EIS

지도 위치 : 2과목 네트워크 보안 · README 4장 ③ 영역(네트워크) — 공격 쪽. 가용성(A)을 깨는 대표 공격 | 출제기준: 2. 네트워크 기반 공격기술 > 1. 서비스 거부(DoS) · 분산 서비스 거부(DDoS) 공격 | 이전: 07 네트워크 장비 · 서비스 · 도구 | 다음: 09 스캐닝 · 스푸핑 · 스니핑 · 원격접속 출제 빈도 : ⭐⭐ (회당 약 2.5문항 — 출제분석.md) · 변화 – · ⚠️ 신규 범위 포함(Mirai · IoT 봇넷, Memcached 증폭, Slow 계열) 세세항목 : 1. 서비스 거부(DoS) 공격 유형별 동작원리 및 특징 2. 각종 DoS 공격에 대한 대응 방법 3. 분산 서비스 거부(DDoS) 공격 유형별 동작원리 및 특징 4. 각종 DDoS 공격에 대한 대응 방법

이 노트를 다 읽으면

1. DoS · DDoS · DRDoS를 공격 주체의 수와 반사 여부 로 구별할 수 있다.
2. 자원 고갈형 공격을 무엇을 고갈시키나 (대역폭 · 연결 테이블 · 서버 자원)로 분류할 수 있다.
3. SYN Flooding · Smurf · Fraggle · Land · Teardrop · Ping of Death를 헤더의 어느 필드를 비트는가 로 구별할 수 있다.
4. UDP · ICMP · HTTP GET Flooding과 Slowloris · Slow Read · RUDY의 차이를 말할 수 있다.
5. DRDoS와 증폭 공격(DNS · NTP · Memcached)의 원리와 증폭이 가능한 이유 를 설명할 수 있다.
6. 봇넷 · C&C · Mirai를 설명하고, 공격별 대응책(SYN Cookie, 브로드캐스트 차단, Anti-DDoS, 싱크홀)을 짝지을 수 있다.

---

0. 이 노트의 판별 축

이 노트가 답하는 질문은 "어떻게 하면 서버를 못 쓰게 만드는가, 그리고 각각을 어떻게 막는가" 입니다. 모든 공격이 앞에서 배운 06번 노트의 헤더 필드와 TCP 핸드셰이크를 비틀어 만들어지므로, 공격 이름을 외우기보다 "어느 필드 · 어느 단계를 건드리나"로 묶으면 4지선다의 형제 보기가 갈라집니다.

---

1. 큰 그림 — DoS · DDoS · DRDoS

DoS — [가용성 공격]인데, [ 한 공격자가 자원을 소모시켜 정상 서비스를 못 하게 한다 ]는 점에서 정보를 빼내는 기밀성 공격(스니핑)과 구별된다.

DDoS — [DoS]인데, [ 악성코드에 감염된 다수의 좀비(봇)를 동원해 분산 공격한다 ]는 점에서 단일 호스트의 DoS와 구별된다.

DRDoS (Distributed Reflection DoS) — [DDoS]인데, [ 출발지를 피해자로 위조해 정상 서버(반사체)에 요청을 보내고, 그 응답이 피해자에게 쏟아지게 한다 ]는 점에서 봇이 직접 피해자를 때리는 일반 DDoS와 구별된다. 요청보다 응답이 훨씬 크면 증폭(Amplification) 공격이 된다.

DoS    : 공격자 ───────────▶ 피해자
DDoS   : 공격자 ─▶ C&C ─▶ 봇 봇 봇 ─────▶ 피해자
DRDoS  : 공격자(출발지=피해자로 위조) ─▶ 반사 서버들 ──(큰 응답)──▶ 피해자

📝 기출 포인트 — "DDoS 정의와 좀비 PC", "DRDoS의 차별적 특징(반사 서버 경유)"이 반복(DRDoS 5회+). DRDoS는 출발지 IP를 피해자로 위조 하는 것이 성립 조건입니다.

