LangTailor페이지 목차
이 페이지에서 검색
EIS
이 페이지에 묻기
EIS · 현재 차시와 목차 본문에서만 찾아 답합니다. 답을 지어내지 않고 해당하는 대목을 그대로 보여 주며, 여기에 없으면 없다고 알려 드립니다.
생성형 AI가 아니라 이 페이지 본문을 찾아 그대로 보여 주는 방식입니다. 외부로 나가는 요청이 없습니다.
EIS · SECURITY
EIS
생성 수정
정보보안기사의 시스템·네트워크·애플리케이션 보안과 암호·관리·실기 내용을 개념의 경계와 실습으로 연결합니다.
29개 문서 · 2 · 네트워크보안 · 12 / 29
11 · 네트워크 보안 솔루션과 분석
지도 위치 : 2과목 네트워크 보안 · README 4장 ③ 영역(네트워크)의 방어 + ④ 운영(탐지 · 분석) | 출제기준: 3. 네트워크 보안 기술 > 2. 네트워크보안기술 및 응용 | 이전: 10 보안 프로토콜 | 다음: 12 FTP · 메일 보안 출제 빈도 : ⭐⭐⭐ (회당 약 5.3문항 — 출제분석.md, 2과목에서 가장 큼) · 변화 – · ⚠️ 신규 범위 포함(제로트러스트 · SDN, Suricata, YARA) 세세항목 : 1. 보안 솔루션의 종류별 동작원리 및 특징(Firewall, IDS, IPS, VPN, ESM, UTM, NAC, 역추적시스템 등) 2. 보안 솔루션의 활용(Snort, 탐지툴, Pcap 등) 3. 로그 분석 이해 및 응용 4. 패킷 분석 이해 및 응용
이 노트를 다 읽으면
- 방화벽의 유형(패킷 필터링 · 상태검사 · 애플리케이션 게이트웨이 · 서킷 게이트웨이)을 무엇을 보고 판단하나 로 구별할 수 있다.
- 방화벽 구성 방식(스크리닝 라우터 · 베스천 · 듀얼홈드 · 스크린드 호스트 · 스크린드 서브넷)과 DMZ를 그릴 수 있다.
- IDS를 탐지 방식(오용 ↔ 이상), 위치(HIDS ↔ NIDS)로 나누고 오탐 · 미탐을 구별할 수 있다.
- IDS ↔ IPS ↔ 방화벽 ↔ WAF의 경계를 말할 수 있다.
- Snort/Suricata 룰의 헤더와 옵션(content · offset · depth · nocase · msg 등)을 해석할 수 있다.
- ESM · SIEM · UTM · NAC · 허니팟 · 역추적, 제로트러스트 · SDN을 구별할 수 있다.
- Ingress · Egress 필터링과 로그 · 패킷 분석의 관점을 말할 수 있다.
0. 이 노트의 판별 축
| # | 축 | 왼쪽 (0) | 오른쪽 (1) | 이 축으로 갈리는 것 | 큰 축 (README 5장) |
|---|---|---|---|---|---|
| 1 | 무엇을 보고 판단하나 | 헤더(IP · 포트, L3/4) | 내용 · 페이로드(L7) | 패킷 필터링 ↔ 애플리케이션 게이트웨이 · WAF | ⑧ 하위 ↔ 상위 계층 |
| 2 | 탐지 후 무엇을 하나 | 알림만 (IDS) | 차단까지 (IPS · 방화벽) | IDS ↔ IPS | ④ 예방 ↔ 탐지·대응 |
| 3 | 무엇을 기준으로 탐지하나 | 알려진 패턴(오용 · 시그니처) | 평소와 다름(이상 · 통계) | Snort 룰 ↔ 행위 기반 | ⑦ 오용 ↔ 이상 탐지 |
| 4 | 어디에 설치하나 | 호스트 안(HIDS) | 네트워크 길목(NIDS) | HIDS ↔ NIDS | ⑧(관점) |
| 5 | 오탐 ↔ 미탐 | False Positive(정상을 공격으로) | False Negative(공격을 놓침) | 임계치 조정 | 파생 축(오탐↔미탐) |
이 노트가 답하는 질문은 "08~10번 노트의 공격을 실제로 어떤 장비로 막고, 로그 · 패킷으로 어떻게 찾아내는가" 입니다. 2과목에서 가장 많이 나오는 세부항목이고, 방화벽 · IDS · NAC · Snort 가 단골입니다. 거의 모든 문제가 "이 장비는 어느 계층의 무엇을 보고, 탐지만 하나 차단도 하나 "라는 축 1 · 2로 갈립니다.
