정보보안 CH3 네트워크 보안

네트워크에 대한 이해 서비스 거부(Dos) 공격 스니핑 공격 스푸핑 공격 세션 하이재킹 공격 무선 네트워크 공격과 보안

OSI 7 계층의 세부 동작을 이해한다. 네트워크와 관련된 해킹 기술의 종류와 방법을 살펴본다. 네트워크 해킹을 막기 위한 대응책을 알아본다.

Ch3 네트워크 보안 네트워크

01 네트워크에 대한 이해 OSI 7계층 국제표준화기구(ISO : International Organization for Standardization)는 다양한 네트워크의 호환을 위해 OSI 7계층이라는 표준 네트워크 모델을 만듦. IP 주소를 통해 원거리 시스템간 통신이 가능하게 함 포트를 이용해 시스템 내의 응용 프로그램 간 통신을 가능하게 함. 물리 장치의 고유 주소인 MAC을 이용한 로컬 통신이 가능하게 함 신호를 전달하기 위한 물리적인 연결

01 네트워크에 대한 이해 물리 계층(1계층) 인터넷 이용시의 랜 케이블, 전화선, 동 축 케이블 또는 광 케이블 등의 시스템 간의 물리적인 연결매체 구분 최대 속도 용도 CAT 1 1Mbps 미만 • 아날로그 음성(일반적인 전화 서비스) • ISDN 기본률 접속(Basic Rate Interface) • Doorbell Wiring CAT 2 4Mbps • 주로 IBM의 토큰링 네트워크에 사용된다. CAT 3 16Mbps • 10BASE-T 이더넷상의 데이터 및 음성 CAT 4 20Mbps • 16Mbps 토큰 링에서 사용. 많이 사용되지는 않는다. CAT 5 100Mbps • 옥내 수평 및 간선 배선망(100MHz) • 4/16Mbps 토큰 링(IEEE 802.5) • 10/100 BASE-T(IEEE 802.3) • 155Mbps ATM CAT 6 250Mbps • 옥내 수평 및 간선 배선망(250MHz) • 10/100/1000 BASE-T(IEEE 802.3) • 155/622Mbps ATM • Gb 이더넷 CAT 7 10Gbps • 10Gb 이더넷

01 네트워크에 대한 이해 데이터 링크 계층(2계층) 두 포인트(Point to Point) 간 신뢰성 있는 전송을 보장하기 위한 계층. 상호 통신을 위해 48bits MAC 주소를 사용 (Organizational Unique Identifier)

01 네트워크에 대한 이해 데이터 링크 계층(2계층)

01 네트워크에 대한 이해 데이터 링크 계층(2계층) 스위치의 동작 원리 스위치에 작은방의 컴퓨터를 연결할 경우 스위치에 안방 컴퓨터만이 연결되어 있을 경우 스위치에 작은방의 컴퓨터를 연결할 경우 1번 포트 2번 포트 안방 컴퓨터의 MAC 주소 3번 포트 4번 포트 1번 포트 2번 포트 안방 컴퓨터의 MAC 주소 3번 포트 작은방 컴퓨터의 MAC 주소 4번 포트

01 네트워크에 대한 이해 네트워크 계층(3계층) 여러 개의 노드를 거칠 때마다 경로를 찾아주는 역할을 하는 계층. 다양한 길이의 데이터를 네트워크를 통해 전달하며 그 과정에서 라우팅, 흐름 제어, 세그멘테이션 (segmentation/desegmentation), 오류 제어 등을 수행. IP 주소 32bits / 128bits

01 네트워크에 대한 이해 네트워크 계층(3계층)

01 네트워크에 대한 이해 네트워크 계층(3계층) 네트워크 계층에서의 패킷 전달 구조 인터넷에 전송하는 패킷의 기본 구조 • 패킷 송신 시스템의 IP : 172.16.0.100 • 라우터의 랜쪽 포트의 IP(게이트웨이) : 172.16.0.1 • 패킷 송신 시스템의 MAC 주소 : AA-AA • 라우터의 랜쪽 포트의 MAC 주소(게이트웨이) : BB-BB • 라우터의 인터넷쪽 포트의 MAC 주소 : CC-CC • 스위치의 메모리에 존재하는 MAC 주소 테이블 1번 포트 BB-BB(라우터 케이블 연결 포트) 2번 포트 AA-AA(컴퓨터 연결 포트) 3번 포트 4번 포트

01 네트워크에 대한 이해 네트워크 계층(3계층) 네트워트 계층에서의 패킷 전달 구조 출발지의 IP와 MAC 주소가 기록됨. 목적지 MAC 주소에는 랜을 벗어나기 위한 가장 일차적인 목적지, 즉 게이트웨이의 MAC 주소 입력 (ARP 프로토콜 이용) 라우터에서 사용한 2계층 정보를 벗겨냄.

