2026.08.19 | 전공자·정보처리기사 수준 | 인프라 직무 대비 | 총 50문항 · ★★★ 최빈출 / ★★ 자주 출제 / ★ 기본
이 파일 하나로 모든 단원이 포함되어 있어 어디로 옮겨도 동작합니다.
| 단원 | |
|---|---|
| 네트워크 기초 개념 (실무 관점) 최빈출 | 10문항 |
| 패킷 분석 실습 최빈출 | 10문항 |
| 보안 기초 개념 최빈출 | 10문항 |
| 침투 테스트 기초 최빈출 | 10문항 |
| 보안 관제 실무 최빈출 | 10문항 |
대상: 전공자 · 정보처리기사 취득자 | 목적: 인프라 직무(네트워크·클라우드·시스템·보안) 기술 면접 대비 중요도: ★★★ 최빈출 · ★★ 자주 출제 · ★ 기본 개념
답안 VLAN(Virtual LAN)은 물리적으로 하나의 스위치에 연결된 장비들을 논리적으로 여러 개의 브로드캐스트 도메인으로 분리하는 기술입니다. 부서별·업무별로 트래픽을 격리해 불필요한 브로드캐스트 확산을 줄이고 보안성을 높이며, 물리적 배선 변경 없이 네트워크 구성을 유연하게 바꿀 수 있다는 실무적 장점이 있습니다. 액세스 포트는 하나의 VLAN에 속한 단말이 연결되는 포트이고, 트렁크 포트는 여러 VLAN의 트래픽을 하나의 링크로 동시에 전달해야 할 때(스위치 간 연결, 스위치-라우터 연결) 사용하며 프레임에 802.1Q 태그를 붙여 어느 VLAN에 속한 프레임인지 구분합니다. 실무에서는 트렁크 포트에 허용 VLAN 목록을 명시적으로 지정하고 네이티브 VLAN을 기본값(VLAN1)에서 변경해 보안 사고를 예방합니다.
관련 개념 802.1Q 태깅, 네이티브 VLAN, 브로드캐스트 도메인, 스위치 포트 모드(access/trunk), VLAN 홉핑 공격
답안 ARP(Address Resolution Protocol)는 같은 네트워크 세그먼트 안에서 목적지의 IP 주소에 대응하는 MAC 주소를 알아내기 위한 프로토콜로, 송신 호스트가 브로드캐스트로 ARP 요청을 보내면 해당 IP를 가진 호스트가 자신의 MAC 주소를 유니캐스트로 응답합니다. 이 응답 값은 ARP 캐시(테이블)에 일정 시간 저장되어 이후 통신 시 재활용됩니다. ARP 스푸핑은 ARP 프로토콜에 인증 절차가 없다는 점을 악용해 공격자가 위조된 ARP 응답을 보내 특정 IP에 대한 MAC 주소를 자신의 것으로 속이는 공격으로, 이를 통해 중간자 공격(MITM)이 가능해집니다. 실무에서는 스위치의 Dynamic ARP Inspection(DAI)이나 정적 ARP 등록, 포트 보안 기능으로 대응합니다.
관련 개념 ARP 캐시, 중간자 공격, DAI(Dynamic ARP Inspection), 포트 시큐리티, 게이트웨이 ARP 스푸핑
답안 DHCP는 DORA(Discover-Offer-Request-Acknowledge) 4단계로 동작합니다. 클라이언트가 브로드캐스트로 Discover를 보내면, DHCP 서버가 사용 가능한 IP를 담아 Offer로 응답하고, 클라이언트가 그 중 하나를 선택해 Request를 보내면 서버가 ACK로 최종 할당을 확정합니다. 이 과정에서 인증 절차가 없기 때문에 공격자가 가짜 DHCP 서버를 네트워크에 올려 잘못된 게이트웨이나 DNS 정보를 배포하는 Rogue DHCP 공격이 가능합니다. DHCP Snooping은 스위치에서 신뢰할 수 있는 포트(정상 DHCP 서버가 연결된 포트)만 DHCP 응답 트래픽을 통과시키도록 제한하는 보안 기능으로, 실무에서는 액세스 스위치 단에서 이를 활성화해 비인가 DHCP 서버로부터 클라이언트를 보호합니다.
