보안: 공격 측면

컴퓨터/정보처리기사

보안: 공격 측면

수제녹차 2025. 4. 22. 22:06

728x90

서비스 거부(DoS; Denial of Service) 공격

표적이 되는 서버의 자원을 고갈시킬 목적으로 다수의 공격자 또는 시스템에서 대량의 데이터를 한 곳의 서버에 집중적으로 전송함으로써, 표적이 되는 서버의 정상적인 기능을 방해하는 것

주요 서비스 거부 공격의 유형

Ping of Death - 패킷 크기를 크게

SMURFING - 송신 주소를 공격 대상의 IP로 (IP 스푸핑)
SYN Flooding - 서버 동시 가용자 수만큼 SYN 패킷 보내

TearDrop - IP fragment offset 값 조작

LAND Attack - 스스로에게 패킷을 보내 무한히 응답

DDoS 공격 - 여러 대의 공격자

(1) 죽음의 핑 (Ping of Death)

패킷을 원래보다 훨씬 크게 만들어 많은 부하를 일으켜 정상적인 서비스를 막는 공격

이는 시스템을 충돌시키거나 다운시켜 서비스 거부를 초래합니다.

패킷 크기를 인터넷 프로토콜 허용 범위 이상으로 전송하여 공격 대상의 네트워크를 마비시키는 서비스 거부 공격 방법

공격에 사용되는 큰 패킷은 수백 개의 패킷으로 분할되어 전송되는데,

공격 대상은 분할된 대량의 패킷을 수신함으로써 분할되어 전송된 패킷을 재조립 해야 하는 부담과

분할되어 전송된 각각의 패킷들의 ICMP Ping 메시지에 대한 응답을 처리하느라 시스템이 다운되게 된다.

(2) 스머프 (Smurf Attack) - 기출 2024.03회

출발지 주소를 공격 대상의 IP로 설정하여 브로드캐스팅을 통해 네트워크를 마비시키는 공격. 이로 인해 피해자는 네트워크 과부하로 인해 정상적인 서비스를 제공할 수 없게 된다.

IP나 ICMP의 특성을 악용하여 엄청난 양의 데이터를 한 사이트에 집중적으로 보냄으로써 네트워크를 불능 상태로 만드는 공격 방법

공격자는 송신 주소를 공격 대상지의 IP 주소로 위장하고 해당 네트워크 라우터의 브로드캐스트 주소를 수신지로 하여 패킷을 전송하면, 라우터의 브로드캐스트 주소로 수신된 패킷은 해당 네트워크 내의 모든 컴퓨터로 전송된다

해당 네트워크 내의 모든 컴퓨터는 수신된 패킷에 대한 응답 메시지를 송신 주소인 공격 대상지로 집중적으로 전송하게 되는데, 이로 인해 공격 대상지는 네트워크 과부하로 인해 정상적인 서비스를 수행할 수 없게 된다.

공격의 작동 원리

(1) 공격자는 ICMP(Internet Control Message Protocol) Echo Request(네트워크 연결이 가능한지 확인, ping 명령어로 대상 호스트가 살아있는지 확인한다)를 보낸다

(2) 목적지는 네트워크의 브로드캐스트 주소(ex. 192.168.1.255)

(3) 출발지 IP는 피해자의 IP로 위조됨 (IP 스푸핑)

(4) 브로드캐스트 주소를 받은 네트워크 내 모든 호스트가 “응답”을 보내려 한다

(5) 피해자는 수많은 ICMP Echo Reply를 받게 되어 트래픽 폭주, 결국 서비스 거부(DoS) 상태가 된다

IP 스푸핑 (IP Spoofing): 침입자가 인증된 시스템처럼 속여 정보를 빼내 타깃에 전송하는 공격입니다.

이는 출발지 IP 주소를 위조하여 신뢰를 얻습니다.

💡 예제

📌 해커가 대량의 핑 요청을 보내 서버가 다운됨

🛡 방어 방법

✅ 방화벽에서 ICMP 패킷 차단
✅ Ping 응답 제한 설정

(3) SYN 플러딩 (SYN Flooding)

TCP 프로토콜의 구조적 문제를 이용한 공격으로, 서버의 동시 가용 사용자 수를 SYN 패킷을 보내 점유하여 다른 사용자가 서버를 사용 불가능하게 합니다. 이 공격은 서버의 리소스를 고갈시켜 서비스 거부 상태를 초래합니다.

공격자가 가상의 클라이언트로 위장하여 3-way-handshake 과정을 의도적으로 중단시킴으로써 공격 대상지인 서버가 대기 상태에 놓여 정상적인 서비스를 수행하지 못하게 하는 공격 방법

syn 플래그: TCP 통신에서 ‘연결을 시작하자는 요청을 나타내는 신호

대비:SYN 수신 대기 시간을 줄이거나 침입 차단 시스템을 활용한다.

(참고) UDP 플러딩 (UDP Flooding): 대량의 UDP 패킷을 만들어 임의의 포트 번호로 전송해 응답 메시지를 생성하게 함으로써 자원을 고갈시키는 공격입니다. 이는 네트워크 대역폭을 소모하여 정상적인 트래픽을 방해합니다.

(4) TearDrop

데이터의 송수신 과정에서 패킷의 크기가 커 여러 개로 분할되어 전송될 때 분할 순서를 알 수 있도록 Fragment Offset 값을 함께 전송한다.

TearDrop은 이 Offset 값을 변경시켜 수신 측에서 패킷을 재조립할 때 오류로 인한 과부화를 발생시킴으로써 시스템이 다운되도록 하는 공격 방법

IP Fragment Offset 값을 중첩되도록 조작하여 시스템 기능을 마비시키는 공격

이로 인해 시스템은 조각난 패킷을 재조립할 수 없어 충돌을 일으킵니다.

TearpDrop에 대비하기 위해 Fragment Offset 값이 잘못된 경우 해당 패킷을 폐기하도록 설정한다.

(5) LAND Attack (Local Area Network Denial Attack)

Localhost 자신을 공격 대상으로 삼는 DoS 공격

출발지와 목적지의 IP를 동일하게 설정하여 패킷을 보내 가용성을 침해하는 공격입니다. 이로 인해 시스템은 스스로에게 패킷을 보내며 과부하에 빠집니다.

