시스템·네트워크보안 필기/실기 혼합

시스템보안
네트워크보안

필기형 문제에서는 키워드를 빠르게 잡고,
실기형 문제에서는 채점자가 원하는 문장으로 답안을 쓰는 것

1. 시스템보안 필기형 문제
2. 시스템보안 실기형 답안 작성
3. 시스템보안 상황·로그형 문제
4. 네트워크보안 필기형 문제
5. 네트워크보안 실기형 답안 작성
6. 네트워크보안 상황·로그형 문제
7. 오답 포인트 정리
8. 8장 1절 과제

문제를 보자마자
“이 문제는 어떤 키워드를 묻는가?”
“정의형인가, 비교형인가, 대응방안형인가?”
“실기라면 개념 + 위험 + 대응 순서로 쓸 수 있는가?”

공유 계정 제한
책임추적성
개별 계정 사용
관리자 작업 로그

최소권한 원칙은 사용자나 프로세스에 업무 수행에 필요한 최소한의 권한만 부여하여 권한 오남용과 사고 피해 범위를 줄이는 보안 원칙이다.

소유자 rwx = 4+2+1 = 7
그룹 r-x = 4+0+1 = 5
기타 r-- = 4+0+0 = 4

전체 백업 = 모든 데이터
증분 백업 = 직전 백업 이후 변경분
차등 백업 = 마지막 전체 백업 이후 변경분

계정 관리를 위해 불필요한 계정, 기본 계정, 퇴사자 계정, 휴면 계정을 삭제하거나 비활성화해야 한다. 또한 공유 계정 사용을 제한하고 사용자별 개별 계정을 부여하여 책임추적성을 확보해야 하며, 관리자 권한은 최소한의 사용자에게만 부여하고 계정 생성·변경·삭제 이력을 기록해야 한다.

패스워드 보안을 위해 충분한 길이와 복잡도, 이전 비밀번호 재사용 제한, 초기 비밀번호 변경, 로그인 실패 횟수 제한을 적용해야 한다. 또한 비밀번호는 평문으로 저장하지 않고 사용자별 솔트를 적용한 해시값으로 저장하며, 중요 계정에는 MFA를 적용하여 계정 탈취 위험을 줄여야 한다.

길이
복잡도
재사용 제한
실패 횟수 제한
솔트 해시 저장
MFA

로그는 침해사고 탐지, 원인 분석, 책임추적성 확보에 필요한 핵심 자료이다. 따라서 인증, 권한 변경, 관리자 작업, 오류, 보안 이벤트 로그를 수집하고, 시간 동기화, 접근통제, 무결성 보호, 보관기간 설정, 정기 점검을 적용해야 한다.

불필요한 서비스는 외부에서 접근 가능한 공격 지점을 증가시켜 취약점 악용, 정보 유출, 권한 상승 위험을 높인다. 따라서 사용하지 않는 서비스와 포트는 중지하거나 차단하고, 필요한 서비스만 최소 권한으로 운영해야 한다.

공격 표면 증가
취약점 악용
정보 유출
권한 상승
서비스 중지 또는 차단
최소권한

SetUID는 실행 파일을 실행할 때 파일 소유자의 권한으로 실행되게 하는 특수 권한이다. root 권한 SetUID 파일에 취약점이 있으면 일반 사용자가 root 권한으로 명령을 실행하는 권한 상승이 발생할 수 있으므로, 불필요한 SetUID 파일을 점검하고 제거해야 한다.

파일 소유자 권한으로 실행
root SetUID 위험
권한 상승
불필요한 파일 점검·제거

랜섬웨어 감염이 의심되면 감염 시스템을 네트워크에서 격리하여 확산을 방지하고, 감염 범위와 악성 파일, 로그, 외부 통신 여부를 분석해야 한다. 이후 악성코드를 제거하고 신뢰할 수 있는 백업본으로 복구하며, 보안패치, EDR, 접근권한 점검, 사용자 교육, 오프라인 백업 등 재발 방지 대책을 수행해야 한다.

