LangTailor페이지 목차
이 페이지에서 검색
EIS
이 페이지에 묻기
EIS · 현재 차시와 목차 본문에서만 찾아 답합니다. 답을 지어내지 않고 해당하는 대목을 그대로 보여 주며, 여기에 없으면 없다고 알려 드립니다.
생성형 AI가 아니라 이 페이지 본문을 찾아 그대로 보여 주는 방식입니다. 외부로 나가는 요청이 없습니다.
EIS · SECURITY
EIS
생성 수정
정보보안기사의 시스템·네트워크·애플리케이션 보안과 암호·관리·실기 내용을 개념의 경계와 실습으로 연결합니다.
29개 문서 · 2 · 네트워크보안 · 10 / 29
09 · 스캐닝 · 스푸핑 · 스니핑 · 원격접속 공격
지도 위치 : 2과목 네트워크 보안 · README 4장 ③ 영역(네트워크) — 공격 쪽. 정보 수집(스캔) → 속임(스푸핑) → 엿듣기(스니핑) → 장악(세션·원격) | 출제기준: 2. 네트워크 기반 공격기술 > 2. 스캐닝, 3. 스푸핑, 4. 스니핑, 5. 원격접속 공격 | 이전: 08 DoS · DDoS | 다음: 10 보안 프로토콜 출제 빈도 : ⭐⭐ (회당 약 4.7문항 — 출제분석.md, 2과목에서 N3.2 다음으로 큼) · 변화 ▲ (스푸핑 ▲, 스캐닝 ▲) · ⚠️ 신규 범위 포함(URL 스푸핑 · 호모그래프, Evil Twin) 세세항목 : 2-1 포트 및 취약점 스캐닝의 동작원리 · 대응 / 3-1 스푸핑 공격의 동작원리 · 대응(Spoofing) / 4-1 스니핑 공격의 동작원리 · 대응(Sniffing, Session Hijacking 등) / 5-1 원격접속 공격의 동작원리 · 대응(Trojan, Exploit 등)
이 노트를 다 읽으면
- TCP Connect · SYN · FIN · NULL · Xmas · ACK · UDP 스캔을 보내는 플래그와 열림 · 닫힘 응답 으로 구별할 수 있다.
- 스텔스 스캔이 왜 로그를 피하는지, Nmap 주요 옵션과 OS 핑거프린팅 원리를 말할 수 있다.
- ARP · IP · DNS · DHCP · URL 스푸핑을 무엇을 위조하나 로 구별하고 각 대응을 댈 수 있다.
- 스니핑의 전제(무차별 모드)와 스위치 환경 스니핑 기법(스위치 재밍 · ARP 리다이렉트 · ICMP 리다이렉트 · 포트 미러링)을 구별할 수 있다.
- 세션 하이재킹의 원리(순서 번호 탈취 · ACK 스톰)와 스니퍼 탐지 방법을 말할 수 있다.
- 원격접속 공격(트로이목마 · 백도어 · 봇넷 C&C · 익스플로잇)과 각 대응을 짝지을 수 있다.
0. 이 노트의 판별 축
| # | 축 | 왼쪽 (0) | 오른쪽 (1) | 이 축으로 갈리는 것 | 큰 축 (README 5장) |
|---|---|---|---|---|---|
| 1 | 데이터를 건드리나 | 수동적 — 엿봄 (스니핑) | 능동적 — 위조 · 가로챔 (스푸핑 · 하이재킹) | 스니핑 ↔ 스푸핑 · 세션 하이재킹 | ② 수동적 ↔ 능동적 |
| 2 | 연결을 완성하나 | 완성 (Connect 스캔 — 로그 남음) | 미완성 · 비정상 (스텔스 스캔) | TCP Connect ↔ SYN · FIN · NULL · Xmas | 이 노트의 축 |
| 3 | 무엇을 위조하나 | 2계층 주소 (MAC) | 상위 정보 (IP · 이름 · 사이트) | ARP 스푸핑 ↔ IP · DNS · URL 스푸핑 | ⑧ 하위 ↔ 상위 계층 |
| 4 | 누구를 속이나 | 스위치 · 호스트의 표 | 사람의 눈 | 스위치 재밍 · ARP 스푸핑 ↔ URL 호모그래프 · 파밍 | 이 노트의 축 |
| 5 | 공격 ↔ 대응 | 공격 기법 | 대응 | ARP 스푸핑 ↔ 정적 ARP | ① 공격 ↔ 방어 |
이 노트가 답하는 질문은 "공격자가 들어오기 전에 무엇을 하고(정찰), 어떻게 남을 가로채거나 엿듣고, 어떻게 자리를 잡는가" 입니다. 모든 기법이 앞 노트들(06 헤더 · 플래그, 07 스위치 · ARP)의 구조를 역이용합니다. 정찰(스캔)은 수동적에 가깝고, 스푸핑 · 하이재킹은 데이터를 건드리는 능동적 공격이라는 축 1이 전체를 가릅니다.
