방화벽, IDS, IPS는 정보보안기사 필기에서 거의 빠지지 않는 단골 주제입니다. 이름이 비슷하다 보니 “누가 차단까지 하는가”, “어떤 방식으로 공격을 알아내는가”를 묻는 보기에서 자주 헷갈립니다.
이번 글은 개념 확인용 문제 8개로 구성했습니다. 문제를 먼저 풀어 보고, 박스 안의 정답과 풀이로 개념을 정리하면 됩니다.
안내: 아래 문제는 학습을 위해 직접 만든 예상문제이며 실제 시험과 다를 수 있습니다. 최신 출제 범위와 일정은 KISA(한국인터넷진흥원) 공식 공지를 꼭 확인하세요.
이 글의 구성
- 방화벽의 종류와 구축 형태 (문제 1~3)
- IDS의 탐지 방식과 오탐·미탐 (문제 4~5)
- IPS, Snort 룰, iptables 명령 (문제 6~8)
문제 1. 방화벽 유형 구분
방화벽은 패킷 필터링, 상태 기반 검사(Stateful Inspection), 애플리케이션 게이트웨이(프록시)로 나눌 수 있다. 이 중 연결 상태를 테이블에 기록해 두고, 응답 패킷이 기존 세션에 속하는지를 기준으로 허용 여부를 판단하는 방식은 무엇인가?
정답·풀이
상태 기반 검사(Stateful Inspection)입니다. 단순 패킷 필터링은 패킷 하나하나의 IP·포트만 보기 때문에 세션 문맥을 알지 못합니다. 상태 기반 방식은 세션 테이블로 정상 응답만 통과시켜 정확도가 높습니다. 애플리케이션 게이트웨이는 응용 계층 내용까지 보지만 처리 속도는 느린 편입니다.
문제 2. 방화벽 구축 형태
외부 네트워크와 내부 네트워크 사이에 두 개의 방화벽(또는 라우터)을 두고 그 사이에 공개 서버를 배치해, 외부에서 침투하더라도 내부망으로 곧바로 들어가지 못하게 하는 구조의 이름과 장점을 쓰시오.
정답·풀이
스크린드 서브넷(Screened Subnet) 구조이며, 완충 영역을 DMZ라고 부릅니다. 웹·메일 같은 공개 서버를 DMZ에 두면 서버가 침해되어도 내부망까지는 한 번 더 방어선이 남습니다. 스크린드 호스트나 듀얼 홈드 호스트보다 안전한 대신 구성 비용과 관리 부담이 큽니다.
문제 3. 서버 배치
DMZ 구성에서 웹 서버와 DB 서버를 어디에 두는 것이 일반적으로 바람직한가? 이유와 함께 쓰시오.
정답·풀이
웹 서버는 DMZ, DB 서버는 내부망입니다. 웹 서버는 외부 접속을 받아야 하므로 DMZ에 두고, 중요한 데이터가 있는 DB는 외부에서 직접 접근할 수 없는 내부망에 둡니다. 방화벽에서는 DMZ의 웹 서버가 내부 DB의 특정 포트로만 접속하도록 최소한으로 허용하는 것이 원칙입니다.
문제 4. IDS 탐지 방식
IDS의 탐지 방식 중 알려진 공격의 패턴(시그니처)과 비교해 탐지하는 방식과, 정상 행위의 기준을 정해 두고 벗어나는 행위를 탐지하는 방식의 이름을 각각 쓰고, 신종 공격 탐지에 유리한 쪽을 고르시오.
정답·풀이
앞의 것은 오용 탐지(Misuse Detection, 시그니처 기반), 뒤의 것은 이상 탐지(Anomaly Detection)입니다. 신종 공격에 유리한 쪽은 이상 탐지입니다. 오용 탐지는 오탐이 적은 대신 패턴이 없는 새 공격을 놓치기 쉽고, 이상 탐지는 정상 기준을 학습해야 하며 오탐이 많아질 수 있습니다.
문제 5. 오탐과 미탐
IDS가 정상적인 트래픽을 공격으로 판단해 경고를 발생시켰다. 이 오류의 명칭은 무엇이며, 반대로 실제 공격을 놓친 경우는 무엇이라 하는가?
정답·풀이
정상을 공격으로 판단한 것은 오탐(False Positive), 실제 공격을 놓친 것은 미탐(False Negative)입니다. 보안 관점에서는 미탐이 더 위험하지만, 오탐이 많으면 관제 담당자가 경고에 둔감해지는 문제가 생깁니다. 두 값은 서로 맞바꿈 관계라 임계값 조정으로 균형을 잡습니다.
문제 6. IDS와 IPS의 차이
IPS가 IDS와 구별되는 가장 큰 특징을 배치 방식과 대응 방식 측면에서 설명하시오.
정답·풀이
핵심 용어는 인라인(In-line) 배치와 능동 차단입니다. IDS는 미러링 등으로 트래픽 사본을 보고 경고를 남기는 수동적 방식이 기본입니다. IPS는 트래픽 경로 중간에 직접 놓여 공격으로 판단된 패킷을 바로 차단합니다. 대신 장애가 나면 전체 통신에 영향을 주는 단일 장애점이 될 수 있고, 오탐 시 정상 통신이 막힌다는 부담이 있습니다.
문제 7. Snort 룰 해석
다음 Snort 룰의 의미를 설명하시오.
alert tcp any any -> 192.168.1.0/24 80 (msg:"admin page access"; content:"/admin/login.php"; sid:1000001; rev:1;)
정답·풀이
외부의 임의 출발지에서 192.168.1.0/24 대역의 80번 포트로 가는 TCP 패킷 중, 페이로드에 “/admin/login.php” 문자열이 포함된 것을 탐지해 경고(alert)를 남기는 룰입니다. 앞부분은 룰 헤더(동작, 프로토콜, 출발지·포트, 방향, 목적지·포트), 괄호 안은 룰 옵션입니다. msg는 경고 메시지, content는 패턴 검색, sid는 룰 식별자이며 사용자 정의 룰은 보통 1,000,000 이상을 씁니다.
문제 8. iptables 정책 작성
리눅스 서버에서 INPUT 체인의 기본 정책을 DROP으로 하되, 이미 맺어진 연결의 응답과 외부에서 오는 TCP 80번 접속만 허용하려 한다. 필요한 iptables 명령을 쓰시오.
정답·풀이
기본 정책 DROP + 상태 기반 허용 규칙으로 구성합니다.
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j ACCEPT iptables -P INPUT DROP
기본 정책을 마지막에 바꾸는 것이 안전합니다. 원격 접속 중이라면 DROP 설정 전에 SSH(22번) 허용 규칙을 먼저 넣어야 접속이 끊기지 않습니다. 오래된 교재에서는 -m state --state로 쓰기도 하며 같은 의미입니다.
공부 팁 3가지
- 방화벽·IDS·IPS는 “어디에 놓이는가(인라인/미러링)”와 “무엇을 하는가(차단/경고)”의 두 축으로 표를 만들어 외우면 보기 구별이 쉬워집니다.
- Snort 룰과 iptables 명령은 필기에서도 보기로 나오고 실기에서는 직접 쓰게 하므로, 한 번은 손으로 써 보는 편이 좋습니다.
- 오탐·미탐처럼 용어 정의가 바로 점수가 되는 부분은 틀린 문제만 따로 모아 반복하세요.
면책 안내
이 글의 문제는 학습용으로 직접 만든 예상문제이며 실제 기출과 무관하고 시험과 다를 수 있습니다. 출제 범위와 일정은 KISA 등 공식 공지를 확인해 주세요.