능은 Time Exceeded 메시지로 ICMP가 수행한다.

스크리닝 라우터와 베스천 호스트를 함께 두어 2단계로 방어하는 스크린된 호스트 게이트웨이 구성이다.
경계의 스크리닝 라우터가 패킷 필터링으로 1차 방어를 맡고, 내부의 베스천 호스트가 프록시로 2차 방어를 맡으며 서로를 거치지 않은 접속을 모두 거부한다.
스크리닝 라우터만으로는 패킷 필터링 1차 방어에 그쳐 베스천 호스트의 프록시 방어가 빠진다.
단일 홈 게이트웨이는 베스천 호스트 하나로 방어하는 구성으로, 스크리닝 라우터와의 2단계 구성을 가리키지 않는다.
이중 홈 게이트웨이는 네트워크 인터페이스 두 개를 가진 베스천 호스트 단독 구성으로, 라우터와 호스트가 서로를 강제하는 2단계 구성이 아니다.

전송 계층의 PDU는 세그먼트, 네트워크 계층은 패킷, 데이터링크 계층은 프레임이므로 순서대로 세그먼트·패킷·프레임이다.
상위 계층 데이터는 전송 계층에서 세그먼트로, 네트워크 계층에서 패킷(데이터그램)으로, 데이터링크 계층에서 프레임으로 캡슐화되어 전달된다.

DNS 질의는 nslookup, 접속성 확인은 ping, 경유 라우터 추적은 tracert, 네트워크 연결 상태 확인은 netstat 명령이다.
도메인 네임 조회와 IP 매핑 확인은 nslookup이, 대상 장비까지의 도달성 확인은 ping이 수행한다.
패킷이 거쳐 가는 라우터의 경로 추적은 tracert가, 전송 프로토콜·라우팅 테이블·연결 상태와 통계 표시는 netstat가 수행한다.

IKE는 보안 연관 수립과 키 교환뿐 아니라 인증서 기반의 개체 인증도 제공하므로, 인증서를 통한 개체 인증을 제공하지 않는다는 설명은 옳지 않다.
IKE는 1단계에서 사전 공유 키, 디지털 서명, 공개키 암호 등 여러 방식으로 상대를 인증한 뒤 안전한 채널을 만든다.
AH가 인증·무결성은 제공하나 기밀성은 제공하지 않는다는 설명은 옳다.
ESP가 기밀성·인증·무결성을 제공하며 전송 모드와 터널 모드 모두에서 동작한다는 설명은 옳다.
MIB가 IPsec의 보안 정책이나 관리 정보를 저장하는 자료구조로 쓰일 수 있다는 설명은 옳다.

목적지 주소만 확인하고 곧바로 전송해 지연을 최소화하는 컷스루(cut-through) 방식이다.
프레임 전체를 받기 전에 전달을 시작하므로 오류 검사를 하지 않아, 오류가 있는 프레임은 목적지 장치에서 폐기된다.
저장 후 전송 방식은 프레임 전체를 버퍼에 받아 오류를 검사한 뒤 보내므로 지연이 더 크다.
반이중 방식은 송신과 수신을 번갈아 하는 통신 방식으로 스위치의 프레임 전달 처리 방식이 아니다.
전이중 방식은 송신과 수신을 동시에 하는 통신 방식으로 역시 프레임 전달 처리 방식이 아니다.

DHCP를 이용한 NAC는 단말에 IP 주소를 할당·제어하는 방식이지 공인인증서를 기반으로 URL을 할당하는 방식이 아니므로 옳지 않다.
NAC는 네트워크에 접속하려는 단말의 보안 상태를 점검해 접속 허용 여부를 결정하는 체계다.
단말의 보안정책 준수 여부를 검사해 접속을 통제한다는 설명은 옳다.
정책에 따라 특정 단말에 보안 소프트웨어 설치를 유도할 수 있다는 설명은 옳다.
인증을 위해 Active Directory, Kerberos, LDAP 등을 사용한다는 설명은 옳다.

SHA-1이 생성하는 메시지 다이제스트의 길이가 160비트라는 설명이 옳다.
나머지 설명은 SHA-2 계열의 라운드 수와 입력 길이 한계를 잘못 기술하고 있다.
SHA-512와 SHA-384는 한 블록 처리 시 라운드 수가 같으므로, SHA-512가 더 많은 라운드를 거친다는 설명은 틀리다.
SHA-256의 입력 메시지 최대 길이는 $2^{128}$ 비트가 아니라 $2^{64}$ 비트 미만이므로 틀리다.
SHA-512의 입력 메시지 최대 길이는 $2^{512}$ 비트가 아니라 $2^{128}$ 비트 미만이므로 틀리다.