1. 방화벽 ⭐
방화벽 — [접근 통제 장비]인데, [ 내 · 외부 경계에서 정책에 따라 트래픽을 허용 · 차단한다 ]는 점에서 공격 패턴을 탐지하는 IDS와 구별된다. 기본 정책은 "명시적으로 허용한 것 외에는 모두 차단"(화이트리스트) .
1.1 방화벽 유형 (축 1)
| 유형 | 보는 것 | 계층 | 특징 |
|---|---|---|---|
| 패킷 필터링 | 출발 · 목적 IP · 포트 · 프로토콜 · 플래그 | 3/4 | 빠름, 상태를 모름(각 패킷 독립), 세밀하지 않음 |
| 상태 검사(Stateful Inspection) | 위 + 연결 상태 테이블 | 3/4 | 요청에 대한 응답인지 추적 → 위장 응답 패킷 차단. 현재 주류 |
| 애플리케이션 게이트웨이(프록시) | 응용 데이터 내용 | 7 | 사용자 · 명령 단위 통제, 로그 풍부, 느림. 내부 · 외부가 직접 연결되지 않음 |
| 서킷 게이트웨이 | 세션 수립 여부(예: SOCKS) | 5 | 세션 단위 중계, 내용은 안 봄 |
⚠️ 함정: 역추적 · 침입탐지는 방화벽의 기능이 아닙니다 . "방화벽의 기능이 아닌 것"으로 자주 나옵니다. 방화벽은 헤더 기반 접근 통제 가 본질이라 페이로드의 공격 패턴(XSS · SQLi)은 WAF의 몫입니다(13번 노트).
1.2 방화벽 구성 방식 ⭐
| 구성 | 구조 | 특징 |
|---|---|---|
| 스크리닝 라우터 | 라우터의 ACL만으로 필터링 | 간단 · 저렴, 세밀한 통제 · 로그 부족 |
| 베스천 호스트 | 외부에 노출되는 요새 호스트 하나에 보안 집중 | 단일 지점 → 뚫리면 위험 |
| 듀얼홈드 게이트웨이 | NIC 2개로 내 · 외부 분리, 라우팅 차단 하고 프록시로만 통과 | 내부가 직접 노출 안 됨 |
| 스크린드 호스트 | 스크리닝 라우터 + 베스천 호스트 | 2중 방어 |
| 스크린드 서브넷(DMZ) | 외부 ↔ DMZ ↔ 내부 사이에 라우터 · 방화벽 2개 | 가장 안전, 공개 서버를 DMZ에 배치 |
DMZ(비무장지대) — [완충 네트워크]인데, [ 외부에 공개해야 하는 서버(웹 · 메일 · DNS)만 두어 내부망과 분리한다 ]는 점에서 내부 전용 서버가 있는 내부망과 구별된다. ⚠️ DB 서버는 DMZ에 두면 안 됩니다 (내부 깊숙이). "DMZ에 두면 가장 위험한 서버 = DB".
인터넷 ── [외부 방화벽] ── DMZ(웹·메일·DNS) ── [내부 방화벽] ── 내부망(DB·사용자)
📝 기출 포인트 — 방화벽 구성 (스크린드 서브넷 · DMZ, 4회+): "그림의 구성 식별", "베스천 호스트의 역할", "듀얼홈드", "DMZ에 두면 안 되는 서버(DB)". 유형 : "애플리케이션 게이트웨이=프록시", "상태검사=위장 응답 차단", "패킷 필터링 정보". "방화벽 기능이 아닌 것(역추적 · 침입탐지)".
2. IDS와 IPS ⭐
IDS(침입 탐지 시스템) — [탐지 장비]인데, [ 트래픽 · 행위를 분석해 침입을 탐지하고 알린다 ]는 점에서 차단까지 하는 IPS, 접근을 통제하는 방화벽과 구별된다. 동작: 데이터 수집 → 분석 · 탐지 → 보고 · 대응.
