2024. 7. 14. 15:47ㆍGCC/IT 지원
네트워크 보안
보안 네트워크 아키텍쳐
네트워크 강화 권장사항
네트워크 강화(Network Hardening)
네트워크 강화는 네트워크를 보다 안전하게 만들기 위해 시스템 및 구성 요소의 잠재적 취약점을 줄이는 과정입니다. 이 과정에서는 불필요한 서비스 비활성화, 암시적 거부 정책 적용, 네트워크 트래픽 모니터링 및 분석 등을 통해 네트워크 보안을 강화합니다. 아래에서는 네트워크 강화를 위한 주요 방법들을 자세히 살펴보겠습니다.
불필요한 서비스 비활성화 및 접근 제한
- 불필요한 서비스 비활성화: 네트워크와 시스템에서 필요하지 않은 서비스는 비활성화하거나 제거합니다. 이는 공격 표면을 줄여 잠재적 공격 기회를 감소시킵니다.
- 접근 제한: 불가피하게 활성화된 서비스에 대해서는 접근을 제한하여 보안을 강화합니다. 특정 IP 주소나 사용자만 접근할 수 있도록 설정할 수 있습니다.
암시적 거부(Implicit Deny) 정책
- 암시적 거부: 명시적으로 허용된 트래픽 외에는 모두 차단하는 보안 정책입니다. ACL(Access Control List)을 통해 설정할 수 있으며, 방화벽 규칙에도 적용됩니다.
- 화이트리스팅: 허용하고자 하는 트래픽만 명시적으로 허용하는 방식입니다.
- 블랙리스팅: 허용하지 않을 트래픽을 명시적으로 차단하는 방식으로, 암시적 거부와는 반대 개념입니다.
네트워크 트래픽 모니터링 및 분석
- 정상 트래픽 기준 설정: 네트워크에서 정상적인 트래픽 패턴을 이해하고 기준을 설정합니다.
- 로그 수집 및 분석: 방화벽 로그, 인증 서버 로그, 애플리케이션 로그 등을 수집하고 분석하여 비정상적인 트래픽을 식별합니다.
- 자동화된 로그 분석: 자동화 도구를 사용해 로그를 분석하고 잠재적 침입 및 이상 행동을 탐지합니다.
- 특정 로그 검색: 방화벽 로그와 같은 특정 로그에서 관심 있는 메시지를 찾고 분석합니다.
주요 도구 및 방법
- Splunk: 로그 분석 시스템으로, 다양한 시스템에서 로그 데이터를 수집하고 분석하며, 알림을 생성하고 활동을 시각화할 수 있습니다.
- Fail2ban: 오픈 소스 도구로, 시스템에서 공격 징후를 감시하고 의심스러운 IP 주소를 차단합니다.
- 플러드 가드(Flood Guard): DoS(Denial of Service) 공격으로부터 보호하는 기능입니다. 일정 임계값을 초과하는 트래픽을 식별하고 차단합니다.
네트워크 분리 및 세분화
- 네트워크 분리: VLAN을 사용하여 네트워크를 여러 개의 가상 네트워크로 분리합니다. 예를 들어, 직원 네트워크와 프린터 네트워크를 분리하여 보안을 강화합니다.
- 트래픽 제어 및 모니터링: 분리된 네트워크 간의 트래픽 흐름을 제어하고 모니터링할 수 있습니다.
- 네트워크 ACL 설정: 네트워크 간의 올바른 트래픽만 허용하는 ACL을 설정합니다.
네트워크 강화는 네트워크 보안을 개선하기 위한 필수적인 과정입니다. 불필요한 서비스 비활성화, 암시적 거부 정책 적용, 네트워크 트래픽 모니터링 및 분석, 네트워크 분리 및 세분화 등의 방법을 통해 잠재적 취약점을 줄이고 보안을 강화할 수 있습니다. IT 지원 전문가는 이러한 방법들을 숙지하고 적용하여 조직의 네트워크를 안전하게 유지해야 합니다.
