[해양경찰 네트워크보안] 25년 1회차 기출문제 정답·해설 페이지

옳지 않은 것은 IPv4와 IPv6 모두 IPSec을 추가 설치해야 한다는 서술이다.
IPSec은 IPv6 설계 단계에서 기본 기능으로 포함되었고, IPv4에서는 별도로 추가해야 하는 선택 기능이다.
IPv4와 IPv6가 같은 LAN에서 함께 운영되는 것은 듀얼 스택 방식으로 가능하다.
IPv6는 브로드캐스트를 없애고 멀티캐스트·애니캐스트로 대체했다.
IPv6는 트래픽 클래스·플로 레이블 필드로 응용 특성에 따른 QoS를 지원한다.

옳지 않은 것은 UDP 헤더가 TCP 헤더보다 필드가 많다는 서술이다.
UDP 헤더는 출발지 포트·목적지 포트·길이·체크섬의 4개 필드뿐이고, TCP 헤더는 순서번호·확인응답번호·플래그·윈도 크기 등 훨씬 많은 필드를 가진다.
TCP는 연결지향, UDP는 비연결지향 프로토콜이다.
TCP는 순서번호로 세그먼트의 전송 순서를 보장한다.
일부 유실을 감내할 수 있는 실시간 전송에는 오버헤드가 적은 UDP가 더 효율적이다.

옳지 않은 것은 L3 스위치부터 페이로드 내용을 분석한다는 서술이다.
L3 스위치는 IP 헤더의 목적지 주소로 경로를 결정할 뿐이며, 페이로드(응용 데이터) 내용까지 분석하는 것은 L7 스위치의 기능이다.
더미 허브는 하나의 충돌 도메인이지만 스위치는 포트마다 충돌 도메인을 나누므로 충돌이 줄어든다.
라우터는 브로드캐스트 도메인을 분리하므로 브릿지보다 네트워크 간 대역폭 낭비를 줄인다.
VLAN은 물리 위치와 무관하게 일부 단말을 묶어 논리적인 LAN을 구성하는 기능이다.

침해사고의 처리·대응·예방·복구를 수행하는 조직은 CERT(침해사고 대응팀)이다.
CERT는 침해사고 접수·분석, 피해 복구 지원, 재발 방지 대책 수립 등을 수행하는 사고 대응 전담 조직이다.
PEM은 조직이 아니라 전자우편 보안 프로토콜이다.
CCRA는 공통평가기준(CC) 인증서를 회원국 간 상호 인정하는 협정이다.
ISMS-P는 정보보호 및 개인정보보호 관리체계 인증 제도이다.

옳은 내용은 WEP는 보안 수준이 낮다는 ㉠과 WPA3가 WPA2를 보완했다는 ㉢이다.
WEP는 RC4와 짧은 IV 재사용 문제로 키가 쉽게 복구되며, WPA3는 SAE 인증 등으로 WPA2의 약점을 보완했다.
㉡: CCMP는 AES 기반으로 RC4 기반의 TKIP보다 안전하므로 CCMP가 더 위험하다는 서술은 틀리다.
㉣: MAC 주소는 쉽게 위조할 수 있어 MAC 필터링만으로는 보안이 충분하지 않다.

옳은 내용은 가상화 컨테이너로 보안영역을 격리한다는 ㉡과 BYOD를 설명한 ㉢이다.
컨테이너 기술은 업무 영역과 개인 영역을 분리하고, BYOD는 개인 소유 기기를 업무에 활용하도록 허용하는 방식이다.
㉠: MDM은 분실 기기에 대한 원격 잠금과 원격 데이터 삭제(와이프)를 지원하므로 자료 삭제가 어렵다는 서술은 틀리다.
㉣: 샌드박스는 응용 프로그램을 격리된 공간에서 실행해 서로 간섭하지 못하게 하는 기술로, 통합·연결과는 반대 개념이다.

옳은 내용은 이메일 스푸핑은 L7 장치가 필요하다는 ㉡과 Promiscuous 모드를 설명한 ㉢이다.
이메일 위조는 메일 헤더·본문 등 응용계층 내용을 봐야 판별되고, Promiscuous 모드의 NIC는 자신에게 오지 않은 패킷까지 모두 수신해 스니핑에 쓰인다.
㉠: 스머프 공격은 ICMP Echo 요청을 브로드캐스트 주소로 보내는 공격으로, 라우터(L3)에서 다이렉트 브로드캐스트를 차단해 막을 수 있다.
㉣: DNS 질의·응답은 일반적으로 UDP로 전달되므로 DNS 스푸핑을 TCP 패킷 형태라고 한 서술은 틀리다.

