네트워크 공격기법 1

3장 1절: 네트워크 기초, OSI 7계층, TCP/IP, 포트
3장 2절: ARP, ICMP, DNS, DHCP, HTTP, HTTPS, FTP, SSH 등 주요 프로토콜
3장 3절: 스니핑, 스푸핑, 세션 하이재킹, MITM, Replay Attack

스니핑 = 몰래 엿봄
스푸핑 = 신원을 속임
하이재킹 = 정상 연결이나 세션을 빼앗음
MITM = 중간에서 가로채고 조작함
Replay = 정상 데이터를 다시 보냄

스니핑은 네트워크 상에서 전송되는 패킷을 몰래 수집하거나 분석하여 계정 정보, 세션 정보, 개인정보 등을 탈취하는 공격이다.

스니핑 = 네트워크 도청

스니핑은 네트워크 상의 패킷을 몰래 수집하여 계정 정보, 세션 정보, 개인정보 등을 탈취하는 공격이다. 대응 방안으로는 HTTPS, SSH, SFTP, VPN 등 암호화 통신 사용, 평문 프로토콜 제거, 스위치 보안 설정, 네트워크 분리, 트래픽 모니터링 등이 있다.

스푸핑은 IP 주소, MAC 주소, DNS 응답, 이메일 발신자 등 신원 정보를 위조하여 정상 사용자나 시스템인 것처럼 속이는 공격이다.

스푸핑 = 속이기, 위장하기

ARP Spoofing
IP Spoofing
DNS Spoofing

ARP = IP 주소 → MAC 주소

ARP Spoofing = 거짓 ARP 응답으로 IP-MAC 매핑을 조작하는 공격

게이트웨이 IP의 MAC 주소는 내 MAC 주소야.

ARP Spoofing = 2계층 공격

ARP Spoofing은 거짓 ARP 정보를 전송하여 IP 주소와 MAC 주소의 매핑을 조작하는 공격이다. 이를 통해 피해자의 트래픽을 공격자에게 유도하여 스니핑, 중간자 공격, 세션 탈취가 발생할 수 있으며, 대응 방안으로 정적 ARP 설정, ARP 변조 탐지, Dynamic ARP Inspection, 네트워크 분리, 암호화 통신 사용 등이 있다.

IP Spoofing은 패킷의 출발지 IP 주소를 다른 시스템의 IP 주소로 위조하여 정상 사용자나 신뢰된 시스템처럼 보이게 하는 공격이다.

IP Spoofing = 출발지 IP 주소 위조

IP Spoofing은 패킷의 출발지 IP 주소를 위조하여 신뢰된 시스템처럼 보이게 하거나 공격 출처를 은폐하는 공격이다. 대응 방안으로는 Ingress/Egress Filtering, uRPF, ACL 적용, IP 기반 인증 지양, 암호학적 인증 적용, 비정상 트래픽 모니터링 등이 있다.

DNS Spoofing은 DNS 질의에 대한 응답을 위조하여 사용자가 정상 도메인을 입력해도 공격자가 지정한 IP 주소로 접속하게 만드는 공격이다.

DNS Spoofing = 도메인 이름 해석 결과를 속임

www.bank-example.com → 공격자 서버 IP

DNS Spoofing = 응답을 속임
DNS Cache Poisoning = 캐시에 거짓 정보를 저장시킴

DNS Spoofing은 DNS 응답을 위조하여 정상 도메인을 공격자가 지정한 IP 주소로 연결하게 만드는 공격이다. 대응 방안으로는 DNSSEC 적용, 신뢰할 수 있는 DNS 서버 사용, DNS 캐시 점검, Zone Transfer 제한, HTTPS 인증서 검증, DNS 질의 로그 모니터링 등이 있다.

로그인 성공
→ 세션 생성
→ 세션 ID 발급
→ 이후 요청에서 세션 ID로 사용자 식별

세션 하이재킹은 정상 사용자와 서버 사이에 설정된 세션을 공격자가 탈취하거나 가로채 정상 사용자 권한으로 서비스를 이용하는 공격이다.

세션 하이재킹 = 로그인 상태 탈취

세션 하이재킹은 정상 사용자의 세션 ID나 쿠키를 탈취하여 공격자가 해당 사용자 권한으로 서비스를 이용하는 공격이다. 대응 방안으로는 HTTPS 적용, HttpOnly·Secure·SameSite 쿠키 설정, 예측 불가능한 세션 ID 사용, 로그인 후 세션 재발급, 세션 타임아웃, 로그아웃 시 세션 폐기, 이상 행위 탐지 등이 있다.