네트워크 강화 권장사항에 관한 보충 읽기 자료
네트워크 하드웨어 강화
네트워크 하드웨어 강화(Network Hardware Hardening)
네트워크 강화는 네트워크 인프라를 보호하고 보안을 강화하기 위한 필수적인 단계입니다. IT 지원 전문가는 네트워크 하드웨어의 보안을 강화하는 다양한 도구와 기술을 숙지해야 합니다. 이번 시간에는 네트워크 강화에 사용되는 주요 도구와 기술을 살펴보겠습니다.
DHCP 스누핑(DHCP Snooping)
- DHCP 스누핑 기능: 스위치가 네트워크의 DHCP 트래픽을 모니터링하고 IP 할당을 추적하여 각 스위치 포트에 연결된 호스트에 매핑합니다.
- 신뢰할 수 있는 DHCP 서버 지정: 신뢰할 수 있는 DHCP 서버 IP를 지정하여 악성 DHCP 서버로부터 보호합니다.
- DHCP 요청 전달: DHCP 스누핑 신뢰 포트를 통해 DHCP 요청을 서버로 전달합니다.
- 악성 DHCP 응답 차단: 신뢰할 수 없는 포트에서 제공되는 DHCP 응답을 차단합니다.
동적 ARP 검사(Dynamic ARP Inspection, DAI)
- 동적 ARP 검사 기능: 스위치가 ARP 트래픽을 모니터링하고 위조된 무상 ARP 응답을 감지하여 차단합니다.
- DHCP 스누핑 테이블 사용: DAI는 DHCP 스누핑 테이블을 사용하여 신뢰할 수 있는 IP 주소를 바인딩합니다.
- ARP 패킷 제한: 포트당 ARP 패킷 수를 제한하여 ARP 스캐닝을 방지합니다.
IP 소스 가드(IP Source Guard, IPSG)
- IP 소스 가드 기능: DHCP 스누핑 테이블을 기반으로 각 스위치 포트에 대해 동적으로 ACL을 생성하여 IP 스푸핑 공격을 방지합니다.
- 포트 기반 IP 주소 검증: 포트의 IP 주소와 일치하지 않는 패킷을 차단합니다.
802.1X 인증
- 802.1X 인증 프로토콜: IEEE 표준으로, LAN을 통해 확장성 인증 프로토콜(EAP) 트래픽을 캡슐화합니다.
- EAP-TLS: TLS를 사용하여 클라이언트와 인증 서버 간의 상호 인증을 제공합니다.
- 신청자(Supplicant): 네트워크에 접근하려는 클라이언트 기기입니다.
- 인증자(Authenticator): 네트워크의 게이트키퍼 역할을 하며, 보통 엔터프라이즈 스위치나 무선 액세스 포인트입니다.
- 인증 서버(Authentication Server): 실제 인증을 수행하는 서버로, 보통 RADIUS 서버입니다.
플러드 가드(Flood Guard)
- 플러드 가드 기능: DoS(Denial of Service) 공격으로부터 네트워크를 보호합니다.
- 트래픽 임계값 설정: 설정된 임계값에 도달하면 알림을 트리거하고 공격 트래픽을 차단합니다.
- Fail2ban: 오픈 소스 도구로, 시스템에서 공격 징후를 감시하고 의심스러운 IP 주소를 차단합니다.
네트워크 하드웨어 강화는 다양한 도구와 기술을 사용하여 네트워크 인프라의 보안을 강화하는 과정입니다. IT 지원 전문가는 다음과 같은 도구와 기술을 통해 네트워크를 보호해야 합니다:
- DHCP 스누핑을 사용하여 악성 DHCP 서버로부터 보호
- 동적 ARP 검사를 통해 ARP 스푸핑 공격 차단
- IP 소스 가드를 사용하여 IP 스푸핑 공격 방지
- 802.1X 인증을 통해 네트워크 접근 제어 강화
- 플러드 가드를 통해 DoS 공격으로부터 보호
이러한 방법들을 통해 네트워크의 보안을 강화하고 잠재적인 공격을 효과적으로 차단할 수 있습니다. 각 기술과 도구의 작동 원리를 이해하고 적절히 구현함으로써 보다 안전한 네트워크 환경을 구축할 수 있습니다.
