[경찰간부후보생 시스템네트워크보안] 23년 1회차 기출문제 정답·해설 페이지

사용자·그룹 계정 데이터베이스를 관리하고 로그인 정보와 대조하는 구성 요소는 SAM(Security Account Manager)이다.
SAM은 계정과 패스워드 해시를 보관하며, LSA로부터 넘겨받은 로그인 입력 정보를 자신의 데이터베이스와 비교해 일치 여부를 돌려준다.
SRM: SAM이 인증한 사용자에게 SID 기반 접근 토큰을 만들고 객체 접근 권한을 검사하는 참조 모니터이다.
SMB: 파일·프린터 공유에 쓰는 네트워크 프로토콜로 인증 구성 요소가 아니다.
LSA: 로그인 요청을 받아 SAM에 검증을 넘기고 보안 정책·감사를 총괄하는 보안 서브시스템의 중심이다.

운영체제 내에 추가로 이식되어 모든 접근 행위를 통제하는 핵심 보안 요소는 보안 커널이다.
보안 커널은 참조 모니터 개념을 구현한 하드웨어·소프트웨어 집합으로, 보안 경계 안의 모든 주체·객체 접근을 중재하고 프로세스·메모리·입출력 자원을 관리한다.
접근 제어: 보안 커널이 수행하는 기능의 일부를 가리키는 일반 개념일 뿐 운영체제에 이식되는 구성체가 아니다.
침입 탐지: 이미 발생한 침입 징후를 감시·탐지하는 기술로 접근 행위 자체를 통제하지 않는다.
사용자 인증: 접속자의 신원을 확인하는 절차로 인증 이후의 자원 접근 통제와는 구분된다.

취약점이 알려지지 않았거나 알려졌어도 패치가 나오기 전에 이루어지는 공격은 제로데이(0-day) 공격이다.
패치 배포일을 기준으로 방어 수단이 아직 없는 기간(0일째)을 노린다는 의미이며, 시그니처 기반 탐지로는 막기 어렵다.
원데이 공격: 패치가 공개된 뒤 아직 패치를 적용하지 않은 시스템을 노리는 공격이다.
투데이 공격·올데이 공격: 보안 분야에서 쓰이는 정식 공격 분류가 아니다.

Sticky-Bit는 파일이 아니라 공유 디렉터리에 설정하는 특수 권한이므로 이를 파일에 설정한다는 설명이 옳지 않다.
/tmp처럼 누구나 쓸 수 있는 디렉터리에 Sticky-Bit를 걸면, 파일 소유자(또는 root)만 그 파일을 삭제·이름 변경할 수 있다. 표시는 other 실행 권한 자리에 t로 나타난다.
Set-UID 파일은 실행되는 동안 실행한 사용자가 아닌 파일 소유자 권한으로 동작한다는 설명은 옳다.
Set-GID가 설정됐는데 그룹 실행 권한이 없으면 대문자 S로 표시된다는 설명은 옳다.
chmod 8진수 모드에서 Set-UID 4, Set-GID 2, Sticky-Bit 1을 앞자리에 둔다는 설명은 옳다.

IP Spoofing은 발신지 IP를 위조해 신뢰 관계를 악용하는 공격으로, 스니핑 기법에 해당하지 않는다.
스위치 환경에서는 패킷이 목적지 포트로만 전달되므로, 스니핑을 위해서는 트래픽을 공격자 쪽으로 우회시키는 공격이 함께 쓰인다.
ARP Spoofing: 위조 ARP 응답으로 대상의 ARP 캐시(IP-MAC 대응표)를 오염시켜 트래픽을 공격자에게 흐르게 한다.
Switch Jamming: 위조 MAC 주소를 대량으로 보내 스위치 MAC 테이블을 넘치게 해 허브처럼 브로드캐스트하게 만든다.
ICMP Redirect: 위조 리다이렉트 메시지로 피해자의 라우팅 경로를 공격자 쪽으로 바꾼다.