격리
감염 범위 분석
악성코드 제거
백업 복구
패치
EDR
사용자 교육
오프라인 백업

퇴사한 직원의 VPN 계정이 삭제되지 않았고,
퇴사 후에도 해외 IP에서 해당 계정으로 로그인 성공 기록이 확인되었다.

퇴사자 계정 미회수
계정 탈취 또는 비인가 접근
접근권한 관리 미흡

해당 계정 즉시 비활성화
접속 로그 분석
접근한 시스템과 데이터 확인
비밀번호 변경과 관련 계정 점검
퇴사자 계정 회수 절차 개선
정기 권한 점검
MFA 적용

퇴사자 계정이 회수되지 않아 비인가 접근이 발생한 것으로 의심할 수 있다. 해당 VPN 계정을 즉시 비활성화하고 접속 로그를 분석하여 접근 시스템과 데이터 범위를 확인해야 하며, 퇴사자 계정 회수 절차와 정기 권한 점검, MFA 적용을 통해 재발을 방지해야 한다.

/var/tmp/.x/run
user: root
remote connection: 203.0.113.77:4444
CPU usage: 92%

악성 프로세스 또는 백도어 의심

임시 디렉터리 실행
숨김 디렉터리 형태
root 권한 실행
외부 의심 IP와 통신
비정상 CPU 사용

임시 디렉터리의 숨김 경로에서 root 권한 프로세스가 실행되고 외부 의심 IP와 통신하며 CPU 사용량이 높으므로 악성 프로세스 또는 백도어로 의심할 수 있다. 해당 시스템을 격리하고 프로세스, 실행 파일, 네트워크 연결, 로그를 보존·분석한 뒤 악성 요소를 제거하고 재침입 경로를 점검해야 한다.

중요 DB 서버의 백업 파일이 운영 서버와 같은 공유 폴더에 저장되어 있고,
모든 서버 계정에 쓰기 권한이 부여되어 있다.

백업본 접근통제 미흡
랜섬웨어 감염 시 백업본까지 암호화 가능
백업 무결성 훼손 가능

백업본 접근권한 제한
오프라인 또는 원격지 백업
백업 암호화
무결성 검증
복구 테스트
백업망 분리

백업 파일이 운영 서버와 같은 공유 폴더에 있고 모든 계정에 쓰기 권한이 있으면 랜섬웨어 감염이나 계정 탈취 시 백업본까지 삭제·변조·암호화될 수 있다. 백업본은 접근권한을 제한하고 암호화해야 하며, 오프라인 또는 원격지에 분리 보관하고 정기적인 무결성 검증과 복구 테스트를 수행해야 한다.

TCP는 연결 지향 프로토콜로 연결 설정 후 순서 보장, 오류 제어, 재전송을 통해 신뢰성 있는 전송을 제공한다. UDP는 비연결 지향 프로토콜로 신뢰성은 낮지만 구조가 단순하고 빠르며 DNS, 음성, 스트리밍 등 실시간성이 중요한 서비스에 사용된다.

ARP Spoofing은 거짓 ARP 정보를 보내 IP 주소와 MAC 주소의 매핑을 조작하는 공격이다. 이를 통해 피해자의 트래픽을 공격자에게 유도하여 스니핑이나 중간자 공격이 발생할 수 있으며, 대응 방안으로 정적 ARP 설정, Dynamic ARP Inspection, DHCP Snooping, ARP 변경 모니터링, 네트워크 분리, 암호화 통신을 적용할 수 있다.

DNS Spoofing은 DNS 응답을 위조하여 사용자가 정상 도메인을 입력해도 공격자가 지정한 IP 주소로 접속하게 만드는 공격이다. DNS Cache Poisoning은 DNS 서버의 캐시에 위조된 DNS 정보를 저장시켜 다수 사용자를 가짜 사이트로 유도할 수 있는 공격이다.

MITM은 통신 당사자 사이에 공격자가 개입하여 데이터를 도청하거나 변조하고 인증 정보를 탈취하는 공격이다. 대응 방안으로 HTTPS/TLS 적용, 인증서 검증, HSTS, VPN 사용, ARP Spoofing 탐지, DNSSEC 적용, 공용 Wi-Fi 사용 주의, MFA 적용 등이 있다.

