•
스니핑
◦
수동적 공격 : 공격할 때 아무것도 하지 않아도 되며, 희생자가 공격당하고 있음을 인지하지 못함
◦
도청과 엿듣기가 스니핑
◦
전화선이나 UTP에 탭핑해서 전기 신호를 분석하여 정보를 찾아냄
◦
템페스트 장비를 이용해 전기 신호를 분석하는 일
•
혼잡 모드(프러미스큐어스 모드, Promiscuous Mode)
◦
MAC 주소와 IP 주소에 관계없이 모든 패킷을 스니퍼에세 넘겨주는 것
◦
리눅스나 유닉스 등의 운영체제에서 랜 카드에 대한 모드 설정 가능
◦
원도우에서는 스니핑을 위한 드라이버를 따로 설치하여야 함
◦
스니핑을 하려면 처리 성능이 우수한 랜 카드가 필요함
•
바이패스 모드
◦
패킷에 대한 분석까지 하드웨어로 구현되어 있는 랜 카드(프러미스큐어스 모드의 하드웨어 버전)
◦
기가바이트 단위의 백본망에서 스니핑을 하기 위한 장비로 고가임
•
TCP dump
◦
리눅스에서 가장 기본이 되는, 강력한 스니핑 툴
◦
처음에는 네트워크 관리를 위해 개발되었기 때문에 관리자 느낌이 강함
◦
TCP dump로 흭득한 증거 자료는 법적 효력이 있음
◦
CLI 환경에서 동작하며, GUI 환경에서 동작하는 wireshark 가 있음
◦
-i device : 어느 인터페이스를 경유하는 패킷들을 수집할 지 지정한다
◦
지정되지 않으면 시스템의 인터페이스 리스트를 뒤져서 가장 낮은 번호를 가진 인터페이스를 선택한다
◦
-w : 캡쳐한 패킷들을 분석해서 출력하는 대신에 그대로 파일에 저장한다.
◦
-c number: 제시된 수의 패킷을 받은 후 종료한다.
◦
-s length : 패킷들로부터 추출하는 샘플을 default 값인 68byte 이외의 값으로 설정할 때 사용한다.
•
Fragrouter
◦
공격자가 스니핑을 하거나 세션을 가로챘을 때 외부에서 공격자에게 온 패킷을 정상적으로 수신자에게 전달하려면 패킷 릴레이가 반드시 필요함
◦
스니핑을 보조해주는 툴로 , 패킷 릴레이 역할 수행
•
Dsniff
◦
스니핑을 위한 다양한 툴이 패키지처럼 만들어진 것
•
urlsnarf
◦
인터넷 사용자가 접속한 서버와 접속 한 후 입력한 내용 등의 정보를 볼 수 있음
•
스위칭 환경과 스니핑
◦
스위치는 각 장비의 MAC주소를 확인하여 포트에 할당
◦
자신에게 향하지 않은 패킷 외에는 받아볼 수 없어 스니핑 공격 차단
▪
스위치가 스니핑을 막기 위해 만들어진 장비는 아니지만 결과적으로는 스니핑을 막을 수 있는 가장 기본적인 장비
▪
허브는 연결된 기기 중 하나에서 전송된 패킷이 허브에 연결된 모든 기기로 브로드캐스팅 되나는 점이다. 반면 스위치는 패킷의 목적지 주소로 지정된 기기로 이어지는 포트로만 패킷이 전달된다.
◦
SPAN
▪
스위치에서 각 포트에 송수신되는 모든 데이터를 모니터링하는 미러링 포트
▪
SPAN을 이용할 경우 스위치에서도 스니핑 가능
◦
태핑
▪
스위치에서 제공하는 SPAN을 사용할 경우 처리 성능의 저하로 인해 효과적인 모니터링을 하는데 어려움이 있어 이를 해결할 수 있는 장치가 태핑
▪
허브와 같이 포트를 모니터링하기 위한 별도의 네트워크 분기 장비(스플리터 라고 부르기도함)
•
ARP란?
◦
IP 주소를 MAC 주소로 변환하는 프로토콜
•
ARP 리다이렉트
◦
기존 라우터의 MAC 주소를 알아내어, 공격 대상에게 자신의 MAC주소가 라우터인 것처럼 속이기 위해 주기적으로 브로드캐스트한 후, 공격 대상으로부터 수신되는 패킷을 스니핑
◦
브로드캐스팅을 이용하므로, 네트워크 내 모든 호스트가 공격 대상임
•
ARP 스푸핑
◦
ARP 리다이렉트 공격과 유사하지만, 공격자가 공격대상의 ARP 테이블을 변경시켜 공격자를 통해 패킷을 보내도록 유도
•
스위치 재밍
◦
스위치를 직접 공격하는 방법
•
스니핑의 능동적인 대응책
◦
ping을 이용한 탐지 : 의심이 가는 호스트에 ping을 보낼 때 네트워크에 존재하지 않는 MAC주소로 위장하여 보냄
◦
ARP를 이용한 탐지 : 위조된 ARP request를 스니핑 중인 시스템에 보냄
◦
DNS를 이용한 탐지 : 테스트 대상 네트워크로 ping sweep을 보내고, 들어오는 Reverse-DNS lookup을 감시
◦
유인을 이용한 탐지 : 가짜 계정과 패스워드를 뿌려 공격자가 이 가짜 정보로 접속을 시도하면, 접속을 시도하는 시스템을 탐지
◦
ARP watch를 이용한 탐지 : 초기에 MAC주소와 IP주소의 매칭 값을 저장하고 ARP 트래픽을 모니터링하여 이를 변하게 하는 패킷이 탐지되면 관리자에게 메일로 알려줌
•
스니핑의 수동적인 대응책
◦
SSL : 암호화된 웹 서핑을 가능하게 함
◦
SSH: 텔넷과 같은 서비스 암호화를 위해 사용하는 것, VPN : 한 회선을 여러 회사가 공유하여 비용을 절감하려는 목적으로 개발, 암호화된 트래픽 제공
같은 태그의 다른 글 보기
Search