1. 스캐닝 ⭐
포트 스캔 — [정보 수집 기법]인데, [ 대상 포트에 패킷을 보내고 응답으로 열림 · 닫힘을 판단한다 ]는 점에서 서비스 · OS의 알려진 취약점을 점검하는 취약점 스캔과 구별된다. 공격의 정찰(Reconnaissance) 단계에 속합니다(풋프린팅 · 핑 스윕과 함께).
1.1 스캔 유형별 응답 ⭐
TCP의 규칙: 닫힌 포트는 RST로 응답 , 열린 포트는 SYN에 SYN+ACK로 응답하고 비정상 플래그(FIN · NULL · Xmas)에는 응답하지 않는다 (RFC 793). 이 규칙의 빈틈이 스텔스 스캔의 원리입니다.
| 스캔 | 보내는 플래그 | 열린 포트 | 닫힌 포트 | 특징 |
|---|---|---|---|---|
TCP Connect (-sT) | 정상 3-way 완성 | 연결 성립 | RST | 로그 남음, 권한 불필요 |
TCP SYN(Half-open) (-sS) | SYN | SYN+ACK (→ RST로 끊음) | RST | 연결 미완성 → 로그 적음 , 가장 일반적 스텔스 |
FIN (-sF) | FIN | 무응답 | RST | |
NULL (-sN) | 플래그 없음 | 무응답 | RST | |
Xmas (-sX) | FIN · PSH · URG | 무응답 | RST | |
ACK (-sA) | ACK | RST(필터 안 됨) / 무응답(필터됨) | — | 포트 개폐가 아니라 방화벽 필터링 여부 를 봄 |
UDP (-sU) | UDP | 무응답 (또는 서비스 응답) | ICMP Port Unreachable(타입 3) | 느림, 반대로 해석 |
💡 열림을 무응답으로 답하는 스캔 (FIN · NULL · Xmas)은 없는 응답으로 열림을 추정 합니다. 그래서 방화벽 · 필터가 중간에 있으면 결과가 흐려집니다.
⚠️ 윈도우 함정 : FIN · NULL · Xmas 스캔은 RFC 793을 따르지 않는 윈도우 계열에서는 열린 포트도 RST로 응답 해 구별이 안 됩니다. "윈도우에서 동작하지 않는 스캔"의 정답이 됩니다.
1.2 스텔스 스캔 · Nmap · OS 핑거프린팅
스텔스 스캔 — [포트 스캔]인데, [ 연결을 완성하지 않아 대상 애플리케이션 로그에 남지 않는다 ]는 점에서 연결을 끝까지 맺어 로그가 남는 TCP Connect 스캔과 구별된다. SYN · FIN · NULL · Xmas가 여기 속합니다.
| Nmap 옵션 | 뜻 |
|---|---|
-sS / -sT / -sU | SYN(half-open) / Connect / UDP 스캔 |
-sF / -sN / -sX | FIN / NULL / Xmas |
-sA | ACK (방화벽 룰 탐지) |
-O | OS 탐지 (핑거프린팅) |
-sV | 서비스 · 버전 탐지 |
-p | 포트 지정, -b FTP 바운스 스캔(12번 노트 FTP 참조) |
-Pn | 핑 생략(살아 있다고 가정) |
OS 핑거프린팅 — 응답 패킷의 TTL 기본값 (리눅스 64, 윈도우 128, 다수 장비 255), TCP 윈도우 크기 , 플래그 처리 방식 등 구현상의 미세한 차이 로 운영체제를 추정하는 것. 능동적(패킷을 보냄) ↔ 수동적(가만히 캡처해 추정)으로 나뉩니다.