Teardrop은 TCP 세그먼트가 아니라 IP 단편(fragment) 재조합 과정의 취약점을 이용하므로 옳지 않다.
Teardrop은 단편화 오프셋이 겹치거나 어긋나도록 조작한 IP 조각을 보내, 목적지에서 재조합할 때 오류·시스템 다운을 일으키는 IP 계층 공격이다.
3-way handshake로 양측의 초기 순서 번호(ISN)를 동기화하는 것이 연결 설정의 주목적이라는 설명은 옳다.
반개방 연결을 남기는 SYN 플러딩 서비스 거부 공격에 취약하다는 설명은 옳다.
ACK가 오지 않으면 재전송 타이머 만료 후 재전송해 신뢰성을 확보한다는 설명은 옳다.

utmp(x)는 현재 로그인 상태, wtmp(x)는 로그인·로그아웃·재부팅 이력, loginlog는 실패한 로그인, pacct는 수행 프로그램 기록이므로 ㉣ ㉢ ㉠ ㉡으로 연결된다.
utmp와 wtmp는 이름이 비슷해 함정이 되는데, utmp는 현재 상태(w·who), wtmp는 누적 이력(last)이라는 점으로 구분한다.
utmp(x): 현재 시스템에 로그인한 사용자 상태를 저장한다.
wtmp(x): 사용자의 로그인·로그아웃과 시스템 재부팅 정보를 저장한다.
loginlog: 실패한 로그인 시도를 기록하며 기본으로 생성되지 않아 직접 만들어야 한다.
pacct: 로그인한 모든 사용자가 실행한 프로그램 정보를 기록한다(lastcomm으로 확인).

CR·LF·EOF 같은 문자열 종료 문자를 조합해 canary 값을 만드는 방식은 Terminator canary이다.
strcpy·gets 같은 문자열 함수는 이 종료 문자를 만나면 복사를 멈추므로, 공격자가 canary를 그대로 덮어쓰며 넘어가기 어렵게 만든다.
Null canary: 0x00 값만으로 canary를 구성하는 방식이다.
Random canary: 프로그램 실행 시마다 무작위 값을 생성해 추측을 어렵게 하는 방식이다.
Return canary: 일반적으로 쓰이는 canary 분류가 아니다.

포트 포워딩은 일반 TCP 연결을 SSH 터널로 감싸 안전한 연결로 전달하는 서비스이다.
SSH 포트 포워딩은 로컬(또는 원격)의 특정 포트로 들어온 평문 트래픽을 암호화된 SSH 채널을 통해 상대편 포트로 넘겨, 텔넷·POP3 같은 평문 서비스를 암호화해 쓸 수 있게 한다.
Well-known 포트를 임시 포트로 전환하는 보안 절차라는 설명은 포트 포워딩의 정의가 아니다.
포트 포워딩은 특정 프로토콜이 아니라 연결을 중계하는 기법이다.
서비스가 활성화된 포트를 찾아내는 것은 포트 스캐닝에 대한 설명이다.

TRACE는 요청 메시지가 서버까지 어떻게 전달되는지 되돌려 받는 루프백 진단 메소드이며, 터널링 목적의 메소드는 CONNECT이므로 옳지 않다.
TRACE는 XST(Cross-Site Tracing) 공격에 악용될 수 있어 운영 서버에서는 비활성화가 권고되고, CONNECT는 프록시를 통한 SSL 터널 연결에 쓰인다.
GET은 서버에 지정 자원의 전송을 요청한다는 설명은 옳다.
PUT은 클라이언트가 지정 URI에 자원을 업로드(저장)한다는 설명은 옳다.
OPTIONS는 해당 자원에 허용되는 메소드 등 선택 사항 정보를 요청한다는 설명은 옳다.