01 네트워크에 대한 이해 네트워크 계층(3계층) 네트워트 계층에서의 패킷 전달 구조 다음 라우터까지의 2계층 정보를 패킷에 덧씌움.

01 네트워크에 대한 이해 전송 계층(4계층) 양 끝단(End to end)의 사용자들이 신뢰성 있는 데이터를 주고받을 수 있도록 함으로써, 상위 계층들이 데이터 전달 의 유효성이나 효율성을 신경 쓰지 않도록 해줌. TCP(Transmission Control Protocol) MAC 주소가 네트워크 카드의 고유 식별자 IP가 시스템의 주소 포트는 시스템에 도착한 후 패킷이 찾아갈 응용 프로그램 과 통하는 통로 번호 포트는 0 ~ 65,535(216 )번까지 존재

01 네트워크에 대한 이해 전송 계층(4계층) 시스템에서 구동되는 응용 프로그램들은 네트 워킹을 하기 위해 자신에게 해당되는 패킷을 식 별할 필요가 있음. 출발지 포트는 운영체제나 응용 프로그램마다 조금씩 다르나 보통 1,025번부터 65,535번 사 이의 포트 중에서 사용하지 않는 임의의 포트를 응용 프로그램 별로 할당 목적지인 웹 서버의 서비스 포트는 보통 80번

01 네트워크에 대한 이해 전송 계층(4계층) 20 FTP • File Transfer Protocol-Datagram 21 포트 번호 서비스 설명 20 FTP • File Transfer Protocol-Datagram 21 • File Transfer Protocol-Control (FTP 연결 시 인증과 제어) 23 Telnet • 원격지 서버의 실행창을 얻어낸다. 25 SMTP • Simple Message Transfer Protocol 53 DNS • Domain Name Service 69 TFTP • Trivial File Transfer Protocol (인증이 없는 단순 파일 전송에 사용) 80 HTTP • Hyper Text Transfer Protocol 110 POP3 • Post Office Protocol v3 111 RPC • Sun의 Remote Procedure Call (원격에서 서버의 프로세스를 실행) 138 NetBIOS • Network Basic Input Output Service (윈도우에서 파일을 공유) 143 IMAP • Internet Message Access Protocol 161 SNMP • Simple Network Management Protocol

01 네트워크에 대한 이해 전송 계층(4계층) 3계층과 4계층의 정보는 netstat -an 명령으로 확인

01 네트워크에 대한 이해 전송 계층(4계층) 3-way 핸드셰이킹(3-way handshaking)

01 네트워크에 대한 이해 전송 계층(4계층) TCP 세션의 종료

01 네트워크에 대한 이해 전송 계층(4계층) TCP 연결 지향형 프로토콜 데이터의 정확한 전달을 보장 에러 제어(Error Control) 등의 기능 수행 UDP(User Datagram Protocol) TCP와는 달리 데이터의 신뢰성 있는 전송을 보장하 지는 않음. 다음의 경우에는 전송 경로 확립을 위한 번잡함을 생 략하고 시간을 절약할 수 있어 UDP가 더 효과적임. 신뢰성이 매우 높은 회선을 사용 데이터의 확실한 전송을 요구하지 않는 통신 한 번에 다수의 사용자에게 메시지를 전송

01 네트워크에 대한 이해 세션 계층(5계층) 표현 계층(6계층) 응용 프로그램 계층(7계층) 5계층인 세션 계층은 양 끝단의 응용 프로세스가 통신을 관리하기 위한 방법을 제공 종단간 연결에 정보 교환을 효과적으로 할 수 있게 추가 서비스를 함. 표현 계층(6계층) 6계층인 표현 계층은 코드 간의 번역을 담당. 즉 사용자 시스템에서 데이터의 구조를 하나의 통일된 형식으로 표현하여 데이터 형식 차이로 인한 부담을 덜어줌. 응용 프로그램 계층(7계층) 7계층인 응용 프로그램 계층은 사용자나 응용 프로그램 사이에 데이터의 교환이 가능하게 하는 계층 HTTP, FTP, 터미널 서비스, 메일 프로그램, 디렉터리 서비스 등을 제공

Ch3 네트워크 보안 서비스 거부 공격

02 서비스 거부(Dos) 공격 : 취약점 공격형 DoS = Denial of Service Boink, Bonk, TearDrop TCP의 신뢰성 있는 연결을 위한 기능 패킷의 순서가 올바른지 확인 중간에 손실된 패킷은 없는지 확인 손실된 패킷의 재전송 요구 프로토콜은 이러한 사항이 확인되지 않는 데이터 전송 에 대해 신뢰도를 확보하기 위해 반복적인 재요청과 수 정을 함. 오류제어 로직을 악용하여 시스템의 자원을 고갈시키 는 공격 TCP 패킷 안에는 시퀀스 넘버를 속여서 시스템의 패킷 재전송과 재조합(Reassembling)에 과부하가 걸리도록 함.