⚠️ 함정: netstat · Wireshark · tcpdump는 스캐너가 아닙니다 (각각 연결 확인 · 캡처). 포트 스캐너는 Nmap .
📝 기출 포인트 — "스캔 유형별 열림 · 닫힘 응답 차이"(반복 최다), "스텔스 스캔 구분", "NULL 스캔 = 플래그 없음", "닫힌 포트 응답(TCP RST ↔ UDP ICMP unreachable)", "윈도우에서 안 되는 스캔(FIN)", "Nmap 옵션(
-sS·-sT·-sA·-O)", "OS 핑거프린팅(TTL)"이 반복됩니다.
대응 — 포트 스캔 자체를 완전히 막긴 어렵고, 불필요 포트 · 서비스 차단, 방화벽 · IDS/IPS로 스캔 패턴 탐지 · 임계치 차단, 포트 노출 최소화 가 핵심입니다.
2. 스푸핑 ⭐
스푸핑 — [위장 공격]인데, [ 주소 · 이름 · 신원을 속여 신뢰를 가로챈다 ]는 점에서 가만히 엿듣는 스니핑과 구별된다(축 1: 능동적).
2.1 ARP 스푸핑
ARP 스푸핑(ARP Poisoning) — [2계층 스푸핑]인데, [ 위조 ARP 응답으로 피해자의 ARP 캐시에 "게이트웨이 IP = 공격자 MAC"을 심어 트래픽을 자신에게 끌어온다]는 점에서 IP를 위조하는 IP 스푸핑과 구별된다. 같은 LAN(브로드캐스트 도메인) 안 에서만 성립하며, 스위치 환경에서 스니핑 · 중간자(MITM) 를 가능하게 합니다.
- 증상: 한 IP에 대한 MAC이 바뀜, 통신 지연 · 가로채기.
- 대응 : 정적(static) ARP 테이블 (
arp -s, 07번 노트), ARP 스푸핑 탐지 도구, 스위치의 Dynamic ARP Inspection(DAI) , 암호화(가로채도 못 봄).
2.2 IP 스푸핑
IP 스푸핑 — [3계층 스푸핑]인데, [ 출발지 IP를 신뢰받는 호스트로 위조해 접근 통제를 우회한다 ]는 점에서 MAC을 위조하는 ARP 스푸핑과 구별된다. 고전적으로 유닉스 트러스트 관계(/etc/hosts.equiv, .rhosts)와 r-command(rlogin · rsh) 를 악용했습니다.
- 대응 : 트러스트 관계 · r-command 제거(SSH 사용), 경계 라우터의 Ingress 필터링 (내부 대역 출발지를 가진 외부 유입 패킷 차단, 11번 노트), 순서 번호 예측 어렵게.
2.3 DNS 스푸핑 · 파밍 · DHCP 스푸핑 · URL 스푸핑
| 공격 | 무엇을 위조 | 결과 · 대응 |
|---|---|---|
| DNS 스푸핑 / 캐시 포이즈닝 | 도메인 ↔ IP 대응(DNS 응답) | 가짜 사이트로 유도. 대응은 DNSSEC (14번 노트) |
| 파밍(Pharming) | 로컬 hosts 파일 · DNS · 프록시 설정 | 정상 주소를 입력해도 가짜 사이트로. 피싱과 달리 주소는 진짜처럼 보임 |
| DHCP 스푸핑 | 가짜 DHCP 서버로 게이트웨이 · DNS 주소 를 내려 줌 | MITM. 대응: 스위치 DHCP Snooping |
| URL 스푸핑(호모그래프) ⚠️ 신규 | 사람 눈에 비슷한 글자(키릴 문자 등)로 가짜 도메인 | 사람의 눈을 속임. 대응: 퓨니코드 표시, 브라우저 경고, 인증서 확인 |
| Evil Twin ⚠️ | 정상 AP와 같은 SSID의 가짜 AP | 무선 접속 유도 후 가로채기 |
💡 스푸핑을 축 3으로 : ARP(MAC) → IP(IP) → DNS · URL(이름 · 사이트). 아래로 갈수록 상위 정보를, URL 호모그래프는 사람의 눈 을 속입니다(축 4).