IPS(침입 방지 시스템) — [IDS]인데, [ 탐지한 공격을 실시간으로 차단한다 ]는 점에서 알림만 하는 IDS와 구별된다. 트래픽 경로 인라인(in-line) 에 위치.
2.1 탐지 방식 (축 3)
| 오용 탐지(Misuse / 지식 · 시그니처 기반) | 이상 탐지(Anomaly / 행위 · 통계 기반) | |
|---|---|---|
| 기준 | 알려진 공격 패턴 과 일치 | 평소 프로파일에서 벗어남 |
| 기법 | 시그니처, 전문가 시스템, 패턴 매칭 | 통계, 임계치, 머신러닝 |
| 제로데이(미지 공격) | 탐지 못 함 | 탐지 가능 |
| 오탐(FP) | 적음 | 많음 |
| 미탐(FN) | 알려지지 않으면 놓침 | 상대적으로 적음 |
💡 오용은 블랙리스트(아는 나쁜 것), 이상은 화이트리스트(평소와 다른 것) . "전문가 시스템 · 시그니처"는 오용, "통계적 접근"은 이상.
2.2 오탐 ↔ 미탐 (축 5)
| 용어 | 뜻 | 위험 |
|---|---|---|
| False Positive(오탐) | 정상 을 공격으로 오경보 | 관리자 피로, 정상 차단 |
| False Negative(미탐) | 공격 을 정상으로 놓침 | 실제 침입을 못 막음(더 치명적) |
2.3 위치 (축 4)
| HIDS(호스트 기반) | NIDS(네트워크 기반) | |
|---|---|---|
| 보는 것 | 특정 호스트의 로그 · 파일 · 프로세스 · 무결성 | 네트워크 길목의 패킷(포트 미러링 · TAP) |
| 강점 | 암호화된 트래픽도 호스트 내부에서 확인, 파일 변조 탐지 | 다수 호스트를 한 지점에서, 네트워크 공격(스캔 · 스푸핑) |
| 약점 | 호스트마다 설치, 네트워크 공격 못 봄 | 암호화 트래픽 내부를 못 봄 , 고속 구간 누락 |
| 예 | OSSEC, Tripwire(무결성, 05번 노트) | Snort, Suricata |
📝 기출 포인트 — IDS (7회), 오용 탐지 (6회), IPS (4회): "오용 ↔ 이상 특징(제로데이 · 오탐)", "전문가 시스템=지식 기반", "통계=이상 탐지", "False Negative 정의(침입을 정상으로)", "HIDS ↔ NIDS", "IPS=탐지+차단", "NIDS가 못 보는 것(암호화 · 호스트 내부)", "IDS 동작 단계 순서"가 반복.
3. Snort / Suricata 룰 ⭐
Snort — [오픈소스 시그니처 기반 NIDS/IPS]인데, [ 룰(rule)로 패킷 헤더와 페이로드를 검사해 탐지한다 ]는 점에서 패스워드 크래킹 · 스캐닝 도구와 구별된다. ⚠️ Snort는 크래킹 · 스캐닝 도구가 아닙니다 (기출 함정).
Suricata ⚠️ 신규 — [오픈소스 IDS/IPS]인데, [ 멀티스레드 병렬 처리를 지원하고 Snort 룰과 호환된다 ]는 점에서 단일 스레드 중심의 Snort와 구별된다.
3.1 룰 구조
alert tcp any any -> 192.168.0.0/24 80 (msg:"Possible XSS"; content:"<script>"; nocase; offset:0; depth:200; sid:1000001; rev:1;)
└─ 룰 헤더 ──────────────────────────┘ └──────────────── 룰 옵션 ────────────────────┘
🔍 읽는 포인트 — 룰 헤더 : alert(동작: alert · log · drop · reject) / tcp(프로토콜) / any any(출발 IP · 포트) / ->(방향) / 192.168.0.0/24 80(목적 IP · 포트).
| 옵션 | 뜻 |
|---|---|
msg | 경보에 남길 설명 ( 탐지 자체엔 영향 없음 , 정보용) |
content | 페이로드에서 찾을 문자열 · 바이너리 (|...| 16진) |
nocase | 대소문자 무시 |
offset / depth | content를 어디서부터 / 몇 바이트까지 검사 |
uricontent | URI 안에서 검사 |
sid / rev | 룰 ID / 개정 번호 |
threshold | 탐지 빈도 제한 |
sameip | 출발 = 목적 IP(예: Land 탐지) |
⚠️ 함정: ttl은 페이로드 검사(content 계열) 옵션이 아니라 헤더 조건 입니다. "페이로드 검사 옵션이 아닌 것 = ttl". content · offset · depth · nocase가 페이로드 검사.
