컴퓨터 네트워킹 하향식 접근 Chapter 1, 6장 공격받는 네트워크

네트워크 보안(Network Security)

• 네트워크 보안 분야
  • 악당이 컴퓨터 네트워크를 공격하는 방법
  • 네트워크를 공격으로부터 방어하는 방법
  • 공격에 면역이 있는 아키텍처를 설계하는 방법
• 인터넷은 원래 보안을 염두에 두고 설계되지 않았다.
  • 원리 비전 : 신뢰하는 사용자들간 네트워크에 접근
  • 인터넷 프로토콜 설계자들이 뒤처진 상태를 따라잡으려 함
  • 모든 계층에 보안 고려 사항이 있다.

 

인터넷을 통한 호스트에 malware 주입

• malware는 virus, worm, 트로이 목마 등으로 호스트에 주입
• spyware malware는 키보드 입력, 웹사이트 방문, 업로드를 수집 사이트에 기록할 수 있다.
• 감염된 호스트는 botnet에 등록되고, spam, DDos 공격에 사용된다.
• malware는 self-replicatng(자기 증식)한다. (하나의 감염된 호스트로부터, 다른 호스트들을 찾는다.)

 

트로이 목마 (Trojan horse)

• 다른 유용한 보이는 소프트웨어 숨겨진 악성 코드
• 오늘날 웹 페이지에 종종 있다. (Active-X plugin)

바이러스 (Virus)

• 오브젝트를 받아서 실행함으로써 (이메일 공격)
• 자가 증식 : 자신을 다른 호스트나 유저에게 전파한다.

웜 (Worm)

• 오브젝트를 수동적으로 수신하여 스스로 실행되며 감염됨 (사용자가 아무 행동도 하지 않음)
• 자가 증식 : 자신을 다른 호스트나 유저에게 전파한다.

 

서버 공격, 네트워크 인프라

서비스 거부 (DoS, Denial of Service) : 공격자가 가짜 트래픽으로 자원을 과부하 시켜 합법적인 트래픽이 대역폭 등의 자원에 접근하지 못하게 만듦

• 분산 서비스 거부 (DDOS, Dstributed Denial of Service)

1. 대상 선택 : 공격할 목표를 선택함
2. 네트워크 주변의 호스트 침입 : 네트워크에 있는 여러 호스트에 침투하여 제어함 (이를 botnet이라 함)
3. 손상된 호스트에서 대상에게 패킷 전송 : 침입한 호스트들로부터 대상에게 다량의 패킷을 전송하여 자원을 소진시킴

 

공격자가 패킷을 도청할 수 있다.

패킷 도청 (Packet Sniffing) :

• broadcast media (공유 이더넷, 무선) : 여러 장치가 동일한 네트워크 채널을 공유하는 통신 방식
• Promiscuos network interface (수신 모드 네트워크 인터페이스) : 네트워크 인터페이스가 지나가는 모든 패킷을 읽고 기록하는 방식 (비밀번호도 포함)
• Wireshark 소프트웨어 : 네트워크 트래픽을 모니터링하고 분석할 수 있는 무료 패킷 스니퍼 소프트웨어

 

공격자가 잘못된 출발지 주소를 사용할 수 있다.

IP 속이기 (IP Spoofing) 

• 잘못된 출발지 주소를 가지고 패킷을 보낸다.

 

공격자는 정보를 기록하고, 재사용할 수 있다.

기록과 재사용 (record-and-playback) : 네트워크에서 민감한 정보를 가로채고, 이를 다시 사용한다.

• 시스템 관점에서 비밀번호 소유자는 그 비밀번호를 가진 사용자로 인식

 

---

방어선(Defense Lines):

• 인증(authentication): 자신이 주장하는 사람이 맞다는 것을 증명하는 것.
  • 셀룰러 네트워크에서는 SIM 카드를 통해 하드웨어 기반 신원을 제공하지만, 전통적인 인터넷에서는 이러한 하드웨어 지원이 없음.
• 기밀성(confidentiality): 암호화를 통해 보호.
• 무결성 검사(integrity checks): 디지털 서명을 통해 데이터 변조를 방지하거나 감지.
• 접근 제한(access restrictions): 비밀번호로 보호되는 VPN을 통해 접근을 제한.
• 방화벽(firewalls): 접근 및 코어 네트워크에서 사용하는 특수한 "미들박스" 역할.
  • 기본 차단(off-by-default): 수신 패킷을 필터링하여 발신자, 수신자, 애플리케이션을 제한.
  • DOS 공격 탐지 및 대응: 서비스 거부 공격(DoS)을 탐지하고 대응