📝 기출 포인트 — ARP 스푸핑 이 최다(7회): "MAC을 속여 가로챔", "성립 조건(같은 LAN)", "대응(정적 ARP)". IP 스푸핑 (트러스트 관계 · r-command, 5회), 파밍(DNS · 프록시 변조), "ARP ↔ DNS 스푸핑 구분", URL 스푸핑 · Evil Twin (신규)이 나왔습니다.
3. 스니핑과 세션 하이재킹 ⭐
3.1 스니핑의 전제 — 무차별 모드
스니핑 — [수동적 공격]인데, [ 네트워크를 지나는 패킷을 가로채 내용을 엿본다 ]는 점에서 패킷을 위조 · 주입하는 능동적 공격(스푸핑)과 구별된다. 평문 프로토콜(Telnet · FTP · HTTP · POP3)이 표적입니다.
무차별 모드(Promiscuous Mode) — [NIC 동작 모드]인데, [ 자기 MAC이 목적지가 아닌 프레임까지 모두 올려 받는다 ]는 점에서 자기 프레임만 받는 기본 모드와 구별된다. 리눅스에서 ifconfig eth0 promisc로 설정. 스니핑의 전제 조건 입니다.
- 허브 환경 : 허브는 모든 포트로 복사하므로 무차별 모드만으로 전부 수집(07번 노트).
- 스위치 환경 : 스위치는 목적지 포트로만 보내므로, 트래픽을 자신에게 끌어와야 함 → 아래 기법.
3.2 스위치 환경 스니핑 기법
| 기법 | 원리 |
|---|---|
| 스위치 재밍(MAC Flooding) | 위조 MAC을 대량 전송해 MAC 테이블을 넘치게(fail-open) 만들어 스위치를 허브처럼 동작시킴 |
| ARP 리다이렉트 | 게이트웨이인 척 위조 ARP 응답 → 피해자 트래픽이 공격자를 거쳐 감(ARP 스푸핑의 활용) |
| ICMP 리다이렉트 | ICMP Redirect(타입 5)로 "더 좋은 경로는 나"라고 알려 트래픽을 끌어옴 |
| 포트 미러링(SPAN) 악용 | 스위치 관리 기능을 악용해 트래픽 복사본 수집 (정상 분석 기능이기도 함, 07번 노트) |
⚠️ 함정: DNS 스푸핑 · SYN Flood는 스위치 환경 스니핑 기법이 아닙니다 . "스위치 환경 스니핑 기법이 아닌 것"의 정답으로 자주 나옵니다.
3.3 스니퍼 탐지
스니퍼는 조용히 듣기만 해 탐지가 어렵지만, 무차별 모드의 흔적 을 이용합니다.
| 방법 | 원리 |
|---|---|
| Ping 테스트 | 대상의 IP는 맞고 MAC은 틀린 ping을 보냄. 무차별 모드면 NIC이 걸러내지 못하고 응답 |
| ARP 테스트 | 위조 MAC으로 ARP 요청 → 무차별 모드 호스트만 응답 |
| DNS 테스트 | 스니퍼가 캡처한 IP를 역조회(reverse lookup)하는 트래픽을 유도해 관찰 |
| 디코이(미끼) | 가짜 계정 · 패스워드를 흘려 스니퍼가 그걸 쓰는지 봄(허니팟 성격) |
| 도구 | sentinel 등 원격 스니퍼 탐지 도구 |
스니핑 대응 — 암호화 (SSH · TLS · VPN — 가로채도 못 읽음, 가장 근본적), 정적 MAC · 포트 보안, 네트워크 세그먼트 분리.