3.2 예시 해석
drop tcp any any -> $HOME_NET 445 (msg:"SMB exploit attempt"; flow:to_server; content:"|FF|SMB"; sid:200001;)
🔍 읽는 포인트 : 외부 → 내부 445(SMB, 07번 노트)로 가는 트래픽에서 |FF|SMB(16진) 패턴을 차단(drop) . flow:to_server는 서버 방향만 검사.
YARA ⚠️ — 문자열 · 조건 규칙으로 파일(악성코드) 을 분류 · 탐지하는 도구(네트워크 패킷 중심의 Snort · Suricata와 구별). pcap(패킷 캡처 파일)은 tcpdump · Wireshark로 수집해 분석.
📝 기출 포인트 — Snort (4회): "content · offset · depth · nocase · msg · threshold · sameip 해석", "ttl은 페이로드 옵션 아님", "Snort는 크래킹 도구 아님", Suricata (멀티스레드 · Snort 룰 호환, 신규), YARA, Elasticsearch 분석기 처리 순서가 나왔습니다.
4. 통합 · 접근통제 솔루션
| 솔루션 | 정의 (유 + 종차) | 핵심 |
|---|---|---|
| ESM | [보안 관제 시스템]인데, [ 여러 보안 장비의 로그 · 이벤트를 통합해 실시간 관제한다 ]는 점에서 개별 장비 관리와 구별된다. 구성: 에이전트 · 매니저 · 콘솔 | 통합 모니터링 |
| SIEM | [ESM의 발전형]인데, [ 장비 로그뿐 아니라 광범위한 로그를 장기 수집해 상관분석 · 포렌식한다 ]는 점에서 실시간 관제 중심의 ESM과 구별된다 | 상관분석 · 빅데이터 · 장기 저장 |
| UTM | [통합 보안 장비]인데, [ 방화벽 · IDS/IPS · VPN · 안티바이러스 등을 한 장비에 통합한다 ]는 점에서 기능별 개별 장비와 구별된다 | 비용 · 관리 편의, 단일 장애점 · 성능 부담 |
| NAC | [네트워크 접근 통제]인데, [ 단말의 신원 · 보안 상태(백신 · 패치 · 정책 준수)를 검사한 뒤 네트워크 접속을 허용 · 격리한다 ]는 점에서 트래픽만 거르는 방화벽과 구별된다 | 에이전트 · 에이전트리스, 미등록 · 미준수 단말 차단 |
| 허니팟 | [유인 시스템]인데, [ 일부러 취약하게 꾸며 공격자를 끌어들여 행위를 수집 · 분석한다 ]는 점에서 실제 서비스를 하는 서버와 구별된다. 여러 개면 허니넷 | 공격 정보 수집, 내부망과 격리 필수 |
| 역추적 시스템 | [공격 근원 추적]인데, [ TCP 연결 역추적(연결 기반) · IP 패킷 역추적(패킷 기반)으로 공격 출발지를 찾는다 ]는 점에서 차단만 하는 장비와 구별된다 | 출발지 위조 대응 |
⚠️ 함정: NAC의 기능이 아닌 것 으로 "스팸 차단"이, ESM 구성요소 설명 오류, UTM 특징 오류가 나옵니다. NAC = 단말 접근 통제 , SIEM = 로그 상관분석 , EDR = 엔드포인트 탐지 · 대응(05번 노트) 을 서로 헷갈리지 않게.
📝 기출 포인트 — NAC (최다 10회): "단말 보안 상태 검사 후 접근 통제", "MAC 기반 인증", "에이전트 · 에이전트리스", "NAC 기능이 아닌 것". 허니팟 (4회), ESM · SIEM · UTM 구분, SIEM ↔ EDR 구분이 반복.