옳은 설명은 S/MIME의 X.509 인증서 사용, SSO의 인증관리 효율화, promiscuous 모드의 필터링 해제로 ㉯, ㉱, ㉲이다.
정적 라우팅은 경로 위조에 강하지만 대규모 인터넷 라우터에 필수로 쓸 수 없고, RTP는 실시간 음성·영상 전송용 프로토콜이라 VPN 제공 수단이 아니다.
㉮: 인터넷 라우터는 동적 라우팅 프로토콜이 기본이며 정적 라우팅이 필수라는 설명은 틀리다.
㉯: S/MIME은 인증기관이 서명한 X.509 공개키 인증서를 사용하므로 옳다.
㉰: VPN은 IPsec·SSL/TLS·L2TP 등으로 구성하며 RTP로 제공하지 않으므로 틀리다.
㉱·㉲: SSO는 한 번의 인증으로 여러 시스템을 쓰게 해 인증 관리를 효율화하고, promiscuous 모드는 자신의 MAC이 아닌 프레임도 받도록 필터링을 해제하므로 옳다.

레이스 컨디션 공격에는 대상 프로그램이 root 소유이고 Set-UID가 설정되어 있으며, 생성되는 임시 파일 이름을 알아야 하므로 ㉮, ㉯, ㉰ 모두 필요하다.
공격자는 프로그램이 임시 파일을 만들기 직전 같은 이름의 심볼릭 링크를 걸어, root 권한으로 실행되는 프로그램이 링크 대상(예: 중요 시스템 파일)을 쓰게 만든다.
㉮: root 소유가 아니면 권한 상승 효과가 없어 공격 의미가 사라진다.
㉯: Set-UID가 있어야 일반 사용자가 실행해도 소유자(root) 권한으로 동작한다.
㉰: 임시 파일 이름을 알아야 그 경로에 미리 링크를 만들 수 있다.

해시 알고리즘 식별자 값이 6이면 MD5가 아니라 SHA-512를 뜻하므로 ㉮에 대한 설명이 옳지 않다.
shadow 패스워드 필드의 알고리즘 ID는 1이 MD5, 5가 SHA-256, 6이 SHA-512이며, 이어서 솔트와 해시 결과가 구분자로 이어진다.
㉯: 알고리즘 ID 다음 값은 해시 생성에 쓰인 솔트라는 설명은 옳다.
㉰: 마지막 값은 패스워드와 솔트를 조합해 해시한 결과라는 설명은 옳다.
㉱: 마지막 변경일(16570) 다음 필드 30은 변경 후 최소 사용 일수라는 설명은 옳다.

로그를 남기지 않도록 정상 연결을 맺지 않는 스텔스 스캔에 해당하는 것은 NULL 스캔과 XMAS 스캔이다.
두 스캔은 플래그를 모두 끄거나(NULL) FIN·URG·PSH를 켠(XMAS) 비정상 패킷을 보내, 닫힌 포트는 RST로 응답하고 열린 포트는 무응답이라는 차이로 상태를 판별한다.
TCP Open 스캔: 3-way handshake를 완료하는 Full Connect 방식이라 대상 시스템에 접속 로그가 남아 스텔스 스캔이 아니다.
UDP 스캔: UDP 포트 상태를 ICMP Port Unreachable 응답으로 판별하는 방식으로, 스텔스 스캔 분류에 들지 않는다.

APT 공격은 침입 → 기밀데이터 검색 → 운영방해 → 유출 순으로 진행된다.
사회공학 등으로 내부에 침입한 뒤 들키지 않게 은밀히 내부 시스템과 기밀데이터를 탐색하고, 권한 상승 등으로 목표 시스템을 장악·방해한 다음 최종적으로 정보를 외부로 유출한다.
운영방해 다음에 유출, 그 뒤에 검색을 두는 순서는 탐색 없이 유출부터 하는 셈이라 맞지 않다.
기밀데이터 검색을 침입보다 앞에 두는 순서는 내부 진입 전에 내부 데이터를 찾는 셈이라 맞지 않다.
검색·유출을 침입보다 먼저 두는 순서도 공격 흐름과 반대이다.