3.4 세션 하이재킹
세션 하이재킹 — [능동적 공격]인데, [ 인증이 끝난 TCP 세션의 순서 번호를 탈취 · 조작해 세션을 가로챈다 ]는 점에서 처음부터 신원을 위조하는 스푸핑과 구별된다. 인증 이후를 노리므로 패스워드를 몰라도 세션을 빼앗을 수 있습니다.
- 과정: 세션 감시(스니핑) → 순서 번호 확보 → 위조 패킷 주입으로 한쪽을 밀어냄.
- 증상: ACK 스톰 (양쪽 순서 번호가 어긋나 ACK가 폭주), RST 증가, 연결 재설정.
- 대응 : 암호화 세션(SSH · TLS), 순서 번호 예측 어렵게, 지속적 재인증, 비정상 ACK 탐지. (웹 세션 하이재킹은 쿠키 · 토큰 탈취 — 13번 노트.)
⚠️ 함정: "대기 시간 증가"를 세션 하이재킹의 특징으로 고르면 틀립니다(그건 DoS 성격).
📝 기출 포인트 — 세션 하이재킹 (7회): "원리 · 순서 번호 추측", "공격 순서", "ACK 스톰 · RST 증가로 탐지". 스위치 재밍 · 무차별 모드 (각 4회), "스위치 환경 스니핑 기법이 아닌 것(DNS 스푸핑 · SYN Flood)", "스니퍼 탐지(무차별 모드 확인 · 디코이)", 포트 미러링 · ICMP/ARP 리다이렉트 구분이 반복.
4. 원격접속 공격
원격접속 공격 — [시스템 장악 기법]인데, [ 원격에서 제어권 · 지속 접근을 확보한다 ]는 점에서 가용성만 떨어뜨리는 DoS와 구별된다.
| 유형 | 정의 (유 + 종차) | 대응 |
|---|---|---|
| 트로이목마(Trojan) | [악성코드]인데, [ 정상 프로그램으로 위장해 숨은 기능(백도어 · 키로거 등)을 실행한다 ]는 점에서 스스로 복제·전파하는 바이러스 · 웜과 구별된다. 자기 복제 안 함 | 백신, 신뢰된 출처만 설치, 무결성 점검 |
| 백도어(Backdoor) | [은닉 접근 통로]인데, [ 인증을 우회해 재접속을 보장한다 ]는 점에서 일회성 침투와 구별된다. 리눅스 rc.local·cron, 서비스 등록으로 재부팅 후에도 유지 | 비인가 포트 · 프로세스 점검(netstat · lsof), 시작 프로그램 · cron 점검, 무결성 점검 |
| 봇넷 C&C | [원격 제어 네트워크]인데, [ C&C 서버가 다수 봇을 지시한다 ]는 점에서 1:1 원격 제어와 구별된다. 과거 IRC , 이후 HTTP · P2P | C&C 도메인 차단, DNS 싱크홀 , 감염 PC 식별(08번 노트) |
| 익스플로잇(Exploit) | [공격 코드]인데, [ 취약점을 실제로 찔러 권한 상승·코드 실행을 얻는다 ]는 점에서 취약점 자체(결함)와 구별된다. 패치 전 = 제로데이 | 패치, 취약점 점검, 최소 권한, 익스플로잇 완화(ASLR·DEP, 04번 노트) |
무차별 대입(Brute Force) 원격 로그인 — Hydra 같은 도구로 SSH · Telnet · FTP 계정을 대입(-l 사용자, -P 패스워드 목록). 대응: 계정 잠금 정책, 접속 IP 제한(ACL), 키 기반 인증, 로그 모니터링.
📝 기출 포인트 — "트로이목마 ↔ 자기복제 악성코드 구분", "봇넷 · C&C 개념 · IRC", "백도어
rc.local(재부팅 후 유지)", "트로이목마 ↔ 익스플로잇 구분", "Hydra SSH 무차별 대입(-l·-P)"이 나왔습니다.