02 서비스 거부(Dos) 공격 : 취약점 공격형 Teardrop 내용물이 겹치거나 크기가 변형된 패킷을 전송 내용물이 겹치거나 크기가 변형된 패킷을 전송 TCP/IP 패킷 재조립 코드의 오류 로 운영체제의 오동작이 발생

02 서비스 거부(Dos) 공격 : 취약점 공격형 Land 공격 패킷을 전송할 때 출발지 IP 주소와 목적지 IP 주소값을 똑같이 만들어서 공격 대상에게 보내는 공격. 이 때 조작된 IP 주소값은 공격 대상 의 IP 주소 Land 공격에 대한 보안 대책 : 주로 운영체제의 패치 관리를 통해 마련하거나, 방화벽과 같은 보안 솔 루션을 이용

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 Ping of Death (PoD)공격 일반적으로, Ping 명령을 실행하면 ICMP Echo Request 패킷을 타켓 IP 주소로 송신하고 ICMP 응답을 대기  방화벽이 ICMP 패킷을 막지 않도록 되어 있는 경우 시 스템 공격 수단으로 이용될 수 있음. IP 패킷의 최대 크기는 해더 20bytes 포함 65,535Bytes ping 명령을 보낼 때 패킷을 최대크기 이상으로 공격 대 상에게 보내면 타켓 호스트의 IP 스택을 넘치게 하여 시스 템 문제를 만듬. 윈도우 8부터는 일정크기 이상의 ping 패킷이 수신되면 자동으로 차단. Target Hacker ICMP Packet over 64kB

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 Ping Flood Ping으로 발생되는 ICMP 메시지를 응답을 기다리지 않고 반복적으로 공격 대상에게 전송하는 방식 Server User 200.0.0.10 200.0.0.20 Ping 200.0.0.20 ICMP 200.0.0.10 일반적인 Ping 동작 Server User 200.0.0.10 200.0.0.20 Ping 200.0.0.20 Ping Flood 공격

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 SYN Flooding 공격 TCP의 취약점을 공격하는 기법 네트워크에서 서비스를 제공하는 시스템에는 동시 사용자 수에 대한 제한이 있음. SYN Flooding은 존재하지 않는 클라이언트가 서버 별로 한정 되어 있는 접속 가능한 공간에 접속한 것처럼 속여 다른 사용자 가 서버의 서비스를 제공받지 못하게 하는 공격. 일반적인 TCP 연결 생성 (3 way Handshaking)

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 서버는 클라이언트가 ACK패킷을 보내올 때까지 SYN Received 상태로 일정 시간을 기다려야 하 고, 그 동안 공격자는 가상의 클라이언트로 위조 한 SYN 패킷을 수없이 만들어 서버에 보냄으로 써 서버의 가용 동시 접속자 수를 모두 SYN Received 상태로 만들 수 있음. 대응방법 Backlog Queue 확장 (default=128kB) SYN Received의 대기 시간을 줄이는 방법으로 해결 침입 방지 시스템(IPS)과 같은 보안 시스템을 통해 공격을 차단 Backlog Queue에 저장되어 75초간 대기 Half Open 상태 서버에 많은 부하를 주지 않고 트래픽을 유발시키지도 않으므로 원인을 파악하기 어렵다.  netstat –na|grep SYN_RECV 명령을 사용 (SYN_RECEIVED 가 많은 상태를 확인)

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 HTTP GET Flooding 공격 피공격 시스템에 TCP 3-웨이 핸드셰이킹 과정을 통해 정상적인 접속을 한 뒤, 특정한 페이지를 HTTP의 GET Method를 통해 무한대로 실행하는 것. 공격 패킷을 수신하는 웹 서버는 정상적인 TCP 세션과 함께 정상적으로 보이는 HTTP Get 요청을 지속적으로 요청하게 되므로, 시스템에 과부하가 걸림. www.wishfree.com/list.php?page=1&search=test .....

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 HTTP CC 공격 HTTP 1.1 버전의 CC(Cache-Control) 헤더 옵션 : 일반적으로 HTTP는 웹 트랜잭션의 효율화를 위 해 Cache 기능을 사용 But, 자주 변형되는 데이터에 대해 새롭게 HTTP 요청 및 응답을 요구하기 위하여 Cache 기능을 off 할 수 있다. Transaction (처리) ; the act of transacting within or between groups Ex) Home Shopping 고객 유저 테이블 상품 물품정보 주문 주문으로 인해 잔액 차감이 진행되는 상황에서 서버가 중지되면 ? 거래 중에 재고가 없어지면 ? 거래내역 고객 유저 테이블 상품 물품정보 주문 거래내역 Connection MySQL, Oracle 등

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 서비스 거부 공격 기법에 이를 응용하기 위해 ‘Cache-Control: no-store, must-revalidate’ 옵션을 사용하면 웹 서버는 캐 시를 사용하지 않고 응답해야 하므로 웹 서비스의 부하가 증가하게 됨 동적 웹 페이지 공격에 효과적. 웹 서버에 연관된 모든 요소의 부하를 증가시킴. Web server Hacker Devices related to web server