SYN Flooding은 TCP 3-Way Handshake 과정에서 다수의 SYN 요청을 보내고 최종 ACK를 보내지 않아 서버의 연결 대기 자원을 고갈시키는 공격이다. 대응 방안으로 SYN Cookie 적용, 연결 대기 큐와 타임아웃 조정, SYN 요청 Rate Limiting, 방화벽·IPS 탐지, 출발지 IP 필터링, DDoS 방어 서비스 활용 등이 있다.

Reflection Attack은 공격자가 출발지 IP를 피해자 IP로 위조하여 제3의 서버에 요청을 보내고, 해당 서버의 응답이 피해자에게 전달되도록 하는 공격이다. Amplification Attack은 작은 요청으로 큰 응답을 유도하여 공격 트래픽 규모를 증폭시키는 공격이며, 대응 방안으로 IP Spoofing 필터링, 불필요한 UDP 서비스 차단, 오픈 리졸버 제한, Rate Limiting 등이 있다.

IDS는 네트워크나 시스템의 트래픽과 이벤트를 분석하여 침입 시도나 이상 행위를 탐지하고 관리자에게 경고하는 시스템이다. IPS는 침입을 탐지한 후 실시간으로 차단까지 수행하는 시스템으로 즉시 대응이 가능하지만, 오탐 시 정상 트래픽이 차단될 수 있다.

일반 방화벽은 주로 IP 주소, 포트 번호, 프로토콜을 기준으로 네트워크 접근을 통제하는 장비이다. WAF는 HTTP/HTTPS 요청의 URL, 파라미터, 쿠키, 헤더, 본문을 분석하여 SQL Injection, XSS, 파일 업로드 공격 등 웹 애플리케이션 공격을 탐지·차단하는 7계층 보안장비이다.

VPN은 공용 네트워크에서 암호화 터널을 구성하여 기밀성과 무결성을 보장하고 안전한 원격 접속을 제공하는 기술이다. 보안 운영을 위해 MFA와 인증서 기반 인증, 접근권한 최소화, 접속 로그 기록, 단말 보안 상태 점검, 취약 계정 제거, 안전한 암호화 알고리즘 사용이 필요하다.

DMZ는 외부에서 접근해야 하는 웹 서버, 메일 서버, DNS 서버 등을 내부망과 분리된 중간 구간에 배치하는 네트워크 영역이다. 외부 공개 서버가 침해되더라도 내부 업무망으로 직접 접근하지 못하도록 구간별 방화벽 정책을 적용하여 내부망 보호와 피해 확산 방지 효과를 얻을 수 있다.

사용자 PC의 ARP 테이블에서 기본 게이트웨이 IP의 MAC 주소가 짧은 시간 동안 여러 번 변경되었다.
같은 네트워크의 여러 PC에서도 동일한 현상이 확인되었다.

ARP Spoofing
MITM 가능성

공격 의심 단말 격리
ARP 테이블 점검
스위치 DAI 적용
DHCP Snooping
ARP 모니터링
네트워크 분리
HTTPS/SSH 사용

기본 게이트웨이 IP에 대한 MAC 주소가 반복적으로 변경되는 것은 ARP Spoofing으로 의심할 수 있다. 공격자는 거짓 ARP 정보를 통해 피해자 트래픽을 자신에게 유도할 수 있으므로 의심 단말을 격리하고, ARP 테이블과 스위치 로그를 점검하며, Dynamic ARP Inspection, DHCP Snooping, ARP 변경 모니터링, 암호화 통신을 적용해야 한다.

웹 서버에 SYN 패킷이 급증하고,
연결 대기 상태가 대량으로 쌓이며,
정상 사용자의 접속이 지연되고 있다.

SYN Flooding

SYN 패킷이 급증하고 연결 대기 상태가 대량 발생하며 정상 접속이 지연되므로 SYN Flooding 공격으로 의심할 수 있다. 대응 방안으로 SYN Cookie 적용, 연결 대기 큐와 타임아웃 조정, SYN 요청 Rate Limiting, 방화벽·IPS 탐지, DDoS 방어 서비스 연계를 수행해야 한다.

