EIS

지도 위치 : 3과목 어플리케이션 보안 · README 4장 ③ 영역(어플리케이션) — 이름 서비스와 데이터 저장소의 공격 ↔ 대응 | 출제기준: 1. 인터넷 응용 보안 > 4. DNS 보안, 5. DB 보안 | 이전: 13 웹 · 앱 보안 | 다음: 15 전자상거래 보안 출제 빈도 : ⭐⭐ (회당 약 2.8문항 — 출제분석.md. DNS 0.9 → 2.2, DB 0.9 → 1.5) · 변화 ▲ (DNS) · ⚠️ 신규 범위 포함 (DNS 터널링, DNS 싱크홀, 경량 DNS 서버) 세세항목 : DNS 보안 — DNS 개념 / DNS 서비스 운영 / DNS 공격유형 / DNS 보안 기술 · DB 보안 — DB 보안 개념 / DB 공격 유형 / DB 보안 기술

이 노트를 다 읽으면

1. 도메인 이름이 IP로 바뀌는 질의 과정 (hosts · 캐시 · 재귀 · 반복)과 레코드 유형 (A · AAAA · CNAME · MX · NS · PTR · SOA · TXT)을 말할 수 있다.
2. BIND 설정에서 존 전송 제한(allow-transfer) 과 재귀 제한(recursion) 을 읽고 점검할 수 있다.
3. 캐시 포이즈닝 · DNS 스푸핑 · 파밍 · DNS 증폭 · DNS 터널링 을 "무엇을 속이거나 악용하는가"로 구별할 수 있다.
4. DNSSEC 이 주는 것(무결성 · 출처 인증)과 주지 않는 것(기밀성 · 가용성)을, DNS 싱크홀 의 동작을 말할 수 있다.
5. DB 보안 요구사항과 추론 ↔ 집성 , 대응(뷰 · 다중 인스턴스화)을 구별할 수 있다.
6. DB 암호화 방식 API · 플러그인 · TDE 를 "어디서 암호화하나, 누가 부하를 지나"로 비교할 수 있다.
7. GRANT/REVOKE, xp_cmdshell의 위험과 조치를 말할 수 있다.

---

0. 이 노트의 판별 축

이 노트가 답하는 질문은 "모든 서비스가 기대는 두 개의 기반 — 이름(DNS)과 데이터(DB) — 은 어떻게 속고, 어떻게 새는가" 입니다. DNS는 웹 · 메일 · 인증서까지 모든 접속의 첫 단계라 응답이 위조되면 그 뒤의 모든 보안이 무력 해집니다. DB는 웹 공격의 최종 목적지입니다. 앞에서 배운 UDP · 포트(06번 노트), DRDoS(08번 노트), 스푸핑(09번 노트), 앞 노트의 SQL Injection(13번 노트), 전자서명(18번 노트), 접근통제 모델(17번 노트)이 그대로 쓰입니다.

---

1. DNS의 구조와 질의 과정

1.1 이름 공간과 서버의 종류

                        . (루트)
          ┌─────────────┼──────────────┐
         com           kr             net          ← TLD
          │             │
       example        co.kr                        ← 2단계 · 3단계
          │
         www   →  FQDN: www.example.com.   (맨 끝 점 = 루트)

DNS는 질의 · 응답에 UDP 53 , 응답이 크거나 존 전송(AXFR · IXFR)에는 TCP 53 을 씁니다.

1.2 ⭐ 질의 과정 — 재귀와 반복

① PC: hosts 파일 · 로컬 DNS 캐시 확인
② PC → 캐시 DNS 서버  : "www.example.com?"           ← 재귀 질의 (끝까지 찾아와)
③ 캐시 서버 → 루트     : "com은 저 서버에 물어봐"       ← 반복 질의 (다음 주소만)
④ 캐시 서버 → com TLD  : "example.com은 저 서버에"
⑤ 캐시 서버 → example.com 권한 서버 : "203.0.113.80"
⑥ 캐시 서버 → PC (결과를 TTL 동안 캐시)

🔍 읽는 포인트 : 공격자가 노리는 곳은 ⑥의 캐시 (포이즈닝)와, ②를 아무에게나 받아 주는 열린 재귀 서버 (증폭)입니다.