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 동적 HTTP Request Flooding 공격 HTTP Get Flooding과 HTTP CC 공격은 지정된 웹 페이지를 지속적으로 요청하여는 서비스 거부 공격  따라서 반복되는 HTTP 요청 패턴을 분석하면 방어가 가능. 반면에, 동적 HTTP Request Flooding은 이러한 웹 방화벽을 통한 HTTP 요청 패턴 차단 기법을 우회하기 위해 지속적으로 요청 페이지를 변경하여 웹 페이지를 요청하는 기법

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 Smurf 공격 ICMP 패킷과 네트워크에 존재하는 임의의 시스템들을 이용하여 패킷을 확장시켜 서 서비스 거부 공격을 수행하는 방법 네트워크를 공격할 때 많이 사용 사전 지식 IP 주소체계에서, 1) 호스트 식별자가 모두 0인 경우  네트워크 자체의 이름  10.0.0.0 2) 호스트 식별자가 모두 255인 경우  브로드케스팅 목적의 주소  10.255.255.255 3) DHCP Server PC without IP address Sender 0.0.0.0 / Dest 255.255.255.255 Some IP Address

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 Router 10.0.0.0 10.0.0.2 10.0.0.3 10.0.0.4 10.0.0.1 255.255.255.255 data 일반적인 브로드케스팅 직접 연결된 호스트에만 전달됨. 라우터를 넘어가지 못함. 10.0.0.1 10.255.255.255 data 다이렉트 브로드케스팅 라우터가 로걸 네트워크에 있는 모든 호스트에게 메시지를 보내기 위해 사용 Router 10.0.0.0 10.0.0.2 10.0.0.3 10.0.0.4

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 STEP 1 10.0.0.0 10.0.0.1 10.0.0.2 10.0.0.3 20.0.0.1 Router 10.0.0.4 10.0.0.1 10.255.255.255 ICMP 요청 Smurf 공격 공격자는 송신자 주소에 공격 대상자의 주소를 입력하여 전송

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 STEP 1 STEP 2 10.0.0.0 10.0.0.1 10.0.0.2 10.0.0.3 20.0.0.1 ICMP 응답 Router 10.0.0.4 위조된 ICMP 요청에 대한 여러 호스트들의 응답이 집중된 10.0.0.1 호스트는 시스템 과부하로 오동작

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 Mail Bomb 공격 스팸 메일도 여기에 해당 일반적으로 mail server는 사용자에게 일정양의 저장 공간을 할당하는데, 메일이 폭주하면 저장공간의 부족으로 정상적인 메일의 수신이 어려워짐. 즉, 스팸 메일도 서비스 거부 공격의 일종

02 서비스 거부(Dos) 공격 : 자원 고갈 공격형 분산 서비스 거부(DDoS) 공격 피해가 상당히 심각하며 이에 대한 확실한 대책 역시 없고 공격자의 위치와 구체적인 발원지를 파악하는 것 도 거의 불가능에 가까움. 특성상 대부분의 공격이 자동화된 툴을 이용. 공격의 범위가 방대하며 DDoS 공격을 하려면 최종 공 격 대상 이외에도 공격을 증폭시켜주는 중간자가 필요. DoS 공격 구성 공격자(Attacker) : 해커의 컴퓨터 마스터(Master) : 공격자에게 직접 명령을 받는 시스템 핸들러(Handler) 프로그램 : 마스터 시스템의 역할을 수 행하는 프로그램 에이전트(Agent) : 공격 대상에 직접 공격을 가하는 시 스템 데몬(Daemon) 프로그램 : 에이전트 시스템의 역할을 수행하는 프로그램 Attacker Master Agent Victim

02 서비스 거부(Dos) 공격 분산 서비스 거부 공격도 분산 서비스 거부 공격의 개념

악성코드(봇)에 의한 분산 서비스 거부 공격 에이전트 전파 02 서비스 거부(Dos) 공격 최근의 분산 서비스 거부 공격은 악성코드(Bot)와 결합하는 형태 PC에서 전파가 가능한 형태의 악성코드를 작성 분산 서비스 거부 공격을 위해 사전에 공격 대상과 스케줄을 정한 뒤 이를 작성한 악성코드에 코딩하고 인터넷으로 전파 전파 과정에서는 봇은 잠복 좀비 PC = 봇에 감염된 PC Botnet = 좀비 PC끼리 형성된 네트워크 공격자가 명령을 내리거나 정해진 공격 스케줄에 따라 봇넷으로 형 성된 좀비 PC들이 일제히 공격 명령을 수행하여 대규모의 분산 서 비스 거부 공격이 가능해짐. 악성코드(봇)에 의한 분산 서비스 거부 공격 에이전트 전파 좀비 PC에 의한 분산 서비스 거부 공격 수행