목록 수신(LIST)과 파일 1개 다운로드는 각각 별도의 데이터 연결을 쓰므로 데이터 연결이 2개 필요하며, 1개면 된다는 설명이 옳지 않다.
FTP의 제어 연결은 세션 내내 유지되지만, 데이터 연결은 전송 한 건마다 새로 열리고 전송이 끝나면 닫힌다. 따라서 목록 전송 1회와 파일 전송 1회에 데이터 연결이 두 번 만들어진다.
명령용 제어 연결과 데이터용 데이터 연결을 분리해 쓴다는 설명은 옳다.
응용계층과 전송계층 사이에 TLS/SSL을 넣은 FTPS로 안전한 전송이 가능하다는 설명은 옳다.
PASV 명령은 데이터 연결에 쓸 포트를 서버가 정해 알려 주는 수동 모드로, 포트 선택을 서버가 맡는다는 취지의 설명이다.

NTFS에서는 파일 권한이 디렉터리 권한에 우선하고 거부가 허용에 우선하므로 ㉯, ㉰가 옳다.
NTFS 접근 권한은 사용자와 그가 속한 그룹들에 부여된 허용 권한을 합산하는 누적 규칙을 따르므로 ㉮는 틀리다.
㉮: 사용자 권한과 그룹 권한은 합쳐져 적용되므로 누적되지 않는다는 설명은 틀리다.
㉯: 디렉터리에 접근 권한이 없어도 파일에 권한이 있으면 파일 권한이 적용되므로 옳다.
㉰: 어느 한 곳이라도 거부가 설정되면 허용보다 거부가 우선하므로 옳다.

소프트웨어의 동작 원리를 분석해 취약점·버그·악성코드를 파악하는 기술은 리버스 엔지니어링이다.
리버스 엔지니어링은 완성된 바이너리를 디스어셈블·디버깅해 구조를 거꾸로 밝혀내므로, 버퍼 오버플로 점검이나 악성코드 분석에 쓰이고 크랙(사용 제한 해제)에 악용되기도 한다.
샌드박스: 의심 프로그램을 격리된 환경에서 실행해 행위를 관찰하는 실행 환경이다.
16진수 편집기: 바이너리를 열람·수정하는 도구일 뿐 분석 기술 전체를 가리키지 않는다.
리버스 쉘: 피해 시스템이 공격자에게 역으로 접속해 쉘을 넘겨주는 공격 기법이다.

SYN Flooding, Smurf, Land 공격은 모두 발신지 IP 주소를 위조한다는 공통점이 있다.
SYN Flooding은 위조 주소로 SYN을 보내 반개방 연결을 쌓고, Smurf는 발신지를 피해자 IP로 바꿔 브로드캐스트 ICMP 응답을 몰리게 하며, Land는 발신지를 목적지와 같은 IP로 위조한다.
ICMP 패킷 이용: Smurf에만 해당하고 SYN Flooding은 TCP를 쓴다.
TCP 취약점 이용: SYN Flooding에 해당하지만 Smurf는 ICMP를 쓴다.
IP 단편화 이용: Teardrop·Ping of Death 계열의 특징이다.

SSID 모니터링, 인증 없는 AP 접속, MAC 주소 도용으로 무선망에 접속하는 위협은 비인가 접근이다.
세 사례 모두 권한이 없는 공격자가 취약한 설정을 이용해 무선 네트워크에 직접 접속한다는 점이 공통이다.
도청: 무선 구간의 전파를 수신해 통신 내용을 엿듣는 것으로 접속 자체가 목적이 아니다.
DDoS: 대량 트래픽이나 재밍으로 무선 서비스 가용성을 떨어뜨리는 공격이다.
불법 AP: 공격자가 정상 AP로 위장한 AP를 설치해 사용자를 유인하는 위협이다.