관련 개념 DORA 프로세스, Rogue DHCP, DHCP Snooping, 임대 시간(lease time), 릴레이 에이전트
답안 Static NAT는 내부 사설 IP와 외부 공인 IP를 1:1로 고정 매핑하는 방식으로, 외부에서 접근해야 하는 서버(웹서버 등)에 사용합니다. Dynamic NAT는 공인 IP 풀 중 사용 가능한 주소를 그때그때 할당하는 방식이지만 공인 IP 개수만큼만 동시 접속이 가능해 실무에서는 잘 쓰이지 않습니다. PAT(Port Address Translation, NAT Overload)는 하나의 공인 IP를 포트 번호로 구분해 여러 내부 호스트가 동시에 공유하는 방식으로, 가정용 공유기나 사내 인터넷 게이트웨이에서 가장 널리 사용됩니다. NAT는 IPv4 주소 고갈 문제를 완화하고 내부 네트워크 구조를 외부에 숨기는 보안 효과도 있지만, 종단 간 연결성이 깨져 IPsec이나 일부 P2P 프로토콜에서는 별도 처리(NAT Traversal)가 필요합니다.
관련 개념 PAT/NAT Overload, 사설 IP 대역(RFC 1918), NAT Traversal, 포트포워딩, IPv4 고갈
답안 이중화를 위해 스위치를 여러 경로로 연결하면 루프(loop)가 발생할 수 있고, 이는 브로드캐스트 스톰과 MAC 주소 테이블 불안정으로 이어져 네트워크 전체가 마비될 수 있습니다. STP(Spanning Tree Protocol)는 이러한 물리적 루프 구조에서 논리적으로 트리 형태의 경로만 활성화하고 나머지 경로는 차단(Blocking) 상태로 두어 루프를 방지합니다. 동작 과정에서 루트 브리지를 선출하고, 각 스위치는 루트까지의 최단 경로 포트(Root Port)와 세그먼트별 대표 포트(Designated Port)를 결정하며 나머지는 차단합니다. 실무에서는 수렴 속도가 느린 전통적 STP 대신 RSTP(Rapid STP)를 주로 사용하며, 링크 장애 시 대체 경로로 빠르게 전환됩니다.
관련 개념 루트 브리지, BPDU, 포트 상태(Blocking/Listening/Learning/Forwarding), RSTP, 브로드캐스트 스톰
답안 라우터나 호스트는 패킷을 전달할 때 라우팅 테이블에서 목적지 IP와 일치하는 여러 경로가 있으면 최장 프리픽스 일치(Longest Prefix Match) 원칙에 따라 서브넷 마스크가 가장 긴(가장 구체적인) 경로를 우선적으로 선택합니다. 예를 들어 10.0.0.0/24와 10.0.0.0/16이 동시에 존재하면 /24 경로가 우선합니다. 목적지 네트워크와 일치하는 경로가 테이블에 없을 경우 기본 게이트웨이(default route, 0.0.0.0/0)로 패킷을 전달해 외부 네트워크로 나가도록 합니다. 실무 트러블슈팅 시 라우팅 테이블 확인은 통신 장애의 원인을 파악하는 가장 기본적인 절차이며, 잘못된 정적 경로나 게이트웨이 미설정이 흔한 장애 원인입니다.
관련 개념 최장 프리픽스 일치, 디폴트 라우트, 정적/동적 라우팅, 서브넷 마스크, 라우팅 메트릭
답안
서브넷팅은 하나의 큰 네트워크 대역을 여러 개의 작은 네트워크로 분할하는 것으로, IP 주소 낭비를 줄이고 브로드캐스트 도메인을 축소해 트래픽 효율과 보안을 높이는 목적으로 사용됩니다. CIDR(Classless Inter-Domain Routing) 표기법은 IP 주소 뒤에 /24처럼 네트워크 부분의 비트 수를 표시하는 방식으로, 클래스 기반 주소 체계의 한계를 극복하고 유연한 대역 분할을 가능하게 합니다. 예를 들어 192.168.1.0/24는 호스트 비트가 8비트이므로 254개의 호스트 주소를 사용할 수 있고, 이를 /26로 나누면 4개의 서브넷(각 62개 호스트)으로 분할할 수 있습니다. 실무에서는 부서별·용도별로 서브넷을 나누어 VLAN과 매칭시키고 접근 정책을 서브넷 단위로 적용하는 경우가 많습니다.
