정보보안기사 실기에서 네트워크 보안은 단답형과 명령어 작성형이 고르게 나오는 영역입니다. 개념만 읽어서는 방화벽 규칙이나 탐지 룰을 직접 쓰라는 문제 앞에서 손이 멈추기 쉽습니다. 이번 글에서는 직접 만든 예상문제 8개를 풀어 보며 그 감각을 잡아 보겠습니다.
이 문제들은 학습용으로 새로 만든 예상문제이며 실제 시험과 다를 수 있습니다. 최신 출제 범위와 일정은 반드시 KISA 등 공식 공지에서 확인하세요.
먼저 스스로 답을 적어 본 뒤에 풀이를 확인하는 방식을 권합니다.
리눅스 서버의 INPUT 체인 기본 정책을 차단으로 두고, 내부 관리망 192.168.10.0/24 에서 오는 SSH(TCP 22)만 허용하려 한다. 이미 연결된 세션의 응답 패킷과 루프백 통신도 허용해야 한다. 필요한 iptables 명령을 작성하시오.
정답
iptables -P INPUT DROP iptables -A INPUT -i lo -j ACCEPT iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp -s 192.168.10.0/24 --dport 22 -j ACCEPT
풀이 기본 정책(-P)을 DROP으로 바꾸면 명시적으로 허용하지 않은 모든 입력이 막힙니다. 이때 ESTABLISHED,RELATED 허용 규칙이 없으면 서버가 먼저 시작한 통신의 응답까지 끊기므로 반드시 함께 씁니다. 원격으로 작업 중이라면 SSH 허용 규칙을 넣기 전에 기본 정책을 DROP으로 바꾸지 않도록 순서도 주의해야 합니다.
웹 서버 대역 192.168.1.0/24 의 80번 포트로 향하는 TCP 트래픽 중, 페이로드에 /etc/passwd 문자열(대소문자 구분 없음)이 포함되면 경고를 남기는 Snort 룰을 작성하시오. 메시지는 “Passwd Access Attempt”, sid는 1000001로 한다.
정답
alert tcp any any -> 192.168.1.0/24 80 (msg:"Passwd Access Attempt"; content:"/etc/passwd"; nocase; sid:1000001; rev:1;)
풀이 룰 헤더는 행동, 프로토콜, 출발지 IP, 출발지 포트, 방향, 목적지 IP, 목적지 포트 순서입니다. 괄호 안 옵션에서 content는 탐지할 문자열, nocase는 대소문자 무시를 뜻합니다. 사용자가 직접 만드는 룰의 sid는 1,000,000 이상을 쓰는 것이 관례이며, 옵션 사이는 세미콜론으로 구분합니다.
다음 설명에 해당하는 스캔 기법을 각각 쓰시오.
(가) 연결을 끝까지 맺지 않고 SYN 전송 후 SYN/ACK을 받으면 RST로 끊는다.
(나) FIN 플래그만 설정해 보내며, 포트가 열려 있으면 응답이 없고 닫혀 있으면 RST가 돌아온다.
정답 (가) SYN 스캔(half-open 스캔, nmap -sS) (나) FIN 스캔(nmap -sF)
풀이 SYN 스캔은 3-way handshake를 완료하지 않아 과거에는 애플리케이션 로그에 남지 않는다는 점이 특징이었습니다. FIN, NULL, Xmas 스캔은 RFC 793 동작을 따르는 시스템에서 열린 포트는 무응답, 닫힌 포트는 RST로 구분합니다. 다만 윈도우 계열처럼 이 규칙을 따르지 않는 시스템에서는 결과가 부정확하다는 점도 함께 기억하세요.
호스트 IP 192.168.10.77, 서브넷 마스크 /27 일 때 네트워크 주소, 브로드캐스트 주소, 사용 가능한 호스트 수를 구하시오.
정답 네트워크 192.168.10.64, 브로드캐스트 192.168.10.95, 호스트 30개(192.168.10.65 ~ 94)
풀이 /27 은 마스크 255.255.255.224 이고 블록 크기는 256-224=32 입니다. 77은 64~95 블록에 속하므로 네트워크는 .64, 브로드캐스트는 .95 입니다. 호스트 수는 2^5-2=30 으로 네트워크와 브로드캐스트 주소를 뺍니다. (파이썬 ipaddress 모듈로 검산해 같은 결과를 확인했습니다.)
SYN Flood 공격의 원리를 한 문장으로 설명하고, 리눅스 서버에서 적용할 수 있는 대응 방법 두 가지를 쓰시오.