정상 도메인에 접속했는데 사용자가 가짜 로그인 페이지로 이동했다.
DNS 응답 IP가 평소와 다른 외부 IP로 확인되었다.

DNS Spoofing 또는 DNS Cache Poisoning

정상 도메인 접속 시 평소와 다른 IP로 해석되고 가짜 로그인 페이지로 이동했으므로 DNS Spoofing 또는 DNS Cache Poisoning으로 의심할 수 있다. DNS 캐시를 점검하고 신뢰할 수 있는 DNS 서버를 사용하며, DNSSEC 적용, DNS 로그 분석, HTTPS 인증서 검증, 비정상 DNS 응답 차단을 수행해야 한다.

다수 국가의 IP에서 동시에 같은 웹 URL로 GET 요청이 급증했다.
웹 서버 CPU와 DB 조회량이 급격히 증가했다.

HTTP Flood

다수 IP에서 동일 URL로 GET 요청이 급증하고 웹 서버와 DB 부하가 증가했으므로 HTTP Flood 형태의 7계층 DDoS 공격으로 의심할 수 있다. WAF 적용, IP·세션별 Rate Limiting, CDN과 캐싱, 고비용 URL 보호, 비정상 User-Agent 차단, 웹 로그 분석을 통해 대응해야 한다.

HTTP 연결 수는 많지만 요청 헤더가 매우 느리게 전송되고,
연결이 장시간 유지되며 웹 서버 동시 연결 수가 고갈되고 있다.

Slow HTTP 공격

HTTP 요청이 매우 느리게 전송되고 연결이 장시간 유지되어 웹 서버 연결 자원이 고갈되는 상황이므로 Slow HTTP 공격으로 의심할 수 있다. 대응 방안으로 연결 타임아웃 설정, IP별 동시 연결 수 제한, Header/Body 전송 시간 제한, Rate Limiting, Reverse Proxy와 WAF 적용을 수행해야 한다.

계정 관리를 위해 불필요한 계정과 휴면 계정을 삭제 또는 비활성화하고, 공유 계정 사용을 제한하여 책임추적성을 확보해야 한다.

최소권한 원칙은 사용자나 프로세스에 업무 수행에 필요한 최소한의 권한만 부여하여 권한 오남용과 침해사고 피해 범위를 줄이는 원칙이다.

파일 권한은 소유자, 그룹, 기타 사용자별로 읽기·쓰기·실행 권한을 최소한으로 부여해야 하며, 777 권한은 변조와 악성 파일 실행 위험이 있어 제한해야 한다.

로그는 침해사고 탐지, 원인 분석, 책임추적성 확보에 필요한 핵심 자료이므로 접근통제, 무결성 보호, 보관기간 설정, 시간 동기화가 필요하다.

패치관리는 알려진 취약점을 제거하기 위해 필요하며, 운영 적용 전 테스트와 백업, 롤백 계획을 수립하고 적용 후 정상 동작 여부를 확인해야 한다.

백업본은 암호화와 접근통제를 적용하고, 오프라인 또는 원격지에 보관하며, 정기적인 복구 테스트와 무결성 검증을 수행해야 한다.

ARP는 IP 주소를 MAC 주소로 변환하는 프로토콜이고, DNS는 도메인 이름을 IP 주소로 변환하는 시스템이다.

ARP Spoofing은 거짓 ARP 정보를 보내 IP-MAC 매핑을 조작하고 피해자의 트래픽을 공격자에게 유도하는 공격이다.

SYN Flooding은 TCP 3-Way Handshake 과정에서 다수의 SYN 요청을 보내고 최종 ACK를 보내지 않아 연결 대기 자원을 고갈시키는 공격이다.

IDS는 침입을 탐지하고 경고하는 시스템이고, IPS는 침입을 탐지한 후 실시간 차단까지 수행하는 시스템이다.

WAF는 HTTP/HTTPS 요청을 분석하여 SQL Injection, XSS, 파일 업로드 공격 등 웹 애플리케이션 공격을 탐지·차단하는 7계층 보안장비이다.

DMZ는 외부 공개 서버를 내부망과 분리된 중간 구간에 배치하여 내부망 보호와 피해 확산 방지를 목적으로 구성한다.