자신에 대해 무한히 응답하게 하는 공격

대비책: 송신 IP 주소와 수신 IP 주소의 적절성을 검사한다

(6) DDoS(Distributed Denial of Service, 분산 서비스 거부) 공격

여러 대의 공격자를 분산 배치하여 동시에 특정 노드에 엄청난 접속과 요청을 보내 공격하는 기법

여러 곳에 분산된 공격 지점에서 한 곳의 서버에 대해 분산 서비스 공격을 수행하는 네트워크 공격 유형

네트워크에서 취약점이 있는 호스트들을 탐색한 후 이들 호스트들에 분산 서비스 공격용 툴을 설치하여 에이전트로 만든 후 공격에 이용한다.

공격의 범위를 확대하기 위해 일부 호스트에 다수의 에이전트를 관리할 수 있는 핸들러 프로그램을 설치하여 마스터로 지정한 후 공격에 이용하기도 한다.

입력 데이터 검증 및 표현

입력 데이터로 인해 발생하는 문제들을 예방하기 위해 구현 단계에서 검증해야 하는 보안 점검 항목

(1) SQL 인젝션 (SQL Injection)

(약술형 기출)

⭐️ 웹 응용 프로그램에 SQL을 삽입하여 내부 데이터베이스 서버의 데이터를 유출 및 변조하고, 관리자 인증을 우회하는 보안 약점

동적 쿼리에 사용되는 입력 데이터에 예약어 및 특수문자가 입력되지 않게 필터링 되도록 설정하여 방지할 수 있음

예제: ' OR '1'='1' -- 같은 입력으로 로그인 우회

SELECT * FROM users WHERE username = '' OR '1'='1' -- ' AND password = 'xxxx';

'1'='1' → 무조건 참(True)이 되는 조건을 생성

-- → 비밀번호 검사 부분을 주석 처리하여 무력화

결국 비밀번호 입력 없이 로그인 성공

⚔️ SQL Injection vs Cross-Site Scripting (XSS)

항목	SQL Injection	Cross-Site Scripting (XSS)
🎯 공격 대상	데이터베이스(DB)	사용자의 웹 브라우저
🧨 공격 목적	DB 조작, 정보 탈취, 인증 우회	쿠키 탈취, 세션 하이재킹, 사용자 속이기
💥 공격 방식	입력값에 SQL 구문 삽입	입력값에 JS(자바스크립트) 삽입
🧠 취약점 위치	서버 측 (DB 쿼리 처리 로직)	클라이언트 측 (HTML 출력 처리)
🛠 예방 방법	PreparedStatement, 입력값 검증	HTML 이스케이프, CSP, 입력 필터링
💻 예시	' OR 1=1 --	<script>alert('XSS')</script>

(2) 크로스사이트 스크립팅(XSS)

웹페이지에 악의적인 스크립트를 삽입하여 방문자들의 정보를 탈취하거나, 비정상적인 기능 수행을 유발하는 보안 약점

예제: <script>alert('해킹됨');</script> 삽입

HTML 태그의 사용을 제한하거나 스크립트에 삽입되지 않도록 ‘<‘,’>’,’&’ 등의 문자를 다른 문자로 치환함으로써 방지할 수 있음

Cross-Site: 다른 사이트로부터, 사이트 간을 넘나드는

공격자가 만든 악성 스크립트가 제3자의 브라우저에서 실행되며, 그 스크립트가 정상적인 웹 사이트의 신뢰를 도용해서 작동하는 방식

cf) CSP (Content Security Policy)

웹 페이지에서 허용된 리소스 출처(origin)만 로드하고 실행되도록 제한하는 보안 정책

허용된 외부 도메인에서만 스크립트 불러오기

이미지, 스타일, 폰트 등도 각각 허용된 출처에서만 사용 가능

세션 하이재킹

세션을 가로채다라는 의미

상호 인증 과정을 거친 후 접속해 있는 서버와 서로 접속되어 클라이언트 사이의 세션 정보를 가로채는 공격 기법

접속을 위한 인증 정보 없이도 가로챈 세션을 이용해 공격자가 원래의 클라이언트인 것처럼 위장하여 서버의 자원이나 데이터를 무단으로 사용함

세션이란

로그인 등 인증을 하면 서버는 세션 ID를 발급함

이 세션 ID는 보통 쿠키에 저장돼서 사용자의 요청마다 함께 전송됨

이 ID만 알면 서버는 그 사용자가 로그인했다고 신뢰함

😈 세션 하이재킹 방법 예시

방법	설명
XSS 이용	악성 스크립트로 쿠키 값(document.cookie) 탈취
네트워크 스니핑	HTTP 요청에서 쿠키 값을 가로채기 (암호화 안 된 경우)
세션 고정(Session Fixation)	미리 세션 ID를 설정해두고 피해자가 그걸 쓰도록 유도
피싱	가짜 로그인 페이지로 유도 후 쿠키 정보 수집

TCP 3-way-Handshake 과정에 끼어듦으로써 클라이언트와 서버 간의 동기화된 시퀀스 번호(TCP 헤더 안에 있는 필드 중 하나, TCP 통신에서 데이터의 순서와 무결성을 보장하기 위해 사용하는 번호, 송신자가 보내는 데이터의 시작 위치)를 가로채 서버에 무단으로 접근하는 TCP 세션 하이재킹이 대표적이다

🔥 TCP 세션 하이재킹의 흐름

클라이언트와 서버가 연결을 시작함
공격자는 중간에 통신 내용을 스니핑해서 시퀀스 번호를 알아냄
공격자는 클라이언트처럼 위조된 패킷을 서버로 전송
서버는 클라이언트인 줄 알고 응답함
클라이언트는 자기가 아닌 누군가가 세션을 사용하는 걸 인지하지 못함
공격자는 이제 정상 사용자처럼 명령 전송 가능!