공격 단계 공격 유형 공격 목적 Step I UTP Flood 대역폭 고갈 ICMP Flood Step II SYN Flood Connection 고갈 Step III TCP Flag Flood 불필요한 트래픽 유도 Step IV Half-Open Flood HTTP Flood

Ch2 네트워크 보안 스니핑 공격

03 스니핑 공격 스니핑(Sniffing) “네트워크를 통해 전송되는 데이터를 불법으로 캡처하는 것” 수동적(Passive) 공격 스니핑 공격의 종류 도청(Eavesdropping) 전화선이나 UTP(Unshielded Twisted Pair)에 태핑(Tapping)을 해서 전기적 신호를 분석해 정보를 찾아내는 것 전기적 신호를 템페스트(Tempest) 장비를 이용해 분석하는 것

03 스니핑 공격 정상적인 네트워크 동작 네트워크에 접속하는 모든 시스템은 설정된 IP 주소값과 고유한 MAC 주소값을 가지고 있음. 네트워크 카드는 MAC 정보와 IP 주소를 가지고 자신의 랜 카드 에 들어오는 프로토콜 형식에 따른 전기적 신호의 헤더 부분, 즉 주소값을 인식하고 자신의 버퍼에 저장할지를 결정함. 네트워크 카드에 인식된 2계층과 3계층 정보가 자신의 것과 일치하지 않는 패킷은 무시함. 정상적인 네트워크 필터링

03 스니핑 공격 스니핑 원리 스니핑을 수행하는 공격자는 2계층과 3계층에 대한 필터 링 기능을 해제 (Promicuous Mode) Promicuous Mode

03 스니핑 공격 스위치 스위치 재밍 공격 스위치는 실제 수신 대상으로만 패킷을 보내는 브릿지 장비(2계층) 스위치는 실제 수신 대상으로만 패킷을 보내는 브릿지 장비(2계층) 스위치 재밍 공격 스위치의 주소 테이블의 기능을 마비시키는 공격. MACOF 공격이라고도 함. 많은 종류의 스위치는 주소 테이블이 넘치면 패킷을 모 든 포트로 브로드케스팅하는 성질이 있음.  엉뚱한 MAC 주소를 가진 패킷을 계속 보내 스위치 의 버퍼를 채우는 방법  스위치는 마치 더미허브처럼 동작 AA:AA:AA:AA:AA:AA 1 BB:BB:BB:BB:BB:BB 2 CC:CC:CC:CC:CC:CC 3 DD:DD:DD:DD:DD:DD 4 1 2 3 4 AA:AA:AA:AA:AA:AA BB:BB:BB:BB:BB:BB CC:CC:CC:CC:CC:CC DD:DD:DD:DD:DD:DD:DD

03 스니핑 공격 SPAN 포트 태핑 공격 Port Mirroring 포트 태핑(Tapping) 장비 각 포트에 전송되는 데이터를 미러링하고 있는 포트에도 똑같이 보내주는 것 네트워크 트래픽을 monitoring해야 하는 네트워크 장비들에서 사용 시스코에서는 Switched Port ANalyzer (=SAPN)라 불림 Port Mirroring

03 스니핑 공격 스니퍼 탐지 자신의 이름이 아닌데도 아무 이름에나 받아들여 대답하다가 교수님께 걸리는 프리미스큐어스 모드의 학생.

03 스니핑 방지 대책 데이터 암호화 스위칭 환경의 네트워크 구성 Port MAC address Permanence 1 Yes SSL (Secure Sockets Layer) : 전자상거래에서 신용카드 정보를 보낼 때 사용 PGP, S/MIME : 전자메일을 안전하게 암호화 하는 방법 ssh (Secure Shell) : 유닉스 시스템에서 telnet을 대치하여 암호화된 로그 인을 제공하는 표준 VPN (Virtual Private Networks) : 인터넷 상에서 암호화된 트래픽 제공 스위칭 환경의 네트워크 구성 스위치의 각 포트에 대해 MAC 주소를 고정하여 대응 보안관리에 많은 시간이 소모되나 매우 효과적인 대응 Port MAC address Permanence 1 AA:AA:AA:AA:AA:AA Yes 2 BB:BB:BB:BB:BB:BB 3 CC:CC:CC:CC:CC:CC 4 DD:DD:DD:DD:DD:DD ….