정답 원리: 출발지를 위조한 SYN을 대량으로 보내 서버의 반개방(SYN_RECV) 연결 대기열을 가득 채워 정상 요청을 받지 못하게 하는 공격. 대응: SYN Cookie 활성화, 백로그 큐 확대 및 SYN 수신 대기 시간 단축(그 외 방화벽·장비의 SYN 연결 제한).
풀이 SYN Cookie는 SYN을 받았을 때 연결 정보를 저장하지 않고 시퀀스 번호에 정보를 담아 응답하므로 대기열이 고갈되지 않습니다. 리눅스에서는 sysctl net.ipv4.tcp_syncookies=1 로 켭니다. 문제에서 “두 가지”를 요구하면 서로 다른 계층의 방법을 쓰는 편이 안전합니다.
같은 LAN에서 공격자가 게이트웨이의 IP에 자신의 MAC 주소를 대응시켜 통신을 가로채는 공격의 이름과 대응책 두 가지를 쓰시오.
정답 ARP 스푸핑(ARP 캐시 포이즈닝). 대응: 게이트웨이를 정적 ARP로 등록(arp -s), 스위치의 Dynamic ARP Inspection 적용(포트 시큐리티 병행).
풀이 ARP는 인증이 없어서 위조된 응답도 그대로 캐시에 반영됩니다. 이렇게 중간자(MITM) 위치를 차지하면 스니핑과 변조가 가능합니다. 정적 등록은 소규모 환경에 적합하고, 대규모 환경에서는 DHCP 스누핑 정보를 활용하는 DAI 같은 스위치 기능이 현실적입니다.
IPsec의 AH와 ESP를 제공 기능 기준으로 비교하고, 각각의 IP 프로토콜 번호와 IKE가 사용하는 UDP 포트를 쓰시오.
정답 AH(프로토콜 51): 인증·무결성, 기밀성 없음. ESP(프로토콜 50): 기밀성에 더해 인증·무결성 선택 제공. IKE: UDP 500 (NAT 통과 시 UDP 4500).
풀이 AH는 IP 헤더 일부까지 인증 범위에 포함하기 때문에 주소가 바뀌는 NAT 환경과 잘 맞지 않습니다. 그래서 NAT 환경에서는 ESP를 UDP 4500으로 감싸는 NAT-T를 씁니다. 전송 모드는 원 IP 헤더를 유지하고 터널 모드는 패킷 전체를 새 IP 헤더로 감싼다는 차이도 함께 정리해 두세요.
eth0 인터페이스에서 SYN 플래그만 설정되고 ACK는 설정되지 않은 패킷(연결 시도)만 숫자 형태로 출력하려 한다. 알맞은 tcpdump 명령을 쓰시오.
정답
tcpdump -nn -i eth0 'tcp[tcpflags] & (tcp-syn|tcp-ack) == tcp-syn'
풀이 -nn 은 호스트 이름과 포트 이름을 변환하지 않는 옵션입니다. 비트 마스크로 SYN과 ACK 두 비트만 보고 그 결과가 SYN과 같은지 비교하므로 SYN/ACK 응답 패킷은 제외됩니다. 짧은 시간에 이런 패킷이 한 출발지에서 쏟아진다면 포트 스캔이나 SYN Flood를 의심해 볼 수 있습니다.
면책: 이 글의 문제는 학습용으로 직접 만든 예상문제이며 실제 시험과 다를 수 있습니다. 시험 범위, 일정, 합격 기준은 KISA 등 공식 공지를 확인하세요.
미국 정부가 한 해 동안 국채 이자로 낸 돈이 처음으로 1조 달러를 넘었습니다. 2026회계연도(2025년 10월~2026년…
11월에 일정이 있는 정보처리산업기사 시험을 정리했습니다. 접수, 시험, 합격 발표 날짜를 한 번에 볼 수…
11월에 일정이 있는 정보처리기사 시험을 정리했습니다. 접수, 시험, 합격 발표 날짜를 한 번에 볼 수…
디지털 포렌식은 용어와 절차가 정해져 있어서 한 번 정리해 두면 가장 효율이 좋은 영역입니다. 증거를…
침해사고 분석 문제는 로그를 보고 무슨 일이 벌어졌는지 읽어내는 능력을 묻습니다. 정답이 한 줄로 끝나지…
웹 보안은 공격 원리, 코드 수준 대응, 로그 해석이 한꺼번에 나오는 단골 영역입니다. 같은 공격이라도…