---

2. 자원 고갈형 — 헤더를 비트는 공격 ⭐

2.1 연결 테이블을 채우는 공격 — SYN Flooding

SYN Flooding — [DoS]인데, [ SYN만 대량으로 보내 서버의 연결 대기열(백로그 큐)을 반개방(SYN_RECEIVED) 상태로 채운다 ]는 점에서 ICMP를 쓰는 Smurf, UDP를 쓰는 UDP Flooding과 구별된다.

• 원리: 서버는 SYN+ACK를 보내고 마지막 ACK를 기다리며 자원을 잡아 둠(06번 노트 3-way handshake). 공격자가 ACK를 보내지 않으면 자원이 묶인 채 큐가 꽉 참 → 정상 연결 거부.
• 대응 : SYN Cookie (연결 정보를 쿠키로 인코딩해 큐를 잡지 않고, 마지막 ACK가 와야 연결 생성), 백로그 큐 크기 확대, 반개방 연결 타임아웃 단축, SYN 프록시 (방화벽이 핸드셰이크를 대신 완료), First-SYN Drop.

📝 기출 포인트 — "3-way handshake 반개방 상태 악용", "SYN 플러딩 대응 설정(syncookies)", "SYN 프록시 · 백로그 큐 확장 설명의 오류" 찾기.

2.2 ICMP · UDP 반사 · 증폭 — Smurf와 Fraggle

Smurf — [DoS]인데, [ 출발지를 피해자로 위조한 ICMP Echo Request를 브로드캐스트 주소로 보내, 그 네트워크의 모든 호스트가 피해자에게 Echo Reply를 쏟아내게 한다 ]는 점에서 UDP를 쓰는 Fraggle과 구별된다.

Fraggle — Smurf와 같은 원리인데 ICMP가 아니라 UDP (주로 echo 7 · chargen 19 포트)를 브로드캐스트로 보낸다.

• 증폭 조건: 라우터가 Directed Broadcast 를 통과시켜야 함(06번 노트).
• 대응 : 라우터에서 Directed Broadcast 차단 (no ip directed-broadcast), 각 호스트가 브로드캐스트 ICMP에 응답하지 않도록 설정, 경계에서 위조 출발지 필터링(Ingress 필터링, 11번 노트).

📝 기출 포인트 — Smurf 는 이 노트 최다(6회). "Smurf와 Fraggle의 차이(ICMP ↔ UDP)", "브로드캐스트 ICMP 증폭", 대응책으로 'Directed Broadcast 차단' 을 고르는 유형이 반복됩니다. hping으로 재현한다는 문항도 있었습니다.

2.3 헤더 자체를 깨뜨리는 공격

💡 단편화 3형제 : Teardrop(오프셋 겹침), Ping of Death(합치면 너무 큼), Bonk/Boink(순서 조작). 공통 대응은 단편 재조립 검증과 패치 .

⚠️ Land · Teardrop · Ping of Death는 오래된 취약점 기반 이라 요즘 OS는 패치로 막혀 있지만, 시험 문제은행에는 그대로 남아 자주 나옵니다.

📝 기출 포인트 — Land (5회): "출발지 · 목적지 IP를 같게", "조작하는 필드(출발지 주소)", "tcpdump로 Land 판별", "대응책이 아닌 것". Teardrop (단편 오프셋 겹침, 일어나는 계층 = 네트워크 3계층), Ping of Death (큰 ICMP · 단편화).

---

3. 폭주형 Flooding과 저속 점유형 Slow

3.1 대역폭 · 플러딩형

3.2 저속 점유형 (Slow HTTP) ⚠️ 최근 자주

트래픽이 적어 대역 기반 탐지를 피하면서, 연결을 오래 붙잡아 동시 연결 수를 고갈시키는 L7 공격입니다.

• 공통 대응 : 연결당 타임아웃 (헤더 수신 · 요청 완료 시간 제한), 동시 연결 수 · IP당 연결 수 제한 , 최소 수신 속도 미달 연결 끊기, 역방향 프록시 · Anti-DDoS.