03 스니핑 공격 스니퍼의 탐지 Ping을 이용한 스니퍼 탐지 대부분의 스니퍼는 일반 TCP/IP에서 동작하기 때문에 Request를 받으면 Response를 전달 의심이 가는 호스트에 네트워크에 존재하지 않는 MAC 주소로 ping을 보냄. 만약 ICMP Echo Reply를 받으면 해당 호스트가 스니핑을 하고 있는 것임. ARP를 이용한 스니퍼 탐지 ping과 유사한 방법으로, 위조된 ARP Request를 보냈을 때 ARP Response가 오면 프러미스큐어스 모드로 설정되어 있는 것 [그림 3-33] Ping을 이용한 스니퍼 탐지

03 스니핑 공격 DNS를 이용한 스니퍼 탐지 일반적으로, 스니핑 프로그램은 사용자의 편의를 위 해 스니핑한 시스템의 IP 주소에 DNS에 대한 이름 해 석 과정(Inverse-DNS lookup)을 수행 테스트 대상 네트워크로 Ping Sweep을 보내고 들어 오는 Inverse-DNS lookup을 감시하여 스니퍼를 탐지 유인(Decoy)를 이용한 스니퍼 탐지 스니핑 공격을 하는 공격자의 주요 목적은 ID와 패스 워드의 획득에 있음. 가짜 ID와 패스워드를 네트워크에 계속 뿌리고 공격 자가 이 ID와 패스워드를 이용하여 접속을 시도할 때 스니퍼를 탐지 ARP watch를 이용한 스니퍼 탐지 ARP watch는 MAC 주소와 IP 주소의 매칭 값을 초기 에 저장하고 ARP 트래픽을 모니터링하여, 이를 변하 게 하는 패킷이 탐지되면 관리자에게 메일로 알려주 는 툴. 대부분의 공격 기법이 위조된 ARP를 사용하기 때문 에 쉽게 탐지할 수 있음.

Ch2 네트워크 보안 스푸핑 공격

Spoofing ARP Spoofing IP Spoofing DNS Spoofing Watchdog Spoofing 외부 악의적 네트워크 침입자가 임의로 웹사이트를 구성해 일반 사용자들의 방문을 유도, 인터넷 프로토콜인 TCP/IP의 구조적 결함을 이용해 웹 사이트에 접속한 사용자의 시스템 권한을 획득한 뒤 정보를 빼가는 해킹 수법. Spoofing IP Spoofing DNS Spoofing Watchdog Spoofing

04 스푸핑 공격 : ARP Spoofing ARP 스푸핑 공격 ARP(Address Resolution Protocol) 스푸핑 : MAC 주소를 속이는 것

04 스푸핑 공격 : ARP Spoofing C:\>arp -a ARP 테이블의 확인 (윈도우) arp -a 명령 현재 인지하고 있는 IP와 해당 IP의 MAC 주소 목록을 확인 C:\>arp -a

04 스푸핑 공격 : ARP Spoofing 1 arp -s 10.0.0.2 AA 2 대응책 ARP 테이블이 변경되지 않도록 arp -s [IP 주소][MAC 주소] 명령으로 MAC 주소 값을 고정시킴. -s(static) : Type 부분이 Dynamic에서 Static으로 변경 (but,) 시스템이 재부팅될 때마다 반복 수행 필요 클라이언트의 ARP 테이블의 내용이 바뀌면 경고 메 시지를 보내는 보안 툴 채용 However, ARP 스푸핑은 TCP/IP 프로토콜 자체 문제 이므로 근본적인 대책은 없음. 1 arp -s 10.0.0.2 AA ARP Spoofing 공격 전: 2 Internet Address Physical Address Type 10.0.0.2 AA Dynamic ARP Spoofing 공격 후: Internet Address Physical Address Type 10.0.0.2 CC Dynamic

04 스푸핑 공격 : IP Spoofing 트러스트 유닉스 계열 - 트러스트 인증법 파티에 초대한 사람 중 친분이 있는 사람은 초대장을 확인하지 않고 그냥 들여보내주는 것과 같은 개념 유닉스 계열 - 트러스트 인증법 “/etc/host.equiv” 파일에 클라이언트 IP와 접속 가능한 아이디를 등록 윈도우 계열 - 액티브 디렉토리 (Active Directory) Windows Server에서 제공하는 디렉터리 서비스 효율적인 사용자 계정 보안, 패치 관리, 정책 관리, 자원 관리, S/W관리 및 PC사용환경을 관리하는 용도로 구축  200.200.200.200 root  201.201.201.201 +  200.200.200.200에서 root 계정이 패스워드 없이 로그인  201.201.201.201에서 어떤 계정이든 로그인을 허락 “++” : IP와 아이디 상관없이 모두 로그인 허용

04 스푸핑 공격 : IP Spoofing IP 스푸핑 공격 트러스트를 이용한 접속은 네트워크에 패스워드를 뿌리지 않기 때 문에 스니핑 공격에 안전한 것처럼 보임. BUT, 인증이 IP를 통해서 일어나므로, 공격자가 해당 IP를 사용해서 접속하면 패스워드가 필요 없음. 공격방법 클라이언트에 DoS 공격 (목적: 클라이언트의 연결 차단) 서버에 특정 IP로 접속 (패스워드 불필요) IP 스푸핑을 이용한 서버 접근

