EIS

지도 위치 : 2과목 네트워크 보안 · README 4장 ③ 영역(네트워크) — 길 위의 장비와, 길을 들여다보는 도구 | 출제기준: 1. 네트워크 일반 > 2. 네트워크의 활용 | 이전: 06 네트워크 개념 | 다음: 08 DoS · DDoS 출제 빈도 : ⭐⭐ (회당 약 2.9문항 — 출제분석.md) · 변화 ▲ (이전 2.0 → 현행 3.9, 일반 네트워크 · 명령어 문항 증가) 세세항목 : 1. 네트워크 장비별 원리 및 특징(NIC, Router, Bridge, Switch, Hub, Repeater, Gateway, VLAN 등) 2. 네트워크 공유(Share)의 동작원리와 특징(Netbios, Netbeui, P2P 등) 3. 유‧무선 네트워크 서비스의 개요와 종류별 특징 4. 네트워크 도구(ping, arp, rarp, traceroute, netstat, tcpdump 등)의 이해와 활용

이 노트를 다 읽으면

1. 리피터 · 허브 · 브리지 · 스위치 · 라우터 · 게이트웨이를 동작 계층과 판단 기준(무엇을 보고 전달하나) 으로 구별할 수 있다.
2. 스위칭 방식 세 가지(Store-and-Forward · Cut-Through · Fragment-Free)와 VLAN · 포트 미러링의 목적을 말할 수 있다.
3. RIP · OSPF · BGP를 거리 벡터 · 링크 상태 · 경로 벡터 축으로 구별할 수 있다.
4. NetBIOS 포트(137 · 138 · 139 · 445)와 널 세션의 위험, P2P 공유의 위험을 말할 수 있다.
5. 유선(802.3 · CSMA/CD)과 무선(802.11 계열 · CSMA/CA)의 차이, 무선 표준의 주파수를 구별할 수 있다.
6. ping · traceroute · arp · netstat · ipconfig · tcpdump 의 용도와 주요 옵션, 쓰는 ICMP 메시지를 말할 수 있다.
7. 라우터의 원격 접속(vty) · 세션 타임아웃 · SNMP 커뮤니티 · TCP Keepalive 보안 설정을 읽을 수 있다.

---

0. 이 노트의 판별 축

이 노트가 답하는 질문은 "06번 노트의 패킷이 실제로 어떤 장비를 지나고, 관리자는 무엇으로 그것을 들여다보는가" 입니다. 장비가 무엇을 보고 판단하는지(축 1)를 알아야 09번 노트의 스위치 재밍 · ARP 스푸핑이 "왜 스위치를 허브처럼 만들려 하는가"가 보이고, 도구의 원리(ICMP · TTL)는 앞에서 배운 06번 노트의 헤더 필드를 그대로 씁니다.

---

1. 네트워크 장비 ⭐

1.1 계층별 장비

⚠️ 충돌 도메인 ↔ 브로드캐스트 도메인 : 스위치 · 브리지는 충돌 도메인 을 나누고, 라우터(와 VLAN)는 브로드캐스트 도메인 을 나눕니다. 허브는 둘 다 못 나눕니다.

1.2 스위칭 방식

1.3 VLAN과 포트 미러링

VLAN — [논리적 망 분리 기술]인데, [ 물리적으로 같은 스위치에 있어도 브로드캐스트 도메인을 논리적으로 나눈다 ]는 점에서 케이블과 장비 자체를 나누는 물리적 망 분리와 구별된다.

VLAN Hopping — 공격자가 트렁크 협상을 흉내 내거나(스위치 스푸핑) 태그를 두 겹 붙여(이중 태깅) 다른 VLAN으로 넘어가는 것. 경감 : 단말 포트는 액세스로 고정 하고 자동 트렁크 협상(DTP)을 끔, 사용하지 않는 포트는 닫고 미사용 VLAN에 넣음, 네이티브 VLAN을 사용자 VLAN과 다르게(기본 VLAN 1을 쓰지 않음) .