네트워크 소프트웨어 강화
네트워크 소프트웨어 강화 기술
IT 지원 전문가는 네트워크 하드웨어 강화와 함께 네트워크 소프트웨어 강화를 위한 다양한 도구와 기술을 숙지해야 합니다. 이번 시간에는 네트워크 소프트웨어 강화를 위한 방화벽, 프록시, VPN 등의 보안 소프트웨어 솔루션을 자세히 살펴보겠습니다.
방화벽(Firewalls)
방화벽은 네트워크 보안에서 매우 중요한 역할을 하며, 네트워크의 트래픽 흐름을 제어하고 보호합니다. 방화벽은 다음과 같이 두 가지 형태로 구현될 수 있습니다.
- 네트워크 기반 방화벽(Network-based Firewall):
- 네트워크 전체의 트래픽을 제어하는 전용 네트워크 인프라 장치입니다.
- 회사의 네트워크 경계에 배치되어 외부로부터의 불법 접근을 차단합니다.
- 호스트 기반 방화벽(Host-based Firewall):
- 개별 호스트 시스템에서 실행되며, 해당 시스템의 트래픽을 제어합니다.
- 신뢰할 수 없는 네트워크 환경에서 노트북이나 모바일 기기를 보호하는 데 유용합니다.
- 내부 네트워크에서 손상된 기기가 다른 호스트를 공격하지 못하도록 보호합니다.
VPN(가상 사설망, Virtual Private Network)
VPN은 내부 리소스에 대한 보안 원격 액세스를 제공하는 데 사용되며, 네트워크 트래픽을 암호화하여 보호합니다.
- 사이트 간 VPN(Site-to-Site VPN):
- 두 개의 네트워크를 안전하게 연결하여 통합된 하나의 네트워크를 만듭니다.
- 예: 두 개의 사무실을 연결하여 하나의 네트워크로 동작하게 함.
- 모든 트래픽을 암호화하여 두 원격 네트워크가 원활하게 연결됩니다.
- 원격 액세스 VPN(Remote Access VPN):
- 개별 클라이언트가 원격지에서 내부 리소스에 안전하게 액세스할 수 있도록 합니다.
- 예: 집에서 회사 네트워크에 안전하게 접속하여 업무 수행.
프록시 서버(Proxy Servers)
프록시 서버는 클라이언트 기기와 해당 트래픽을 보호하는 데 매우 유용합니다.
- 웹 프록시(Web Proxy):
- 클라이언트의 웹 트래픽을 프록시 서버를 통해 중계합니다.
- 웹 요청을 로깅하고 트래픽 분석, 포렌식 조사를 수행합니다.
- 악성 콘텐츠, 위험한 콘텐츠, 회사 정책 위반 콘텐츠를 차단합니다.
- 역방향 프록시(Reverse Proxy):
- 외부에서 들어오는 네트워크 내부 서비스에 대한 연결 요청을 가로챕니다.
- 내부 서비스로 요청을 릴레이하여 보안 원격 액세스를 제공합니다.
- 사용자 인증과 함께 클라이언트 TLS 인증서를 사용하여 보안을 강화할 수 있습니다.
- HAProxy, Nginx, Apache 웹 서버 등 널리 사용되는 프록시 솔루션이 있습니다.
네트워크 소프트웨어 강화 요약
- 방화벽: 네트워크 기반 방화벽과 호스트 기반 방화벽을 사용하여 네트워크와 개별 시스템을 보호합니다.
- VPN: 사이트 간 VPN과 원격 액세스 VPN을 사용하여 내부 리소스에 대한 안전한 액세스를 제공합니다.
- 프록시 서버: 웹 프록시와 역방향 프록시를 사용하여 클라이언트 트래픽을 보호하고 보안 원격 액세스를 제공합니다.
이러한 소프트웨어 보안 솔루션을 이해하고 적절하게 구현함으로써 조직의 네트워크 보안을 강화할 수 있습니다. 각 솔루션의 작동 원리와 설정 방법을 익히면 IT 지원 전문가로서 네트워크 인프라를 효과적으로 보호하고 관리할 수 있습니다.