정상적인 연결을 RST 패킷을 통해 종료시킨 후 재연결 시 희생자가 아닌 공격자에게 연결하는 공격 기법

TCP 세션 하이재킹은 공격자가 TCP 3-way-Handshake 과정에 끼어듦으로써 서버와 상호 간의 동기화된 시퀀스 번호를 갖고 인가되지 않은 시스템의 기능을 이용하거나 중요한 정보에 접근할 수 있게 된다

(3) 경로 조작 및 자원 삽입

데이터 입출력 경로를 조작하여 서버 자원을 수정, 삭제할 수 있는 보안 약점

사용자 입력값을 식별자로 사용하는 경우, 경로 순회 공격을 막는 필터를 사용하여 방지할 수 있음

(4) 운영체제 명령어 삽입

외부 입력값을 통해 시스템 명령어의 실행을 유도함으로써 권한을 탈취하거나 시스템 장애를 유발하는 보안 약점

웹 인터페이스를 통해 시스템 명령어가 전달되지 않도록 하고,

외부 입력값을 검증 없이 내부 명령어로 사용하지 않음으로써 방지할 수 있음

(5) 위험한 형식 파일 업로드

악의적인 명령어가 포함된 스크립트 파일을 업로드함으로써 시스템에 손상을 주거나, 시스템을 제어할 수 있는 보안 약점

업로드 되는 파일의 확장자 제한, 파일명의 암호화, 웹사이트와 파일 서버의 경로 분리, 실행 속성을 제거하는 등의 방법으로 방지할 수 있다

(6) 신뢰되지 않는 URL 주소로 자동 접속 연결

입력 값으로 사이트 주소를 받는 경우 이를 조작하여 방문자를 피싱 사이트로 유도하는 보안 약점

연결되는 외부 사이트의 주소를 화이트 리스트로 관리함으로써 방지할 수 있음

(7) 메모리 버퍼 오버플로우

연속된 메모리 공간을 사용하는 프로그램에서 할당된 메모리의 범위를 넘어선 위치에서 자료를 읽거나 쓰려고 할 때 발생하는 보안 약점

메모리 버퍼를 사용할 경우 적절한 버퍼의 크기를 설정하고,

설정된 범위의 메모리 내에서 올바르게 읽거나 쓸 수 있도록 함으로써 방지할 수 있음

특징: 버퍼 크기를 초과하는 데이터를 입력하여 메모리 조작 → 악성 코드 실행
예제: 스택 오버플로우 공격 (RET 주소 덮어쓰기)

RET 주소 = Return Address

함수 호출이 끝나면, 원래 돌아갈 코드 위치

스택에 저장한다.

함수가 끝날 때 이 주소로 점프해서 원래 프로그램 흐름으로 돌아간다

버퍼 오버플로우 공격으로 RET 주소를 덮어쓰고,

함수가 끝났을 때 공격자가 원하는 위치로 실행흐름이 바뀔 수 있다.

⑤ 크로스 사이트 요청 위조 (CSRF, Cross-Site Request Forgery)

사용자가 인증된 상태인 걸 악용해서, 사용자의 의지와 무관한 요청을 자동으로 서버에 보내는 공격

특징: 사용자가 모르는 사이에 위조된 요청을 전송하여 계정 탈취, 송금 등 수행
예제: 로그인한 사용자가 악성 링크를 클릭하면 자동으로 계좌이체 실행

🧠 공격 예시 시나리오

사용자가 은행 사이트에 로그인 함 (세션이 유지되고 있음)
공격자가 만든 악성 웹페이지(또는 이메일)를 클릭함
그 페이지에 이런 코드가 숨어 있음:

이 이미지 태그가 자동으로 요청을 보냄
사용자의 세션 쿠키가 포함되어 전송됨
서버는 그 사용자가 보낸 요청이라고 착각하고 실행함!

중요도	용어	설명
1️⃣	Phishing (피싱)	가짜 이메일, 문자 등을 이용해 개인정보(계좌번호, 비밀번호 등)를 탈취하는 공격
2️⃣	Ransomware (랜섬웨어)	감염된 컴퓨터의 파일을 암호화한 뒤, 이를 풀어주는 대가로 금전을 요구하는 악성코드
3️⃣	Pharming (파밍)	악성 코드로 사용자의 DNS를 변조해 가짜 웹사이트로 유도한 후 개인정보를 훔치는 공격
4️⃣	Drive-by Download	사용자가 악성 코드가 숨겨진 웹사이트에 접속하는 것만으로도 자동으로 감염되는 공격
5️⃣	Sniffing (스니핑)	네트워크 트래픽을 가로채 패스워드, 계정 정보 등을 탈취하는 공격, 네트워크의 중간에서 남의 패킷 정보를 도청하는 해킹 유형의 하나
6️⃣	Watering Hole Attack	특정 조직이나 집단이 자주 방문하는 웹사이트를 해킹하여 악성 코드 감염을 유도하는 공격
7️⃣	Business Scam (비즈니스 이메일 사기, BEC)	기업을 대상으로 하는 이메일 피싱 공격 (CEO 사칭, 송금 요청 등)
8️⃣	Cyber Kill Chain (사이버 킬 체인)	사이버 공격을 7단계로 분석하여 방어 전략을 수립하는 모델

1️⃣ Phishing (피싱) – 🔥 가장 자주 나오는 개념!

💡 가짜 이메일, 문자(SMS), 웹사이트 등을 이용해 개인정보(비밀번호, 금융정보)를 빼내는 공격 기법

이메일 피싱: 은행, 페이팔, 기업을 사칭한 가짜 이메일
문자(SMS) 피싱: 택배, 정부 기관 사칭 문자로 악성 링크 유도
전화 피싱(보이스 피싱): 금융기관 사칭 전화

🔍 피싱(Phishing)과 스푸핑(Spoofing)의 차이

항목	피싱 (Phishing)	스푸핑 (Spoofing)
뜻	‘낚시질’처럼 사용자를 속여서 정보를 빼내는 공격	‘위장’해서 신뢰받는 존재인 척하는 공격
공격 대상	사람(사용자)	시스템 또는 네트워크
목적	비밀번호, 카드번호, 인증정보 탈취	시스템 속이기, 인증 우회, 트래픽 가로채기
예시	가짜 로그인 페이지, 사기 메일 링크	IP 스푸핑, 이메일 스푸핑, ARP 스푸핑
방식	심리적 속임수 (사회공학)	기술적 위장 (프로토콜 조작 등)

2️⃣ Ransomware (랜섬웨어) – 최근 가장 위협적인 공격!

💡 컴퓨터에 침투한 후 파일을 암호화하고, 이를 풀어주는 대가로 금전을 요구하는 악성코드

대부분 이메일 첨부파일 실행, 악성 웹사이트 방문 등을 통해 감염됨
최근 기업, 병원, 공공기관을 대상으로 한 공격 증가

3️⃣ Pharming (파밍) – DNS 변조 공격!