관련 개념 CIDR, 서브넷 마스크, 네트워크 주소/브로드캐스트 주소, VLSM, 호스트 비트 계산
답안 서버나 클라이언트는 통상 하나의 기본 게이트웨이만 설정하므로, 그 게이트웨이 역할을 하는 라우터/L3 스위치가 장애 나면 외부 통신이 전면 중단됩니다. HSRP(Hot Standby Router Protocol, Cisco 독자)와 VRRP(Virtual Router Redundancy Protocol, 표준)는 여러 대의 라우터가 하나의 가상 IP·가상 MAC을 공유하도록 그룹을 구성해, 평소에는 우선순위가 높은 라우터(Active/Master)가 트래픽을 처리하다가 장애 발생 시 대기 라우터(Standby/Backup)가 자동으로 그 역할을 이어받는 게이트웨이 이중화 기술입니다. 클라이언트 입장에서는 게이트웨이 IP가 바뀌지 않으므로 장애 전환이 투명하게 이루어집니다. 실무에서는 데이터센터 코어 스위치나 방화벽 이중화 구성에서 필수적으로 사용됩니다.
관련 개념 가상 IP/가상 MAC, Active/Standby, 우선순위(priority), Preempt, 게이트웨이 이중화
답안
실무 트러블슈팅은 보통 하위 계층부터 상위 계층 순서로 접근합니다. 먼저 물리 계층에서 케이블 연결, 링크 램프, 포트 상태를 확인하고, 데이터링크 계층에서 스위치 포트의 VLAN 설정과 MAC 주소 테이블, STP 상태를 점검합니다. 이후 네트워크 계층에서 ping, traceroute로 IP 연결성과 라우팅 경로를 확인하고, 전송 계층에서 포트가 열려 있는지, 방화벽에서 차단되지 않는지를 확인합니다. 마지막으로 애플리케이션 계층에서 DNS 해석, 서비스 자체의 응답 여부를 점검합니다. 이렇게 계층별로 원인을 좁혀가면 문제 범위를 빠르게 특정할 수 있으며, 실무에서는 ping → traceroute → telnet/nc로 포트 확인 → 애플리케이션 로그 확인의 순서가 흔히 사용됩니다.
관련 개념 ping/traceroute, 계층별 장애 분리, telnet/nc 포트 테스트, DNS 트러블슈팅, MTU 문제
답안 링크 애그리게이션은 여러 개의 물리 링크를 하나의 논리적 링크로 묶어 대역폭을 증가시키고 회선 장애 시에도 나머지 링크로 트래픽을 지속 전달할 수 있게 하는 기술입니다. 표준 프로토콜인 LACP(Link Aggregation Control Protocol)는 양쪽 장비가 자동으로 묶을 링크를 협상하고 장애 링크를 감지해 그룹에서 제외하는 역할을 합니다. 트래픽 분산은 보통 출발지/목적지 MAC이나 IP, 포트 정보를 해시하는 방식으로 이루어지며, 완벽한 균등 분산이 보장되지는 않습니다. 실무에서는 서버-스위치 간, 스위치-스위치 간 업링크 구간에서 대역폭 확장과 이중화 목적으로 널리 사용됩니다.
관련 개념 LACP, EtherChannel, 로드밸런싱 해시 알고리즘, 포트 채널, 이중화(redundancy)
대상: 전공자 · 정보처리기사 취득자 | 목적: 인프라 직무(네트워크·클라우드·시스템·보안) 기술 면접 대비 중요도: ★★★ 최빈출 · ★★ 자주 출제 · ★ 기본 개념
답안
tcpdump는 CLI 기반의 경량 패킷 캡처 도구로, GUI가 없는 서버 환경(리눅스 프로덕션 서버 등)에서 원격 접속만으로 패킷을 캡처할 때 주로 사용하며 리소스 소모가 적습니다. Wireshark는 GUI 기반으로 프로토콜 디코딩, 컬러링, 스트림 재조합, 통계 분석 등 심층 분석 기능이 풍부해 캡처된 패킷을 사람이 보기 쉽게 분석하는 데 강점이 있습니다. 실무 흐름은 보통 서버에서 tcpdump로 .pcap 파일을 캡처한 뒤, 이를 로컬로 옮겨 Wireshark로 열어 상세 분석하는 방식이 일반적입니다. 두 도구 모두 내부적으로 libpcap을 사용하기 때문에 캡처 필터 문법이 유사합니다.
