네트워크 공격기법 2

스니핑
스푸핑
ARP Spoofing
IP Spoofing
DNS Spoofing
세션 하이재킹
MITM
Replay Attack

DoS와 DDoS의 차이를 설명하시오.
SYN Flooding 공격의 원리와 대응 방안을 설명하시오.
DDoS 공격 대응 절차를 설명하시오.
Reflection Attack과 Amplification Attack을 설명하시오.

DoS는 공격자가 서버, 네트워크, 애플리케이션의 자원을 고갈시키거나 장애를 유발하여 정상 사용자가 서비스를 이용하지 못하게 만드는 공격이다.

DoS = 서비스를 못 쓰게 만드는 공격

페이지가 열리지 않음
로그인이 안 됨
서버 응답이 매우 느림
네트워크가 마비됨

DoS는 가용성을 침해한다.

DDoS는 공격자가 다수의 감염된 시스템이나 분산된 공격 지점을 이용하여 대량의 트래픽 또는 요청을 발생시켜 대상 서비스의 가용성을 침해하는 공격이다.

DDoS = 여러 곳에서 동시에 때리는 서비스 마비 공격

DoS는 단일 공격자가 서버나 네트워크 자원을 고갈시켜 서비스를 방해하는 공격이고, DDoS는 다수의 분산된 공격 지점을 이용해 대량의 트래픽을 발생시키는 공격이다. DDoS는 출발지가 다양하고 트래픽 규모가 커서 탐지와 차단이 더 어렵다.

공격자
→ 명령 제어 서버 또는 공격 지시
→ 감염된 다수의 좀비 PC, 봇
→ 피해 서버로 대량 트래픽 전송

봇넷은 악성코드에 감염되어 공격자의 명령을 받는 다수의 시스템으로 구성된 네트워크이다.

SYN Flooding
UDP Flooding
ICMP Flooding
Smurf Attack
Reflection / Amplification Attack
Slow HTTP 공격

SYN → SYN/ACK → ACK

SYN Flooding은 공격자가 다수의 SYN 요청을 보내고 최종 ACK를 보내지 않아 서버의 연결 대기 자원을 고갈시키는 DoS 공격이다.

SYN만 많이 보내고 연결을 끝내지 않는 공격

Half-open connection이 다량 발생한다.

SYN Flooding은 TCP 3-Way Handshake 과정에서 다수의 SYN 요청을 보내고 최종 ACK를 보내지 않아 서버의 연결 대기 자원을 고갈시키는 공격이다. 대응 방안으로는 SYN Cookie 적용, 연결 대기 큐와 타임아웃 조정, SYN 요청 Rate Limiting, 방화벽·IPS 탐지, 출발지 IP 필터링, 로드밸런서와 DDoS 방어 서비스 활용 등이 있다.

UDP Flooding은 공격자가 대상 서버에 대량의 UDP 패킷을 전송하여 네트워크 대역폭과 시스템 자원을 소모시키는 DoS/DDoS 공격이다.

UDP = 비연결 지향

UDP Flooding은 대상 서버나 네트워크에 대량의 UDP 패킷을 전송하여 대역폭과 시스템 자원을 고갈시키는 공격이다. 대응 방안으로는 불필요한 UDP 서비스 차단, UDP 트래픽 Rate Limiting, ACL 적용, 방화벽·IPS 탐지, 대역폭 모니터링, DDoS 방어 서비스 활용 등이 있다.

ICMP Flooding은 공격자가 대상 시스템에 대량의 ICMP Echo Request 등을 전송하여 네트워크 대역폭과 시스템 자원을 고갈시키는 DoS/DDoS 공격이다.

ICMP Flooding은 대량의 ICMP 패킷을 전송하여 네트워크 대역폭과 시스템 자원을 소모시키는 공격이다. 대응 방안으로는 ICMP Rate Limiting, 불필요한 ICMP 차단, 필요한 ICMP 타입만 허용, 방화벽 정책 적용, 트래픽 모니터링, DDoS 방어 장비 활용 등이 있다.

Smurf Attack은 공격자가 출발지 IP를 피해자 IP로 위조한 ICMP Echo Request를 브로드캐스트 주소로 전송하여 다수의 호스트가 피해자에게 응답하게 만드는 증폭형 DoS 공격이다.

