EIS

지도 위치 : 2과목 네트워크 보안 · README 4장 ③ 영역(네트워크)의 바닥 — 공격과 방어가 올라탈 "길" 자체 | 출제기준: 1. 네트워크 일반 > 1. 네트워크 개념 이해 | 이전: 05 시스템 분석 도구와 보안 솔루션 | 다음: 07 네트워크 장비 · 서비스 · 도구 출제 빈도 : ⭐⭐ (회당 약 2.9문항 — 출제분석.md) · 변화 – · ⚠️ 신규 범위 포함(네트워크 토폴로지, SDN — 최근 회당 1문항 정도) 세세항목 : 1. 네트워크의 개요(OSI 7 Layers 및 TCP, UDP, IP, ICMP 등 네트워크 프로토콜) 2. 네트워크의 종류별 동작 원리 및 특징(Ethernet, LAN, Intranet, Extranet, Internet, CAN, PAN, HAN, SDN 등) 3. 네트워크 주소의 개요(IPv4, IPv6 Addressing, Subnetting, CIDR, VLSM, 데이터 캡슐화, Multicast, Broadcast 등) 4. 네트워크 주소의 종류별 동작원리 및 특징(공인주소, 사설주소, 정적주소, 동적주소, NAT 등)

이 노트를 다 읽으면

1. OSI 7계층과 TCP/IP 4계층을 대응시키고, 주요 프로토콜이 어느 계층 에 속하는지 말할 수 있다.
2. 캡슐화 · 디캡슐화 순서와 계층별 PDU(세그먼트 · 패킷 · 프레임 · 비트)를 말할 수 있다.
3. TCP 3-way handshake · 4-way 종료, TCP 플래그 6개, TCP ↔ UDP의 차이를 설명할 수 있다.
4. IP 헤더의 TTL · 단편화 필드와 ICMP 주요 타입(0 · 3 · 5 · 8 · 11)을 연결할 수 있다.
5. IPv4 클래스 선두 비트와 범위, 사설 대역, 서브넷 · CIDR 계산을 할 수 있다.
6. IPv6가 IPv4와 무엇이 다른지(128비트, 브로드캐스트 폐지, 애니캐스트, 고정 헤더) 말할 수 있다.
7. NAT의 종류(정적 · 동적 · PAT)와 목적, 주요 Well-known 포트를 댈 수 있다.
8. 네트워크 종류(LAN · PAN · CAN · SDN 등)와 토폴로지(버스 · 스타 · 링 · 트리 · 메시)를 구별할 수 있다.

---

0. 이 노트의 판별 축

이 노트가 답하는 질문은 "패킷 하나는 어떻게 생겼고, 어떻게 찾아가는가" 입니다. 탑다운 순서상 앞에서 배운 암호 · 인증(19 · 17번 노트)은 "무엇으로 지키나"였고, 이 노트부터는 "어디서 지키나" 의 첫 영역입니다. 08번(DoS) · 09번(스캔 · 스푸핑) 노트의 공격은 전부 여기서 배우는 헤더 필드와 플래그를 비틀어 쓰는 것 이라, 이 노트가 2과목 전체의 문법입니다.

---

1. 계층 모델 — OSI 7계층과 TCP/IP

1.1 계층을 나누는 이유

OSI 7계층 — [네트워크 참조 모델]인데, [ 통신 기능을 7개 층으로 나눠 각 층이 아래층의 서비스만 이용하게 한다 ]는 점에서 실제 인터넷 구현을 4층으로 묶은 TCP/IP 모델과 구별된다.

⚠️ ARP의 계층 은 교재마다 2계층 또는 3계층(2.5계층)으로 갈립니다. 최근 기출에서는 "ARP는 네트워크 계층" 을 정답으로 본 문항이 있었습니다. IP 주소(3계층)를 MAC 주소(2계층)로 바꿔 주는 경계의 프로토콜 이라고 기억하고, 보기에서 "3계층"이 나오면 맞는 것으로 고르세요.

⚠️ 데이터링크 계층의 기능 : 프레임화, MAC 주소 지정, 오류 검출(CRC), 흐름 제어, 매체 접근 제어(CSMA/CD). 경로 선택(라우팅)은 3계층 이라 "데이터링크 기능이 아닌 것"의 정답으로 자주 나옵니다.

