정보보안기사 기출 핵심 [53] 네트워크 포렌식과 패킷 분석 완전 정복

네트워크 포렌식이란?

네트워크 포렌식은 네트워크 트래픽에서 법적으로 유효한 증거를 수집하고 분석하는 분야입니다. 정보보안기사 시험에서는 Wireshark, tcpdump, Zeek(구 Bro), Suricata를 활용한 패킷 분석 방법론이 핵심 출제 범위입니다.

패킷 캡처 방법

• SPAN(Switched Port Analyzer): 스위치에서 특정 포트 트래픽을 미러링해 분석 장비로 전달. 네트워크 성능에 영향 없음
• TAP(Test Access Point): 인라인으로 삽입하는 하드웨어 장치. 물리적으로 패킷을 복사. 패시브 방식으로 네트워크 변경 없음
• Flow 데이터(NetFlow/IPFIX): 패킷 전체가 아닌 메타데이터(5-tuple + 통계). 장기 저장 용이

Wireshark 주요 기능

• 디스플레이 필터: 캡처 후 분석. ip.addr, tcp.port, http.request.method 등
• 캡처 필터: tcpdump BPF 문법. 캡처 시 트래픽 제한
• Follow Stream: TCP/UDP 스트림 재조립. HTTP 내용, 파일 전송 복원
• Statistics: 프로토콜 계층 통계, 대화(Conversations), IO Graphs
• Expert Information: TCP 재전송, 연결 재설정, 체크섬 오류 자동 표시

Zeek(구 Bro) 네트워크 분석

Zeek는 PCAP 또는 라이브 트래픽에서 고수준 네트워크 로그를 생성하는 오픈소스 분석 프레임워크입니다.

• 생성 로그: conn.log(연결), dns.log, http.log, ssl.log, files.log
• Zeek 스크립트: 이벤트 기반 프로그래밍으로 커스텀 탐지 로직 구현
• C2 탐지: DNS 터널링, 주기적인 비콘(Beacon) 트래픽 패턴 탐지

Suricata IDS/IPS

Suricata는 OISF가 개발한 고성능 오픈소스 IDS/IPS입니다. Snort 규칙과 호환됩니다.

• 멀티스레드: 코어별 병렬 처리로 고속 처리
• 파일 추출: HTTP/FTP/SMTP에서 파일 자동 추출. 악성 파일 탐지
• EVE JSON: 구조화된 로그 형식. ELK Stack 연동 용이
• 규칙 형식: action protocol src_ip:src_port direction dest_ip:dest_port (options)

DNS 분석과 C2 탐지

• DNS 터널링: DNS 쿼리/응답을 C2 통신 채널로 악용. 쿼리 길이, 엔트로피, 쿼리 빈도 분석으로 탐지
• 도메인 생성 알고리즘(DGA): 악성코드가 무작위 도메인을 생성해 C2 서버 위치 은닉. NX 도메인 비율 분석으로 탐지

정보보안기사 기출 핵심 정리

• SPAN = 스위치 포트 미러링, TAP = 인라인 하드웨어 복사
• Wireshark = GUI 패킷 분석, Follow Stream = TCP 재조립
• Zeek = 고수준 네트워크 로그 생성(conn/dns/http.log)
• Suricata = IDS/IPS, Snort 규칙 호환, 멀티스레드
• DNS 터널링 탐지 = 쿼리 길이·엔트로피·빈도 분석

패킷 분석으로 침해 흔적을 찾는 순서

네트워크 포렌식은 통신 기록을 수집·분석해 침해 경위를 재구성하는 일입니다. 수집 수단은 전체 패킷 캡처(PCAP), 플로우 데이터(NetFlow/IPFIX), 로그(방화벽·프록시·DNS)로 나뉘며, 저장 비용과 상세도 사이에서 균형을 잡습니다.

분석은 큰 그림에서 시작합니다. 통계로 상위 통신 대상과 시간대를 보고, 비정상 외부 접속과 일정 간격의 반복 통신(비콘)을 찾은 뒤 의심 세션을 상세히 확인합니다.

• Wireshark 활용: 대화 통계로 주요 통신 파악, 세션 재조립(Follow Stream)으로 내용 확인, 파일 추출.
• 의심 신호: 비정상적으로 긴 DNS 질의, 대용량 외부 전송, 업무 외 시간 접속, 알려지지 않은 포트의 장기 연결.
• 암호화 트래픽: 내용은 못 봐도 메타데이터(서버 이름, 인증서, 통신 패턴)로 단서를 얻습니다.
• 증거 관리: 원본 캡처의 해시를 기록하고 사본으로 분석하며 취급 이력을 남깁니다.
• 시간 동기화: 여러 장비의 로그를 맞추려면 NTP 동기화 여부를 확인합니다.

※ 이 글은 학습·참고용 정리입니다. 제품 사양과 표준 개정 사항은 공식 문서에서 최신 내용을 확인하세요.