이름 해석 순서 — OS마다 다르고 자료마다 표현이 다릅니다.

⚠️ 시험에서는 두 표현이 모두 나왔습니다(2019 · 2024). 공통점은 "DNS 서버 질의는 맨 마지막, hosts는 서버보다 먼저" 입니다. 그래서 hosts 파일 변조만으로 파밍 이 됩니다.

1.3 ⭐ 레코드 유형과 존 파일

$TTL 86400
@    IN SOA  ns1.example.com. admin.example.com. (
             2026101901 ; serial (바뀔 때마다 증가 → 2차 서버가 전송 여부 판단)
             3600 ; refresh   900 ; retry   604800 ; expire   86400 ) ; minimum
     IN NS   ns1.example.com.
     IN MX   10 mail.example.com.      ; 숫자(선호도)가 작을수록 우선
ns1  IN A    203.0.113.53
www  IN A    203.0.113.80
www  IN AAAA 2001:db8::80
ftp  IN CNAME www.example.com.
@    IN TXT  "v=spf1 ip4:203.0.113.25 -all"
; 역방향 존(113.0.203.in-addr.arpa)에서:
80   IN PTR  www.example.com.

🔍 읽는 포인트 : SOA의 관리자 메일은 @ 대신 점 (admin.example.com. = admin@example.com). MX는 숫자가 작을수록 먼저 시도합니다.

1.4 도구

📝 기출 포인트 — MX · NS · PTR 구분 (4회), " IP → 도메인 역질의 = PTR, in-addr.arpa ", 이름 해석 순서 (2회), 윈도우 DNS 캐시 명령 = ipconfig /displaydns (2회), nslookup server 명령 · ANY 질의 · FQDN · dnsmasq(2025). 도구 문항이 최근 늘었습니다.

---

2. DNS 서비스 운영 — BIND 하드닝

// /etc/named.conf (권한 DNS 서버의 예)
options {
    directory "/var/named";
    version "unknown";                    // 버전 질의에 실제 버전 숨김
    recursion no;                         // 권한 서버는 재귀 질의 처리 안 함
    allow-query { any; };
    allow-transfer { 203.0.113.54; };     // 존 전송은 2차 DNS에게만
};
// 사내 캐시 서버라면:  recursion yes;  allow-recursion { 10.0.0.0/8; };

🔍 읽는 포인트 : allow-transfer가 없거나 any면 누구나 존 전체를 내려받습니다 (내부 호스트 목록 노출 → 공격 지도). 재귀를 아무에게나 열면 증폭 공격의 반사기(오픈 리졸버)가 됩니다.

💡 존 전송 자체를 인증하려면 서버끼리 공유 비밀키로 HMAC을 붙이는 TSIG 를 씁니다(앞에서 배운 MAC, 20번 노트).

앞으로 다시 만납니다 — 25번 노트(실기 취약점 점검)에서 "DNS 서버의 불필요한 명령어(존 전송 · 재귀) 허가 여부" 점검으로 다시 나옵니다.

---

3. DNS 공격

3.1 ⭐ 응답을 속이는 공격 (축 2의 왼쪽)

⚠️ 경계: 피싱 은 가짜 링크를 클릭하게 만들고, 파밍 은 정상 주소를 입력해도 가짜로 갑니다. 그래서 파밍이 더 알아채기 어렵습니다.

💡 캐시 포이즈닝이 가능한 이유: DNS는 UDP이고, 응답이 맞는지 확인하는 값이 16비트 트랜잭션 ID(+ 출발지 포트) 뿐이라 추측해서 먼저 도착하면 받아들여집니다. 2008년 카민스키(Kaminsky) 공격이 이를 대규모로 보여 줬습니다.

📝 기출 포인트 — 파밍 3회, 캐시 포이즈닝 3회. "DNS를 조작해 정상 주소 입력에도 가짜 사이트로", "캐시를 변조"가 정답 핵심어. 앞에서 배운 스푸핑 분류(09번 노트)와 함께 묶여 출제됩니다.