HAProxy, nginx, Apache HTTP 서버에 관한 보충 읽기 자료
무선보안
WEP 암호화 및 이를 사용해서는 안 되는 이유
무선 보안을 구현할 때의 권장사항
IT 지원 전문가로서, 무선 네트워크의 보안을 강화하는 것은 매우 중요합니다. 아래에서는 Wi-Fi 네트워크 보안을 위한 최적의 보안 옵션과 그 구현 방법에 대해 자세히 살펴보겠습니다.
무선 보안의 역사 및 발전
WEP (Wired Equivalent Privacy)- 도입: 1997년에 802.11 표준의 일부로 도입.
- 목적: 유선 네트워크와 동일한 수준의 개인 정보 보호 제공.
- 기술: RC4 대칭 스트림 암호화를 사용하며, 40비트 또는 104비트 공유 키를 사용하여 암호화.
- 문제점: IV(초기화 벡터)의 재사용과 RC4의 약점으로 인해 쉽게 공격 가능.
- 현재 상태: 2004년에 사용 중단, 더 이상 사용 권장되지 않음.
- IV의 제한: 24비트의 IV는 약 1,700만 개의 고유한 값만 생성할 수 있어, 약 5,000개의 패킷 후에 IV가 재사용됩니다.
- 공격 가능성: Aircrack-ng와 같은 도구를 사용하여 몇 분 만에 WEP 키를 복구할 수 있습니다.
- 평문 전송: IV가 평문으로 전송되어 공격자가 쉽게 추적 가능.
WEP의 취약점을 극복하기 위해 더 강력한 보안 프로토콜이 개발되었습니다.
WPA (Wi-Fi Protected Access)
- 도입: 2003년에 WEP을 대체하기 위해 도입.
- 기술: TKIP (Temporal Key Integrity Protocol)를 사용하여 각 패킷마다 고유한 암호화 키를 생성.
- 강화된 보안: WPA는 동적 키 교환과 IV의 크기를 늘려 보안을 강화.
WPA2
- 도입: 2004년에 WPA의 후속 버전으로 도입.
- 기술: AES (Advanced Encryption Standard) 기반의 CCMP (Counter Mode Cipher Block Chaining Message Authentication Code Protocol)를 사용.
- 보안성: 현재 널리 사용되며 매우 강력한 보안 제공.
무선 보안을 위한 권장 사항
- 최신 보안 프로토콜 사용:
- 가능한 경우 WPA3를 사용. WPA2도 여전히 강력한 보안을 제공.
- WEP은 절대 사용하지 말 것.
- 강력한 암호 사용:
- 복잡한 패스프레이즈를 사용하여 무작위 대입 공격을 방지.
- SSID 숨김 및 필터링:
- SSID를 숨기고, MAC 주소 필터링을 통해 접근을 제한.
- 네트워크 분할:
- 게스트 네트워크와 내부 네트워크를 분리하여 보안 강화.
- 정기적인 소프트웨어 업데이트:
- 라우터 및 액세스 포인트의 펌웨어를 정기적으로 업데이트하여 보안 취약점을 수정.
- 침입 탐지 시스템(IDS) 사용:
- 무선 네트워크에 대한 침입 탐지 시스템을 설치하여 비정상적인 활동을 감지.
무선 네트워크 보안을 강화하기 위해 최신 보안 프로토콜을 사용하고, 강력한 암호를 설정하며, 정기적인 업데이트와 네트워크 분할 등을 시행하는 것이 중요합니다. IT 지원 전문가는 이러한 보안 조치를 이해하고 적절하게 구현하여 조직의 무선 네트워크를 보호해야 합니다.
