어느 회사의 메일 서버가 스팸 메일 발송 경유지로 악용하는 사례가 발생… | [정보보안기사 필기] 23년 1회차 기출문제 상세 페이지
1[정보보안기사 필기] 23년 1회차
어느 회사의 메일 서버가 스팸 메일 발송 경유지로 악용하는 사례가 발생하였다. 이 때 보안관리자는 pcap 파일을 통해 패킷 분석을 진행하고자 보기와 같은 필터링을 실행하였다. 다음 필터링 결과에 대한 설명으로 옳은 것은?
SMTP.req.command=="EHLO"
1
이메일 서비스 확장 지원 세션을 시작한 것을 필터링
2
SMTP 세션을 시작한 것을 필터링
3
서버에 인증을 시작한 것을 필터링
4
메일 데이터 전송을 한 것을 필터링
해설
이 필터는 확장 SMTP(ESMTP) 세션을 여는 인사 명령만 골라낸다.
SMTP 세션의 첫 인사 명령은 HELO이고, AUTH 인증·8비트 전송·SIZE 제한 같은 확장 기능을 쓰려는 클라이언트는 EHLO로 세션을 시작한다. 따라서 SMTP.req.command=="EHLO"로 걸러내면 이메일 서비스 확장을 지원하는 세션의 시작 지점만 추려진다.
단순히 SMTP 세션 시작 전체를 보려면 HELO도 함께 잡아야 하는데 이 필터는 EHLO만 지정하고 있다. 서버 인증 시작은 AUTH, 실제 메일 본문 전송은 DATA 명령이라 이 조건에 걸리지 않는다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.