1.2 캡슐화와 디캡슐화

송신: 데이터 → [TCP 헤더|데이터]=세그먼트 → [IP 헤더|세그먼트]=패킷 → [Eth 헤더|패킷|FCS]=프레임 → 비트
수신: 비트 → 프레임 → 패킷 → 세그먼트 → 데이터   (아래에서 위로 헤더를 하나씩 벗김)

🔍 읽는 포인트 : 보내는 쪽은 위에서 아래로 헤더를 붙이고(캡슐화) , 받는 쪽은 아래에서 위로 벗깁니다(디캡슐화) . 프레임만 꼬리(FCS, 오류 검출용) 까지 붙습니다.

📝 기출 포인트 — "프로토콜과 OSI 계층 매칭", "응용 계층에서 동작하지 않는 것(IP)", "OSI 4계층 프로토콜(TCP · UDP)", "TCP/IP 4계층에 해당하지 않는 것", "수신 측 PDU 변환 순서(비트→프레임→패킷→세그먼트)"가 반복됩니다. 최근에는 보안 프로토콜과 계층 매칭 (SSL/TLS ↔ 전송~응용 사이, IPsec ↔ 3계층, PPTP · L2TP ↔ 2계층)도 나왔습니다.

앞으로 다시 만납니다 — 보안 프로토콜의 계층은 10번 노트, 장비의 계층(허브 1 · 스위치 2 · 라우터 3)은 07번 노트.

💡 비유는 마지막에 — 편지(데이터)를 봉투(TCP)에 넣고, 소포 상자(IP)에 넣고, 트럭(프레임)에 싣는 것. 받는 쪽은 트럭에서 내려 상자를 뜯고 봉투를 엽니다.

---

2. 전송 계층 — TCP와 UDP

2.1 TCP ↔ UDP

TCP — [전송 계층 프로토콜]인데, [ 연결을 맺고 순서 번호 · 확인 응답 · 재전송으로 신뢰성을 보장한다 ]는 점에서 연결 없이 그냥 보내는 UDP와 구별된다.

⚠️ DNS는 둘 다 씁니다. 일반 질의는 UDP 53, 존 전송과 큰 응답은 TCP 53 .

Stateful ↔ Stateless — HTTP는 TCP 위에서 돌지만 HTTP 자체는 Stateless (요청마다 독립)입니다. 그래서 웹은 쿠키 · 세션으로 상태를 흉내 냅니다(13번 노트). 최근 기출이 이 경계를 물었습니다.

2.2 TCP 헤더와 플래그 ⭐

💡 Xmas 스캔은 FIN · PSH · URG 를 켜고(트리 전구처럼), NULL 스캔은 아무것도 켜지 않습니다 (09번 노트).

2.3 3-way handshake와 4-way 종료

클라이언트                                서버 (LISTEN)
 SYN_SENT   ── SYN, seq=x ──────────────▶
            ◀── SYN+ACK, seq=y, ack=x+1 ──  SYN_RECEIVED  (← 반개방 상태, SYN Flooding의 표적)
 ESTABLISHED ── ACK, seq=x+1, ack=y+1 ───▶  ESTABLISHED

종료:  FIN ▶  /  ◀ ACK  /  ◀ FIN  /  ACK ▶   (먼저 끊은 쪽은 TIME_WAIT 상태로 2MSL 대기)

🔍 읽는 포인트 : ack 값은 항상 상대 seq + 1 (SYN · FIN은 데이터가 없어도 번호 1개를 소비). 서버가 SYN+ACK를 보낸 뒤 마지막 ACK를 기다리는 SYN_RECEIVED(반개방) 상태가 08번 노트 SYN Flooding의 핵심입니다.

서버 소켓 순서 — socket → bind → listen(접속 대기) → accept, 클라이언트는 socket → connect. "TCP 서버가 접속 요청을 대기하는 함수"는 listen 입니다.

TCP 타이머 — 재전송 타이머(RTO, 응답 없으면 재전송), 영속 타이머(상대 윈도우가 0일 때 주기적으로 탐침), Keepalive 타이머(오래 조용한 연결이 살아 있는지 확인, 07번 노트), TIME_WAIT 타이머(2MSL).