WEP 대신 WPA/WPA2를 선택해야 하는 이유
Wi-Fi Alliance에서 WEP을 대체한 WPA는 2003년에 임시 조치로 도입되었으며, 이듬해인 2004년에 WPA2로 업데이트되었습니다. WPA는 기존 WEP 지원 하드웨어와의 호환성을 유지하기 위해 설계되었으며, 펌웨어 업데이트를 통해 쉽게 적용될 수 있었습니다. WPA는 WEP의 보안 문제를 해결하기 위해 TKIP(Temporal Key Integrity Protocol)를 도입했습니다. TKIP는 다음과 같은 세 가지 주요 기능을 제공했습니다:
- 더 안전한 키 파생 방법: IV를 패킷별 암호화 키에 안전하게 통합합니다.
- 시퀀스 카운터: 순서가 잘못된 패킷을 거부하여 재생 공격을 방지합니다.
- 64비트 메시지 무결성 검사(MIC): 패킷의 위조, 조작 또는 손상을 방지합니다.
TKIP은 여전히 RC4 암호화를 사용하지만, 키 혼합 기능을 통해 패킷마다 고유한 암호화 키를 생성함으로써 WEP의 키 생성 약점을 해결합니다. 또한 256비트 길이의 키를 사용합니다.
WPA2는 WPA의 보안을 더욱 개선하여 CCMP(Counter Mode CBC-MAC Protocol)를 도입했습니다. WPA2는 AES 암호화를 사용하여 RC4 암호화의 문제를 해결하며, 여전히 WPA와 동일한 키 파생 프로세스를 유지합니다. CBC-MAC을 사용한 카운터 모드는 인증된 암호화를 제공하여 데이터의 기밀성과 무결성을 보장합니다.
WPA 및 WPA2는 4방향 핸드셰이크 프로세스를 통해 클라이언트를 네트워크에 인증합니다. 이 과정은 클라이언트와 AP 간에 데이터가 네 번 교환되기 때문에 4방향 핸드셰이크라고 불립니다. 이 핸드셰이크는 임시 암호화 키(PTK)를 생성하며, PMK(쌍별 마스터 키)를 기반으로 합니다. PTK는 PMK, AP nonce, 클라이언트 nonce, AP MAC 주소, 클라이언트 MAC 주소를 결합하여 생성됩니다.
WPA2는 또한 그룹별 임시 키(GTK)를 제공하여 멀티캐스트 또는 브로드캐스트 트래픽을 암호화합니다. GTK는 주기적으로 업데이트되며, 클라이언트가 AP와의 연결을 끊을 때 재전송됩니다.
또한, WPA 및 WPA2는 802.1x 인증을 통해 WPA2-엔터프라이즈 모드를 지원합니다. 802.1x는 RADIUS 서버를 사용하여 클라이언트를 인증하며, WPA2-개인 또는 WPA2-PSK와는 다릅니다.
WPS(Wi-Fi Protected Setup)는 사용자가 긴 암호를 입력하지 않고도 WPA-PSK 보호 네트워크에 쉽게 연결할 수 있도록 설계된 편리한 기능입니다. WPS는 PIN 입력 인증, NFC 또는 USB를 통한 대역 외 교환, 푸시 버튼 인증을 지원합니다. 그러나 PIN 인증 방법은 온라인 무차별 대입 공격에 취약하며, WPS PIN이 손상된 경우 공격자는 이를 재사용하여 네트워크를 손상시킬 수 있습니다.
WPA2는 강력한 보안 프로토콜이지만, 4방향 핸드셰이크는 오프라인 무차별 대입 공격에 취약할 수 있습니다. 공격자가 4방향 핸드셰이크를 캡처할 수 있다면, 사전 공유 키 또는 PMK를 추측하여 네트워크를 손상시킬 수 있습니다. 그러나 이는 매우 많은 계산 능력을 필요로 하며, 일반적으로 레인보우 테이블을 사용하여 SSID 및 비밀번호 조합에 대한 사전 계산을 통해 수행됩니다.
이와 같은 내용을 통해 IT 지원 전문가로서 WPA와 WPA2의 보안 메커니즘을 이해하고, 네트워크 보안을 강화하는 데 필요한 조치를 취할 수 있습니다.