라우터를 지날 때 물리주소는 모두 바뀌고 IP 주소·포트 주소는 유지되므로 ㉯, ㉰, ㉱가 옳다.
MAC 주소는 홉 단위로 다시 쓰이는 링크 계층 주소이고, IP 주소와 포트 번호는 종단 간 주소라 (NAT가 없는 한) 변하지 않는다.
㉮: 2계층 스위치는 MAC 주소를 보고 프레임을 전달할 뿐 바꾸지 않으므로 틀리다.
㉯: 라우터는 다음 홉 전달을 위해 발신지·목적지 MAC을 새로 쓰므로 옳다.
㉰·㉱: 라우터는 3계층 이하만 처리하고 IP와 전송계층 포트를 그대로 두므로 옳다.

공급망 공격은 패치 배포 서버 등 소프트웨어 공급·배포 경로에 침입해 정식 패치에 맬웨어를 심는 방식이다.
사용자는 신뢰하는 공식 업데이트를 받는 것으로 감염되므로, 한 번의 침해로 다수 고객에게 피해가 확산된다.
거래처로 위장한 메일로 송금을 유도하는 것은 비즈니스 이메일 침해(BEC) 사기이다.
워드 파일 매크로로 감염시키는 것은 매크로 악성코드를 이용한 스피어피싱이다.
침입한 시스템의 정상 도구·표준 명령어로 공격하는 것은 LotL(Living off the Land) 기법이다.

다음 명령어의 오프셋을 저장하고 CS와 합쳐 다음 명령 주소를 만드는 레지스터는 ESP가 아니라 EIP이므로 옳지 않다.
ESP는 스택의 가장 윗부분(top) 주소를 가리키는 스택 포인터이며, 버퍼 오버플로 공격은 주로 스택에 저장된 복귀 주소를 덮어 EIP를 조작한다.
EAX는 입출력과 산술 연산, 함수 반환값 저장에 쓰는 누산기라는 설명은 옳다.
ECX는 루프 반복 횟수와 시프트 비트 수를 저장하는 카운터라는 설명은 옳다.
EBP는 현재 호출된 함수 스택 프레임의 기준(시작) 주소를 저장한다는 설명은 옳다.

Codenomicon 연구진(구글 연구원과 함께)이 발견한 OpenSSL의 심각한 취약점은 하트블리드(Heartbleed)이다.
TLS 하트비트 확장에서 요청한 길이를 검증하지 않아, 서버 메모리의 개인키·세션 정보 등이 최대 64KB씩 노출되는 취약점이다.
넷버스: 원격 제어용 백도어(트로이 목마) 프로그램이다.
스쿨버스: 넷버스와 유사한 원격 제어 백도어 프로그램이다.
루트킷: 침입 흔적과 악성 프로그램을 숨기는 도구 모음이다.

PGP도 공개키를 신뢰하기 위해 자체 형식의 공개키 인증서(신뢰의 웹)를 사용하므로, 인증서 없이 보안 기능을 제공한다는 설명이 옳지 않다.
PGP는 중앙 인증기관 대신 사용자들이 서로의 공개키에 서명하는 신뢰의 웹 방식으로 인증서를 관리한다는 점에서 X.509 기반 S/MIME과 차이가 있다.
수신자가 복호화·검증할 수 있도록 사용한 알고리즘과 식별자를 메시지에 포함해야 한다는 설명은 옳다.
본문은 대칭키로 암호화하고, 그 비밀키는 수신자 공개키로 암호화해 함께 보내는 하이브리드 방식이라는 설명은 옳다.
S/MIME은 RSA 보안 기술을 기반으로 MIME에 암호·서명 기능을 더한 표준이라는 설명은 옳다.