💡 DNS 설정을 조작해 사용자를 가짜 웹사이트로 유도하여 개인정보를 탈취하는 공격

피싱과 유사하지만, DNS 변조를 통해 사용자가 직접 입력한 정상적인 URL로 접속해도 가짜 사이트가 뜸!

=> DNS 스푸핑도 이용되는 듯?

**Pharming(파밍)**이라는 용어는 **“Phishing(피싱) + Farming(농사)”**의 합성어입니다.

왜 “Pharming”인가?

• Phishing(피싱): 사용자를 속여 가짜 사이트로 유도하는 방식

• Farming(농사): 한 번 설정하면 지속적으로 결과(개인정보)를 얻는다는 개념

즉, 사용자가 악성 코드나 DNS 변조로 인해 가짜 사이트에 자동으로 접속하게 만들고, 지속적으로 개인정보를 탈취하는 방식이기 때문에 Phishing + Farming = Pharming이라는 이름이 붙음.

4️⃣ Drive-by Download – 방문만 해도 감염되는 공격!

💡 악성 코드가 숨겨진 웹사이트에 접속하는 것만으로도 자동 감염되는 공격

사용자가 아무것도 다운로드하지 않아도 백그라운드에서 악성코드가 실행됨
보통 광고 네트워크, 해킹된 사이트에 악성코드 삽입 후 감염 유도

🔥 "Drive-by Download" 용어 분석

Drive-by → "지나가다가", "멈추지 않고 이동하면서"
Download → "파일을 내려받다"

5️⃣ Sniffing (스니핑) – 네트워크 도청!

네트워크의 중간에서 남의 패킷 정보를 도청하는 해킹 유형의 하나로 수동적 공격에 해당한다.

💡 네트워크에서 주고받는 데이터를 가로채 계정 정보, 패스워드 등을 탈취하는 공격

주로 공개된 Wi-Fi, 공유 네트워크에서 발생
해결 방법: VPN 사용, HTTPS 사이트 이용

6️⃣ Watering Hole Attack – 특정 집단을 노리는 공격!

💡 특정 조직(회사, 연구소 등)이 자주 방문하는 웹사이트를 감염시켜 표적 공격을 수행

APT(지능형 지속 공격)의 일종
정부 기관, 연구소, 기업 등을 대상으로 많이 사용됨

사자가 동물을 잡으려고 물 웅덩이(watering hole)를 노린다는 자연 생태에서 따온 비유

공격자는 특정 대상(기업, 조직)을 바로 공격하지 않고,

그들이 자주 방문하는 웹사이트나 서버에 악성코드를 심어둠

피해자가 그 사이트를 방문하면 감염된다.

7️⃣ Business Scam (비즈니스 이메일 사기, BEC)

💡 기업 내 고위 간부(CEO, CFO)를 사칭해 직원에게 금전 이체를 요청하는 공격

공격자는 기업 내 이메일 계정을 해킹하거나 유사한 이메일 주소를 사용
CEO Fraud(CEO 사칭 사기) 라고도 불림

이메일 스푸핑을 활용한 비즈니스 스캠 가능

스캠은 기술적 해킹일 수도 있고, 단순 거짓말일 수도 있다

8️⃣ Cyber Kill Chain – 공격 단계 분석 모델!

💡 사이버 공격을 7단계로 분석하여 방어 전략을 세우는 모델

미국 Lockheed Martin사가 개발한 보안 프레임워크
공격자의 행위를 분석하여 사전 차단 및 방어 가능

✅ 7단계 공격 과정

정찰(Reconnaissance) – 대상 탐색
무기화(Weaponization) – 악성코드 제작
전달(Delivery) – 이메일, 웹사이트 통해 악성코드 전달
악용(Exploitation) – 취약점 공격
설치(Installation) – 백도어 설치
명령 및 제어(Command & Control) – 공격자가 원격 조종
목표 실행(Actions on Objectives) – 데이터 유출, 시스템 파괴

다크 데이터

특정 목적을 가지고 데이터를 수집하였으나, 이후 활용되지 않고 저장만 되어있는 대량의 데이터

미래에 사용될 가능성을 고려하여 저장 공간에서 삭제되지 않고 보관되어 있으나,

이는 저장 공간의 낭비뿐만 아니라 보안 위험을 초래할 수도 있다

TrustZone

칩 설계 회사인 ARM(ADVANCED RISC MACHINE)에서 제공하는 하드웨어 기반 보안 기술

CPU를 신뢰 영역(보안 모드)과 일반 영역(비보안 모드)으로 분리하여 동작

주요 데이터(암호화 키, 인증 정보 등)를 보안 영역에서 보호

스마트폰, IoT 기기, 금융 보안 등에 사용됨

RST 패킷 (TCP Reset Packet)

RST(Reset) 패킷은 TCP 연결을 강제로 종료할 때 사용되는 패킷

TCP 통신에서 예기치 않은 오류가 발생하거나, 비정상적인 연결 요청이 들어왔을 때 사용됩니다.

Typosquatting이란? (타이포스쿼팅)

네티즌들이 사이트에 접속할 때 주소를 잘못 입력하거나 철자를 빠뜨리는 실수를 이용하기 위해 이와 유사한 유명 도메인을 미리 등록하는 것으로 URL 하이재킹이라고도 한다.

유명 사이트들의 도메인을 입력할 때 발생할 수 있는 온갖 도메인 이름을 미리 선점해 놓고 이용자가 모르는 사이에 광고 사이트로 이동하게 만든다

사용자가 실수로 잘못 입력할 가능성이 있는 도메인을 악용하는 사이버 공격 기법
"도메인 스쿼팅(Domain Squatting)"의 한 유형
예를 들어, 사용자가 "google.com"을 입력하려다 실수로 "gooogle.com" 을 입력하면, 공격자가 만든 가짜 사이트에 접속하게 됨

1️⃣ 악성 코드 (Malware)

멀웨어: 악의적인 목적을 가진 소프트웨어를 통칭하는 용어

① 바이러스 (Virus)

특징: 실행 가능한 파일(.exe, .dll 등)에 기생하여 자기 복제하며 시스템 감염
정상 파일을 감염시키며, 자기 복제가 가능하다. 파일을 통해 감염되며 네트워크를 통해 스스로 전파되지는 못한다.
예제: 실행하면 감염되는 파일 바이러스, 특정 조건에서 활성화되는 논리 폭탄 등

논리 폭탄(Logic Bomb)

특정 조건(날짜, 파일 실행 등)이 충족되면 악성 코드가 실행되는 공격 기법

평소에는 숨어 있다가 특정 이벤트 발생 시 활성화된다.