3.2 DNS를 도구로 악용하는 공격 (축 2의 오른쪽)

aGVsbG8gd29ybGQgc2VjcmV0.x7f.tunnel.attacker.example.  TXT ?

🔍 읽는 포인트 : 사람이 쓰지 않는 길고 무작위해 보이는(Base64 · Hex) 서브도메인 이 한 도메인으로 반복되면 DNS 터널링을 의심합니다. DNS(UDP 53)는 대부분 방화벽에서 열려 있어 우회 통로가 됩니다.

📝 기출 포인트 — DNS 증폭과 대응(재귀 질의 제한) (2023), ANY 질의 (2022, 2025), DNS 터널링 (2025 "처음 등장" ⚠️), Domain Shadowing(2019), 쿼리 플러딩 · 증폭 · 싱크홀 · 스푸핑 구분 (2025).

---

4. DNS 보안 기술

4.1 ⭐ DNSSEC

DNSSEC (DNS Security Extensions) — [DNS 보안 확장]인데, [ 권한 서버가 레코드에 전자서명을 붙이고 리졸버가 상위 존부터 이어지는 신뢰 사슬로 검증 한다]는 점에서 응답 자체를 암호화하는 DoT · DoH와 구별된다.

존 서명 절차 : ① 키 생성(ZSK · KSK) → ② 존 파일에 DNSKEY 포함 후 존 서명 (RRSIG · NSEC 생성) → ③ KSK의 DS 레코드를 상위 존에 등록 → ④ 리졸버는 루트 → TLD → 존 순으로 검증.

⚠️ 반례: DNSSEC은 hosts 파일을 변조한 파밍은 막지 못합니다. DNS 질의 자체가 일어나지 않기 때문입니다.

📝 기출 포인트 — DNSSEC 4회(A1.4 최다): " DNSSEC이 제공하지 않는 것 = 기밀성 ", "막을 수 있는 위협 = 캐시 포이즈닝 · 파밍", "DNS 무결성 보강 확장 표준", 존 서명 절차 (2025).

4.2 ⭐ DNS 싱크홀

DNS 싱크홀 (Sinkhole) — [악성 통신 차단 기술]인데, [ 악성(C&C) 도메인 질의에 진짜 IP 대신 싱크홀 서버 IP를 응답 해 감염 PC의 접속을 끊고 식별한다]는 점에서 응답을 위조해 피해를 주는 DNS 스푸핑과 같은 기법을 방어에 쓴 것이다.

감염 PC ─"cnc.bad.example?"─> ISP/기관 DNS ─(싱크홀 목록에 있음)─> "10.10.10.10 (싱크홀 서버)"
감염 PC ──> 싱크홀 서버 : 접속 기록 → 감염 PC 식별 · 조치 안내

🔍 읽는 포인트 : 봇이 C&C에서 명령을 받지 못하게 하고, 싱크홀 서버의 접속 기록으로 감염 PC 목록 을 얻습니다. 국내에서는 KISA가 ISP · 기관과 함께 운영합니다.

📝 기출 포인트 — DNS 싱크홀 3회(2023 · 2024 · 2025 연속): " 봇넷 C&C 접속 차단 ". 2025년에는 오답 보기로 "DNS 라우팅 · 웜홀" 같은 그럴듯한 이름이 나왔습니다.

💡 비유는 마지막에 — DNSSEC은 주소록 각 줄에 찍힌 관인 , 싱크홀은 사기범 전화번호를 경찰 상황실로 돌려 놓는 것 입니다.

---

5. DB 보안 개념

5.1 DB 보안 요구사항과 통제 유형

DB 보안 통제 3유형 : 접근통제 (누가 무엇에 접근), 추론통제 (통계로 개별 값 유추 방지), 흐름통제 (높은 등급 → 낮은 등급으로 정보 이동 방지).

⚠️ 반례: "집성(Aggregation)"은 통제가 아니라 위협 입니다. "부인방지"는 DB 보안 요구사항으로 보통 꼽지 않습니다 (메시지 · 거래의 요구사항).