포트 미러링 (SPAN) — [스위치 기능]인데, [ 특정 포트의 트래픽을 복사해 분석 포트로 보낸다 ]는 점에서 공격 기법인 스위치 재밍과 구별된다. 스위치 환경에서 IDS · 패킷 분석기를 붙이는 정상적인 방법입니다. 같은 효과를 내는 별도 장비가 TAP .

📝 기출 포인트 — "MAC 주소로 전달 포트를 결정하는 장비(스위치 · 브리지)", "2계층 장비", "네트워크 계층 장비(라우터)", "리피터의 계층", "Store-and-Forward" (2회), VLAN의 목적 · 액세스/트렁크 · 포트 미러링 (3회+), "VLAN hopping 경감"이 반복됩니다.

💡 비유는 마지막에 — 허브는 확성기, 스위치는 우편함 담당자(이름표=MAC을 보고 해당 칸에만), 라우터는 지역 간 택배 허브(주소=IP를 보고 다음 지역 선택), 게이트웨이는 통역사.

---

2. 라우팅 프로토콜 ⭐

2.1 정적 ↔ 동적 라우팅

2.2 RIP · OSPF · BGP

⚠️ 함정: "다익스트라 기반 링크 상태" = OSPF , "홉 카운트" = RIP , "AS 간" = BGP . IGRP · EIGRP는 시스코 전용(EIGRP는 거리 벡터 개선형).

📝 기출 포인트 — OSPF = 다익스트라 · 링크 상태 (3회), "RIPv1은 CIDR 미지원", "RIP 홉 카운트", "AS 간 라우팅 = BGP", "정적 라우팅의 특징", "OSPF와 RIP 특징 비교"가 반복.

---

3. 네트워크 공유 — NetBIOS · SMB · P2P

NetBIOS — [네트워크 공유용 API · 이름 체계]인데, [ 컴퓨터 이름(NetBIOS 이름)으로 같은 망의 자원을 찾고 공유한다 ]는 점에서 IP 주소 · DNS 기반 접근과 구별된다. 원래 브로드캐스트 로 이름을 찾았습니다.

위험과 대책 — 널 세션 (IPC$에 빈 계정 · 빈 패스워드로 접속해 계정 · 공유 목록을 수집, 03번 노트 시스템 위협), 불필요한 기본 공유(C$ · ADMIN$), SMB 취약점을 노린 웜 · 랜섬웨어. 대책은 외부 경계에서 137~139 · 445 차단 , 불필요하면 NetBIOS over TCP/IP 해제, 공유 폴더 접근 권한 최소화, 널 세션 제한(레지스트리 RestrictAnonymous), 패치. 공유 확인 명령은 윈도우 net share(04번 노트).

P2P 공유 — 중앙 서버 없이 이용자끼리 직접 파일을 주고받는 방식. 위험은 의도치 않은 폴더 공유로 인한 정보 유출, 악성코드가 섞인 파일, 저작권 침해, 대역 점유 입니다. 조직에서는 P2P 포트 · 프로토콜 차단과 정책으로 통제합니다.

📝 기출 포인트 — "NetBIOS · SMB 포트(139 · 445)", "NetBIOS 이름 서비스 UDP 137", "NetBIOS의 브로드캐스트 기반 동작", "Samba와 널 세션"이 2024~2025년에 연속 출제. 주요정보통신기반시설 취약점 분석 · 평가 가이드의 NetBIOS 점검 항목에서 나온다는 강의 언급이 있었습니다.

---

4. 유 · 무선 네트워크 서비스

4.1 유선 ↔ 무선 매체 접근

4.2 802.11 계열 표준

구성 모드 — Infrastructure 모드 (AP를 거쳐 통신, 일반적) ↔ Ad-hoc 모드 (AP 없이 단말끼리 직접).

융합 서비스 · VoIP — 음성을 IP로 나르는 VoIP는 신호 제어에 SIP (UDP/TCP 5060)를 씁니다. 도청, 발신자 위조, SIP 플러딩 같은 위협이 데이터망과 함께 따라옵니다.

📝 기출 포인트 — 802.11n의 주파수(2.4/5GHz) , 802.11p(차량) · 802.11r(로밍) 구분, CSMA/CA ↔ CSMA/CD , 802.3 = 유선 , Infrastructure ↔ Ad-hoc, "SIP 관련 공격이 이루어지는 서비스(VoIP)"가 나왔습니다.

