주요 프로토콜 보안

OSI 7계층
TCP/IP 4계층
IP 주소
MAC 주소
ARP
TCP / UDP
포트 번호
스위치
라우터

프로토콜의 역할을 알고,
그 프로토콜이 어떤 보안 취약점과 연결되는지 알고,
안전한 대체 수단이나 대응책을 설명할 수 있어야 한다.

20, 21 FTP
22 SSH
23 Telnet
25 SMTP
53 DNS
67, 68 DHCP
80 HTTP
110 POP3
143 IMAP
443 HTTPS
161, 162 SNMP

IP 주소를 MAC 주소로 변환한다.

192.168.0.10 쓰는 장비 누구야?
MAC 주소 알려줘.

내가 192.168.0.10이야.
내 MAC 주소는 AA:BB:CC:DD:EE:FF야.

ARP는 동일 네트워크에서 IP 주소에 대응하는 MAC 주소를 알아내기 위한 프로토콜이다.

ARP Spoofing = 거짓 ARP 정보를 보내 MAC 주소 매핑을 속이는 공격

게이트웨이 IP는 내 MAC 주소야.

ARP Spoofing은 거짓 ARP 응답을 보내 IP 주소와 MAC 주소의 매핑 정보를 조작하는 공격이다. 이를 통해 피해자의 트래픽을 공격자에게 유도하여 스니핑, 중간자 공격, 세션 탈취 등이 발생할 수 있다.

ARP Spoofing 대응 방안으로는 정적 ARP 설정, ARP 변조 탐지, 스위치의 보안 기능 적용, 네트워크 분리, 암호화 통신 사용 등이 있다.

네트워크 상태 진단과 오류 메시지 전달

ping 8.8.8.8

ICMP는 IP 네트워크에서 오류 메시지 전달과 네트워크 진단에 사용되는 프로토콜이다.

ICMP는 네트워크 진단에 필요한 프로토콜이지만 Ping Scan, ICMP Flood, Smurf 공격 등에 악용될 수 있다. 대응 방안으로는 불필요한 ICMP 차단, 요청량 제한, 브로드캐스트 응답 차단, 방화벽 정책 적용, 트래픽 모니터링 등이 있다.

도메인 이름을 IP 주소로 변환한다.

example.com

93.184.216.34

DNS는 사용자가 입력한 도메인 이름을 해당 서버의 IP 주소로 변환해주는 시스템이다.

1. 사용자가 브라우저에 도메인 입력
2. PC가 DNS 서버에 IP 주소 질의
3. DNS 서버가 IP 주소 응답
4. PC가 해당 IP 주소로 접속

www.example.com의 IP 주소가 뭐야?
→ 203.0.113.10이야.

DNS = 53번 포트

DNS 응답을 위조하여 사용자를 공격자 IP로 유도하는 공격

DNS 서버의 캐시에 위조된 DNS 정보를 저장시켜 다수 사용자를 잘못된 IP로 유도하는 공격

DNS Spoofing은 DNS 응답을 위조하여 사용자가 정상 도메인을 입력해도 공격자가 지정한 IP 주소로 접속하게 만드는 공격이다. DNS Cache Poisoning은 DNS 서버의 캐시에 위조된 정보를 저장시켜 다수 사용자를 가짜 사이트로 유도할 수 있다.

DNS 보안을 위해 DNSSEC을 적용하여 응답 무결성을 검증하고, Zone Transfer를 제한하며, DNS 캐시와 비정상 질의를 모니터링해야 한다.

네트워크 장비에 IP 주소와 네트워크 설정을 자동으로 할당한다.

IP 주소
서브넷 마스크
게이트웨이
DNS 서버

DHCP는 클라이언트에게 IP 주소, 서브넷 마스크, 기본 게이트웨이, DNS 서버 등의 네트워크 설정을 자동으로 할당하는 프로토콜이다.

DHCP = 67, 68

Discover
Offer
Request
Ack

DORA = Discover → Offer → Request → Ack

게이트웨이 = 공격자 IP
DNS 서버 = 공격자 DNS

DHCP는 IP 주소와 네트워크 설정을 자동 할당하는 프로토콜이지만, 가짜 DHCP 서버나 DHCP Starvation 공격에 악용될 수 있다. 대응 방안으로는 DHCP Snooping, 포트 보안, IP-MAC 바인딩, 허가되지 않은 장비 차단, DHCP 로그 모니터링 등이 있다.

웹 브라우저와 웹 서버가 요청과 응답을 주고받기 위한 프로토콜

HTTP = 80

아이디, 비밀번호, 쿠키, 개인정보가 평문으로 노출될 수 있다.