내부 직원이 보복성으로 시스템에 심는 경우가 많다.

② 웜 (Worm)

특징: 바이러스와 달리 파일 없이 스스로 복제하여 네트워크 전파
예제: 블래스터 웜(Windows 취약점 공격), 코드 레드(Code Red)

네트워크 대역폭을 소모하고 시스템을 감염시킨다

③ 트로이 목마 (Trojan Horse)

특징: 정상 프로그램처럼 위장하여 설치된 후 백도어 등 악성 행위 수행
예제: 게임, 유틸리티 프로그램으로 위장한 악성 프로그램

④ 스파이웨어 (Spyware)

특징: 사용자 동의 없이 개인정보(키 입력, 웹 활동 등)를 수집
예제: 키로거(Keylogger), 애드웨어(광고 수집 목적)

⑤ 랜섬웨어 (Ransomware)

특징: 파일을 암호화한 뒤 복호화 키를 대가로 금전을 요구
예제: 워너크라이(WannaCry), 록키(Locky)

2️⃣ 루트킷 (Rootkit) ⭐️

특징: 운영체제의 핵심(Kernel, 드라이버)에 숨어 탐지 회피 + 백도어 설치
시스템 관리자 권한으로 동작하면서 자기 자신 또는 다른 악성 행위를 숨기는 악성코드
예제: 소니 BMG Rootkit(불법 복제 방지 프로그램에 포함), 싱가포르 APT 공격

📌 가장 위험한 유형 중 하나! 루트킷이 감염되면 시스템을 포맷하지 않는 한 복구가 어렵고, 일반 백신으로 탐지하기도 어려움.

❓ 탐지하기 어려운 이유는?

이유	설명
🔧 커널 레벨에서 동작	일반적인 백신이나 보안 툴이 접근하지 못하는 운영체제 핵심(Kernel Mode)에 설치됨
🫥 은폐 기술 사용	프로세스, 파일, 네트워크 포트 등을 숨기거나 위조함
🔄 시스템 호출 가로채기	read(), open(), ps 같은 시스템 콜을 후킹(프로그램의 실행 흐름이나 함수 호출 과정을 중간에서 가로채서, 원래 동작 대신 다른 동작을 수행하도록 바꾸는 기술, 몰래 바꿔치기)해서 정상처럼 보이게 조작
🛡️ 권한 상승	루트 권한을 얻은 뒤, 자기 삭제/변조 방지
🪤 보안 소프트웨어 무력화	백신/방화벽 등을 비활성화 또는 우회함

🎯 루트킷에서의 후킹 활용 예

시스템 함수	후킹 효과
ps 명령	자기 프로세스를 리스트에서 숨김
read() 함수	다른 파일 내용을 보여주는 듯 위장
open()	정상 파일 대신 악성 파일 열기

시스템에 침입한 후 침입 사실을 숨긴 채 백도어, 트로이 목마를 설치하고, 원격 접근, 내부 사용 흔적 삭제, 관리자 권한 획득 등 주로 불법적인 해킹에 사용되는 기능들을 제공하는 프로그램들의 모음

자신 또는 다른 소프트웨어의 존재를 감춰줌과 동시에 허가되지 않은 컴퓨터나 소프트웨어의 영역에 접근할 수 있게 하는 용도로 설계되었다

이 프로그램이 설치되면 자신이 뚫고 들어온 모든 경로를 바꾸어 놓고, 명령어들을 은폐해 놓기 때문에 해커가 시스템을 원격에서 해킹하고 있어도 이 프로그램이 설치되어 있는 사실 조차 감지하기 어렵다.

공격자가 보안 관리자나 보안 시스템의 탐지를 피하면서 시스템을 제어하기 위해 설치하는 악성 프로그램으로, 운영체제의 합법적인 명령어를 해킹하여 모아놓았다.

운영체제의 실행 파일과 실행 중인 프로세스를 숨김으로써 운영체제 검사 및 백신 프로그램의 탐지를 피할 수 있다.

커널

운영체제의 핵심이자 가장 기본적인 부분

하드웨어와 소프트웨어를 중재하고 시스템 자원을 관리하는 역할을 한다

컴퓨터의 심장 같은 역할

모든 앱과 프로그램은 커널을 거쳐서 하드웨어 자원을 사용한다

역할

프로세스 관리, 메모리 관리, 파일 시스템 관리, 장치 제어, 시스템 호출 인터페이스(용용 프로그램이 커널 기능을 요청할 수 있게 한다)

커널이 담당하는 자원은? 👉 CPU, 메모리, 입출력 장치 등

커널과 사용자 모드의 차이는? 👉 권한, 실행 코드 범위 차이

시스템 콜이란? 👉 프로그램이 커널 기능을 요청하는 방식

3️⃣ 시스템 공격 기법

① 백도어 (Backdoor)

시스템 설계자나 서비스 기술자나 유지 보수 프로그램 작성자의 액세스 편의를 위해 시스템 보안을 제거하여 만들어놓은 비밀 통로

컴퓨터 범죄에 악용되기도 한다

특징: 해커가 몰래 침입할 수 있도록 만든 비밀 통로
예제: 취약한 원격 데스크톱(RDP) 설정, 루트킷을 이용한 백도어 설치

백도어 탐지 방법: 무결성 검사, 열린 포트 확인, 로그 분석, SetUID 파일 검사 등

4️⃣ 네트워크 공격

① DoS/DDoS (서비스 거부 공격)

특징: 서버에 과부하를 발생시켜 정상적인 서비스 방해
예제: HTTP GET 폭주, 봇넷을 이용한 대량 트래픽 전송

② 피싱 (Phishing)

특징: 정상적인 웹사이트를 위장하여 개인정보(로그인 정보, 카드 정보) 탈취
예제: 은행 사이트로 위장한 피싱 이메일

③ 스니핑 (Sniffing)

특징: 네트워크에서 주고받는 데이터를 몰래 훔쳐보는 공격
예제: 패킷 분석기(Wireshark)로 로그인 정보 탈취

④ 스푸핑 (Spoofing)

특징: 공격자가 신뢰할 수 있는 존재로 위장하여 피해자를 속임
종류:

1. IP 스푸핑 (IP Spoofing)

• 공격자가 자신의 IP 주소를 신뢰할 수 있는 IP 주소로 위장하여 공격하는 기법.

