네트워크 보안 기초 감각 잡기
OSCP·CTF를 하면서 공격 관점 명령어는 많이 익혔는데, 방어 관점 개념을 한 번 정리해두면 좋을 것 같아 기본기부터 다시 훑음
OSI 계층별 대표 공격
| 계층 | 대표 공격 | 대응 |
|---|---|---|
| L2 (데이터링크) | ARP 스푸핑, MAC 플러딩 | Dynamic ARP Inspection, 포트 보안 |
| L3 (네트워크) | IP 스푸핑, ICMP 플러딩 | 방화벽 필터링, uRPF |
| L4 (전송) | SYN 플러드, 포트 스캔 | SYN 쿠키, 레이트 리밋 |
| L7 (애플리케이션) | SQLi, XSS, 프롬프트 인젝션(LLM 앱이라면) | WAF, 입력 검증 |
감각 정리
계층이 낮을수록 “네트워크 장비” 수준의 대응(스위치 설정, 라우터 ACL)이고, 계층이 높을수록 “애플리케이션 로직” 수준의 대응(코드 레벨 검증)이 됨 어느 계층 공격인지 먼저 특정해야 대응 도구도 정확히 고를 수 있음
방화벽 종류 구분
- 패킷 필터링(stateless): 패킷 하나하나를 규칙(IP/포트)만 보고 통과 여부 결정 세션 상태를 기억 못 함
- 상태 기반(stateful): 연결의 상태(SYN → SYN/ACK → ACK)를 추적해, 응답 패킷만 자동으로 허용 지금 대부분의 방화벽이 이 방식
- 프록시/애플리케이션 방화벽: 트래픽 내용(L7)까지 파싱해서 검사 WAF가 여기 해당
IDS vs IPS
| 구분 | 위치 | 동작 |
|---|---|---|
| IDS | 트래픽 미러링 지점 (out-of-band) | 탐지만, 차단은 안 함 |
| IPS | 트래픽 경로 자체 (in-line) | 탐지 즉시 차단까지 |
IPS가 더 강력해 보이지만, 오탐(false positive)이 발생하면 정상 트래픽까지 차단해버리는 리스크가 있어서 튜닝이 훨씬 중요하다는 점을 놓치기 쉬움
탐지 방식 2가지
- 시그니처 기반: 알려진 공격 패턴과 매칭 오탐은 적지만 신종 공격(제로데이)엔 무력
- 이상 탐지(anomaly-based): 평소 트래픽 기준선을 학습하고 벗어나면 알림 신종 공격도 잡을 수 있지만 오탐이 많음
AWS Security 노트에서 봤던 “CloudTrail Insights = 기준선 학습” 개념과 결이 같다 — 결국 어떤 환경에서든 “정상 패턴 학습 후 이탈 탐지”라는 아이디어가 반복됨
더 생각해볼 것들
- 우리 회사 네트워크라면 어느 지점에 IDS를, 어느 지점에 IPS를 두는 게 합리적일까
- 시그니처 기반과 이상 탐지를 같이 쓸 때 알림 피로(alert fatigue)를 어떻게 줄일 수 있을까