5. 경계 필터링과 제로트러스트 · SDN
5.1 라우터 필터링
| 기법 | 방향 | 막는 것 |
|---|---|---|
| Ingress 필터링 | 들어오는 | 출발지가 내부 대역 · 사설 · 위조 인 외부 유입 패킷 차단 → IP 스푸핑 · 반사 공격(BCP 38) |
| Egress 필터링 | 나가는 | 출발지가 내부 대역이 아닌 나가는 패킷 차단 → 내부 감염 호스트의 위조 트래픽 유출 방지 |
| uRPF | — | 들어온 인터페이스로 되돌아가는 경로가 없는 출발지 차단 |
| Blackhole 라우팅 | — | 공격 대상 · 출발지 트래픽을 null로 폐기 |
5.2 제로트러스트와 SDN ⚠️ 신규 범위
제로트러스트(Zero Trust) ⚠️ — [보안 모델]인데, [ "절대 신뢰하지 말고 항상 검증하라"로, 내부망이라도 암묵적 신뢰를 주지 않고 접근마다 인증 · 인가 · 최소 권한을 적용한다 ]는 점에서 경계(방화벽) 안이면 믿는 전통 경계 보안과 구별된다. 핵심 원칙: 모든 접근 검증, 최소 권한, 마이크로세그멘테이션, 지속적 모니터링. 국내에서는 과기정통부 · KISA가 「제로트러스트 가이드라인」(1.0: 2023년 발표) 을 내놓았습니다(세부 수치는 시험 전 공식 자료 확인 권장).
SDN(Software Defined Network) ⚠️ — 제어부를 중앙 컨트롤러로 분리한 네트워크(06번 노트). 보안상 중앙에서 정책을 빠르게 적용할 수 있으나 컨트롤러가 단일 표적 입니다. 제로트러스트의 마이크로세그멘테이션을 SDN으로 구현하기도 합니다.
📝 기출 포인트 — "Ingress 필터링 = 내부 대역 출발지 외부 유입 차단(IP 스푸핑 대응)", "Egress 필터링", "uRPF · Blackhole", 제로트러스트(암묵적 신뢰 제거, 2024년 신규 출제) , SDN이 나왔습니다.
6. 로그 · 패킷 분석
로그 분석 — 여러 장비 · 서버 · 서비스의 로그를 시간대별로 통합 · 정렬 해 공격 시도 · 침투 · 비정상 접근을 찾는 것. 요즘은 Elasticsearch(수집 · 색인 · 검색) 같은 스택을 씁니다(분석기: 문자 필터 → 토크나이저 → 토큰 필터 순).
패킷 분석 — pcap 형식으로 캡처(tcpdump · Wireshark, 07번 노트)해 헤더(플래그 · TTL · 포트)와 페이로드 를 봅니다.
# 포트 스캔 흔적(짧은 시간에 여러 포트로 SYN)
10:00:01 IP 203.0.113.9.40000 > 10.0.0.5.21: Flags [S]
10:00:01 IP 203.0.113.9.40001 > 10.0.0.5.22: Flags [S]
10:00:01 IP 203.0.113.9.40002 > 10.0.0.5.23: Flags [S]
10:00:01 IP 10.0.0.5.22 > 203.0.113.9.40001: Flags [R.] ← 닫힌 포트 RST
🔍 읽는 포인트 : 같은 출발지가 여러 목적 포트로 SYN 을 짧은 시간에 뿌리면 포트 스캔 (09번 노트). 닫힌 포트는 [R.](RST)로 답합니다. SYN만 쏟아지고 완료가 없으면 SYN Flooding.
악성코드 분석 도구 — 정적 분석(실행 없이 구조 · 문자열, 디스어셈블러), 동적 분석(가상환경 · 샌드박스에서 실행 관찰, Anti-APT ). 리버싱 도구로 동작을 파악합니다(05번 노트 연계).
📝 기출 포인트 — "통합 로그로 공격 시도 분석", "Elasticsearch 분석기 처리 순서", "리버싱 도구와 역할", "샌드박스 Anti-APT(가상환경에서 의심 파일 실행 · 분석)"가 나왔습니다.
7. IDS · IPS · 방화벽 · WAF 한눈에
| 장비 | 보는 것(축 1) | 탐지만/차단(축 2) | 한줄 |
|---|---|---|---|
| 방화벽 | 헤더(IP · 포트, 상태) | 차단 | 경계 접근 통제 |
| IDS | 패턴 · 행위 | 탐지 · 알림 | 침입 탐지 |
| IPS | 패턴 · 행위 | 차단(인라인) | 침입 차단 |
| WAF | HTTP 페이로드 (L7) | 차단 | 웹 공격(XSS · SQLi) 차단 (13번 노트) |
앞으로 다시 만납니다 — WAF와 웹 공격(XSS · SQLi · CSRF)은 13번 노트에서 자세히.