• 주로 신뢰 기반 인증 방식을 사용하는 시스템에서 악용됨.

• 공격자가 가짜 IP를 사용하여 대상 시스템과의 신뢰 관계를 속이고, **세션 하이재킹(Session Hijacking)**이나 DDoS 공격 등에 활용됨.

• 예제:

• 공격자가 A 서버의 IP를 B 서버로 속여 B 서버를 공격.

• TCP/IP 프로토콜의 특성을 이용하여 3-way 핸드셰이크 과정에서 위장된 패킷을 전송.

2. DNS 스푸핑 (DNS Spoofing, DNS Cache Poisoning)

가짜 DNS 응답을 보내 사용자를 피싱 사이트로 유도

DNS(Domain Name System): 도메인 이름을 IP 주소로 변환한다

사용자가 요청한 DNS 응답을 가로채서 가짜 IP 주소를 반환한다

• DNS 서버 또는 클라이언트의 DNS 캐시를 변조하여 잘못된 IP 주소를 응답하도록 만드는 공격 기법.

• 사용자가 정상적인 웹사이트에 접속하려고 할 때 공격자가 지정한 악성 사이트로 리다이렉트할 수 있음.

• 주요 공격 방법:

• DNS 캐시 포이즈닝(Cache Poisoning):

• 공격자가 가짜 DNS 응답을 주입하여 DNS 서버가 악성 IP 주소를 저장하도록 만듦.

• MITM(중간자 공격, Man-in-the-Middle):

• DNS 요청을 가로채고 응답을 변조하여 사용자를 악성 서버로 유도.

• 예제:

• 사용자가 www.bank.com에 접속하면 원래 IP 주소가 192.168.1.1이어야 하지만, 공격자가 조작하여 192.168.1.100(악성 서버)로 접속되도록 유도.

방어 방법

정보처리기사 실기에서 "DNS 스푸핑 방어 방법"이 출제될 수 있으니, DNSSEC, HTTPS, Google DNS 같은 키워드를 기억

✅ 1) DNSSEC(DNS Security Extensions) 사용

DNS 응답을 암호화하고 인증서로 검증하여 조작 방지

✅ 2) HTTPS(SSL/TLS) 사용

**정상 사이트는 HTTPS(🔒 자물쇠 표시)**가 적용됨
가짜 사이트는 보통 HTTPS 인증서가 없음 → 의심해야 함!

✅ 3) 신뢰할 수 있는 DNS 서버 사용 (예: Google DNS, Cloudflare DNS)

Google Public DNS(8.8.8.8, 8.8.4.4) 사용 추천

✅ 4) 패킷 스니핑 탐지 및 방화벽 설정

네트워크에서 의심스러운 DNS 트래픽 감지하여 차단

✅ 5) 정기적인 DNS 캐시 삭제 (ipconfig /flushdns)

DNS 캐시를 지우면 공격자가 심은 가짜 정보 제거 가능

3. ARP 스푸핑 (ARP Spoofing, ARP Poisoning)

• ARP(Address Resolution Protocol) 프로토콜의 취약점을 악용하여 네트워크에서 공격자의 MAC 주소를 다른 장치의 MAC 주소로 속이는 공격.

• LAN 환경에서 공격자가 중간자(MITM, Man-in-the-Middle) 공격을 수행할 때 자주 사용됨.

• 주요 특징:

• 공격자는 특정 호스트(예: 게이트웨이)의 MAC 주소를 자신의 MAC 주소로 위조하여 패킷을 가로챌 수 있음.

• 스니핑(패킷 도청), 데이터 변조, 세션 하이재킹 등이 가능함.

• 예제:

• 공격자가 PC와 공유기 사이에 위치하여, PC가 공유기로 보내는 모든 패킷을 가로채고 수정한 뒤 다시 공유기로 전달.

IP 스푸핑 방지 → 패킷 필터링,

DNS 스푸핑 방지 → DNSSEC,

ARP 스푸핑 방지 → 정적 ARP 설정 등

📌 정리: 가장 중요한 보안 위협 TOP 5

악성코드(랜섬웨어, 웜, 트로이 목마 등)
루트킷 (Rootkit)
백도어 & 버퍼 오버플로우
SQL 인젝션 & XSS
DDoS & 피싱

루트킷은 한 번 감염되면 탐지도 어렵고 백도어 설치로 이어질 가능성이 높아서 가장 위험한 보안 위협 중 하나야. 실기 시험에서도 출제 가능성이 높으니 꼭 기억해둬! 🚀

Bootkit

컴퓨터 부팅 과정에서 운영체제가 로드되기 전에 실행되는 악성 코드

운영체제보다 먼저 실행되므로 백신이 탐지하기 어렵다

MBR(Master Boot Record) 또는 UEFI 영역을 감염시킨다

UEFI Secure Boot 활성화 (부트 과정 보호)

신뢰할 수 없는 USB, 외부 저장장치 사용 제한

정기적으로 부트 영역 검사

⭐️APT (Advanced Persistent Threat, 지능형 지속 공격)

오랜 기간 동안 조직을 타겟으로 지속적인 해킹 공격

다양한 IT 기술과 방식들을 이용해 조직적으로 특정 기업이나 조직 네트워크에 침투해 활동 거점을 마련한 뒤

때를 기다리면서 보안을 무력화시키고 정보를 수집한 다음 외부로 빼돌리는 형태의 공격

일반적으로 공격은 침투, 검색, 수집, 유출의 4단계로 실행된다

(1) 침투(Infiltration): 목표로 하는 시스템을 악성코드로 감염시켜 네트워크에 침투한다

(2) 검색(Exploration): 시스템에 대한 정보를 수집하고 기밀 데이터를 검색한다

(3) 수집(Collection): 보호되지 않은 시스템의 데이터를 수집하고, 시스템 운영을 방해하는 악성코드를 설치한다

(4) 유출(Exfiltration): 수집한 데이터를 외부로 유출한다.

특정 기업, 정부 기관 등을 목표로 스피어 피싱(특정인을 노린 피싱), 제로데이 공격 활용

예.