04 스푸핑 공격 : ICMP 리다이렉트 공격 ICMP redirect 일반적으로 네트워크는 Router나 GW가 1개이지만, 하나의 라우터로 부족한 경우 Router나 GW를 추가하여 로드밸런싱을 구현하게 됨. HTTP 요청 Source Destination Router A Router B Router C ICMP redirect 1 2 3 4

04 스푸핑 공격 : ICMP 리다이렉트 공격 ICMP 리다이렉트 공격 Step 1 > 공격자가 라우터 B가 되어 ICMP 리다이렉트 패킷을 공격 대상에게 전송 Step 2 > Target은 데이터 패킷를 Attacker에게 전송 Step 3 > Attacker는 다시 패킷를 라우터 A로 릴레이 HTTP 요청 Target Destination Attacker Router C ICMP redirect 2 1 3 4 Router A

04 스푸핑 공격 : DNS spoofing 정상적인 DNS 서비스 클라이언트가 DNS 서버에게 접속하고자 하는 IP 주소를 질의 (DNS Query) DNS 서버가 해당 도메인 이름에 대한 IP 주소를 클라이언트에게 보내줌. 클라이언트가 받은 IP 주소를 바탕으로 웹 서버를 찾아감.

04 스푸핑 공격 : DNS spoofing DNS 스푸핑 공격 Step 1 실제 DNS 서버보다 빨리 공격 대상에게 DNS Response 패킷 을 보내, 공격 대상이 잘못된 IP 주소로 웹 접속을 하도록 유 도하는 공격 Target이 DNS Query 패킷을 보내는 것을 확인. (Hub 환경) 모든 패킷이 자신에게도 전달되므로 Target이 DNS Query 패킷을 보내는 것을 자연스럽게 확인 (Switching 환경) Target이 DNS Query 패킷을 보내면 이를 받아야 하므로 ARP 스푸핑과 같은 선행 작업이 필요함. Step 1 Hub 환경에서 DNS Query 수신

04 스푸핑 공격 : DNS spoofing Step 2 공격자는 로컬에 존재하므로 DNS 서버보다 지리적으로 가 까움. DNS 서버가 올바른 DNS Response 패킷을 보내주기 전에, Target에게 위조된 DNS Response 패킷을 전송 Step 2 공격자와 DNS 서버의 DNS Response

공격 성공 후 도착한 DNS 서버의 DNS Response 04 스푸핑 공격 : DNS spoofing Target은 공격자가 보낸 DNS Response 패킷을 올바 른 패킷으로 인식하고, 웹에 접속. 이때, 지리적으로 멀리 떨어져 있는 DNS 서버가 보 낸 DNS Response 패킷은 버림. hosts 파일에는 URL과 IP 정보가 등록되어 있음. Step 3 127.0.0.1 localhost 200.200.200.123 www.wishfree.com 201.202.203.204 www.sysweaver.com 공격 성공 후 도착한 DNS 서버의 DNS Response

04 스푸핑 공격 Watchdog Watchdog Spoofing 망간 패킷 교환(IPX)에서 네트워크 서버가 클라이언트 와의 접속 여부를 알기 위해 사용하는 워치독 패킷에 대한 응답을 클라이언트를 대신하여 행하는 기능 워치독 패킷은 서버가 클라이언트와의 접속 여부를 계 속 확인하기 위해 클라이언트에 보내는데, 일정 기간 동안 응답이 없으면 서버와의 세션은 종료 Watchdog Spoofing 워치독 패킷 사용상에 많은 클라이언트로 인해 링크 가 단절되는 문제가 발생하게 되는데, 이 문제를 해결 하기 위해 서버 측에 워치독 스푸핑 라우터를 설치하여 클라이언트를 대신하여 응답하도록 한 것이 워치독 스 푸핑

Ch2 네트워크 보안 05 세션 하이재킹 공격

05 세션 하이재킹 공격 세션 하이재킹(Session Hijacking)의 정의 세션 하이재킹 : 두 시스템 간 연결이 활성화된 상태, 즉 로그인(Login)된 상태를 가로채는 것

05 세션 하이재킹 공격 TCP 세션 하이재킹 TCP가 가지는 고유한 취약점을 이용해 정상적인 접속 을 빼앗는 방법. TCP는 S-C 간 통신을 할 때 패킷의 연속성을 보장하기 위해 클라이언트와 서버는 각각 시퀀스 넘버를 사용 시퀀스 넘버의 오류 시, 이를 바로 잡기 위한 작업을 하 는데, TCP 세션 하이재킹은 서버와 클라이언트에 각각 잘못된 시퀀스 넘버를 위조해서 연결된 세션에 잠시 혼 란을 준 뒤 자신이 끼어들어가는 방식. C-S 사이의 패킷을 통제. (ARP 스푸핑 등을 통해 C-S 사이의 통신 패킷이 모두 공격자를 지나가게 함) 서버에 클라이언트 주소로 연결을 재설정하기 위한 RST(Reset) 패킷을 보냄. 서버는 해당 패킷을 받고, 클라이언트의 시퀀스 넘버 가 재설정된 것으로 판단하고, 다시 TCP 쓰리웨이 핸 드셰이킹을 수행. 공격자는 클라이언트 대신 연결되어 있던 TCP 연결 을 그대로 물려받음.