📝 기출 포인트 — "DB 보안 요구사항이 아닌 것 "(2015, 2025 — 부인방지), "DB 보안 통제 유형이 아닌 것 = 집성"(2018), 무결성 개념. 앞에서 배운 접근통제 모델(17번 노트)의 DB판입니다.

5.2 ⭐ 추론 ↔ 집성

다중 인스턴스화 (Polyinstantiation) — [추론 방지 기법]인데, [ 같은 키의 레코드를 보안 등급별로 다른 값으로 여러 개 두어 , 낮은 등급 사용자가 "여기에 기밀이 있다"는 사실조차 추론하지 못하게 한다]는 점에서 접근 자체를 막는 접근통제와 구별된다.

📝 기출 포인트 — 추론 방지 · 추론 통제는 A1.5 최다(5회 이상). " 통계값으로 개별 데이터를 유추하는 것을 통제 ", "추론 · 집성과 다중 인스턴스화 대응"(2024 · 2025).

---

6. DB 공격과 접근통제

6.1 DB 공격

EXEC sp_configure 'show advanced options', 1; RECONFIGURE;
EXEC sp_configure 'xp_cmdshell', 0;          RECONFIGURE;   -- 0 = 비활성

🔍 읽는 포인트 : SQL Server 2005 이후 xp_cmdshell은 기본 비활성 입니다. 점검에서 1이면 취약입니다.

MS SQL 인증 모드 : Windows 인증 모드 (OS 계정으로 인증, 권장) ↔ 혼합 모드 (Windows + SQL Server 자체 계정). 혼합 모드면 sa 계정 비밀번호 관리가 중요합니다.

6.2 ⭐ 뷰와 권한 — GRANT · REVOKE

뷰 (View) — [가상 테이블]인데, [ 기본 테이블의 일부 행 · 열만 보이도록 정의해 그 범위만 접근시키는 ] 점에서 데이터를 실제로 복사하는 별도 테이블과 구별된다.

CREATE VIEW emp_public AS SELECT name, dept FROM employee;   -- 연봉 · 주민번호 열 제외
GRANT SELECT ON emp_public TO staff;                         -- 뷰에만 조회 권한
GRANT SELECT, UPDATE ON employee TO hr_manager WITH GRANT OPTION;  -- 받은 권한을 남에게 줄 수 있음
REVOKE UPDATE ON employee FROM hr_manager CASCADE;           -- 그가 다시 준 권한까지 연쇄 회수

🔍 읽는 포인트 : WITH GRANT OPTION은 앞에서 배운 DAC(임의적 접근통제, 17번 노트) 의 특징 — 권한을 가진 자가 남에게 넘깁니다. CASCADE는 그렇게 퍼진 권한을 연쇄 회수 합니다.

DB 접근제어 솔루션 유형

📝 기출 포인트 — 뷰 (2017, 2023): "허가된 범위만 보이도록 제한". xp_cmdshell (2024, 2025), MS SQL 인증 모드 (2022), 독립 서버형 = 게이트웨이 방식 (2022).

---

7. DB 암호화와 감사

7.1 ⭐ DB 암호화 방식

💡 기억법: "어디까지 내려가서 암호화하나" — 애플리케이션(API) → DB 함수(플러그인) → DB 커널(TDE) → OS(파일). 아래로 갈수록 애플리케이션 수정이 줄고 , 위로 갈수록 세밀한 통제(컬럼 · 사용자별) 가 쉽습니다.

📝 기출 포인트 — DB 암호화 방식은 2024~2025에 3회 연속: " DBMS에 부하가 생기는 것 = 플러그인 ", " 앱 수정 없이 커널 수준 = TDE ", " 애플리케이션에서 암호화 = API ".

7.2 감사와 회복

• 감사 : 누가 · 언제 · 어떤 객체에 · 무엇을 했는지 기록(오라클 AUDIT 문, DB 접근제어 솔루션 로그). 개인정보처리시스템이면 접속기록 보관 · 점검 의무 가 붙습니다.
• 회복(Recovery) : 장애 시 로그로 되돌리기. 체크포인트 는 "이 시점까지는 디스크에 반영 완료"라는 표시로, 회복 때 로그를 처음부터 다시 읽지 않게 합니다.
• 오라클 보안 설정 예 : 기본 계정 잠금 · 비밀번호 변경, 리스너 보호, PUBLIC 권한 회수, 감사 활성화, 최신 패치.