---

5. 네트워크 도구 ⭐

5.1 ping과 traceroute

ping — [진단 도구]인데, [ ICMP Echo Request(8)를 보내고 Echo Reply(0)를 받아 도달 여부 · 왕복 시간을 확인한다 ]는 점에서 경로상의 라우터를 하나씩 보여 주는 traceroute와 구별된다.

traceroute — [진단 도구]인데, [ TTL을 1부터 하나씩 늘려 보내 각 라우터가 돌려주는 ICMP Time Exceeded(11)로 경로를 그린다 ]는 점에서 도달 여부만 보는 ping과 구별된다.

$ traceroute 198.51.100.20
 1  192.168.0.1     1.2 ms  1.0 ms  1.1 ms
 2  10.10.0.1       5.3 ms  5.1 ms  5.4 ms
 3  * * *
 4  198.51.100.20  12.8 ms 12.5 ms 12.9 ms

🔍 읽는 포인트 : 줄 번호 = 홉(TTL 값), 세 숫자 = 세 번 보낸 탐침의 왕복 시간, * * * = 그 홉이 응답하지 않음(ICMP 차단 등). 경로상 게이트웨이와 구간별 지연 을 보는 도구입니다.

5.2 arp · netstat · ipconfig · tcpdump

C:\> netstat -ano
  Proto  Local Address      Foreign Address     State        PID
  TCP    0.0.0.0:445        0.0.0.0:0           LISTENING    4
  TCP    10.0.0.5:51022     203.0.113.9:4444    ESTABLISHED  3120

🔍 읽는 포인트 : LISTENING = 내 서버 포트가 열려 있음, ESTABLISHED = 연결 중. 낯선 외부 주소의 높은 포트와 연결된 PID가 있으면 그 프로세스를 확인합니다(백도어 의심, 09번 노트). ⚠️ netstat은 패킷 내용을 보지 못합니다 (그건 tcpdump).

MRTG — SNMP로 장비의 트래픽 카운터를 주기적으로 읽어 그래프(웹 페이지) 로 보여 주는 트래픽 모니터링 도구. 구성에 SNMP · Perl · 웹 서버 · 그래프 라이브러리가 쓰이며, DB(MySQL)는 필요 없습니다 (기출 함정).

📝 기출 포인트 — traceroute 가 이 노트 최다(8회): "경로 추적 도구", "TTL을 늘린 UDP와 ICMP 응답", "ping · traceroute가 쓰는 ICMP 타입(8 · 0)". netstat 옵션 (-ano · -s · -r · -i · -l), ipconfig /displaydns , "ping 결과로 도구 식별"이 반복.

---

6. 라우터 · SNMP 보안 설정

시험에서 시스코 라우터 설정문 을 읽게 하는 문항이 2022년 이후 늘었습니다. 출처로는 주요정보통신기반시설 취약점 분석 · 평가 가이드의 네트워크 장비 항목이 언급됩니다.

! 원격 접속(VTY): SSH만 허용, 로컬 계정 인증, 10분 무활동 시 종료, 관리자 대역만
line vty 0 4
 login local
 transport input ssh
 exec-timeout 10 0
 access-class 10 in
access-list 10 permit 192.168.100.0 0.0.0.255
!
! 비정상 종료된 TCP 세션 정리
service tcp-keepalives-in
service tcp-keepalives-out
!
! SNMP: 추측 어려운 커뮤니티, 읽기 전용, 허용 대역 제한
snmp-server community Xk9!q2Lz RO 20
access-list 20 permit 192.168.100.10

🔍 읽는 포인트

• login local = 라우터에 만든 로컬 계정으로 인증 . transport input ssh = Telnet(평문) 대신 SSH만 .
• exec-timeout 10 0 = 10분 0초 무활동이면 세션 종료.
• access-class = VTY에 ACL을 걸어 관리자 IP만 접속.
• service tcp-keepalives-in/out = 상대가 비정상 종료해 남아 있는 TCP 세션을 탐침 후 정리 (세션 자원 고갈 · 세션 탈취 여지를 줄임).
• RO 읽기 전용 / RW 읽기 · 쓰기. 기본값 public(RO) · private(RW)을 그대로 쓰면 장비 정보 노출 · 설정 변경 위험. 가능하면 인증 · 암호화를 지원하는 SNMPv3 사용. 설정을 바꾼 뒤 write memory(또는 copy running-config startup-config)로 저장.
• 상태 확인은 show running-config, show ip route, show interfaces 같은 show 명령 .

