N-IDS가 수집하여 처리하는 패킷들에서 다음과 같은 형태의 패킷들의 … | [정보보안기사 필기] 22년 1회차 기출문제 상세 페이지

S1이 SYN을 보내고 SYN+ACK가 돌아오면 ACK 대신 RST로 연결을 끊는 흐름이므로 TCP SYN 스캔(half-open 스캔)이다.
표에서 P2와 P4 포트는 SYN에 SYN+ACK로 응답했지만 S1이 곧바로 RST를 보내 3-way 핸드셰이크를 완성하지 않았다. 반면 P6 포트는 RST+ACK가 돌아왔으므로 닫힌 포트로 판별된다. 연결을 끝까지 맺지 않아 대상 서버 로그에 접속 기록이 남지 않는 것이 이 스캔의 목적이다.
TCP CONNECT 스캔이라면 SYN+ACK에 ACK로 답해 연결을 맺은 뒤 정상 종료 절차를 밟은 기록이 남아야 한다.
Stealth 스캔으로 분류하는 FIN·NULL·XMAS 스캔은 SYN 대신 비정상 플래그 조합을 보내는데, 여기서는 정상 SYN이 사용됐다.
SYN flooding 이라면 같은 포트로 SYN이 대량 반복되어야 하는데 목적지 포트가 P2·P4·P6 로 바뀌며 포트마다 한 번씩만 시도하고 있다.