옳은 내용은 원격지 노드를 LAN처럼 묶는다는 ㉠과 기밀 수준이 암호화 알고리즘에 좌우된다는 ㉡이다.
VPN은 공중망 위에 암호화 터널을 만들어 원격지를 하나의 사설망처럼 연결하며, 그 기밀성은 적용한 암호 알고리즘의 강도에 따른다.
㉢: PPTP·L2F·L2TP는 2계층이 맞지만 IPSec은 3계층 프로토콜이므로 IPSec을 5계층이라 한 서술은 틀리다.
㉣: 터널모드는 원래 IP 패킷 전체를 감싸고 새 IP 헤더를 덧붙이므로 전송모드보다 패킷이 더 크다.

㉠·㉡·㉢ 세 서술 모두 옳다.
방화벽은 경계를 통과하는 트래픽만 통제하므로 내부 호스트가 이미 감염되면 내부에서 시작된 연결을 막기 어려워 보안성이 크게 떨어진다.
㉡: 배스천 호스트는 내부와 외부 사이의 관문으로, 외부에서 내부로 들어오는 트래픽이 반드시 거치도록 구성하는 강화된 호스트이다.
㉢: NAT는 내부 사설 주소를 외부에 드러내지 않으므로 외부에서 내부 기기로의 직접 접근을 제한하는 효과가 있다.

설명하는 보안 기술은 SIEM(보안 정보 및 이벤트 관리)이다.
SIEM은 다양한 장비의 로그를 빅데이터 기반으로 수집해 상관분석과 포렌식 기능을 제공하고, 지능형 위협을 조기 경고하는 통합 모니터링 체계이다.
TMS는 네트워크 트래픽을 분석해 위협 수준을 판단·경보하는 위협관리시스템으로, 상관분석·포렌식 중심의 체계와는 다르다.
SOAR는 탐지된 위협에 대한 대응 절차를 자동화·조율하는 데 초점을 둔 기술이다.
NGFW는 애플리케이션 인식 등 기능을 갖춘 차세대 방화벽 장비이다.

바른 연결은 재현-같은 결과, 무결성-위·변조 금지, 정당성-적법 절차, 연계 보관성-추적 가능이다.
디지털 포렌식 원칙은 각 이름이 요구하는 성질을 그대로 떠올리면 짝지을 수 있다.
재현의 원칙: 같은 환경에서 같은 결과가 얻어져야 한다.
무결성의 원칙: 수집한 증거가 위조·변조되지 않아야 한다.
정당성의 원칙: 적법한 절차로 획득한 증거만 증거능력을 가진다.
연계 보관성의 원칙: 획득부터 이송·분석·보관·법정 제출까지의 과정이 추적 가능해야 한다.

바른 연결은 Ping of Death-분할 패킷 탐지, Heartbleed-OpenSSL 업데이트, Bonk·Boink-순서번호 조작, GET Flooding-응용수준 대응이다.
각 공격이 악용하는 계층과 대상을 보면 대응 방법이 정해진다.
Ping of Death: 규격보다 큰 ICMP 패킷을 잘게 분할해 보내므로, 분할된 패킷을 탐지해 의심·제거한다.
Heartbleed: OpenSSL의 하트비트 확장 취약점이므로 패치된 OpenSSL로 업데이트해 막는다.
Bonk·Boink: 패킷의 순서번호를 조작해 재조합 과정에서 시스템을 마비시키는 공격이다.
GET Flooding: 정상적인 HTTP GET 요청을 대량으로 보내는 공격이라 응용계층 수준의 대응이 필요하다.

옳지 않은 것은 ARP가 MAC 주소로 IP 주소를 구한다는 서술이다.
ARP는 IP 주소로 MAC 주소를 구하는 프로토콜이며, 반대로 MAC 주소로 IP 주소를 구하는 것은 RARP이다.
ARP 패킷은 이더넷 등 데이터링크 프레임에 캡슐화되어 전송된다.
ARP 테이블을 정적으로 고정하면 위조된 ARP 응답으로 캐시가 바뀌지 않아 ARP 스푸핑을 막을 수 있다.
ARP 패킷에는 송신자·수신자의 하드웨어(물리) 주소와 프로토콜(논리) 주소 필드가 모두 들어 있다.

설명에 해당하는 라우팅 프로토콜은 OSPF이다.
OSPF는 자율 시스템 내부에서 쓰는 링크 상태 라우팅 프로토콜로, 모든 라우터가 같은 링크 상태 데이터베이스를 바탕으로 최단 경로를 계산한다.
IGRP는 거리 벡터 방식의 내부 라우팅 프로토콜이다.
RIP는 홉 수를 기준으로 하는 거리 벡터 라우팅 프로토콜이다.
BGP는 자율 시스템 사이를 연결하는 경로 벡터 방식의 외부 라우팅 프로토콜이다.