05 세션 하이재킹 공격 세션 하이재킹 공격에 대한 대응책 SSH 사용. C-S 사이에 MAC 주소를 고정.

Ch2 네트워크 보안 06 무선 네트워크 공격과 보안

유선 네트워크에 연결된 AP로 무선 랜까지 확장된 네트워크 06 무선 네트워크 공격과 보안 무선랜은 보통 내부 네트워크의 확장으로서 이용됨. 무선랜을 사용하기 위해서는 내부의 유선 네트워크에 AP(Access Point) 장비를 설치해야 함. 유선 네트워크에 연결된 AP로 무선 랜까지 확장된 네트워크

06 무선 네트워크 공격과 보안 무선랜 안테나의 종류와 특징 무지향성 안테나 안테나의 종류와 수신 가능 거리 무선랜 안테나의 종류와 특징 무지향성 안테나 전파 수신에 일정한 방향성이 없어 AP의 위치에 상관 없이 동작 지향성 안테나 지향성 안테나는 목표 방향을 지정해 그 방향으로만 전파를 탐지 지향성 안테나는 보통 쟁반이나 접시 모양 안테나의 종류 수신 가능 거리 무지향성 안테나 200~300m 지향성 안테나 1Km 무지향성 증폭 안테나 (200mW)2~3Km 접시형 안테나 수Km 접시형 안테나 + 지향성 증폭 안테나 50~60Km

06 무선 네트워크 공격과 보안 무선랜의 프로토콜 시기 프로토콜 주요 사항 특징 1997.7 802.11 2.4GHz/2Mbps 최초의 무선 랜 프로토콜 1999.9 802.11b 2.4GHz/11Mbps Wi-Fi라고도 하며, WEP 방식의 보안을 구현할 수 있음 802.11a 5GHz/54Mbps Wi-Fi 5라고도 하며, 전파 투과성과 회절성이 떨어져 통신 단절 현상이 심하며, 802.11b와 호환이 되지 않음 2003.6 802.11g 2.4GHz/54Mbps 802.11b에 802.11a의 속도 성능을 추가한 프로토콜, 802.11b와 호환이 되나 네트워크 공유시 데이터 처리 효율이 현격히 줄어드는 문제점이 있음 2004.6 802.11i 802.11b와 동일 802.11b 표준에 보안성을 강화한 프로토콜 2007 802.11n 5GHz, 2.4GHz 최대 600Mbps의 속도. 여러 개의 안테나를 사용하는 다중 입력/다중 출력(MIMO) 기술과 대역폭 손실의 최소화 2014 802.11ac 다중 단말의 무선랜 속도는 최소 1 Gbit/s, 최대 단일 링크 속도는 최소 500 Mbit/s 

06 무선 네트워크 공격과 보안 AP 보안 물리적인 보안 및 관리자 패스워드 변경 SSID 브로드캐스팅 금지 AP를 탐색하면 나타나는 각 AP의 이름이 바로 SSID(Service Set Identifier) SSID가 AP 탐색에 쉽게 노출되지 않도록 SSID의 브로드캐스팅을 막는다.

06 무선 네트워크 공격과 보안 WEP의 암호화 WEP 키를 이용한 무선 랜 암호화 통신 의 보안성은 그다지 높지 않음.

06 무선 네트워크 공격과 보안 WPA, WPA-PSK의 암호화 WPA (Wi-Fi Protected Access)는 키 값이 쉽게 깨지는 WEP의 취약점 개선을 위해 개발. 데이터 암호화를 강화하기 위해 TKIP(Temporal Key Integrity Protocol)라는 알고리즘을 사용. WEP와 달리 WPA는 단순한 패킷 수집을 통해서 크랙이 이루어지지 않지만, 최초 인증 과정에서 인증 패킷이 노출될 경 우 간단한 패스워드는 몇 시간~몇 일만에 크래킹됨.

06 무선 네트워크 공격과 보안 EAP와 802.1x의 암호화 WPA-EAP로 불리는 WPA Enterprise 방식은 인증 및 암호화를 강화하기 위해 다양한 보안 표준 및 알고리즘을 채택 그중 가장 중요하고 핵심적인 사항은 유선 랜 환경에서 포트 기반 인증 표준으로 사용되는 IEEE 802.1x 표준과 함께, 다 양한 인증 메카니즘을 수용할 수 있도록 IETF의 EAP 인증 프로토콜을 채택한 것 802.1x/EAP(Extensible Authentication Protocol)이 개인 무선 네트워크의 인증 방식과 비교해 추가된 사항 사용자에 대한 인증을 수행 사용 권한을 중앙 관리 인증서, 스마트카드 등의 다양한 인증을 제공 세션별 암호화 키를 제공