HTTPS = HTTP + TLS 암호화

HTTPS = 443

HTTPS는 TLS를 이용하여 HTTP 통신을 암호화함으로써 도청과 변조를 방지하고, 인증서를 통해 서버 신원을 확인할 수 있게 한다.

HTTP는 웹 요청과 응답을 평문으로 전송하므로 도청과 변조에 취약하다. HTTPS는 TLS를 이용해 통신을 암호화하고 서버 인증서를 검증하므로 로그인 정보, 개인정보, 결제 정보 보호에 적합하다.

파일을 전송하기 위한 프로토콜

FTP = 20, 21

FTP = 평문 전송 위험

SFTP = SSH 기반 암호화 파일 전송

SFTP = 22

FTPS = FTP + TLS

SFTP는 SSH 기반이고, FTPS는 FTP에 TLS를 적용한 방식이다.

FTP는 계정 정보와 전송 데이터가 평문으로 노출될 수 있어 도청에 취약하다. 따라서 SFTP나 FTPS와 같은 암호화된 파일 전송 방식을 사용하고, 익명 접속 제한, 접근 IP 제한, 강력한 인증, 전송 로그 점검을 수행해야 한다.

Telnet = 23

아이디와 비밀번호가 암호화되지 않은 채 전송될 수 있다.

SSH = 22

Telnet은 평문으로 원격 접속 정보를 전송하므로 계정 정보 도청 위험이 있다. SSH는 암호화된 원격 접속을 제공하므로 Telnet 대신 사용해야 하며, root 직접 로그인 제한, 키 기반 인증, 접근 IP 제한, 로그인 실패 제한, 로그 모니터링을 적용해야 한다.

SMTP = 메일 송신

POP3 = 메일 수신

IMAP = 서버 보관 + 동기화 중심 메일 수신

SMTP는 메일 송신, POP3와 IMAP은 메일 수신에 사용되는 프로토콜이다. 메일 보안을 위해 SMTP 인증, TLS 암호화, SPF·DKIM·DMARC 적용, 스팸 필터링, 악성 첨부파일 검사, 사용자 피싱 교육을 수행해야 한다.

네트워크 장비와 서버의 상태를 관리하고 모니터링하는 프로토콜

장비 상태
CPU 사용률
메모리 사용률
인터페이스 트래픽
장애 이벤트
장비 설정 정보

SNMP = 161, 162

public
private

SNMP는 네트워크 장비의 상태를 관리하고 모니터링하는 프로토콜이지만, 기본 community string 사용이나 평문 전송으로 장비 정보가 노출될 수 있다. 대응 방안으로 기본 community string 변경, 접근 IP 제한, 쓰기 권한 제한, SNMPv3 사용, 불필요한 SNMP 비활성화가 필요하다.

시스템 시간을 동기화한다.

NTP = UDP 123

웹 서버 로그
DB 서버 로그
방화벽 로그
IDS 로그
사용자 PC 로그

신뢰할 수 있는 NTP 서버 사용
내부 기준 시간 서버 운영
외부 접근 제한
NTP 서버 설정 점검
시간 동기화 상태 모니터링

NTP는 시스템 시간을 동기화하는 프로토콜로, 침해사고 분석 시 여러 장비의 로그 시간을 일치시키기 위해 중요하다. 신뢰할 수 있는 NTP 서버를 사용하고, 외부 접근을 제한하며, 시간 동기화 상태를 주기적으로 점검해야 한다.

평문 프로토콜은 계정 정보와 데이터가 도청될 수 있으므로 암호화된 보안 프로토콜로 대체해야 한다.

1. 사용자는 DNS로 웹사이트 IP를 찾는다.
2. PC는 ARP로 게이트웨이 MAC 주소를 알아낸다.
3. HTTPS로 웹사이트에 접속한다.
4. 메일은 SMTP로 발송되고 IMAP으로 수신된다.
5. 관리자는 SSH로 서버에 접속한다.
6. 네트워크 장비는 SNMP로 모니터링된다.
7. 모든 장비는 NTP로 시간을 맞춘다.

프로토콜의 역할을 알고,
그 프로토콜이 평문인지 암호화인지 구분하고,
스푸핑·도청·변조·인증 취약점에 대한 대응책을 설명하는 것

ARP는 동일 네트워크에서 IP 주소에 대응하는 MAC 주소를 알아내기 위한 프로토콜이다. ARP Spoofing은 거짓 ARP 정보를 보내 IP-MAC 매핑을 조작하는 공격으로, 피해자의 트래픽을 공격자에게 유도하여 스니핑, 중간자 공격, 세션 탈취 등을 유발할 수 있다.