무선 강화
무선 네트워크 보안 측면에서 가장 안전한 옵션은 EAP-TLS와 함께 802.1X를 사용하는 것입니다. 이 방법은 공개 키 인프라(PKI)를 적절하게 처리한다는 가정 하에 최상의 보안을 제공합니다. EAP-TLS는 클라이언트와 서버 모두가 인증서를 사용하여 상호 인증을 수행하므로 매우 안전합니다. 하지만 이 방법은 복잡성과 관리 오버헤드가 큽니다. 다음과 같은 이유로 복잡할 수 있습니다:
- RADIUS 서버 필요: RADIUS 서버는 802.1X 인증을 관리하는 데 필요합니다.
- PKI 인프라 필요: 인증서 관리를 위한 백엔드 시스템과 클라이언트 인증서 서명 시스템이 필요합니다.
- 클라이언트 인증서 배포: 각 클라이언트에 인증서를 배포하고 관리해야 합니다.
이러한 복잡성 때문에 많은 회사가 이 방법을 선택하지 못할 수 있습니다. 만약 802.1X가 회사에 너무 복잡하다면, 다음으로 좋은 대안은 WPA2-AES(Advanced Encryption Standard)를 사용하는 것입니다. WPA2-AES는 현재 널리 사용되고 있는 무선 보안 표준 중 하나이며, 강력한 보안을 제공합니다.
WPA2-AES 보안을 강화하는 방법
- 길고 복잡한 암호 사용: 사전에서 찾을 수 없는 길고 복잡한 암호를 사용하면 무차별 대입 공격과 레인보우 테이블 공격을 방지할 수 있습니다. 예를 들어, 대문자, 소문자, 숫자, 특수 문자를 포함한 16자 이상의 암호를 사용하는 것이 좋습니다.
- 고유한 SSID 사용: SSID를 일반적이지 않고 고유한 것으로 변경하면 레인보우 테이블 공격의 가능성을 줄일 수 있습니다. 예를 들어, 'HomeNetwork123' 대신 'H0m3N3tw0rk_Unique'와 같이 고유한 이름을 사용하는 것이 좋습니다.
- WPS 비활성화: WPS(Wi-Fi Protected Setup)는 보안 위험이 크기 때문에 비활성화하는 것이 좋습니다. 특히 엔터프라이즈 환경에서는 WPS를 사용하지 않도록 설정하는 것이 중요합니다. AP의 관리 콘솔을 통해 WPS가 비활성화되어 있는지 확인하고, Wash 같은 도구를 사용하여 이 설정이 실제로 적용되었는지 독립적으로 검증할 수 있습니다.
가장 안전한 무선 네트워크 보호 옵션은 EAP-TLS와 함께 802.1X를 사용하는 것입니다. 그러나 이 방법이 너무 복잡하다면 WPA2-AES를 사용하는 것이 좋은 대안입니다. WPA2-AES 보안을 강화하려면 길고 복잡한 암호를 사용하고, 고유한 SSID를 설정하며, WPS를 비활성화하는 것이 좋습니다. 이러한 조치를 통해 무선 네트워크의 보안을 크게 강화할 수 있습니다.
네트워크 모니터링
네트워크 스니핑
네트워크 트래픽을 모니터링하고 분석하는 과정에서 패킷 스니핑 및 패킷 캡처는 중요한 역할을 합니다. 이 과정에서는 네트워크 인터페이스를 통해 송수신되는 모든 패킷을 가로채서 저장하고 분석할 수 있습니다. IT 지원 전문가에게 있어 이 도구들은 네트워크 문제를 해결하고 보안을 강화하는 데 매우 유용합니다. 다음은 패킷 스니핑과 관련된 몇 가지 기본 개념과 주요 사항들입니다.
기본 개념
- 네트워크 인터페이스의 동작:
- 일반적으로 네트워크 인터페이스는 특정 MAC 주소로 주소가 지정된 패킷만 수락하고 처리합니다. 다른 주소로 지정된 패킷은 삭제됩니다.
- 무차별 모드:
- 네트워크 인터페이스를 무차별 모드(promiscuous mode)로 설정하면 모든 패킷을 수락하고 처리할 수 있습니다. 이 모드는 네트워크 분석과 모니터링에 매우 유용합니다.
- 무차별 모드 설정을 위해 관리자 또는 루트 권한이 필요합니다.