📌 국가기관 해커가 기업의 시스템에 백도어를 설치하고 장기간 정보 유출

🛡 방어 방법

✅ 이상 행위 탐지 시스템(EDR, XDR) 사용
✅ 정기적인 보안 패치 적용
✅ 스피어 피싱 차단 (출처 불명의 이메일, 첨부파일 확인)

스피어피싱 (Spear Phishing)

특정 대상을 선정하여 일반적인 이메일로 위장한 메일을 보내서 개인정보를 탈취하는 공격입니다. 이는 개인화된 메시지를 사용하여 신뢰를 얻고, 사용자로 하여금 악성 링크를 클릭하게 만듭니다

제로데이 공격 (Zero-Day Attack)

보안 취약점이 공표되기 전에 이를 악용하여 이루어지는 보안 공격입니다. 취약점에 대한 패치가 없기 때문에 매우 위험합니다.

취약점이 공개되자마자 (혹은 공개되기 전에) 공격이 발생해서,

방어할 날짜가 0일밖에 없다는 의미

보안 담당자나 사용자 입장에서 패치할 시간도 없이 당하는 공격이라는 뜻

EDR (Endpoint detection and Response)

엔드포인트(PC, 서버 등)에서 발생하는 이상 행위를 탐지하고 대응하는 보안 솔루션

개별 디바이스 보안의 감시자이자 방어자

XDR (Extended Detection and Response)

✅ 개념

여러 보안 영역(엔드포인트, 네트워크, 이메일, 클라우드 등)을 통합적으로 탐지하고 대응하는 보안 플랫폼
네트워크, 엔드포인트, 이메일 등 여러 보안 데이터를 통합하여 보안 위협을 감지하는 보안 솔루션
기존 EDR(Endpoint Detection and Response)보다 더 넓은 범위를 보호

📌 회사 네트워크에서 이상한 데이터 유출 감지 → 자동으로 대응하여 차단

🛡 방어 방법

✅ XDR 솔루션 도입 (예: Microsoft Defender XDR, Palo Alto Cortex XDR)
✅ 보안 로그 모니터링 강화
✅ 자동화된 위협 탐지 시스템 구축

MITM (Man-In-The-Middle, 중간자 공격)

공격자가 클라이언트와 서버 간 통신을 가로 채 조작하는 공격 기법

신뢰할 수 있는 통신처럼 보이지만 실제로는 공격자가 중간에서 감청, 데이터 변조 가능

📌 사용자가 은행 사이트에 접속 → 공격자가 네트워크를 가로채 계좌번호, 비밀번호 탈취

🛡 방어 방법

✅ HTTPS(SSL/TLS) 적용 → 암호화된 통신 사용
✅ 공개 Wi-Fi에서 VPN 사용 → 네트워크 보안 강화
✅ 공인된 인증서 확인 → 가짜 인증서 탐지

⭐️사회 공학 기법 (Social Engineering)

✅ 개념

사람의 심리를 이용하여 패스워드, 금융정보 등을 속여서 탈취하는 공격 기법
IT 시스템이 아니라 사람을 타겟으로 한 공격

💡 예제

📌 공격자가 전화로 "IT 부서입니다, 비밀번호를 알려주세요"라고 속여서 정보를 탈취

🛡 방어 방법

✅ 직원 대상 보안 교육 진행
✅ 개인정보 요청 시 공식적인 절차 요구
✅ 비밀번호 공유 금지

Key Logger Attack (키로거 공격)

✅ 개념

키보드 입력을 몰래 기록하여 비밀번호, 금융 정보 등을 탈취
하드웨어 키로거(물리적 장치)와 소프트웨어 키로거(악성코드 형태) 존재

💡 예제

📌 키로거가 설치된 PC에서 인터넷 뱅킹 접속 시 아이디/비밀번호가 유출됨

🛡 방어 방법

✅ 가상 키보드 사용 → 물리적 입력을 차단
✅ 백신 및 안티스파이웨어 설치
✅ 보안 프로그램을 최신 상태로 유지

ATM Skimming (ATM 스키밍)

✅ 개념

ATM 기기에 카드 정보를 훔치는 장치를 설치하여 금융 정보를 탈취하는 공격
카드 리더기와 위조된 키패드를 사용하여 PIN 번호까지 유출 가능

💡 예제

📌 공격자가 ATM 카드 삽입구에 스키머 장치를 부착하여 카드 정보를 저장

🛡 방어 방법

✅ ATM에서 카드 삽입구, 키패드 확인 (이상한 장치 확인)
✅ IC칩 카드 사용 (자기 띠보다 보안 강화됨)
✅ ATM 사용 후 거래 내역 확인

봉크 / 보잉크 (Bonk/Boink Attack): 오류 제어를 이용한 공격으로, 패킷 재전송과 재조립 과정에서 과부하를 발생시킵니다. 이는 시스템의 리소스를 소모하여 정상적인 서비스를 방해합니다.

스미싱 (Smishing): SMS와 피싱의 합성어로, 문자 메시지를 통해 악성 링크나 전화를 유도하여 개인정보를 탈취하는 공격입니다. 이는 휴대전화 사용자의 경계를 허물어 악성 소프트웨어를 설치하게 합니다.
큐싱 (Qshing): QR 코드와 피싱의 합성어로, QR 코드를 통해 악성 웹사이트로 유도하여 개인정보를 탈취하는 공격입니다. 사용자는 QR 코드를 스캔하여 악성 사이트에 접속하게 됩니다.
봇넷 (Botnet): 악성 프로그램에 감염된 다수의 컴퓨터들이 네트워크로 연결된 상태를 의미합니다. 공격자는 이를 통해 분산 서비스 거부(DDoS) 공격이나 스팸 메일 발송 등의 악성 활동을 수행합니다.
APT 공격 (Advanced Persistent Threat Attack): 특정 타깃을 목표로 다양한 수단을 사용하여 지속적이고 지능적인 맞춤형 공격을 수행합니다. 이는 장기간에 걸쳐 민감한 정보를 수집하고 탈취합니다.
공급망 공격 (Supply Chain Attack): 소프트웨어 개발사의 네트워크에 침투하여 악의적 코드를 삽입해 사용자가 소프트웨어를 설치하거나 업데이트할 때 자동적으로 감염되도록 하는 공격입니다. 이는 신뢰된 소프트웨어 배포 경로를 악용합니다.