DNS Spoofing은 DNS 응답을 위조하여 사용자가 정상 도메인을 입력해도 공격자가 지정한 IP 주소로 접속하게 만드는 공격이다. DNS Cache Poisoning은 DNS 서버의 캐시에 위조된 DNS 정보를 저장시켜 다수 사용자를 가짜 사이트로 유도할 수 있는 공격이다.

HTTP는 웹 요청과 응답을 평문으로 전송하므로 도청과 변조에 취약하다. HTTPS는 TLS를 이용하여 통신을 암호화하고 서버 인증서를 검증하므로 로그인 정보, 개인정보, 결제 정보 보호에 적합하다.

Telnet은 원격 접속 시 계정 정보와 명령 내용이 평문으로 전송되어 도청에 취약하다. SSH는 통신을 암호화하여 원격 접속 정보를 보호하므로 Telnet 대신 사용해야 하며, root 직접 로그인 제한, 키 기반 인증, 접근 IP 제한 등의 보안 설정을 적용하는 것이 바람직하다.

FTP는 계정 정보와 파일 전송 데이터가 평문으로 전송될 수 있어 도청과 정보 유출에 취약하다. 대응 방안으로는 SFTP 또는 FTPS 사용, 익명 접속 제한, 접근 IP 제한, 강력한 인증, 파일 전송 로그 점검 등이 있다.

SNMP는 네트워크 장비 상태를 관리하고 모니터링하는 프로토콜이지만, 기본 community string 사용이나 평문 전송으로 장비 정보가 노출될 수 있다. 보안 강화를 위해 기본 community string을 변경하고, 접근 IP와 쓰기 권한을 제한하며, 인증과 암호화를 지원하는 SNMPv3를 사용하는 것이 바람직하다.

ARP는 동일 네트워크에서 IP 주소에 대응하는 MAC 주소를 알아내기 위한 프로토콜이다.

ARP Spoofing은 거짓 ARP 정보를 보내 IP-MAC 매핑을 조작하고 트래픽을 공격자에게 유도하는 공격이다.

ICMP는 네트워크 진단과 오류 메시지 전달에 사용되며, ping에서 사용된다.

DNS는 도메인 이름을 IP 주소로 변환하는 시스템이다.

DNS Spoofing은 DNS 응답을 위조하여 사용자를 공격자 IP로 유도하는 공격이다.

DHCP는 클라이언트에게 IP 주소, 서브넷 마스크, 게이트웨이, DNS 서버 등을 자동 할당하는 프로토콜이다.

DHCP DORA 과정은 Discover, Offer, Request, Ack 순서이다.

HTTP는 평문 웹 통신이고, HTTPS는 TLS를 이용해 웹 통신을 암호화한다.

FTP와 Telnet은 평문 전송 위험이 있으므로 SFTP, FTPS, SSH 같은 보안 프로토콜을 사용하는 것이 바람직하다.

SMTP는 메일 송신, POP3와 IMAP은 메일 수신에 사용된다.

SNMP는 네트워크 장비 관리 프로토콜이며, 기본 community string 변경과 SNMPv3 사용이 필요하다.

NTP는 시스템 시간을 동기화하며, 로그 분석의 정확성을 위해 중요하다.

1. ARP의 역할은 무엇인가?
2. ARP Spoofing이란 무엇인가?
3. ICMP는 어떤 용도로 사용되는가?
4. DNS의 역할은 무엇인가?
5. DNS Spoofing이란 무엇인가?
6. DNS Cache Poisoning이란 무엇인가?
7. DHCP의 역할은 무엇인가?
8. DHCP DORA 과정을 순서대로 쓰시오.
9. Rogue DHCP란 무엇인가?
10. HTTP와 HTTPS의 차이는 무엇인가?
11. FTP의 보안상 문제점은 무엇인가?
12. SFTP와 FTPS의 차이는 무엇인가?
13. Telnet 대신 SSH를 사용해야 하는 이유는 무엇인가?
14. SMTP, POP3, IMAP의 역할을 각각 쓰시오.
15. SNMP는 무엇이며, 보안상 주의할 점은 무엇인가?
16. NTP가 보안에서 중요한 이유는 무엇인가?

17. FTP
18. SSH
19. Telnet
20. SMTP
21. DNS
22. DHCP
23. HTTP
24. POP3
25. IMAP
26. SNMP
27. HTTPS
28. NTP

29. ARP의 역할과 ARP Spoofing의 위험을 설명하시오.

30. DNS Spoofing과 DNS Cache Poisoning을 설명하시오.

31. HTTP와 HTTPS의 차이를 설명하시오.

32. Telnet 대신 SSH를 사용해야 하는 이유를 설명하시오.

33. SNMP 보안 강화 방안을 설명하시오.