In-Line 방식은 대응장비 장애가 곧 네트워크 장애로 이어지므로 ㉯만 틀리고, 옳은 것은 ㉮, ㉰, ㉱이다.
In-Line은 트래픽 경로 한가운데 장비를 두어 직접 탐지·차단하고, Out of Path는 미러링(TAP)으로 복제된 트래픽을 받아 분석한 뒤 차단한다.
㉮: In-Line은 경로상에서 탐지와 차단을 직접 수행하며 가장 널리 구축되는 방식이므로 옳다.
㉯: In-Line 장비가 멈추면 경로 자체가 끊기므로 가용성에 영향이 없다는 설명은 틀리다.
㉰: Out of Path는 미러링 장비와 별도 분석·차단 구성이 더 필요해 상대적으로 구축 비용이 크므로 옳다.
㉱: 미러링 장비로 복제된 패킷을 받아 분석·차단한다는 설명은 옳다.

사용자 계정 유형(관리자·Guest·일반 사용자)을 나타내는 것은 마지막 RID(500)이므로, ㉯가 계정 유형을 나타낸다는 설명이 옳지 않다.
㉯ 부분(5-21)은 식별자 발급 기관과 시스템 종류(도메인 컨트롤러·단독 시스템)를 나타내며, RID 500은 Administrator, 501은 Guest, 일반 사용자는 1000 이상이다.
㉮: S-1은 윈도우 시스템의 SID임을 의미한다는 설명은 옳다.
㉰: 시스템 설치 시 시스템 특성을 수집해 생성한 고유 식별 값이라는 설명은 옳다.
㉱: 각 사용자를 숫자로 구분하는 고유 ID(RID)라는 설명은 옳다.

록히드마틴 사이버 킬 체인은 정찰 다음 무기화 → 전달 → 익스플로잇 → 설치를 거쳐 명령&제어, 실행으로 이어진다.
공격 도구를 만들고(무기화) 이메일 등으로 보내(전달) 취약점을 실행시킨 뒤(익스플로잇) 악성코드를 설치해 지속 거점을 확보하는 흐름이다.
설치를 전달보다 앞에 두는 순서는 도구가 도착하기 전에 설치하는 셈이라 맞지 않다.
설치를 익스플로잇보다 앞에 두는 순서는 취약점을 실행하기 전에 설치하는 셈이라 맞지 않다.
익스플로잇을 전달보다 앞에 두는 순서는 대상에 도달하기 전에 취약점을 실행하는 셈이라 맞지 않다.

CSRF가 성공하려면 피해자가 악성 페이지를 방문하기 전에 이미 타겟 사이트에 로그인해 세션이 살아 있어야 하므로, 방문 후 세션을 확립한다는 설명이 옳지 않다.
CSRF는 브라우저가 타겟 사이트로 요청할 때 기존 세션 쿠키를 자동 첨부하는 점을 악용해, 피해자 권한으로 위조 요청을 실행시킨다.
GET은 이미지 태그 등으로, POST는 자동 제출 폼 등으로 위조해 방법이 달라진다는 설명은 옳다.
피해자가 위조 요청을 발생시키는 악성 페이지를 방문해야 한다는 설명은 옳다.
요청 출처를 구별하는 비밀(CSRF) 토큰을 쓰는 것이 일반적 대응책이라는 설명은 옳다.

파일시스템별 전체 블록·사용량·여유량·사용률·마운트 위치를 KB 단위로 보여 주는 명령어는 df -k이다.
df는 파일시스템 단위 디스크 사용 현황을 출력하며, -k 옵션은 크기를 1K 블록 단위로 표시한다.
mount -t: 지정한 파일시스템 유형으로 장치를 마운트하거나 해당 유형만 목록에 표시한다.
du -k: 디렉터리·파일별 사용량을 KB 단위로 보여 주며 여유 공간·사용률은 출력하지 않는다.
repquota -a: 쿼터가 설정된 파일시스템의 사용자별 쿼터 현황을 보고한다.