악성 봇 (Malicious Bot): 자동화된 작업을 수행하는 악성 소프트웨어로, 봇넷의 일부로 작동할 수 있습니다. 이는 스팸 발송, 정보 수집, DDoS 공격 등 다양한 악의적인 목적에 사용됩니다.
사이버 킬체인 (Cyber Kill Chain): 사이버 공격의 단계를 체계적으로 분석한 모델로, 공격자들의 전술을 이해하고 방어 전략을 수립하는 데 사용됩니다. 이는 탐지, 방어, 대응의 각 단계에서 활용됩니다.
랜섬웨어 (Ransomware): 악성 코드의 한 종류로, 감염된 시스템 파일들을 암호화하여 인질처럼 잡고 몸값을 요구하는 공격입니다. 피해자가 몸값을 지불하지 않으면 파일을 복구할 수 없습니다.
스니핑 (Sniffing): 직접 공격을 가하지 않고 네트워크 상의 데이터를 몰래 들여다보는 수동적 공격기법입니다. 이를 통해 민감한 정보를 탈취할 수 있습니다.
네트워크 스니퍼 (Network Sniffer): 네트워크 트래픽을 분석하여 구성 요소의 취약점을 파악하는 공격 도구입니다. 이는 데이터 패킷을 캡처하고 분석하는 데 사용됩니다.
패스워드 크래킹 (Password Cracking): 암호를 해독하여 불법적으로 접근하는 공격 기법입니다. 다양한 방법을 사용하여 암호를 알아냅니다.
사전 크래킹 (Dictionary Cracking): ID와 패스워드가 될 가능성이 있는 단어를 파일로 만들어 대입하며 암호를 크랙하는 방법입니다. 이는 미리 준비된 단어 리스트를 사용합니다.
무차별 크래킹 (Brute Force Cracking): 무작위로 모든 가능한 패스워드를 시도하여 알아내는 공격입니다. 시간이 오래 걸리지만 가장 확실한 방법입니다.
패스워드 하이브리드 공격 (Password Hybrid Attack): 사전 공격과 무차별 공격을 결합하여 암호를 해독하는 방법입니다. 이는 사전 단어에 다양한 변형을 적용합니다.
레인보우 테이블 공격 (Rainbow Table Attack): 패스워드 별로 해시 값을 만들어 테이블에 모아 두고 크래킹하고자 하는 해시 값을 테이블에서 검색하여 역으로 패스워드를 찾는 공격기법입니다. 이는 해시 값을 미리 계산하여 빠르게 암호를 해독합니다.

ARP 스푸핑 (ARP Spoofing): 공격자가 특정 호스트의 MAC 주소를 자신의 주소로 위조한 ARP Reply를 만들어 희생자에게 지속적으로 전송하여 스니핑하는 공격 기법입니다. 이는 로컬 네트워크에서 패킷을 가로챕니다.
ICMP Redirect 공격 (ICMP Redirect Attack): 네트워크의 3계층에서 스니핑 시스템을 네트워크의 다른 라우터로 인식하게 하여 패킷의 흐름을 바꾸는 공격 기법입니다. 이는 라우팅 테이블을 조작합니다.
트로이 목마 (Trojan Horse): 악성 루틴이 숨어 있는 프로그램을 정상적인 프로그램처럼 보이게 하는 공격입니다. 사용자가 이를 실행하면 악성 코드가 작동합니다.
중간자 공격 (Man-in-the-Middle Attack): 공격자가 통신하는 두 당사자 사이에 몰래 끼어들어 정보를 도청하거나 조작하는 공격입니다. 이를 통해 공격자는 민감한 정보를 탈취하거나 변조할 수 있습니다.
SQL 인젝션 (SQL Injection): 공격자가 웹 애플리케이션의 입력 필드에 SQL 명령어를 삽입하여 데이터베이스를 조작하는 공격입니다. 이를 통해 공격자는 데이터베이스에서 민감한 정보를 탈취하거나 데이터 손상을 초래할 수 있습니다.
크로스 사이트 스크립팅 (XSS, Cross-Site Scripting): 공격자가 웹 페이지에 악성 스크립트를 삽입하여 다른 사용자가 해당 페이지를 열 때 실행되도록 하는 공격입니다. 이는 사용자의 세션 정보를 탈취하거나 피싱 공격을 수행하는 데 사용될 수 있습니다.
크로스 사이트 요청 위조 (CSRF, Cross-Site Request Forgery): 공격자가 사용자의 권한을 도용하여 원하지 않는 행동을 수행하도록 만드는 공격입니다. 사용자가 공격자가 만든 웹 페이지를 방문하면, 해당 페이지는 사용자의 세션을 이용해 요청을 보냅니다.
디렉토리 트래버설 (Directory Traversal): 공격자가 웹 애플리케이션의 파일 시스템 구조를 탐색하고, 보호된 디렉토리와 파일에 접근할 수 있도록 하는 공격입니다. 이를 통해 공격자는 민감한 파일을 열람하거나 시스템에 악성 파일을 업로드할 수 있습니다.
파일 업로드 공격 (File Upload Attack): 공격자가 악성 코드를 포함한 파일을 서버에 업로드하여 서버를 감염시키는 공격입니다. 이는 서버의 제어를 장악하거나 데이터를 탈취하는 데 사용될 수 있습니다.
오픈 리다이렉트 (Open Redirect): 공격자가 웹 애플리케이션의 URL 리다이렉션 기능을 악용하여 사용자를 악성 사이트로 유도하는 공격입니다. 이는 피싱 공격과 결합하여 사용자의 정보를 탈취할 수 있습니다.
인젝션 (Injection): 웹 애플리케이션에 악의적인 코드나 명령어를 삽입하여 실행하는 공격입니다. SQL 인젝션, LDAP 인젝션 등이 이에 해당하며, 이는 시스템의 무결성을 해칠 수 있습니다.
서버 측 요청 위조 (SSRF, Server-Side Request Forgery): 공격자가 서버를 속여 내부 시스템이나 다른 서버로 요청을 보내도록 하는 공격입니다. 이를 통해 내부 네트워크 정보를 탐색하거나 민감한 데이터를 탈취할 수 있습니다.
인증 우회 (Authentication Bypass): 공격자가 보안 메커니즘을 무력화하여 시스템에 불법적으로 접근하는 공격입니다. 이는 취약한 로그인 절차나 인증 시스템의 결함을 이용합니다.

저작자표시 (새창열림)