여섯 개의 제어 플래그를 순서대로 읽으면 ACK와 FIN 비트만 1이 되어, 두 플래그가 설정된 상태를 뜻한다.
제어 플래그는 상위 비트부터 URG, ACK, PSH, RST, SYN, FIN 순으로 배열된다.
주어진 값 010001을 이 순서에 대입하면 URG=0, ACK=1, PSH=0, RST=0, SYN=0, FIN=1이 되어 ACK와 FIN이 켜진다.

WEP가 RC4를 기본 암호 알고리즘으로 쓴다는 설명과 WEP가 사전 공유 비밀키로 인증한다는 설명이 옳다.
RC4 스트림 암호 기반의 WEP는 사전에 공유한 비밀키로 공유키 인증을 수행한다.
RADIUS는 액세스 포인트와 무선 단말기 사이가 아니라 액세스 포인트와 인증 서버 사이에서 동작하므로 틀리다.
802.1X에서 인증자는 액세스 포인트(또는 스위치)이고 RADIUS 서버는 인증 서버 역할이므로, 인증자가 RADIUS 서버라는 설명은 틀리다.

NULL·FIN·XMAS 스캔은 포트가 닫힌 경우에 RST가 돌아오고 열린 경우에는 응답이 없으므로, 열린 경우에만 RST가 온다는 설명은 반대로 기술되어 옳지 않다.
이들 스캔은 플래그 조합이 비정상인 세그먼트를 보내 닫힌 포트의 RST 응답 유무로 상태를 추정한다.
TCP Full Open 스캔에서 열린 포트는 3-way handshake 전 과정을 거친다는 설명은 옳다.
TCP Half Open 스캔에서 SYN+ACK를 받은 뒤 즉시 RST로 연결을 끊는다는 설명은 옳다.
UDP 스캔에서 닫힌 포트는 ICMP unreachable을 보내고 열린 포트는 응답이 없다는 설명은 옳다.

제시된 보기 중 Smurf 공격이 가용성을 침해하는 서비스 거부(DoS) 공격에 해당한다.
Smurf 공격은 출발지를 피해자 주소로 위조한 ICMP 요청을 브로드캐스트로 보내 다수의 응답이 피해자에게 몰리게 하는 증폭형 서비스 거부 공격이다.
도청(Eavesdropping)은 전송 정보를 몰래 엿보는 기밀성 침해 공격이다.
중간자(Man-In-The-Middle) 공격은 통신 사이에 끼어드는 공격으로 서비스 거부 유형이 아니다.
스텔스 스캔(Stealth Scan)은 탐지를 피해 포트를 조사하는 정보 수집 행위다.

PKI와 FDS를 설명한 두 항목이 다른 기술의 기능을 잘못 가져다 붙여 옳지 않은 설명에 해당한다.
패킷을 분석해 비정상 패턴을 차단하는 것은 PKI가 아니라 IDS/IPS의 기능이고, 다양한 네트워크 기기의 인증을 통합 제어하는 것은 FDS가 아니라 NAC의 기능이다(PKI는 공개키 인증서 발급·관리 기반, FDS는 이상 거래 탐지 시스템).
하나의 인증으로 연결된 다른 시스템에 재인증 없이 로그인한다는 SSO 설명은 옳다.
문서의 열람·편집·출력 등 접근 권한을 설정한다는 DRM 설명은 옳다.

장기 비밀키가 노출되어도 그 이후 새로 생성되는 세션키의 안전성이 지켜지는 성질인 완전 순방향 비밀성(Perfect Forward Secrecy)이다.
매 세션마다 독립적인 키 교환으로 세션키를 새로 만들기 때문에, 과거의 장기 키가 드러나도 이전·이후 세션키는 복원되지 않는다.
영지식 인증(Zero-Knowledge Authentication)은 비밀 자체를 노출하지 않고 알고 있음을 증명하는 기법으로 세션키 보호 성질과 다르다.
제2 역상 저항성(Second Preimage Resistance)은 해시함수의 성질로 키 노출과 무관하다.
역암호(Inverse Cipher)는 복호화 변환을 가리키는 용어로 순방향 비밀성과 관계없다.

