정보 시스템 보안정보 시스템 보안

3-33-3 장장 . . 네트워크 보안 네트워크 보안 - - 스니핑스니핑

최미정최미정mjchoi@kangwon.ac.krmjchoi@kangwon.ac.kr강원대학교 컴퓨터과학전공강원대학교 컴퓨터과학전공

2

1. 스니핑 (Sniffing) 이란 ?2. 스니핑의 원리3. 스니핑 기법4. 스니핑 방지대책5. 결 론

3

스니퍼 (Sniffer) 는 컴퓨터 네트워크상에 흘러다니는 트래픽을 엿듣는 도청장치

Sniffing 란 스니퍼 프로그램을 이용하여 네트워크상의 데이터를 몰래 캡쳐하는 행위

웹호스팅 , 인터넷데이터센터 (IDC) 등과 같이 여러 업체가 같은 네트워크를 공유하는 환경 - 매우 위협적인 공격이 될 수 있음

스위칭 환경의 네트워크를 구축하여 스니핑을 어렵게 할 수는 있지만 이를 우회할 수 있는 많은 공격방법이 존재

4

LAN 상에서 개별 호스트를 구별하기 위한 방법으로 이더넷 인터페이스는 서로 다른 MAC 주소를 갖게 됨

이더넷은 로컬 네트워크내의 모든 호스트가 같은 선 (wire) 을 공유함

같은 네트워크내의 컴퓨터 -> 다른 컴퓨터가 통신하는 모든 트래픽을 볼 수 있음

이더넷 인터페이스 (LAN 카드 )

자신의 MAC address 를 가진 트래픽만을 보도록 함

promiscuous mode

이더넷 인터페이스에서 모든 트래픽을 볼 수 있도록 하는 기능설정 << 스니핑 이루어짐 >>

5

192.168.0.1 192.168.0.2

192.168.0.4

192.168.0.3

Packet목적지 192.168.0.3

6

Switch Jamming

ARP Redirect 공격

ARP spoofing 공격

ICMP Redirect 공격

스위치의 span / monitor port 를 이용한 스니핑

7

Switch Jamming

주소 테이블이 가득차게 된 스위치들은 (Full) 대게 모든 네트워크 세그먼트로 트레픽을 브로드케스팅하게 됨

공격자는 위조된 MAC 주소를 지속적으로 네트워크에 흘림 스위칭 허브의 주소 테이블을 오버플로우 시켜 다른

네트워크 세그먼트의 데이터를 스니핑 할 수 있게 됨

8

ARP Redirect 공격

• ARP(Address Resolution Protocol) IP 주소 = 32 bit 구조 / 이더넷 주소 (MAC 주소 ) = 48 bit 의 크기 사용자는 IP 주소를 이용하여 연결을 하지만 이더넷상에서는 이더넷 주소를 이용 IP 주소를 이더넷 주소로 변환

"ARP Redirect" 위조된 arp reply 를 브로드케스트로 네트워크에 주기적으로 보냄

스위칭 네트워크상의 다른 모든 호스트들이 공격자 호스트를 라우터로 믿게끔 함

외부 네트워크와의 모든 트래픽은 공격자 호스트를 통하여 지나가게 됨

공격자는 스니퍼를 통하여 필요한 정보를 도청

9

ARP spoofing 공격 (ARP redirect 와 비슷한 공격 방법 )

• 다른 세그먼트에 존재하는 호스트간의 트래픽 스니핑 할 때 사용• 공격자는 자신의 MAC 주소를 스니핑하고자 하는 두 호스트의 MAC

주소로 위장하는 arp reply 패킷을 네트워크에 뿌림• 이러한 arp reply 를 받은 두 호스트는 자신의 arp cache 를

업데이트 함• 두 호스트간에 연결이 일어날 때 공격자 호스트의 MAC 주소를 사용• 두 호스트간의 모든 트랙픽은 공격자가 위치한 세그먼트로 들어오게

됨

10

ICMP Redirect 공격

ICMP(Internet Control Message Protocol)

네트워크 에러 메시지 전송 , 네트워크 흐름을 통제하기 위한 프로토콜 ICMP Redirect 를 이용하여 스니핑 가능

ICMP Redirect 메시지

하나의 네트워크에 여러개의 라우터가 있을 경우 , 호스트가 패킷을 올바른 라우터에게 보내도록 알려주는 역할

다른 세그먼트에 있는 호스트에게 위조된 ICMP Redirect 메시지를 보내 공격자의 호스트로 패킷을 보내도록하여 패킷을 스니핑하는 방법

11

스위치의 span/monitor port 를 이용한 스니핑

스위치에 있는 monitor 포트를 이용하여 스니핑 하는 방법

monitor 포트

스위치를 통과하는 모든 트래픽을 볼 수 있는 포트

네트워크 관리를 위해 만들어 놓은 것

공격자가 트래픽들을 스니핑하는 좋은 장소를 제공

12

• 모든 스니퍼는 네트워크 인터페이스를 "promiscous mode" 로 설정하여 네트워크를 도청함

• 호스트가 "promiscous mode" 로 설정되어 있는지 주기적으로 점검 • 스니퍼가 실행되고 있는 시스템을 탐지

1. ping 을 이용하는 방법 2. ARP 를 이용하는 방법 3. DNS 방법 4. 유인 (decoy) 방법 5. host method

13

스니핑이란 해커들이 가장 많이 사용하는 기술이라고 합니다 .

Sniffer라는 이름을 가진 Tool들이 인터넷상으로 널리

배포되어

패킷들을 재조합하고 원래 데이터를 충분히 복제할 수 있습니

다 .

이러한 공격을 방지하기 위하여 취할 수 있는 여러 가지 방법

등으로 예방할 수 있으나 모두 완벽할 수는 없고 , 또

해커들의 능력이 날로 향상되고 있으므로 관리자 들은 자신의

시스템환경에 맞는 대책을 강구하여야 합니다 .