다음은 스노트(snort)룰 예시이다. 룰의 구성에 대한 설명으로 틀린… | [정보보안기사 필기] 23년 1회차 기출문제 상세 페이지
1[정보보안기사 필기] 23년 1회차
다음은 스노트(snort)룰 예시이다. 룰의 구성에 대한 설명으로 틀린 것은?
alert tcp any any -> any 80 (msg:"HTTP Get Flooding Detect"; content:"GET/HTTP1"; depth 13; nocase; threshold; type threshold, track by src, count 10, seconds 1; sid:1000001)
1
alert를 발생하고 로그를 남긴다.
2
패턴 매칭시 대소문자를 구분한다.
3
content를 첫 번째 바이트로부터 13번째 바이트 범위안에서 검사한다.
4
출발지를 기준으로 매 1초동안 10번째 이벤트마다 action을 수행한다.
해설
룰에 nocase 옵션이 들어 있으므로 패턴 매칭에서 대소문자를 구분하지 않는다. 따라서 대소문자를 구분한다는 설명이 틀렸다.
나머지 설명은 룰 내용과 그대로 맞는다.
- 맨 앞의 action이 alert이므로 경고를 발생시키면서 동시에 로그를 남긴다
- depth 13은 페이로드 첫 바이트부터 13바이트 범위 안에서만 content 패턴 "GET/HTTP1"을 검사하라는 뜻이다
- track by src, count 10, seconds 1은 출발지 주소를 기준으로 1초 동안 10번째 이벤트마다 action을 수행하라는 threshold 설정이다
즉 이 룰은 80번 포트로 향하는 TCP 트래픽에서 HTTP GET 플러딩을 탐지하되, 알림이 폭주하지 않도록 발생 빈도를 제한한 구성이다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.