CBC(Cipher Block Chaining) 모드만 복호화 시 블록암호의 복호화 알고리즘을 사용하므로, 암호화와 복호화 알고리즘이 모두 필요하다.
나머지 모드는 복호화할 때도 블록암호의 암호화 알고리즘만 사용한다.
CFB는 이전 암호문을 암호화 함수에 넣어 키스트림을 만들므로 복호화에도 암호화 알고리즘만 쓴다.
OFB는 피드백된 출력을 암호화 함수에 반복 입력하므로 복호화에도 암호화 알고리즘만 쓴다.
CTR은 카운터 값을 암호화 함수에 넣어 키스트림을 만들므로 복호화에도 암호화 알고리즘만 쓴다.

PTR 레코드는 IP 주소를 도메인 이름으로 매핑하는 역방향 조회용이므로, 도메인 이름에 IP 주소를 매핑한다는 설명은 옳지 않다.
도메인 이름을 IP 주소로 매핑하는 것은 A(또는 AAAA) 레코드의 역할이다.
NS 레코드가 도메인마다 하나 이상 있으며 DNS 서버를 가리킨다는 설명은 옳다.
MX 레코드가 해당 도메인으로 온 메일을 받는 호스트를 지정한다는 설명은 옳다.
CNAME 레코드가 호스트의 별칭을 정의한다는 설명은 옳다.

Inverse DNS Lookup은 IP 주소로 도메인 이름을 역조회하는 기법으로, 세션 하이재킹 과정에서 나타나는 징후를 잡아내는 대책이 아니므로 옳지 않다.
세션 하이재킹은 공격자가 순서 번호를 가로채 연결을 탈취하는 공격으로, 그 과정에서 생기는 비정상 징후를 탐지해 대응한다.
탈취 과정에서 발생하는 ACK Storm을 탐지하는 것은 유효한 대책이다.
패킷 유실과 재전송 증가를 탐지하는 것은 유효한 대책이다.
순서 번호가 어긋난 비동기 상태를 탐지하는 것은 유효한 대책이다.

Man-In-The-Browser 공격은 브라우저 내부에서 복호화된 뒤의 데이터를 조작하므로 SSL/TLS로 통신 구간을 암호화해도 방어되지 않는다 — 따라서 통신 구간 암호화로 대응한다는 설명은 옳지 않다.
이 공격은 브라우저에 심어진 악성코드가 화면에 표시되는 내용과 전송 직전의 입력을 가로채 위·변조한다.
피싱이 진짜와 똑같이 꾸민 가짜 사이트로 개인정보를 탈취한다는 설명은 옳다.
파밍이 DNS를 속여 사용자를 가짜 사이트로 유도해 개인정보를 탈취한다는 설명은 옳다.

이상 탐지의 정의와 False Negative의 정의를 바르게 기술한 두 항목이 옳다.
이상 탐지는 오랜 기간 수집한 정상 행동 패턴과의 통계적 편차로 공격을 찾아내며 호스트 기반과 네트워크 기반에 모두 적용할 수 있고, False Negative는 실제 공격을 탐지하지 못하는 미탐을 뜻한다.
스택 영역을 실행 불가능하게 만드는 것은 공격을 탐지하는 침입탐지가 아니라 공격을 막는 예방 기법이므로 침입탐지 시스템의 기능 설명으로 옳지 않다.
오용 탐지는 이미 알려진 공격 패턴에 의존하므로 제로데이 같은 새로운 공격은 탐지하지 못해, 새로운 공격을 탐지한다는 설명은 옳지 않다.

이용자가 의도하지 않은 요청을 공격자가 대신 수행하게 만드는 크로스 사이트 요청 변조(CSRF) 취약점이다.
스크립트가 사용자의 브라우저가 아니라 웹사이트(서버) 측에서 처리되어, 로그인된 사용자의 권한으로 공격자가 의도한 작업이 실행되는 점이 특징이다.
SQL 명령 삽입은 입력값에 SQL 구문을 끼워 넣어 데이터베이스를 조작하는 공격으로 설명과 다르다.
안전하지 않은 직접 객체 참조는 접근 통제 없이 내부 객체 식별자를 노출·조작하는 취약점으로 설명과 다르다.
취약한 인증 및 세션 관리는 인증·세션 처리의 허점을 이용하는 취약점으로 설명과 다르다.