- 트래픽 접근성:
- 스위치에 연결된 호스트 간의 트래픽을 분석하려면 트래픽이 분석 시스템으로 전송될 수 있어야 합니다.
- 포트 미러링(port mirroring) 기능을 사용하는 엔터프라이즈 관리 스위치는 특정 포트나 VLAN의 모든 패킷을 미러링하여 지정된 포트로 보낼 수 있습니다.
- 허브를 사용하면 패킷을 쉽게 미러링할 수 있지만, 처리량 감소와 충돌 가능성 등의 단점이 있습니다.
무선 네트워크에서의 패킷 캡처
- 무차별 모드와 모니터 모드:
- 무선 네트워크에서는 무차별 모드를 사용하여 연결된 네트워크의 트래픽을 캡처할 수 있습니다.
- 모니터 모드(monitor mode)는 특정 채널의 모든 무선 트래픽을 캡처할 수 있습니다. 이 모드는 무선 네트워크에 연결하지 않아도 되며, 전체 채널을 스캔할 수 있습니다.
- 도구 사용:
- 무선 패킷 캡처 도구는 일반적으로 모니터 모드를 설정하고 해제할 수 있습니다.
- Aircrack-ng, Kismet 등의 오픈소스 유틸리티가 널리 사용됩니다.
- 무선 네트워크가 암호화된 경우 비밀번호를 모르면 캡처한 트래픽의 페이로드를 디코딩할 수 없습니다.
트래픽 캡처 도구
패킷 캡처 및 분석을 위한 도구는 다양하며, 다음 강의에서 이러한 도구들의 사용 방법에 대해 더 자세히 알아볼 수 있습니다.
Wireshark 및 tcpdump
패킷 캡처 및 분석 도구는 네트워크 트래픽을 모니터링하고 이해하는 데 매우 유용합니다. 이를 통해 네트워크 보안 문제를 식별하고 해결하는 데 도움을 줄 수 있습니다. 다음은 tcpdump와 Wireshark라는 두 가지 주요 패킷 캡처 및 분석 도구에 대한 설명입니다.
tcpdump
- 기본 개요:
- tcpdump는 명령줄 기반 유틸리티로, 패킷을 캡처하고 분석할 수 있습니다.
- 오픈소스 libpcap 라이브러리를 사용하여 패킷 캡처 기능을 제공합니다.
- 기능:
- 패킷 캡처를 파일에 기록하여 나중에 분석하거나 트래픽 재생에 사용할 수 있습니다.
- 캡처된 패킷은 소스 및 대상 IP 주소, 포트 번호 등 주요 정보를 사람이 읽을 수 있는 형식으로 변환합니다.
- -n 플래그를 사용하여 호스트 이름과 서비스 이름 대신 숫자 주소와 포트 번호를 표시할 수 있습니다.
- -x 플래그를 사용하면 패킷의 원시 데이터를 16진수로 표현할 수 있으며, 대문자 X를 사용하면 ASCII 해석도 추가로 제공됩니다.
Wireshark
- 기본 개요:
- Wireshark는 그래픽 유틸리티로 패킷 캡처 및 분석을 위한 도구입니다.
- 역시 libpcap 라이브러리를 사용하며, tcpdump에 비해 애플리케이션 및 패킷 분석 기능이 훨씬 강력합니다.
- 기능:
- Wireshark는 암호화된 페이로드를 디코딩할 수 있으며, SMB 또는 HTTP를 통해 전송된 데이터 페이로드를 추출할 수 있습니다.
- 다양한 애플리케이션 수준 프로토콜을 이해하고, 필터 규칙을 통해 특정 문자열이 있는 HTTP 요청을 찾을 수 있습니다.
- 패킷 목록, 계층화된 표현, 16진수 및 ASCII 표현의 세 부분으로 구성된 인터페이스를 제공합니다.
- 색상 코딩을 통해 트래픽 유형을 구별할 수 있으며, 문제가 있는 TCP 패킷은 검은색으로 강조 표시됩니다.
- 디스플레이 필터 상자를 통해 복잡한 패킷 필터링을 수행할 수 있습니다.