📝 기출 포인트 — "연결 시작 플래그(SYN)", "TCP 플래그 종류 · 의미", "3-way handshake 과정과 상태", "4-way 종료 시 seq/ack 계산"이 반복. 계산 문제는 ack = 받은 seq + 받은 데이터 길이(SYN · FIN은 +1) 만 알면 풀립니다.

---

3. 네트워크 계층 — IP와 ICMP

3.1 IPv4 헤더의 보안 관련 필드

단편화 계산 — 오프셋은 8바이트 단위 로 적습니다. MTU 1500, IP 헤더 20바이트라면 한 단편에 실을 수 있는 데이터는 1480바이트(8의 배수), 두 번째 단편의 오프셋 값은 1480 ÷ 8 = 185 . 마지막 단편만 MF=0.

3.2 ICMP 타입 ⭐

ICMP — [네트워크 계층 프로토콜]인데, [ 데이터를 나르지 않고 오류 · 제어 메시지를 알린다 ]는 점에서 데이터를 나르는 TCP · UDP와 구별된다. IP 위에 실리지만(프로토콜 번호 1) 계층은 3계층으로 봅니다.

💡 8이 묻고 0이 답한다 (ping), 11은 TTL , 3은 못 간다 , 5는 저리로 가라 .

📝 기출 포인트 — "TTL이 0일 때 발생하는 ICMP 메시지(Time Exceeded)"가 3회 이상, "ICMP 타입 번호 의미(Redirect 등)", "혼잡을 알리는 메시지(Source Quench)", "IP 헤더 TTL의 목적(무한 루프 방지)", "MTU에 따른 단편 크기 · 오프셋 계산"이 반복.

---

4. 주소 — IPv4 · 서브넷 · IPv6

4.1 IPv4 클래스와 특수 주소 ⭐

사설 주소 (RFC 1918) — 인터넷에서 라우팅되지 않는 주소.

⚠️ 함정: 172.32.x.x는 공인 , 169.254.x.x는 사설이 아니라 APIPA(링크 로컬, DHCP 실패 시 자동 할당) , 127.x.x.x는 루프백 .

전송 방식 — 유니캐스트(1:1), 브로드캐스트(1:전체, 네트워크 주소의 호스트 부분이 모두 1, 예: 192.168.1.255), 멀티캐스트(1:그룹, D 클래스), 애니캐스트(1:가장 가까운 하나, IPv6). Directed broadcast (다른 네트워크의 브로드캐스트 주소로 보내기)를 라우터가 통과시키면 Smurf 증폭이 가능해집니다(08번 노트).

4.2 서브넷 · CIDR · VLSM 계산

서브네팅 — [주소 설계 기법]인데, [ 호스트 부분의 비트를 빌려 네트워크를 더 잘게 나눈다 ]는 점에서 여러 네트워크를 하나로 묶는 슈퍼네팅(경로 요약)과 구별된다.

계산 요령 (/24를 32개로)

192.168.10.0/24 를 32개 서브넷으로
  32 = 2^5 → 5비트 빌림 → /29 (마스크 255.255.255.248)
  서브넷당 주소 2^3 = 8개 → 사용 가능 호스트 8 - 2 = 6개 (네트워크 주소 · 브로드캐스트 제외)
  서브넷: .0, .8, .16, ... .248  /  첫 서브넷의 브로드캐스트 = .7

🔍 읽는 포인트 : "서브넷 n개" → 2^k ≥ n인 k비트를 빌림. "호스트 h개" → 2^m − 2 ≥ h인 m비트를 남김. 블록 크기 = 256 − 마지막 옥텟 마스크 값.

4.3 IPv6

IPv6 — [네트워크 계층 주소 체계]인데, [ 128비트 주소와 40바이트 고정 기본 헤더, 확장 헤더 구조를 쓴다 ]는 점에서 32비트 · 가변 헤더의 IPv4와 구별된다.

⚠️ 시험 보기의 "IPv6는 보안(IPsec)을 기본 지원"은 맞는 것 으로 봅니다(설계 기준). "IPv6에도 브로드캐스트가 있다"는 틀린 것 .