5. 실기 연결
연결되는 수행준거 — 1-4-3 "SNMP · 스캐닝 도구 로 제공 서비스 파악", 3-1 "로그 모니터링", 3-2-2 · 3-2-3 "공격 시도 · 침투 · 비정상 접근 분석", 2-2 "불필요 서비스 · 비인가 접근 점검".
필답형에서 묻히는 방식
| 유형 | 답안 핵심어 |
|---|---|
| 스캔 로그로 유형 판별 | SYN만 많고 RST로 끊김 = SYN 스캔, FIN/NULL/Xmas에 무응답 = 열린 포트 |
| ARP 스푸핑 탐지 · 대응 | 한 IP의 MAC 변동, 정적 ARP , DAI |
| 스니핑 대응 서술 | 암호화(SSH·TLS·VPN), 무차별 모드 탐지, 정적 MAC |
| 세션 하이재킹 서술 | 순서 번호 탈취, ACK 스톰, 암호화·재인증 |
| 백도어 점검 | netstat/lsof로 비인가 포트·프로세스, cron·시작 프로그램, 무결성 |
로그 · 명령 예시
# arp -a
gateway (192.168.0.1) at aa:bb:cc:11:22:33 (정상)
gateway (192.168.0.1) at de:ad:be:ef:00:01 ← 같은 IP, 다른 MAC (ARP 스푸핑 의심)
# netstat -antp | grep ESTABLISHED
tcp ... 10.0.0.5:51022 203.0.113.9:4444 ESTABLISHED 3120/suspicious
🔍 읽는 포인트 : 게이트웨이 IP에 두 개의 MAC 이 보이면 ARP 스푸핑. 낯선 외부 주소의 높은 포트(4444 등)와 ESTABLISHED인 프로세스는 백도어 · C&C 의심 → PID로 프로세스 확인 후 격리.
6. 확인 문제
문제 1. 열린 포트에 대해 응답을 보내지 않는 스캔으로만 묶인 것은? ① TCP Connect, SYN ② FIN, NULL, Xmas ③ SYN, ACK ④ Connect, UDP
문제 2. UDP 스캔에서 포트가 닫혀 있을 때 돌아오는 응답은? ① TCP RST ② SYN+ACK ③ ICMP Port Unreachable ④ 무응답
문제 3. 같은 LAN에서 위조 ARP 응답으로 게이트웨이 MAC을 자신의 것으로 심어 트래픽을 가로채는 공격의 대응책은? ① DNSSEC ② 정적 ARP 테이블 ③ SYN Cookie ④ 포트 미러링
문제 4. 사람의 눈에 비슷하게 보이는 문자를 이용해 가짜 도메인으로 속이는 공격은? ① ARP 스푸핑 ② DHCP 스푸핑 ③ URL 스푸핑(호모그래프) ④ IP 스푸핑
문제 5. 스위치 환경에서 스니핑을 위해 사용하는 기법이 아닌 것은? ① 스위치 재밍(MAC Flooding) ② ARP 리다이렉트 ③ ICMP 리다이렉트 ④ DNS 스푸핑
문제 6. 스니퍼(무차별 모드 호스트)를 탐지하는 방법으로 적절하지 않은 것은? ① 대상 IP는 맞고 MAC은 틀린 ping에 응답하는지 확인 ② 위조 MAC으로 보낸 ARP 요청에 응답하는지 확인 ③ 미끼 계정·패스워드를 흘려 사용 여부 확인 ④ 대상에 SYN을 대량 전송해 큐를 채움
문제 7. 인증이 끝난 TCP 세션의 순서 번호를 탈취해 세션을 빼앗는 공격의 대표적 증상은? ① Directed Broadcast 증폭 ② ACK 스톰 ③ 단편 오프셋 겹침 ④ 반개방 큐 고갈
문제 8. 다음 설명에 해당하는 것은? "정상 프로그램으로 위장하지만 스스로 복제하지 않으며, 숨은 기능으로 원격 제어·정보 유출을 수행한다." ① 웜 ② 트로이목마 ③ 익스플로잇 ④ 랜섬웨어