- 2,000개 이상의 프로토콜을 지원하며, TCP 세션을 재조립하고 분석할 수 있습니다.
- WPA 및 WEP 암호화 무선 패킷을 디코딩하고, Bluetooth, USB 트래픽 및 Zigbee 같은 다른 프로토콜도 분석할 수 있습니다.
- HTTP 파일 전송 또는 FTP를 통해 전송된 파일에서 데이터 페이로드를 추출하고, 암호화되지 않은 VOIP 트래픽에서 오디오 스트림을 추출할 수 있습니다.
보안 적용
- 패킷 캡처 및 분석을 통해 네트워크에서 어떤 유형의 트래픽이 흐르고 있는지 이해할 수 있습니다.
- 이는 로그 분석과 마찬가지로 네트워크 보안의 중요한 부분이며, 트래픽 분석을 통해 잠재적인 보안 위협을 식별하고 대응할 수 있습니다.
tcpdump와 Wireshark는 각각의 강점을 가지고 있으며, 상황에 따라 적절한 도구를 선택하여 사용할 수 있습니다. tcpdump는 간단한 명령줄 기반 분석에 적합하고, Wireshark는 더 강력하고 세부적인 분석을 제공합니다.
침입 감지/방지 시스템
IDS (Intrusion Detection System)와 IPS (Intrusion Prevention System)는 네트워크 보안을 강화하기 위한 중요한 도구들입니다. 각각의 역할과 차이점을 다음과 같이 요약할 수 있습니다:
IDS (Intrusion Detection System)
- 기능: 네트워크 트래픽을 모니터링하고 악성 활동이나 잠재적인 침입을 감지하는 데 중점을 둡니다.
- 운영 방식: 시그니처 기반 감지, 행위 기반 감지, 프로토콜 분석 등을 사용하여 트래픽을 분석합니다.
- 조치: 감지된 악성 트래픽을 기록하고 관리자에게 경고를 보냅니다. 트래픽을 차단하거나 삭제하지 않습니다.
- 목적: 침입을 감지하고 관리자에게 알림을 보내어 조치를 취할 수 있도록 합니다.
- 설치 위치: 네트워크 내에서 NIDS (Network-based IDS) 형태로 배치되며, 네트워크 세그먼트의 트래픽을 모니터링합니다.
- 사용 사례: 네트워크 내부에서 발생하는 악의적인 행위를 식별하고, 조직의 보안 정책 준수를 확인합니다.
IPS (Intrusion Prevention System)
- 기능: IDS와 유사하지만, 감지된 악성 트래픽에 즉각적으로 대응하여 트래픽을 차단하거나 삭제합니다.
- 운영 방식: IDS와 유사한 감지 기법을 사용하며, 감지된 공격을 차단하기 위해 방화벽 규칙을 조정합니다.
- 조치: 공격을 차단하거나 삭제하여 시스템을 보호합니다.
- 목적: 침입을 감지하는 것뿐만 아니라, 실제로 공격을 방지하고 시스템을 보호합니다.
- 설치 위치: 네트워크 통로에 배치되어, 감지된 트래픽을 차단할 수 있도록 합니다.
- 사용 사례: 악의적인 행위로부터 시스템을 보호하고 네트워크 트래픽을 제어합니다.
IDS와 IPS의 차이점
- 역할: IDS는 악성 트래픽을 감지하고 알림을 발생시키지만, IPS는 차단 또는 삭제와 같은 즉각적인 대응을 수행합니다.
- 조치: IDS는 passively monitoring하여 조치를 취하지 않지만, IPS는 active하게 트래픽을 제어합니다.
- 설치 위치: IDS는 네트워크 세그먼트에 배치되어 모니터링을 수행하지만, IPS는 트래픽을 제어하기 위해 더 전략적인 위치에 배치됩니다.
이러한 시스템들은 네트워크 보안을 강화하고 공격에 대한 대응 능력을 제공하여 전체적인 보안 정책을 지원합니다. 각 시스템의 사용 목적과 환경에 따라 적절한 선택이 필요합니다.