MITM은 통신하는 두 당사자 사이에 공격자가 몰래 개입하여 데이터를 도청, 변조, 중계하거나 인증 정보를 탈취하는 공격이다.

MITM = 통신 중간에 끼어들기

MITM은 통신 당사자 사이에 공격자가 개입하여 데이터를 도청하거나 변조하고 인증 정보를 탈취하는 공격이다. 대응 방안으로는 HTTPS/TLS 적용, 인증서 검증, HSTS, VPN 사용, ARP Spoofing 탐지, DNSSEC 적용, 공용 Wi-Fi 사용 주의, MFA 적용 등이 있다.

Replay Attack은 정상적인 인증 메시지나 요청 데이터를 가로챈 후 이를 재전송하여 인증 우회나 중복 거래 등을 유발하는 공격이다.

Replay Attack = 정상 요청 다시 보내기

사용자 A가 10만 원 송금 요청

같은 송금 요청이 다시 처리될 수 있음

Replay Attack은 정상 인증 메시지나 요청 데이터를 가로챈 뒤 재전송하여 인증 우회나 중복 처리를 유발하는 공격이다. 대응 방안으로는 Nonce, Timestamp, Sequence Number, Challenge-Response, 메시지 인증코드 또는 전자서명, TLS 적용 등을 통해 요청의 재사용을 방지해야 한다.

스니핑 = 본다
스푸핑 = 속인다
하이재킹 = 빼앗는다
MITM = 중간에 낀다
Replay = 다시 보낸다

ARP = 2계층
IP = 3계층
TCP/UDP = 4계층
HTTP/DNS = 7계층

네트워크 공격을 방어하기 위해 평문 통신을 제거하고 암호화 통신을 적용해야 하며, 인증과 무결성 검증을 강화해야 한다. 또한 세션 보호 설정, 재전송 방지 기법, 네트워크 장비의 보안 기능, 로그 모니터링을 통해 공격을 탐지하고 피해를 줄여야 한다.

1. 공격자는 ARP Spoofing으로 피해자의 트래픽을 자신에게 유도한다.
2. 암호화되지 않은 HTTP 트래픽을 스니핑한다.
3. 세션 쿠키를 탈취한다.
4. 탈취한 세션으로 사용자 계정에 접근한다.
5. DNS Spoofing을 이용해 가짜 로그인 페이지로 유도할 수도 있다.
6. 통신 중간에서 데이터를 변조하면 MITM 공격이 된다.
7. 정상 요청을 가로채 다시 보내면 Replay Attack이 될 수 있다.

HTTPS 적용
세션 쿠키 보안 속성 적용
ARP Spoofing 탐지
네트워크 분리
DNSSEC 적용
인증서 검증
Nonce와 Timestamp 사용
로그 모니터링

스니핑은 네트워크 상에서 전송되는 패킷을 몰래 수집하거나 분석하여 계정 정보, 세션 정보, 개인정보 등을 탈취하는 공격이다. 대응 방안으로는 HTTPS, SSH, SFTP, VPN 등 암호화 통신 사용, 평문 프로토콜 제거, 스위치 보안 설정, 네트워크 분리, 트래픽 모니터링 등이 있다.

ARP Spoofing은 거짓 ARP 정보를 전송하여 IP 주소와 MAC 주소의 매핑을 조작하는 공격이다. 이를 통해 피해자의 트래픽을 공격자에게 유도하여 스니핑, 중간자 공격, 세션 탈취가 발생할 수 있으며, 대응 방안으로 정적 ARP 설정, ARP 변조 탐지, Dynamic ARP Inspection, 네트워크 분리, 암호화 통신 사용 등이 있다.

IP Spoofing은 패킷의 출발지 IP 주소를 위조하여 신뢰된 시스템처럼 보이게 하거나 공격 출처를 은폐하는 공격이다. 대응 방안으로는 Ingress/Egress Filtering, uRPF, ACL 적용, IP 기반 인증 지양, 암호학적 인증 적용, 비정상 트래픽 모니터링 등이 있다.

세션 하이재킹은 정상 사용자의 세션 ID나 쿠키를 탈취하여 공격자가 해당 사용자 권한으로 서비스를 이용하는 공격이다. 대응 방안으로는 HTTPS 적용, HttpOnly·Secure·SameSite 쿠키 설정, 예측 불가능한 세션 ID 사용, 로그인 후 세션 재발급, 세션 타임아웃, 로그아웃 시 세션 폐기, 이상 행위 탐지 등이 있다.