📝 기출 포인트 — "Slow Read = TCP 윈도우 크기 0"(2회), "Slowloris · RUDY · Slow Read 특징 구분", "Slow HTTP 계열(Slow Header · Slow POST · Slow Read · Cache Control)", "UDP Flooding 대응", "HTTP CC로 캐시 무력화", "DNS Query Flooding 대응"이 나왔습니다.

---

4. DRDoS와 증폭 공격 ⚠️ 신규 범위(Memcached)

반사 · 증폭에 악용되는 프로토콜은 대부분 UDP 기반 (출발지 위조가 쉬움)이고, 작은 요청에 큰 응답 을 주는 특성을 가집니다. 증폭 배수는 US-CERT(CISA) 경보 기준 값입니다.

원리 : 공격자가 출발지를 피해자로 위조한 작은 요청을 수많은 반사 서버에 보냄 → 반사 서버가 훨씬 큰 응답을 피해자에게 전달. 피해자는 반사 서버의 IP만 보여 역추적이 어렵다.

대응 : 반사체가 되지 않도록 Open Resolver · monlist · memcached UDP를 인터넷에 노출하지 않기 , 경계에서 출발지 위조 차단(BCP 38 · Ingress 필터링) , 사용하지 않는 UDP 서비스 포트 차단, Anti-DDoS · 상위 ISP 협조.

📝 기출 포인트 — "NTP monlist 증폭", "반사 서버를 이용한 분산 DoS(DRDoS)", "DRDoS의 차별적 특징"이 반복. Memcached · SSDP는 신규 범위로 이름과 원리만 익혀 둡니다.

---

5. 봇넷과 DDoS 도구

봇넷 (Botnet) — [감염 호스트의 네트워크]인데, [ C&C(명령·제어) 서버의 지시로 일제히 공격한다 ]는 점에서 사람이 직접 조종하는 단일 공격과 구별된다. C&C 통신에는 과거 IRC 가, 이후 HTTP · P2P 방식이 쓰입니다(09번 노트에서 다시).

Mirai ⚠️ 신규 범위 — [IoT 봇넷 악성코드]인데, [ 기본 · 취약 패스워드를 쓰는 IoT 기기(CCTV · 공유기 등)를 자동 감염시켜 대규모 DDoS를 일으킨다 ]는 점에서 PC를 노리던 전통 봇넷과 구별된다. 대책은 기본 계정 · 패스워드 변경, 펌웨어 업데이트, 불필요 서비스(Telnet 등) 차단 .

⚠️ 함정: Tripwire는 DDoS 도구가 아니라 무결성 점검 도구 (05번 노트). "DDoS 도구가 아닌 것"의 정답으로 Tripwire가 나옵니다.

PDoS (Permanent DoS) ⚠️ — 펌웨어를 변조 · 손상시켜 장비를 영구적으로 못 쓰게 만드는 공격(일명 브리킹).

📝 기출 포인트 — Mirai (IoT 봇넷, 3회+), "봇넷 · C&C 개념", "DDoS 도구가 아닌 것(Tripwire)", "암호화 통신 도구(Stacheldraht)", "PDoS"가 나왔습니다.

---

6. 대응 정리와 대응 절차

6.1 공격 ↔ 대응 짝 (축 5)

6.2 공통 방어 수단

• Anti-DDoS 장비 / 사이버 대피소(클린존) : 비정상 트래픽을 흡수 · 정제해 정상만 전달. 평소 임계치(baseline)를 학습해 초과분을 차단.
• DNS 싱크홀 : 봇이 접속하려는 C&C 도메인의 응답을 통제된 주소로 돌려 명령 수신을 끊고 감염 PC를 식별(09번 · 14번 노트).
• 블랙홀 라우팅 / uRPF / Ingress · Egress 필터링 : 라우터 단에서 공격 트래픽 · 위조 출발지 차단(11번 노트).
• 대역폭 · 연결 임계치 모니터링 , 콘텐츠 분산(CDN), 과도한 요청 속도 제한(Rate Limiting).