앞으로 다시 만납니다 — 24번 노트(개인정보보호법)에서 암호화 대상 정보와 접속기록 보관 기간을 법 기준으로 다시 봅니다.

---

8. 실기 연결

관련 수행준거 : 1-3 DNS · DB 서비스 동작절차와 환경 설정, 2-2-6 DNS 서버의 불필요한 명령어 수행 허가 여부 · DNS 보안 조치 점검 , 2-2-7 DB 서버 중요정보 암호화 저장 · DB 객체(테이블 · 칼럼 · 뷰)별 접근통제 점검 , 3-1 서비스별(DNS · DB) 로그 모니터링.

점검 예시

$ dig axfr example.com @ns1.example.com
; Transfer failed.                         ← 양호 (거부됨)

$ dig @ns1.example.com www.google.com +recurse
;; WARNING: recursion requested but not available   ← 권한 서버 양호 (재귀 거부)

🔍 읽는 포인트 : 존 전송이 레코드 목록을 쏟아내면 취약 , 외부에서 남의 도메인 재귀 질의에 답을 주면 오픈 리졸버(취약) 입니다.

---

9. 확인 문제

1. IP 주소로 도메인 이름을 찾는 역방향 조회에 쓰이는 레코드와 특수 도메인의 짝은? ① MX — in-addr.arpa ② PTR — in-addr.arpa ③ CNAME — ip6.int ④ NS — root-servers.net

2. BIND에서 허가된 2차 DNS 서버 외에는 존 전체 정보를 내려받지 못하게 하는 설정은? ① recursion no ② allow-query ③ allow-transfer ④ version "unknown"

3. DNSSEC이 제공하지 않는 것은? ① DNS 응답의 무결성 ② 응답 출처 인증 ③ DNS 질의 · 응답의 기밀성 ④ 캐시 포이즈닝 방지

4. 다음 설명에 해당하는 것은? "악성코드에 감염된 PC가 C&C 서버 도메인을 질의하면 실제 주소 대신 지정된 서버 주소를 응답해 접속을 차단하고 감염 PC를 식별한다." ① DNS 스푸핑 ② DNS 싱크홀 ③ DNS 터널링 ④ Domain Shadowing

5. 방화벽이 허용하는 DNS 질의의 서브도메인에 인코딩한 데이터를 실어 외부와 통신하는 기법은? ① DNS 증폭 ② DNS 쿼리 플러딩 ③ DNS 터널링 ④ 파밍

6. 데이터베이스 보안에서 "통계 정보 등 접근 가능한 데이터로 기밀 데이터를 유추하는 것"을 막기 위한 기법으로 가장 적절한 것은? ① 집성 ② 다중 인스턴스화 ③ WITH GRANT OPTION ④ 체크포인트

7. DB 암호화 방식 중 DB 서버에 암호 모듈을 설치하고 DB 함수로 암 · 복호화해 DBMS 서버에 부하가 걸리는 방식은? ① API 방식 ② 플러그인 방식 ③ TDE 방식 ④ 파일 암호화 방식

정답과 해설

---

부록 A. 스스로 확인하기

부록 B. 자주 하는 실수 · 함정

부록 C. AI · NotebookLM 복습 프롬프트

이 14번 노트(DNS · DB 보안)만 근거로 4지선다 7문제를 내줘. 노트 밖 내용은 쓰지 마.
레코드 유형(PTR · MX), allow-transfer/recursion, 캐시 포이즈닝과 파밍, DNSSEC이 주지 않는 것, DNS 싱크홀, 추론과 다중 인스턴스화, DB 암호화 방식은 반드시 포함해줘.
내가 답하면 채점하고, 오답 보기가 0절의 어느 축 반대편인지 절 번호와 함께 설명해줘.