MITM은 통신 당사자 사이에 공격자가 개입하여 데이터를 도청하거나 변조하고 인증 정보를 탈취하는 공격이다. 대응 방안으로는 HTTPS/TLS 적용, 인증서 검증, HSTS, VPN 사용, ARP Spoofing 탐지, DNSSEC 적용, 공용 Wi-Fi 사용 주의, MFA 적용 등이 있다.

Replay Attack은 정상 인증 메시지나 요청 데이터를 가로챈 뒤 이를 재전송하여 인증 우회나 중복 처리를 유발하는 공격이다. 대응 방안으로는 Nonce, Timestamp, Sequence Number, Challenge-Response, 메시지 인증코드 또는 전자서명, TLS 적용 등을 통해 요청의 재사용을 방지해야 한다.

스니핑은 네트워크 상의 패킷을 몰래 수집하여 계정 정보, 세션 정보, 개인정보 등을 탈취하는 공격이다.

스푸핑은 IP 주소, MAC 주소, DNS 응답 등 신원 정보를 위조하여 정상 사용자나 시스템처럼 속이는 공격이다.

ARP Spoofing은 거짓 ARP 정보를 보내 IP-MAC 매핑을 조작하고 피해자의 트래픽을 공격자에게 유도하는 공격이다.

IP Spoofing은 패킷의 출발지 IP 주소를 위조하여 공격 출처를 은폐하거나 신뢰된 시스템처럼 보이게 하는 공격이다.

DNS Spoofing은 DNS 응답을 위조하여 정상 도메인을 공격자 IP로 연결하게 만드는 공격이다.

세션 하이재킹은 정상 사용자의 세션 ID나 쿠키를 탈취하여 해당 사용자 권한으로 서비스를 이용하는 공격이다.

MITM은 통신 당사자 사이에 공격자가 개입하여 데이터를 도청하거나 변조하는 공격이다.

Replay Attack은 정상 인증 메시지나 요청 데이터를 재전송하여 인증 우회나 중복 처리를 유발하는 공격이다.

Replay Attack 대응에는 Nonce, Timestamp, Sequence Number, Challenge-Response 등이 사용된다.

세션 보호를 위해 HTTPS, HttpOnly, Secure, SameSite, 세션 타임아웃, 로그아웃 시 세션 폐기를 적용해야 한다.

1. 스니핑이란 무엇인가?
2. 스니핑에 취약한 평문 프로토콜 예시 3가지를 쓰시오.
3. 스니핑 대응 방안 3가지를 쓰시오.
4. 스푸핑이란 무엇인가?
5. ARP Spoofing이란 무엇인가?
6. ARP Spoofing의 위험 3가지를 쓰시오.
7. IP Spoofing이란 무엇인가?
8. IP Spoofing 대응 방안 3가지를 쓰시오.
9. DNS Spoofing이란 무엇인가?
10. DNS Cache Poisoning이란 무엇인가?
11. 세션 하이재킹이란 무엇인가?
12. 세션 하이재킹 대응 방안 4가지를 쓰시오.
13. MITM 공격이란 무엇인가?
14. Replay Attack이란 무엇인가?
15. Replay Attack 대응 방안 4가지를 쓰시오.
16. Nonce란 무엇인가?
17. Timestamp가 Replay Attack 대응에 도움이 되는 이유는 무엇인가?
18. 스니핑, 스푸핑, MITM의 차이를 한 줄씩 쓰시오.

19. ARP 테이블에서 게이트웨이 IP의 MAC 주소가 갑자기 변경되었다.
20. 사용자가 정상 도메인을 입력했는데 가짜 로그인 페이지로 이동했다.
21. 동일한 세션 쿠키로 다른 지역에서 접속이 발생했다.
22. 정상 송금 요청과 동일한 요청이 짧은 시간에 반복 처리되었다.
23. Telnet으로 접속 중 계정 정보가 노출되었다.
24. 출발지 IP가 내부망에서 존재할 수 없는 주소로 기록되었다.

25. 스니핑의 개념과 대응 방안을 설명하시오.

26. ARP Spoofing의 개념과 위험, 대응 방안을 설명하시오.

27. IP Spoofing의 개념과 대응 방안을 설명하시오.

28. 세션 하이재킹의 개념과 대응 방안을 설명하시오.

29. Replay Attack의 개념과 대응 방안을 설명하시오.