피해자 IP로 위조해서 여러 장비가 피해자에게 응답하게 만드는 공격

Smurf Attack은 출발지 IP를 피해자 IP로 위조한 ICMP Echo Request를 브로드캐스트 주소로 보내 다수의 호스트가 피해자에게 응답하게 만드는 증폭형 DoS 공격이다. 대응 방안으로는 directed broadcast 차단, IP Spoofing 필터링, ICMP Rate Limiting, 브로드캐스트 응답 제한, 트래픽 모니터링 등이 있다.

Reflection Attack은 공격자가 출발지 IP를 피해자 IP로 위조하여 제3의 서버에 요청을 보내고, 해당 서버의 응답이 피해자에게 전달되도록 하는 공격이다.

공격자가 직접 때리지 않고, 다른 서버들이 피해자를 때리게 만드는 공격

1. 공격자가 출발지 IP를 피해자 IP로 위조한다.
2. 제3의 서버에 요청을 보낸다.
3. 제3의 서버는 응답을 피해자에게 보낸다.
4. 피해자는 많은 응답 트래픽을 받는다.

Amplification Attack은 공격자가 작은 요청 패킷을 보내 큰 응답 트래픽을 발생시키도록 하여 공격 트래픽 규모를 증폭시키는 공격이다.

작게 보내고 크게 터뜨리는 공격

Reflection = 반사체 이용
Amplification = 트래픽 증폭

DRDoS는 공격자가 출발지 IP를 피해자 IP로 위조한 요청을 다수의 반사 서버에 보내고, 반사 서버들의 응답이 피해자에게 집중되도록 하는 DDoS 공격이다.

DDoS + IP Spoofing + Reflection + Amplification

불필요하게 외부에 노출된 UDP 기반 서비스는 반사·증폭 공격에 악용될 수 있다.

Reflection Attack은 출발지 IP를 피해자 IP로 위조하여 제3의 서버 응답이 피해자에게 전달되도록 하는 공격이고, Amplification Attack은 작은 요청으로 큰 응답을 유도해 트래픽을 증폭시키는 공격이다. 대응 방안으로는 Ingress/Egress Filtering, 불필요한 UDP 서비스 차단, 오픈 리졸버 제한, NTP·SNMP 접근 제한, Rate Limiting, ISP 및 DDoS 방어센터 연계가 필요하다.

HTTP Flood는 대량의 HTTP GET 또는 POST 요청을 전송하여 웹 서버, 애플리케이션 서버, DB 서버의 자원을 고갈시키는 애플리케이션 계층 DDoS 공격이다.

HTTP Flood = 7계층 응용 계층 공격

HTTP Flood는 대량의 HTTP GET 또는 POST 요청을 통해 웹 서버와 애플리케이션 자원을 고갈시키는 7계층 DDoS 공격이다. 대응 방안으로는 WAF 적용, IP·세션별 Rate Limiting, CAPTCHA, 캐싱과 CDN 활용, 비정상 User-Agent 차단, 웹 로그 분석, 고비용 기능 요청 제한 등이 있다.

Slow HTTP 공격은 HTTP 요청이나 응답을 매우 느리게 전송하여 웹 서버의 연결 자원을 장시간 점유하고 정상 요청 처리를 방해하는 애플리케이션 계층 DoS 공격이다.

연결을 천천히 유지하면서 서버 자원을 붙잡아 두는 공격

Slow HTTP 공격은 HTTP 요청 헤더나 본문을 매우 느리게 전송하여 웹 서버의 연결 자원을 장시간 점유하는 7계층 DoS 공격이다. 대응 방안으로는 연결 타임아웃 설정, IP별 동시 연결 수 제한, Header/Body 전송 시간 제한, Rate Limiting, Reverse Proxy와 WAF 적용, 웹 서버 설정 강화 등이 있다.

봇넷은 악성코드에 감염된 다수의 좀비 PC나 서버, IoT 장비가 공격자의 명령을 받아 스팸 발송, 정보 탈취, DDoS 공격 등을 수행하는 네트워크이다.

Botnet = 공격자가 조종하는 감염된 장비들의 집합

봇넷은 악성코드에 감염된 다수의 시스템이 공격자의 명령을 받아 DDoS, 스팸 발송, 정보 탈취 등을 수행하는 네트워크이다. 대응 방안으로는 백신과 EDR을 통한 악성코드 탐지, C&C 통신 차단, 보안패치 적용, 기본 비밀번호 변경, 이상 트래픽 모니터링, 보안관제와 사용자 교육이 필요하다.