8. 실기 연결
연결되는 수행준거 — 1-4-7 "Firewall · IPS/IDS · WAF · VPN 특성과 설정", 2-3 "방화벽 · IDS/IPS · WAF · Anti-DDoS · Anti-APT 보안 설정 점검", 3-1 · 3-2 "로그 통합 · 분석으로 침투 여부 확인".
필답형에서 묻히는 방식
| 유형 | 답안 핵심어 |
|---|---|
| 방화벽 규칙표 해석 | 순서대로 매칭, 기본 Deny, 출발·목적·포트·동작, CIDR |
| IDS 탐지 방식 비교 | 오용(시그니처·제로데이 못 봄·오탐 적음) ↔ 이상(통계·제로데이 가능·오탐 많음) |
| Snort 룰 작성·해석 | 헤더(action proto src→dst), content·nocase·offset·depth, msg는 정보용 |
| iptables 규칙 | 아래 예시 |
| DMZ 설계 | 공개 서버만 DMZ, DB는 내부, 2중 방화벽 |
iptables 예시 (리눅스 패킷 필터링)
iptables -A INPUT -p tcp --dport 22 -s 192.168.100.0/24 -j ACCEPT # 관리 대역만 SSH
iptables -A INPUT -p tcp --dport 23:25 -j DROP # 23~25 차단
iptables -A INPUT -s 10.0.0.5 -d 10.0.0.5 -j DROP # Land 차단(SIP=DIP)
iptables -P INPUT DROP # 기본 정책: 모두 차단
🔍 읽는 포인트 : -A 규칙 추가, --dport 23:25 포트 범위, -j 동작(ACCEPT · DROP · REJECT), -P 기본 정책(화이트리스트의 핵심) . 출발지=목적지 룰로 Land 공격(08번 노트)을 거릅니다.
점검 관점 — ① 방화벽 기본 정책이 Deny인지, ② 불필요한 Any 허용 규칙이 없는지, ③ IDS/IPS 시그니처 최신화, ④ 공개 서버가 DMZ에 있고 DB는 내부인지, ⑤ 경계 라우터의 Ingress · Egress 필터링.
9. 확인 문제
문제 1. 연결 상태 테이블을 유지해 "요청에 대한 응답인지"를 추적하여 위장 응답 패킷을 차단하는 방화벽 유형은? ① 패킷 필터링 ② 상태 검사(Stateful) ③ 서킷 게이트웨이 ④ 스크리닝 라우터
문제 2. 공개용 웹·메일·DNS 서버를 두는 완충 구간으로, DB 서버를 두면 안 되는 영역은? ① 내부망 ② DMZ ③ 백본 ④ 루프백
문제 3. 침입을 정상으로 잘못 판단해 공격을 놓치는 경우를 가리키는 것은? ① False Positive ② True Positive ③ False Negative ④ True Negative
문제 4. 오용 탐지(시그니처 기반) IDS의 특징으로 옳은 것은? ① 제로데이(미지 공격)를 잘 탐지한다 ② 오탐(FP)이 매우 많다 ③ 알려진 패턴과 일치하는지 검사한다 ④ 통계적 프로파일을 사용한다
문제 5. Snort 룰에서 페이로드 검사와 직접 관련이 없는 옵션은? ① content ② offset ③ depth ④ ttl
문제 6. 단말의 백신·패치·정책 준수 상태를 검사한 뒤 네트워크 접속을 허용하거나 격리하는 솔루션은? ① SIEM ② NAC ③ UTM ④ 허니팟
문제 7. 출발지가 내부 대역·사설·위조 주소인 외부 유입 패킷을 경계 라우터에서 차단해 IP 스푸핑·반사 공격을 줄이는 기법은? ① Egress 필터링 ② Ingress 필터링 ③ 포트 미러링 ④ 블랙홀 전환
문제 8. 제로트러스트 모델에 대한 설명으로 옳지 않은 것은? ① "항상 검증하라"를 원칙으로 한다. ② 내부망이면 암묵적으로 신뢰한다. ③ 최소 권한과 마이크로세그멘테이션을 적용한다. ④ 접근마다 인증·인가를 수행한다.