SNMP를 차단하지 않았을 때의 위협 — 장비 정보 수집, 설정 변경(RW 커뮤니티), 반사 · 증폭 공격에 이용(08번 노트). 기출 함정: "랜섬웨어 감염"은 SNMP 미차단의 직접 위협이 아님 .

📝 기출 포인트 — "라우터 vty 로컬 계정 인증 · transport input", "exec-timeout 10분", "SNMP 커뮤니티 public/private · RO/RW" (3회), "TCP Keepalive 설정" (2회), "show 명령"이 나왔습니다.

---

7. 실기 연결

연결되는 수행준거 — 1-4 "보안장비 및 네트워크 장비별 보안특성 파악하기"(네트워크 장비의 역할과 동작, SNMP 원격관리 , VLAN 보안 서비스 및 설정 , Router 설정 절차 및 트래픽 통제 ), 2-3-1 "네트워크 장비의 관리자 계정 보안 점검", 3-1-2 "네트워크 장비(Switch · Router · 무선 AP) 로그정보 관리".

필답형에서 묻히는 방식

네트워크 장비 점검표 (예시)

---

8. 확인 문제

문제 1. MAC 주소 테이블을 보고 목적지 포트로만 프레임을 전달하는 장비는? ① 리피터 ② 허브 ③ 스위치 ④ 라우터

문제 2. 프레임 전체를 수신해 CRC 오류를 검사한 뒤 전달하는 스위칭 방식은? ① Cut-Through ② Fragment-Free ③ Store-and-Forward ④ Port Mirroring

문제 3. 다익스트라 알고리즘으로 최단 경로를 계산하는 링크 상태 라우팅 프로토콜은? ① RIPv1 ② RIPv2 ③ OSPF ④ BGP

문제 4. 리눅스 traceroute의 기본 동작에 대한 설명으로 옳은 것은? ① ICMP Echo Request의 TTL을 255로 고정해 보낸다. ② TTL을 1부터 늘린 UDP 패킷을 보내고 중간 라우터의 ICMP Time Exceeded로 경로를 파악한다. ③ ARP 요청으로 경로상의 MAC 주소를 수집한다. ④ 목적지에 도착하면 TCP RST로 종료를 판정한다.

문제 5. 윈도우에서 현재 DNS 캐시 내용을 확인하는 명령은? ① ipconfig /flushdns ② ipconfig /displaydns ③ ipconfig /renew ④ netstat -r

문제 6. 라우터 VTY 설정 중 "무활동 10분 후 세션 종료"에 해당하는 것은? ① login local ② transport input ssh ③ exec-timeout 10 0 ④ access-class 10 in

문제 7. 무선랜 표준과 설명의 연결이 잘못된 것은? ① 802.11n – 2.4GHz와 5GHz 사용 ② 802.11p – 차량 통신 ③ 802.11r – 빠른 로밍 ④ 802.3 – 무선 매체의 CSMA/CA

문제 8. NetBIOS 관련 포트와 설명의 연결로 옳지 않은 것은? ① UDP 137 – 이름 서비스 ② TCP 139 – 세션 서비스 ③ TCP 445 – NetBIOS 없이 SMB 직접 전송 ④ TCP 161 – 데이터그램 서비스

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 07번 노트만 근거로 4지선다 8문제를 내줘.
"장비별 계층과 판단 기준", "스위칭 방식", "RIP·OSPF·BGP", "traceroute 원리", "netstat·ipconfig 옵션", "라우터 vty·SNMP 설정"을 반드시 포함해줘.
내가 답하면 채점하고, 오답 보기가 왜 틀렸는지 노트의 판별 축과 절 번호로 설명해줘. 노트에 없는 내용은 쓰지 마.