📝 기출 포인트 — IP 클래스 범위 · 선두 비트 (5회+), D 클래스 = 멀티캐스트 + IGMP , 사설 대역 , IPv6 특징 (5회+: 128비트, 브로드캐스트 폐지, 애니캐스트, 헤더 단순화, 보안 확장 헤더), /24를 n개로 나누는 서브넷 계산 이 반복됩니다.

---

5. 공인 · 사설 · NAT, 정적 · 동적 주소, 포트

5.1 NAT

NAT — [주소 변환 기술]인데, [ 사설 주소를 공인 주소로 바꿔 인터넷에 내보낸다 ]는 점에서 이름을 주소로 바꾸는 DNS, IP를 MAC으로 바꾸는 ARP와 구별된다.

목적과 보안 효과 — 1차 목적은 공인 IPv4 주소 부족 해결 입니다. 부수 효과로 내부 주소 구조가 외부에 숨겨져 외부에서 내부 호스트로 먼저 연결을 걸기 어려워집니다. ⚠️ 그렇다고 NAT가 방화벽을 대신하지는 않습니다(내용 검사 없음). 또 NAT는 IP 헤더를 바꾸므로 IPsec AH와 충돌 합니다(10번 노트).

정적 ↔ 동적 주소 — 정적 주소는 관리자가 직접 지정(서버 · 장비), 동적 주소는 DHCP 가 임대(클라이언트). DHCP는 UDP , 서버 67 / 클라이언트 68 , 과정은 Discover → Offer → Request → Ack(DORA). 가짜 DHCP 서버 문제는 09번 노트.

5.2 포트 번호 ⭐

포트 — [전송 계층 주소]인데, [ 같은 호스트 안의 프로세스(서비스)를 구분한다 ]는 점에서 호스트를 구분하는 IP 주소와 구별된다. IP + 포트 = 소켓 .

📝 기출 포인트 — 포트 매칭은 이 노트에서 가장 많이 나온 유형 (포트 번호 6회, Well-known 4회 등). 특히 22 · 53 · 161 , NetBIOS 137~139 · POP3 · IMAP과 전송 프로토콜(TCP/UDP) , HTTPS 443 , POP3S 995 · IMAPS 993 . NAT는 "도입 목적(주소 부족)", "PAT · Dynamic NAT 구분", "출발지 · 목적지를 모두 바꾸는 방식"이 나왔습니다.

---

6. 네트워크 종류와 토폴로지 ⚠️ 신규 범위

최근 강의에서 "시행기관이 바뀐 뒤 일반 네트워크 문제가 회당 1문항 정도 "라는 언급이 있었습니다(복원 기반, 신뢰도 중하).

6.1 네트워크 종류

SDN (Software Defined Network) ⚠️ 신규 범위 — [네트워크 구조]인데, [ 경로를 결정하는 제어부(Control Plane)를 장비에서 떼어 중앙 컨트롤러 소프트웨어로 옮기고, 장비는 전달(Data Plane)만 한다 ]는 점에서 장비마다 제어 기능을 품은 전통 네트워크와 구별된다. 컨트롤러와 장비 사이 표준 프로토콜로 OpenFlow 가 대표적입니다. 장점은 중앙에서 프로그래밍으로 정책을 바꿀 수 있다는 것, 보안상 약점은 컨트롤러가 단일 장애점 · 공격 표적 이 된다는 것입니다.

앞으로 다시 만납니다 — 제로트러스트와 SDN의 연결은 11번 노트.

6.2 토폴로지 ⚠️ 신규 범위

📝 기출 포인트 — "모든 노드가 연결된 토폴로지(메시)", "중앙 허브 의존(스타)", "버스 · 스타 · 트리 · 메시 구분"이 2024~2025년에 연속 출제. SDN은 2024년 3월 1회.

💡 비유는 마지막에 — 버스는 한 줄 복도, 스타는 로비 하나에 모든 방이 붙은 구조, 메시는 모든 방 사이에 문이 있는 구조입니다.