컨테이너는 호스트 커널을 공유하므로 격리 수준이 VM보다 약하며, 기본적으로 VM보다 강하다는 설명이 옳지 않다.
VM은 하이퍼바이저 위에서 각자 독립된 게스트 OS 커널을 갖지만, 컨테이너는 네임스페이스·cgroup으로 프로세스만 분리하므로 커널 취약점 하나로 탈출이 가능하다.
컨테이너는 자신에게 할당된 파일시스템만 보이고 호스트 전체 파일시스템은 볼 수 없다는 설명은 옳다.
컨테이너는 호스트 컴퓨터의 커널을 공유한다는 설명은 옳다.
컨테이너 방화벽은 규칙을 벗어난 네트워크 연결 시도를 기록·보고한다는 설명은 옳다.

이 조각의 데이터는 2720바이트 지점부터 1000바이트이므로 다음 조각의 단편화 오프셋은 465이다.
헤더 길이: $5 \times 4 = 20\,\mathrm{B}$
데이터 길이: $1020 - 20 = 1000\,\mathrm{B}$
시작 위치: $340 \times 8 = 2720\,\mathrm{B}$
다음 오프셋: $\dfrac{2720 + 1000}{8} = 465$
오프셋 340은 앞에 2720바이트가 있다는 뜻일 뿐 두 번째 조각이라 단정할 수 없고, 같은 데이터그램의 조각은 식별자가 동일하다.
M비트 1과 0이 아닌 오프셋으로 중간 조각임은 알 수 있으나, 다음 조각이 마지막인지는 알 수 없다.
단편화된 조각은 중간 라우터가 아니라 최종 목적지 호스트에서 재조합된다.

ICMP Destination Unreachable은 경로상 라우터가 아니라 목적지 호스트가 보내는 메시지이므로, 라우터들이 두 메시지를 모두 보낸다는 설명이 옳지 않다.
traceroute는 TTL을 1부터 늘려 보내 각 라우터에게서 Time Exceeded를 받고, 목적지에 닿으면 사용하지 않는 UDP 포트 때문에 목적지 호스트가 Port Unreachable을 돌려준다.
메시지를 UDP 데이터그램에 담아 목적지에서 쓰지 않는 포트 번호로 보낸다는 설명은 옳다.
라우터 n개를 지나면 Time Exceeded n개와 Port Unreachable 1개로 최대 n+1개의 오류 메시지를 받는다는 설명은 옳다.
각 라우터와 목적지까지의 왕복 시간을 재기 위해 타이머를 설정한다는 설명은 옳다.

인터페이스·함수 호출 구조의 취약점을 분석하는 것은 시멘틱 분석기법, 가상화 환경에서 직접 실행해 이상 현상을 분석하는 것은 샌드박스 분석기법이다.
시멘틱 분석은 프로그램의 의미 구조(함수 호출 관계·인터페이스)를 따져 취약점을 찾는 정적 분석이고, 샌드박스 분석은 격리된 환경에서 실제로 실행해 보는 동적 분석이다.
소스코드 분석기법: 소스코드 자체의 보안 약점을 점검하는 기법으로 인터페이스·함수 호출 구조 분석과 구분된다.
행위탐지 분석기법: 실행 중 프로그램의 행위 패턴을 감시해 악성 여부를 판단하는 기법이다.
바이너리 분석기법: 컴파일된 실행 파일을 직접 분석하는 기법으로 가상화 실행 분석과 구분된다.

외부 접근이 가능한 웹·메일·DNS 서버를 두고 외부·내부 방화벽 사이에 위치하는 영역은 DMZ(Demilitarized Zone)이다.
DMZ는 외부 공개 서버를 내부망과 분리해 두어, 공개 서버가 침해되어도 더 엄격한 내부 방화벽이 내부망을 보호하도록 한다.
허니넷: 공격자를 유인해 행위를 관찰하려고 일부러 취약하게 구성한 미끼 네트워크이다.
인트라넷: 조직 구성원만 쓰는 내부 네트워크로 외부 공개 서버 영역이 아니다.
응용 레벨 게이트웨이: 응용 계층에서 트래픽을 중계·검사하는 프록시 방식 방화벽이다.