정답과 해설
| # | 정답 | 해설 (판별 축) |
|---|---|---|
| 1 | ② | FIN·NULL·Xmas는 열린 포트에 무응답(축 2). Connect·SYN은 응답 있음 |
| 2 | ③ | 닫힌 UDP = ICMP Port Unreachable(타입 3). 열림은 무응답/서비스 응답 |
| 3 | ② | ARP 스푸핑 대응 = 정적 ARP. ①은 DNS, ③은 SYN Flooding |
| 4 | ③ | 사람의 눈을 속임(축 4). 나머지는 표·주소를 속임 |
| 5 | ④ | DNS 스푸핑은 스위치 스니핑 기법이 아님. SYN Flood도 아님 |
| 6 | ④ | ④는 SYN Flooding(DoS). 나머지는 무차별 모드 탐지 |
| 7 | ② | 순서 번호 어긋남 → ACK 스톰. 나머지는 각각 Smurf·Teardrop·SYN Flooding |
| 8 | ② | 위장 + 비복제 = 트로이목마. 웜은 자기복제, 익스플로잇은 취약점 공격 코드 |
부록 A. 스스로 확인하기
| # | 질문 | 답이 있는 곳 |
|---|---|---|
| 1 | 스캔 7종의 보내는 플래그와 열림·닫힘 응답은? | 1.1 |
| 2 | 스텔스 스캔이 로그를 피하는 이유는? | 1.2 |
| 3 | OS 핑거프린팅이 보는 단서(TTL 등)는? | 1.2 |
| 4 | ARP·IP·DNS·URL 스푸핑은 각각 무엇을 위조하나? | 2 |
| 5 | IP 스푸핑이 악용하는 트러스트 관계와 대응은? | 2.2 |
| 6 | 스니핑의 전제(무차별 모드)란? | 3.1 |
| 7 | 스위치 환경 스니핑 기법 네 가지는? | 3.2 |
| 8 | 스니퍼 탐지 방법 세 가지 이상은? | 3.3 |
| 9 | 세션 하이재킹의 원리와 ACK 스톰은? | 3.4 |
| 10 | 트로이목마·백도어·익스플로잇의 차이는? | 4 |
부록 B. 자주 하는 실수 · 함정
| 실수 | 바로잡기 |
|---|---|
| "스텔스 스캔은 로그가 전혀 안 남는다" | ⚠️ 애플리케이션 로그를 피할 뿐, IDS·방화벽은 탐지 가능 |
| "FIN/NULL/Xmas 스캔은 윈도우에도 통한다" | ❌ 윈도우는 열린 포트도 RST → 구별 안 됨 |
| "ARP 스푸핑은 인터넷 너머 호스트도 가능" | ❌ 같은 LAN 에서만 |
| "IP 스푸핑과 ARP 스푸핑은 같은 공격" | ❌ IP(3계층) ↔ MAC(2계층)을 위조 (축 3) |
| "스니핑은 데이터를 바꾸는 능동적 공격" | ❌ 엿보는 수동적 공격 (축 1) |
| "DNS 스푸핑은 스위치 스니핑 기법" | ❌ 아님. 스위치 재밍·ARP/ICMP 리다이렉트가 스니핑 기법 |
| "세션 하이재킹은 패스워드를 알아야 한다" | ❌ 인증 이후 세션을 탈취 → 패스워드 불필요 |
| "트로이목마는 자기복제로 전파된다" | ❌ 비복제. 복제는 바이러스·웜 |
| "스니핑 최선의 대응은 정적 MAC" | ⚠️ 가장 근본은 암호화 (가로채도 못 읽음) |
부록 C. AI · NotebookLM 복습 프롬프트
이 09번 노트만 근거로 4지선다 8문제를 내줘.
"스캔 유형별 응답표", "스텔스 스캔·Nmap·OS 핑거프린팅", "ARP/IP/DNS/URL 스푸핑", "무차별 모드·스위치 재밍", "세션 하이재킹", "트로이목마·백도어·익스플로잇"을 반드시 포함해줘.
내가 답하면 채점하고, 오답이 어느 형제 개념과 헷갈린 것인지 판별 축으로 짚어줘. 노트에 없는 내용은 쓰지 마.