열한 번째 발걸음도청과 위장은 통신의 서로 다른 전제를 노린다

통신의 구조를 알면 공격이 무엇을 속이거나 빼앗는지도 나누어 볼 수 있습니다. 스캐닝은 응답을 관찰하여 존재하는 시스템·포트·서비스와 취약점의 단서를 찾습니다. 스니핑은 관찰 가능한 통신을 수집해 내용을 살피는 행위입니다. 스푸핑은 주소나 이름 같은 식별 정보를 위장하여 잘못된 상대나 경로를 믿게 하는 행위입니다. 각각 관찰, 내용 노출, 신뢰의 문제이므로 대응도 같은 도구 하나로 모두 끝나지는 않습니다.

포트 스캔은 특정 포트에 대한 연결이나 응답의 차이를 봅니다. 취약점 스캔은 여기서 더 나아가 버전·구성·특정 동작을 알려진 취약점 조건과 비교할 수 있습니다. 열린 서비스가 모두 취약한 것은 아니며 검사 결과도 오탐과 누락을 가질 수 있습니다. 외부에 필요한 서비스만 노출하고 관리 경로를 제한하며, 반복된 탐색을 로그로 관찰하는 것이 기본입니다. 응답을 모두 숨겨 탐색만 어렵게 만드는 방법은 실제 취약한 코드와 권한 문제를 고치는 일을 대신하지 못합니다.

스니핑의 범위는 공격자가 어느 지점에 접근했는지에 달려 있습니다. 공유 매체나 잘못 구성된 미러링, 침해된 단말·라우터를 통해 통신을 볼 수 있습니다. 현대 스위치 환경에서 일반 포트에 연결했을 뿐인데 다른 모든 유니캐스트를 자동으로 볼 수 있는 것은 아닙니다. 반대로 암호화를 적용해도 주소·시각·크기 같은 일부 메타데이터는 보일 수 있고, 통신 양 끝의 프로그램이 침해되면 복호화된 내용이 노출될 수 있습니다. 링크 보호와 응용 계층의 종단 보호가 각각 어느 구간을 보호하는지 확인해야 합니다.

IP 스푸핑은 패킷의 출발지 주소를 거짓으로 넣는 경우입니다. 응답은 그 주소를 향하므로 이것만으로 공격자가 정상적인 양방향 연결을 마음대로 완성하는 것은 아닙니다. 그러나 응답이 필요 없는 공격이나 반사 공격에는 악용될 수 있습니다. 송신 경계에서 실제로 사용할 수 없는 출발지 주소를 걸러 내는 필터링은 위조 트래픽이 나가는 것을 줄입니다. 멀티홈과 비대칭 경로 같은 조건이 있으므로 단순한 경로 가정을 모든 망에 기계적으로 적용하지는 않습니다.

같은 링크의 ARP 스푸핑은 거짓 IP–MAC 대응을 받아들이게 하여 다른 장비로 프레임을 보내게 만들 수 있습니다. DHCP 스누핑은 신뢰할 DHCP 전달 방향과 배정 정보를 관리하는 데 쓰이고, 이를 바탕으로 ARP 정보를 검사하는 Dynamic ARP Inspection 같은 기능이 있습니다. 정적 주소 장비와 예외를 어떻게 검증할지도 구성해야 합니다. 기능을 켰다는 사실만으로 모든 환경의 이웃 위조가 사라지는 것은 아니며, IPv6의 이웃·라우터 광고에는 그에 맞는 통제가 필요합니다.

원격접속 공격은 통신 프로토콜의 취약점뿐 아니라 재사용된 비밀번호, 탈취된 세션이나 관리 토큰, 넓게 열린 관리자 계정을 이용할 수 있습니다. 통신이 암호화되어 있어도 상대가 탈취한 정상 자격으로 들어오면 접근통제의 문제가 남습니다. 승인된 경로, 강한 인증, 단말 상태 확인, 최소 권한과 세션 기록을 연결해야 합니다. 이상 접속을 발견한 뒤의 계정 회수와 단말 조사, 다른 시스템으로의 확산 확인은 방향7에서 더 깊이 다룹니다.

참고　[55] · [56] · [66] · [102] · [103] · [104] · [41]