개념 한 쪽
시스템에 몰래 열어 둔 뒷문을 찾는 일은 로그에서 시작된다. 시험에서는 백도어 탐지 방법으로 알맞은 것과 아닌 것, 로그를 분석하는 도구의 성격을 묻는다.
이 개념을 문제로 확인하고 싶으면 이 개념 문제 10개 풀기 회원용
가입 없이 오늘의 10문제 바로 풀기 →
출제기준 단원 「로그 분석」의 공개 문제 3개를 묻는 꼴별로 나누면 이렇습니다.
| 묻는 꼴 | 문제 수 | 무엇을 묻나 |
|---|---|---|
| 탐지법 적합성 판단 | 1 | 백도어 탐지에 부적절한 방법 선택 |
| 설명 오류 판정(IDS 관련) | 1 | IDS의 탐지기법·HIDS·NIDS·설치 위치 중 틀린 것 찾기 |
| 관리 활동 포함여부 판정 | 1 | 취약점 관리에서 일반적으로 하지 않는 작업 선택 |
백도어(Backdoor)는 시스템의 정상적인 보안 절차를 우회해 접근할 수 있도록 숨겨 둔 진입구다. 이를 찾아내는 대표적인 방법은 세 가지다. 무결성 검사는 시스템 파일이 변조되지 않았는지 원본과 비교하는 방법으로, 해시값 비교로 바뀐 백도어 코드를 잡아 낸다. 로그 분석은 기록을 훑어 비정상적인 접속 시도나 이상 징후를 찾아내는 방법이다. SetUID 파일 검사는 권한 상승이 가능한 잘못된 설정이나 악성 파일이 설치되었는지 확인하는 방법이다. 반면 닫힌 포트 확인은 네트워크 보안 설정을 점검하는 일일 뿐 이미 침투한 백도어를 찾는 탐지 방법으로 보기 어렵다. 백도어는 열려 있는 포트나 숨겨진 프로세스로 작동하는 경우가 많기 때문이다.
로그 분석은 보안 도구의 작동 원리에도 스며 있다. 침입탐지 시스템 중 HIDS는 호스트 내부의 로그를 보고 침입을 판단한다. 이상 탐지 관점에서는 평소 정상 패턴에서 벗어나는 기록이 곧 탐지 단서가 된다. IDS가 설치되기 좋은 위치로 꼽히는 DMZ도, 외부에 노출된 서비스가 모이는 만큼 로그에서 이상 징후를 가장 먼저 확인해야 하는 곳이라는 맥락으로 이해하면 된다.
취약점 관리와 이어지는 지점도 짚어 둔다. 취약점 관리의 대표 활동인 무결성 검사는 백도어 탐지의 무결성 검사와 같은 원리로, 파일이 변조되지 않았는지 확인해 악성코드 침입을 알아내는 작업이다. 관리의 초점은 열려 있는 포트와 불필요한 서비스 등 공격자가 들어올 수 있는 길을 줄이는 데 있고, 이미 막혀 있는 닫힌 포트는 관리 대상이 아니라는 점이 백도어 탐지에서 닫힌 포트 확인이 무효한 이유와 같은 결론으로 이어진다.
서버 한 대가 새벽마다 해외 IP에서 접속 로그를 남긴다고 하자. 원래 그 서버를 쓰는 관리자는 출근 시간에만 접속하므로, 로그의 접속 시간 패턴이 정상에서 벗어났다는 사실 자체가 침입의 단서가 된다. 로그 분석이 백도어 탐지 방법으로 꼽히는 이유다.
의심스러운 파일을 발견했다고 하자. 원본과 해시값을 비교하는 무결성 검사로 파일이 변조되었는지 확인하고, 권한 상승 설정이 붙은 SetUID 파일이 새로 생겼는지 점검한다. 이렇게 세 가지 방법을 두루 확인하는 것이 백도어를 찾는 표준적인 절차다.
백도어 탐지 방법으로 틀린 것은?
정답 ② · 시스템에 비인가 접근 통로를 남겨두는 백도어(Backdoor)를 탐지하는 올바른 기법을 구분하는 문제이다. 백도어는 외부와의 연결을 위해 특정 포트를 열어두는 경우가 많으므로 열린 포트(Open Port)를 점검해야 하며, 서비스가 비활성화된 닫힌 포트(Closed Port)를 확인하는 것은 백도어 탐지 방법으로 적절하지 않다.
백도어 탐지 시 무결성 검사, 로그 분석, SetUID 파일 검사는 유효한 방법이나, 닫힌 포트 확인은 백도어 탐지와 직접적인 관련이 적어 틀린 방법이다.
침입탐지 시스템(IDS : Intrusion Detection System)과 관련한 설명으로 틀린 것은?
정답 ① · 네트워크와 시스템에 대한 비인가된 접근이나 공격을 탐지하는 침입탐지 시스템(IDS)의 탐지 기법과 구성 요소를 묻는 문제이다. 이미 발견되고 정립된 공격 패턴(시그니처)을 등록해 두고 일치 여부를 비교하여 탐지하는 방식은 오용 탐지(Misuse Detection) 또는 시그니처 기반 탐지(Knowledge Base)이다.
시그니처 기반 탐지는 알려진 공격 패턴을 비교하는 방식이며, 이상 탐지 기법은 정상 행동 모델과 다른 이상 징후를 찾는 방식이다.
취약점 관리를 위해 일반적으로 수행하는 작업이 아닌 것은?
정답 ③ · 이 문제는 취약점 관리의 일반적인 수행 작업에서 해당하지 않는 것을 가려내는 문제이다. 취약점 관리는 공격 표면을 최소화하는 활동이 핵심이므로 열린 포트와 구동 중인 서비스를 점검해야 하며, 이미 접근이 통제된 닫힌 포트와 중단된 프로세스를 위주로 확인하는 것은 관리 대상이 아니다.
취약점 관리는 열린 포트와 불필요 서비스 제거 등 공격 표면 축소 활동이 핵심이며, 닫힌 포트 확인은 관리 대상이 아니다.
정보처리기사 풀이 세트에서 이 개념의 문제 10개를 바로 풀어 보세요.