비즈니스 스캠은 스팸 메일로 감염 → 유사 E-mail 생성 → MITM 공격 → E-mail 스푸핑 순으로 진행된다.
악성 메일로 거래 당사자 PC를 감염시켜 메일 계정·거래 내용을 엿본 뒤, 비슷한 주소를 만들어 둔다. 이후 거래 메일 사이에 끼어들어(중간자) 결제 시점에 위장 메일로 계좌 변경을 통보한다.
E-mail 스푸핑을 맨 앞에 두는 순서는 거래 정보를 확보하기 전에 위장 메일을 보내는 셈이라 맞지 않다.
MITM 공격 뒤에 유사 E-mail을 만드는 순서는 끼어들 위장 수단 없이 중간자 공격을 하는 셈이라 맞지 않다.
유사 E-mail 생성과 MITM을 감염보다 앞에 두는 순서는 거래 정보를 엿보기 전에 공격하는 셈이라 맞지 않다.

RET로 끝나는 가젯을 체인으로 엮어 메모리 관련 함수의 인자를 구성하고 호출하는 DEP 우회 기법은 ROP(Return Oriented Programming)이다.
DEP로 스택에 올린 쉘코드를 실행할 수 없으므로, 이미 실행 권한이 있는 코드 조각을 이어 붙여 VirtualProtect 같은 함수로 실행 권한을 다시 부여하는 방식이다.
RTL: 복귀 주소를 system() 같은 라이브러리 함수로 바꿔 한 번 호출하는 기법으로, 가젯 체인을 쓰지 않는다.
ASLR: 메모리 주소를 무작위화하는 방어 기법이지 우회 방법이 아니다.
DEP 비활성화: 설정 자체를 끄는 것으로 가젯 체인과 관련이 없다.

체인에 설정된 규칙(정책 정보)을 모두 삭제하는 옵션은 -F(flush)이다.
iptables에서 -L 계열은 규칙을 조회할 뿐 변경하지 않으며, -F는 지정 체인(생략 시 전체 체인)의 규칙을 비운다.
-L: 체인에 설정된 규칙 목록을 출력한다.
-nL: 주소·포트를 이름으로 변환하지 않고 숫자로 목록을 출력한다.
-vL: 패킷·바이트 카운터 등 상세 정보를 포함해 목록을 출력한다.

전송모드의 IPsec 헤더는 데이터링크 프레임에 직접 캡슐화되는 것이 아니라 원래 IP 헤더와 전송계층 페이로드 사이에 삽입되므로 옳지 않다.
전송모드는 원래 IP 헤더를 그대로 두고 페이로드만 보호하며, 터널 모드는 원래 IP 패킷 전체를 감싸 새 IP 헤더를 붙인다.
전송모드는 주로 종단 호스트 간(호스트-대-호스트) 보호에 쓰인다는 설명은 옳다.
송신 호스트가 전송계층에서 내려온 페이로드만 보호한다는 설명은 옳다.
터널 모드와 달리 IP 헤더를 하나만 사용한다는 설명은 옳다.

사회공학 공격은 정보수집에 인터넷, 관계형성에 인물 위장, 공격에 감정에 호소, 실행에 도덕적 의무감 유발을 쓰는 흐름으로 정리된다.
공개된 인터넷 정보로 대상을 파악한 뒤 신뢰할 만한 인물로 위장해 관계를 맺고, 감정을 자극해 요구를 꺼내며, 도와야 한다는 의무감을 일으켜 실제 행동으로 옮기게 한다.
인물 위장–감정에 호소–인터넷–도덕적 의무감 유발 배열은 관계형성 수단인 인물 위장을 정보수집에, 정보수집 수단인 인터넷을 공격 단계에 둔 것이라 맞지 않다.
인물 위장–인터넷–도덕적 의무감 유발–감정에 호소 배열은 인물 위장과 인터넷의 단계를 뒤바꾸고 공격·실행 수단까지 어긋난다.
인터넷–인물 위장–도덕적 의무감 유발–감정에 호소 배열은 공격 단계와 실행 단계의 수단을 뒤바꾼 것이다.