1. 최소권한 원칙이란 무엇인가?
2. 공유 계정 사용이 위험한 이유는 무엇인가?
3. 퇴사자 계정을 즉시 비활성화해야 하는 이유는 무엇인가?
4. chmod 777 설정의 위험을 설명하시오.
5. SetUID 파일 점검이 필요한 이유는 무엇인가?
6. 로그 관리가 중요한 이유 3가지를 쓰시오.
7. 로그 무결성 보호가 필요한 이유는 무엇인가?
8. 패치관리 절차를 순서대로 쓰시오.
9. 전체 백업, 증분 백업, 차등 백업의 차이를 쓰시오.
10. 랜섬웨어 대응에서 오프라인 백업이 중요한 이유는 무엇인가?
11. 바이러스, 웜, 트로이목마의 차이를 쓰시오.
12. 루트킷이 위험한 이유는 무엇인가?
13. 시스템 하드닝의 주요 대책 5가지를 쓰시오.

14. OSI 7계층 중 2계층, 3계층, 4계층, 7계층의 핵심 키워드를 쓰시오.
15. TCP와 UDP의 차이를 쓰시오.
16. ARP와 DNS의 차이를 쓰시오.
17. SSH와 Telnet의 차이를 쓰시오.
18. HTTP와 HTTPS의 차이를 쓰시오.
19. ARP Spoofing이란 무엇인가?
20. DNS Spoofing이란 무엇인가?
21. 스니핑과 스푸핑의 차이를 쓰시오.
22. MITM과 Replay Attack의 차이를 쓰시오.
23. DoS와 DDoS의 차이를 쓰시오.
24. SYN Flooding이란 무엇인가?
25. Smurf Attack의 핵심 요소 3가지를 쓰시오.
26. Reflection Attack과 Amplification Attack의 차이를 쓰시오.
27. IDS와 IPS의 차이를 쓰시오.
28. WAF와 일반 방화벽의 차이를 쓰시오.
29. DMZ를 구성하는 이유를 쓰시오.

30. 계정 관리 보안대책을 설명하시오.

31. 로그 관리의 필요성과 관리 방안을 설명하시오.

32. 불필요한 서비스 제거가 필요한 이유를 설명하시오.

33. 랜섬웨어 감염 시 대응 절차를 설명하시오.

34. ARP Spoofing의 개념과 대응 방안을 설명하시오.

35. DNS Spoofing과 DNS Cache Poisoning을 설명하시오.

36. MITM 공격의 개념과 대응 방안을 설명하시오.

37. SYN Flooding의 원리와 대응 방안을 설명하시오.

38. IDS와 IPS의 차이를 설명하시오.

39. WAF와 일반 방화벽의 차이를 설명하시오.

40. VPN의 개념과 보안 운영 방안을 설명하시오.

41. DMZ를 구성하는 이유를 설명하시오.

42. 퇴사자 계정으로 해외 IP에서 VPN 로그인이 성공했다.

43. /tmp/.hidden/update 파일이 root 권한으로 실행 중이고 외부 IP와 통신한다.

44. 중요 백업 파일이 운영 공유 폴더에 있고 모든 계정에 쓰기 권한이 있다.

45. 기본 게이트웨이 IP의 MAC 주소가 사용자 PC마다 다르게 표시된다.

46. 정상 도메인 접속 시 평소와 다른 IP로 연결되고 가짜 로그인 페이지가 표시된다.

47. SYN 패킷이 급증하고 서버의 연결 대기 상태가 대량 발생한다.

48. 다수 국가 IP에서 동일 URL로 GET 요청이 급증하고 DB 부하가 증가한다.

49. HTTP 연결 수는 많지만 요청 헤더가 매우 느리게 전송된다.

정의:
위험 또는 영향:
대응 방안:
운영 점검:

상황형에서 공격명만 쓰고 판단 근거를 쓰지 않으면 감점.
즉시 조치와 재발 방지를 구분하지 않으면 감점.
백업 문제에서 복구 테스트와 무결성 검증을 누락하면 감점.
DDoS 대응에서 장비 한 대 차단만 쓰고 우회·분산·상위 회선 대응을 누락하면 감점.