6.3 대응 절차(일반적 흐름)

① 공격 인지(모니터링·임계치 초과·서비스 이상) → ② 공격 유형·출발지 분석(트래픽 수집)
 → ③ 차단 정책 적용(장비·ISP·대피소) → ④ 서비스 정상화 확인 → ⑤ 사후 분석·보고·재발 방지

🔍 읽는 포인트 : 시험은 "대응 단계의 올바른 순서"를 묻습니다. 인지 → 분석 → 차단 → 복구 → 사후 의 큰 틀로 기억하세요. "DDoS 탐지 방법으로 부적절한 것"(예: 특정 콘텐츠 변조 여부 확인)을 고르는 유형도 있었습니다.

📝 기출 포인트 — "DoS · DDoS 대응 단계 순서", "DDoS 긴급 대응", "DDoS 탐지 방법으로 부적절한 것", "DDoS 트래픽 수집 도구"가 반복.

---

7. 실기 연결

연결되는 수행준거 — 1-2-5 "서비스 거부(DoS/DDoS 등) 공격 방식과 절차 이해", 2-3-7 "Anti-DDoS 장비 보안 설정 점검", 3-1 "로그 모니터링", 3-2-2 "통합 로그로 공격 시도 · 침투 분석".

필답형에서 묻히는 방식

로그 해석 예시

IP a.b.c.d.* > 192.0.2.10.80: Flags [S]   (수천 줄, ACK 없음, 출발지 분산)

🔍 읽는 포인트 : [S]만 대량이고 핸드셰이크가 완료되지 않으면 SYN Flooding . 대응 서술에는 SYN Cookie 활성화 와 백로그 큐 확대 · 반개방 타임아웃 단축 을 씁니다.

---

8. 확인 문제

문제 1. SYN Flooding 공격의 직접적인 대응책으로 가장 적절한 것은? ① 브로드캐스트 주소로의 ICMP 차단 ② SYN Cookie 적용 ③ 단편 재조립 검증 ④ DNS 싱크홀

문제 2. Smurf와 Fraggle 공격의 가장 큰 차이는? ① 사용하는 프로토콜(ICMP ↔ UDP) ② 출발지 위조 여부 ③ 반개방 연결 사용 여부 ④ 단편화 사용 여부

문제 3. 출발지 IP와 목적지 IP를 모두 피해자의 주소로 동일하게 설정하는 공격은? ① Teardrop ② Land ③ Ping of Death ④ Slowloris

문제 4. TCP 수신 윈도우 크기를 0에 가깝게 광고해 서버가 응답을 보내지 못한 채 연결을 유지하도록 만드는 공격은? ① HTTP GET Flooding ② Slow Read ③ UDP Flooding ④ Smurf

문제 5. DRDoS(반사·증폭) 공격이 성립하기 위한 필수 조건은? ① 피해자 서버의 취약한 패스워드 ② 출발지 IP를 피해자로 위조 ③ 단편 오프셋 조작 ④ 반개방 연결 유지

문제 6. 증폭 배수가 가장 크며 인터넷에 노출된 UDP 11211 서비스를 악용하는 공격은? ① NTP monlist 증폭 ② DNS 증폭 ③ Memcached 증폭 ④ SSDP 증폭

문제 7. 다음 중 DDoS 공격 도구가 아닌 것은? ① Trinoo ② TFN ③ Stacheldraht ④ Tripwire

문제 8. Mirai 봇넷에 대한 설명으로 옳지 않은 것은? ① IoT 기기의 기본·취약 패스워드를 노린다. ② 감염 기기를 동원해 대규모 DDoS를 일으킨다. ③ 대응책으로 기본 계정 변경과 펌웨어 업데이트가 효과적이다. ④ 단편 오프셋을 겹치게 만들어 재조립 시 시스템을 다운시킨다.

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 08번 노트만 근거로 4지선다 8문제를 내줘.
"SYN Flooding과 대응", "Smurf vs Fraggle", "Land·Teardrop·Ping of Death", "Slow 계열", "DRDoS·증폭(DNS·NTP·Memcached)", "Mirai·봇넷"을 반드시 포함해줘.
내가 답한 뒤 채점하고, 각 오답이 어느 형제 공격과 헷갈린 것인지 판별 축으로 짚어줘. 노트에 없는 내용은 쓰지 마.