탐지
→ 분석
→ 차단·완화
→ 우회·분산
→ 복구
→ 사후 분석
→ 재발 방지

DDoS 공격 발생 시 트래픽 급증과 서비스 지연 여부를 탐지하고, 공격 유형, 출발지, 대상 서비스, 패킷 특성을 분석해야 한다. 이후 방화벽·IPS·ACL·Rate Limiting으로 차단하거나 완화하고, CDN, Anycast, 로드밸런서, DDoS 방어센터를 통해 트래픽을 분산·정화한 뒤 로그 분석과 정책 개선으로 재발 방지 대책을 수립한다.

Rate Limiting = 요청량 제한

특정 IP에서 초당 요청 수 제한
특정 URL 요청 빈도 제한
ICMP 요청량 제한

ACL = 접근 허용·차단 목록

Blackhole = 트래픽을 버리는 경로로 보냄

Sinkhole = 트래픽을 분석·차단 지점으로 유도

Scrubbing = 공격 트래픽 정화

CDN = 콘텐츠 분산 제공

Anycast = 같은 IP를 여러 지점에서 서비스하여 트래픽 분산

WAF = 웹 애플리케이션 방화벽

URL
HTTP 메서드
헤더
쿠키
요청 본문
User-Agent
요청 빈도

1. 공격자는 봇넷을 이용한다.
2. 다수의 감염 단말이 피해 서버에 트래픽을 보낸다.
3. 일부 공격은 SYN Flooding으로 연결 대기 자원을 고갈시킨다.
4. 일부 공격은 UDP/ICMP Flooding으로 대역폭을 소모한다.
5. 일부 공격은 DNS, NTP 같은 반사 서버를 이용해 트래픽을 증폭한다.
6. 웹 서비스에는 HTTP Flood나 Slow HTTP로 7계층 자원을 소모시킨다.
7. 피해 서버는 응답 지연, 접속 실패, 장비 과부하를 겪는다.

트래픽 급증 탐지
공격 유형 분석
ACL, Rate Limiting, IPS 적용
SYN Cookie 적용
불필요한 UDP/ICMP 제한
WAF로 웹 공격 차단
CDN, Anycast, DDoS 방어센터로 분산·정화
로그 분석과 재발 방지

DoS는 단일 공격자가 서버나 네트워크 자원을 고갈시켜 정상 사용자의 서비스 이용을 방해하는 공격이다. DDoS는 다수의 분산된 공격 지점을 이용해 대량의 트래픽을 발생시키는 공격으로, 출발지가 다양하고 트래픽 규모가 커서 탐지와 차단이 더 어렵다.

SYN Flooding은 TCP 3-Way Handshake 과정에서 다수의 SYN 요청을 보내고 최종 ACK를 보내지 않아 서버의 연결 대기 자원을 고갈시키는 공격이다. 대응 방안으로는 SYN Cookie 적용, 연결 대기 큐와 타임아웃 조정, Rate Limiting, 방화벽·IPS 탐지, 출발지 IP 필터링, DDoS 방어 서비스 활용 등이 있다.

Smurf Attack은 출발지 IP를 피해자 IP로 위조한 ICMP Echo Request를 브로드캐스트 주소로 보내 다수의 호스트가 피해자에게 응답하게 만드는 증폭형 DoS 공격이다. 대응 방안으로는 directed broadcast 차단, IP Spoofing 필터링, ICMP Rate Limiting, 브로드캐스트 응답 제한, 트래픽 모니터링 등이 있다.

Reflection Attack은 공격자가 출발지 IP를 피해자 IP로 위조하여 제3의 서버에 요청을 보내고, 해당 서버의 응답이 피해자에게 전달되도록 하는 공격이다. Amplification Attack은 작은 요청으로 큰 응답을 유도하여 공격 트래픽 규모를 증폭시키는 공격이며, 대응 방안으로는 IP Spoofing 필터링, 불필요한 UDP 서비스 차단, 오픈 리졸버 제한, Rate Limiting 등이 있다.

HTTP Flood는 대량의 HTTP GET 또는 POST 요청을 보내 웹 서버와 애플리케이션 자원을 고갈시키는 7계층 DDoS 공격이다. Slow HTTP 공격은 요청 헤더나 본문을 매우 느리게 전송하여 적은 트래픽으로도 웹 서버의 연결 자원을 장시간 점유하는 공격이다.