바른 나열은 블루프린팅, 블루스나핑, 블루버깅, 블루재킹 순서이다.
블루투스 공격은 검색·정보 탈취·연결 악용·스팸 전송으로 구분해 기억한다.
㉠ 블루프린팅: 공격 대상 블루투스 장치를 검색하는 활동이다.
㉡ 블루스나핑: 취약점을 이용해 연락처 등 기기 정보에 무단 접근하는 공격이다.
㉢ 블루버깅: 취약한 연결 관리를 악용해 원격으로 기기를 제어하는 공격이다.
㉣ 블루재킹: 명함 등 메시지를 익명으로 스팸처럼 뿌리는 행위이다.

최적화된 경로를 다시 알려주는 ICMP 메시지는 Redirection(경로 재지정)이다.
라우터는 송신 노드가 비효율적인 경로를 쓰고 있으면 더 나은 게이트웨이를 알려주는 Redirect 메시지를 보내며, 이를 위조하면 ICMP 리다이렉트 공격이 된다.
Time Exceeded는 TTL이 0이 되거나 재조합 시간이 초과되었을 때 보낸다.
Destination Unreachable은 목적지·포트에 도달할 수 없을 때 보낸다.
Source Quench는 혼잡 시 송신 측에 전송 속도를 낮추라고 요청하는 메시지이다.

옳지 않은 것은 SMI가 객체의 유형과 연결(값과의 연관)에 관여한다는 서술이다.
SMI는 객체 명명·유형 정의·부호화의 일반 규칙만 정하며, 관리할 객체를 실제로 정의하고 객체와 값을 연관짓는 것은 MIB의 역할이다.
SNMP는 TCP/IP 네트워크의 장치를 관리하는 프로토콜로, 요청·응답에 UDP 포트 161, Trap에 UDP 포트 162를 사용한다.
에이전트는 Trap 메시지를 관리자에게 보내 비정상 상황을 알릴 수 있다.
SMI가 객체 이름 부여·유형 정의·부호화 규칙을 정의한다는 서술은 맞다.

괄호에 들어갈 장비는 웹 방화벽(WAF)이다.
게시판·파일 업로드가 있는 홈페이지는 SQL 인젝션·XSS·악성 파일 업로드 같은 웹 애플리케이션 공격에 노출되므로, HTTP 요청 내용을 검사하는 웹 방화벽이 필요하다.
네트워크 방화벽은 IP·포트 수준에서 통제하므로 허용된 웹 포트로 들어오는 공격 내용은 걸러내지 못한다.
게이트웨이는 서로 다른 네트워크를 연결하는 장치로, 웹 공격 방어 전용 장비가 아니다.
침입탐지 시스템은 공격을 탐지·경보하는 데 그쳐 웹 게시판 공격을 차단하는 요구에 맞지 않는다.

30개 서브넷에 쓰는 서브넷 마스크는 255.255.255.248이다.
서브넷 비트: $2^{5}=32 \ge 30$ 이므로 호스트 부분 8비트 중 5비트를 서브넷에 쓴다.
호스트 비트: 남은 3비트로 $2^{3}-2=6 \ge 5$ 이므로 호스트 5개 조건도 만족한다.
마지막 옥텟은 11111000이 되어 십진수 248, 즉 /29 마스크가 된다.
255.255.255.192는 서브넷 비트가 2비트라 서브넷이 4개뿐이다.
255.255.255.240은 서브넷 비트가 4비트라 서브넷이 16개뿐이다.
255.255.255.224는 서브넷 비트가 3비트라 서브넷이 8개뿐이다.

MAC 테이블을 넘치게 해 스위치를 허브처럼 만드는 기법은 스위치 재밍(Switch Jamming)이다.
위조된 출발지 MAC 주소를 대량으로 보내 MAC 주소 테이블을 가득 채우면, 스위치는 목적지를 찾지 못해 모든 포트로 플러딩하게 되어 스니핑이 가능해진다.
ICMP Redirect는 위조된 ICMP 경로 재지정 메시지로 피해자의 라우팅 경로를 공격자 쪽으로 바꾸는 기법이다.
ARP Spoofing은 위조한 ARP 응답으로 특정 호스트의 ARP 캐시를 오염시키는 기법이다.
ARP Redirect는 공격자가 자신을 게이트웨이(라우터)로 위장해 네트워크 전체 트래픽을 자신에게 오게 하는 기법이다.