정답과 해설
| # | 정답 | 해설 (판별 축) |
|---|---|---|
| 1 | ② | 상태 테이블 추적 = Stateful. 패킷 필터링은 각 패킷 독립 |
| 2 | ② | DMZ. DB는 내부 깊숙이 |
| 3 | ③ | 공격을 놓침 = False Negative(더 치명적). FP는 정상 오경보 |
| 4 | ③ | 오용=알려진 패턴 일치(축 3). ①②④는 이상 탐지 특징 |
| 5 | ④ | ttl은 헤더 조건 . content·offset·depth가 페이로드 검사 |
| 6 | ② | NAC. SIEM은 로그 상관분석, UTM은 통합장비, 허니팟은 유인 |
| 7 | ② | Ingress(들어오는 출발지 위조 차단). Egress는 나가는 방향 |
| 8 | ② | 제로트러스트는 내부도 신뢰 안 함 (암묵적 신뢰 제거) |
부록 A. 스스로 확인하기
| # | 질문 | 답이 있는 곳 |
|---|---|---|
| 1 | 방화벽 4유형은 각각 무엇을 보고 어느 계층인가? | 1.1 |
| 2 | 방화벽의 기능이 아닌 것(함정)은? | 1.1 |
| 3 | 스크린드 서브넷과 DMZ의 구조, DB의 위치는? | 1.2 |
| 4 | 오용 탐지와 이상 탐지의 제로데이·오탐 차이는? | 2.1 |
| 5 | False Positive와 False Negative의 정의는? | 2.2 |
| 6 | HIDS와 NIDS가 각각 못 보는 것은? | 2.3 |
| 7 | Snort 룰 헤더와 content·offset·depth·msg의 뜻은? | 3.1 |
| 8 | ESM·SIEM·UTM·NAC·허니팟을 한 줄씩 구별하면? | 4 |
| 9 | Ingress와 Egress 필터링의 방향과 목적은? | 5.1 |
| 10 | 제로트러스트의 핵심 원칙은? | 5.2 |
| 11 | IDS·IPS·방화벽·WAF를 축 1·2로 구별하면? | 7 |
부록 B. 자주 하는 실수 · 함정
| 실수 | 바로잡기 |
|---|---|
| "방화벽이 XSS·SQLi 같은 웹 공격을 막는다" | ❌ 그건 WAF (L7 페이로드). 방화벽은 헤더 기반 |
| "방화벽이 역추적·침입탐지를 한다" | ❌ 방화벽 기능이 아님 |
| "DB 서버를 DMZ에 둔다" | ❌ 내부망에. DMZ엔 공개 서버만 |
| "오용 탐지가 제로데이를 잘 잡는다" | ❌ 미지 공격은 이상 탐지 가 유리 |
| "False Positive가 더 위험" | ⚠️ 보안상 더 치명적인 건 공격을 놓치는 False Negative |
| "NIDS가 암호화 트래픽 내부를 본다" | ❌ 못 봄. 호스트 안(HIDS)에서 확인 |
| "Snort의 msg가 탐지를 좌우한다" | ❌ msg는 정보용 . 탐지는 content 등 |
| "Snort·Suricata로 악성코드 파일을 분류" | ⚠️ 파일 규칙 분류는 YARA . Snort는 패킷 |
| "NAC이 스팸을 차단한다" | ❌ NAC은 단말 접근 통제 |
| "제로트러스트는 내부망을 신뢰한다" | ❌ 암묵적 신뢰를 제거 |
부록 C. AI · NotebookLM 복습 프롬프트
이 11번 노트만 근거로 4지선다 8문제를 내줘.
"방화벽 유형·구성(DMZ)", "IDS 오용/이상·오탐/미탐·HIDS/NIDS", "IDS/IPS/방화벽/WAF 경계", "Snort 룰 옵션", "ESM/SIEM/UTM/NAC/허니팟", "Ingress/Egress·제로트러스트"를 반드시 포함해줘.
내가 답하면 채점하고, 오답이 어느 형제 개념과 헷갈린 것인지 판별 축으로 짚어줘. 노트에 없는 내용은 쓰지 마.