---

7. 실기 연결

연결되는 수행준거 — 1-2 "프로토콜별 보안특성 파악하기"(OSI 7계층과 TCP/IP의 구성, PDU 구조와 헤더 필드 기능 , IP · ARP · ICMP 동작절차와 취약점, TCP · UDP 동작절차), 1-4 "네트워크 구성도를 분석해 IP 주소 · 서브넷 정보 파악", 1-4-8 " NAT 종류와 동작 절차 ", 2-3-4 "NAT 설정 점검".

필답형에서 묻히는 방식

로그 해석 예시

10:01:02 IP 203.0.113.5.51234 > 10.0.0.10.80: Flags [S], seq 1000, win 64240, length 0
10:01:02 IP 10.0.0.10.80 > 203.0.113.5.51234: Flags [S.], seq 5000, ack 1001, win 65160, length 0
10:01:02 IP 203.0.113.5.51234 > 10.0.0.10.80: Flags [.], ack 5001, win 502, length 0

🔍 읽는 포인트 : tcpdump에서 [S]=SYN, [S.]=SYN+ACK(.은 ACK), [.]=ACK만, [R]=RST, [F]=FIN, [P]=PSH. ack 값이 상대 seq+1인 것으로 정상 3-way handshake 임을 확인합니다. 마지막 줄이 오지 않고 [S]만 대량으로 쌓이면 08번 노트의 SYN Flooding입니다.

점검표 관점 — 구성도에서 ① 내부망이 사설 대역인지, ② 공개 서버만 정적 NAT로 노출되는지, ③ 경계 라우터가 사설 · 루프백 출발지 패킷을 외부에서 받아들이지 않는지(Ingress 필터링, 11번 노트), ④ 불필요한 Well-known 포트가 열려 있지 않은지.

---

8. 확인 문제

문제 1. 다음 중 OSI 계층과 프로토콜의 연결이 잘못된 것은? ① 4계층 – UDP ② 3계층 – ICMP ③ 7계층 – SNMP ④ 2계층 – IP

문제 2. 라우터를 지나던 패킷의 TTL이 0이 되어 폐기될 때 출발지로 보내지는 ICMP 메시지의 타입은? ① 0 ② 3 ③ 5 ④ 11

문제 3. 다음 중 사설 IP 주소가 아닌 것은? ① 10.200.1.1 ② 172.20.5.5 ③ 172.33.1.1 ④ 192.168.100.1

문제 4. IPv6에 대한 설명으로 옳지 않은 것은? ① 주소 길이는 128비트이다. ② 브로드캐스트 주소로 같은 링크의 모든 노드에 보낸다. ③ 가장 가까운 하나의 노드로 전달하는 애니캐스트가 있다. ④ 기본 헤더는 40바이트로 고정되고 옵션은 확장 헤더로 처리한다.

문제 5. 200.10.10.0/24 네트워크를 같은 크기의 서브넷 8개로 나눌 때 서브넷 마스크와 서브넷당 사용 가능한 호스트 수는? ① /27, 30개 ② /27, 32개 ③ /28, 14개 ④ /26, 62개

문제 6. 가정용 공유기처럼 여러 사설 주소가 하나의 공인 주소를 함께 쓰면서 포트 번호로 세션을 구분 하는 방식은? ① 정적 NAT ② 동적 NAT ③ PAT ④ DNAT

문제 7. 서비스와 기본 포트의 연결이 잘못된 것은? ① SSH – TCP 22 ② SNMP – UDP 161 ③ IMAPS – 995 ④ NetBIOS 이름 서비스 – UDP 137

문제 8. 모든 노드가 서로 직접 연결되어 경로 장애에 가장 강하지만 회선 비용이 큰 토폴로지는? ① 버스형 ② 스타형 ③ 링형 ④ 메시형

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 06번 노트만 근거로 4지선다 8문제를 내줘. 비전공자 기준으로.
"OSI 계층 매칭", "ICMP 타입", "IP 클래스와 사설 대역", "서브넷 계산", "IPv6 특징", "포트 번호"는 반드시 포함해줘.
내가 답한 다음에 채점하고, 틀린 보기가 왜 틀렸는지 노트의 판별 축과 절 번호로 설명해줘.
노트에 없는 내용은 끌어오지 마.