DDoS 공격 발생 시 트래픽 급증과 서비스 지연 여부를 탐지하고, 공격 유형, 출발지, 대상 서비스, 패킷 특성을 분석해야 한다. 이후 방화벽·IPS·ACL·Rate Limiting으로 차단하거나 완화하고, CDN, Anycast, 로드밸런서, DDoS 방어센터를 통해 트래픽을 분산·정화한 뒤 로그 분석과 정책 개선으로 재발 방지 대책을 수립한다.

DoS는 서버나 네트워크 자원을 고갈시켜 정상 사용자가 서비스를 이용하지 못하게 만드는 공격이다.

DDoS는 다수의 분산된 공격 지점을 이용해 대량 트래픽을 발생시켜 서비스 가용성을 침해하는 공격이다.

SYN Flooding은 TCP 3-Way Handshake 과정에서 SYN 요청을 대량 전송하고 최종 ACK를 보내지 않아 연결 대기 자원을 고갈시키는 공격이다.

SYN Flooding 대응에는 SYN Cookie, Rate Limiting, 연결 대기 큐 조정, 방화벽·IPS 탐지가 사용된다.

UDP Flooding은 대량의 UDP 패킷을 전송하여 네트워크 대역폭과 서버 자원을 고갈시키는 공격이다.

ICMP Flooding은 대량의 ICMP 패킷으로 네트워크와 시스템 자원을 소모시키는 공격이다.

Smurf Attack은 출발지 IP를 피해자 IP로 위조한 ICMP 요청을 브로드캐스트 주소로 보내 다수 호스트가 피해자에게 응답하게 만드는 공격이다.

Reflection Attack은 제3의 서버를 반사체로 이용하고, Amplification Attack은 작은 요청으로 큰 응답을 유도하여 트래픽을 증폭시킨다.

HTTP Flood는 대량의 HTTP 요청으로 웹 서버 자원을 고갈시키는 7계층 공격이다.

Slow HTTP 공격은 HTTP 요청을 매우 느리게 전송하여 웹 서버의 연결 자원을 장시간 점유하는 공격이다.

DDoS 대응은 탐지, 분석, 차단·완화, 우회·분산, 복구, 사후 분석, 재발 방지 순서로 수행한다.

1. DoS란 무엇인가?
2. DDoS란 무엇인가?
3. DoS와 DDoS의 차이를 쓰시오.
4. DoS/DDoS가 주로 침해하는 보안 3요소는 무엇인가?
5. 봇넷이란 무엇인가?
6. SYN Flooding이란 무엇인가?
7. SYN Flooding에서 Half-open connection이란 무엇인가?
8. SYN Flooding 대응 방안 3가지를 쓰시오.
9. UDP Flooding이란 무엇인가?
10. ICMP Flooding이란 무엇인가?
11. Smurf Attack의 핵심 요소 3가지를 쓰시오.
12. Reflection Attack이란 무엇인가?
13. Amplification Attack이란 무엇인가?
14. DRDoS란 무엇인가?
15. HTTP Flood란 무엇인가?
16. Slow HTTP 공격이란 무엇인가?
17. Rate Limiting이란 무엇인가?
18. Scrubbing Center란 무엇인가?
19. Blackhole Routing의 장단점을 쓰시오.
20. DDoS 공격 징후 3가지를 쓰시오.

21. SYN 패킷이 급증하고 연결 대기 상태가 대량 발생했다.
22. UDP 트래픽이 갑자기 폭증하여 회선이 포화되었다.
23. ICMP Echo Request와 Reply 트래픽이 비정상적으로 증가했다.
24. 피해자 IP로 위조된 ICMP 요청이 브로드캐스트로 전송되었다.
25. 제3의 DNS 서버들이 피해자에게 대량 응답을 보내고 있다.
26. 웹 서버에 GET 요청이 대량으로 몰려 DB 부하가 급증했다.
27. HTTP 연결 수가 많지만 전송 속도가 매우 느리고 오래 유지된다.
28. 전 세계 여러 IP에서 동시에 같은 서비스로 요청이 몰린다.

29. DoS와 DDoS의 차이를 설명하시오.

30. SYN Flooding의 원리와 대응 방안을 설명하시오.

31. Smurf Attack의 개념과 대응 방안을 설명하시오.

32. Reflection Attack과 Amplification Attack을 설명하시오.

33. DDoS 공격 대응 절차를 설명하시오.