관련 개념 libpcap, pcap 파일, BPF(Berkeley Packet Filter), 원격 캡처, 프로토콜 디코딩
답안
캡처 필터는 패킷을 캡처하는 시점에 조건에 맞는 패킷만 저장하도록 걸러내는 필터로, tcpdump/Wireshark 모두 BPF(Berkeley Packet Filter) 문법을 사용합니다(예: tcp port 80). 캡처 이후에는 필터에 걸리지 않은 패킷은 복구할 수 없다는 특징이 있습니다. 반면 디스플레이 필터는 이미 캡처된 전체 패킷 중 화면에 보여줄 패킷만 골라내는 필터로 Wireshark 고유의 문법을 사용하며(예: http.request.method == "GET"), 캡처된 데이터는 그대로 유지되고 필터를 자유롭게 바꿔가며 분석할 수 있습니다. 실무에서는 캡처 단계에서는 최소한의 조건(예: 특정 호스트/포트)으로 데이터량을 줄이고, 분석 단계에서 디스플레이 필터로 세밀하게 좁혀가는 방식을 씁니다.
관련 개념 BPF 문법, Wireshark 필터 문법, 캡처 후 손실 불가, 프로토콜 필드 필터링, 캡처 성능
답안
TCP 연결 수립은 3-way Handshake로 이루어집니다. 클라이언트가 SYN(시퀀스 번호 포함)을 보내면, 서버가 SYN+ACK로 응답하며 자신의 시퀀스 번호와 상대 시퀀스+1의 확인 번호를 담고, 클라이언트가 다시 ACK를 보내 연결이 확립됩니다. 연결 종료는 4-way Termination으로, 한쪽이 FIN을 보내면 상대가 ACK로 확인하고(이 시점 반이중 상태), 이후 상대도 자신의 FIN을 보내면 최초 종료를 요청한 쪽이 ACK로 마무리합니다. Wireshark에서는 tcp.flags.syn==1, tcp.flags.fin==1 같은 필터로 이 과정을 쉽게 추적할 수 있으며, 핸드셰이크가 완료되지 않고 SYN만 반복되면 방화벽 차단이나 서비스 다운을 의심할 수 있습니다.
관련 개념 SYN/ACK/FIN 플래그, 시퀀스/확인 번호, TIME_WAIT, half-close, 3-way/4-way
답안
Wireshark는 동일한 시퀀스 번호의 패킷이 다시 나타나면 [TCP Retransmission] 또는 [TCP Spurious Retransmission]로 자동 표시해줍니다. 재전송이 발생하는 근본 원인은 송신 측이 ACK를 제때 받지 못해 재전송 타이머(RTO)가 만료되었거나, 수신 측에서 중복 ACK(Duplicate ACK)를 3개 이상 받아 빠른 재전송이 트리거되었기 때문입니다. 실무에서는 재전송이 다수 관찰되면 회선 품질 저하(패킷 유실), 네트워크 혼잡, 방화벽/보안장비의 비정상 드롭, MTU 불일치등을 의심하고, tcp.analysis.retransmission 필터로 재전송 패킷만 걸러 발생 구간과 빈도를 확인합니다. 재전송이 지속되면 애플리케이션 응답 지연이나 타임아웃으로 이어지므로 서비스 장애의 주요 원인 중 하나로 다룹니다.
관련 개념 RTO(재전송 타임아웃), 중복 ACK, Fast Retransmit, 패킷 유실, tcp.analysis.retransmission
답안 TCP 윈도우 크기는 수신 측이 ACK 없이 한 번에 받을 수 있는 최대 데이터량을 송신 측에 알려주는 값으로, 흐름 제어(Flow Control)의 핵심 메커니즘입니다. 수신 측 애플리케이션이 데이터를 빠르게 처리하지 못해 수신 버퍼가 가득 차면 윈도우 크기를 점점 줄이다가 결국 0(Zero Window)을 보내 송신을 일시 중단시키며, 이후 버퍼에 여유가 생기면 Window Update 패킷으로 다시 알려줍니다. Wireshark에서 Zero Window가 자주 관찰되면 수신 서버의 처리 지연(CPU/애플리케이션 병목)이나 애플리케이션이 소켓 버퍼를 제때 비우지 못하는 문제를 의심할 수 있습니다. 대용량 전송 환경에서는 윈도우 스케일링(Window Scaling) 옵션으로 기본 16비트 한계(65535바이트)를 넘는 큰 윈도우를 사용할 수 있습니다.
관련 개념 흐름 제어, Zero Window, Window Update, 윈도우 스케일링, 수신 버퍼
답안
지연은 크게 네트워크 구간 지연과 서버(애플리케이션) 처리 지연으로 나눠 봐야 합니다. Wireshark에서 TCP 핸드셰이크의 SYN과 SYN+ACK 사이 시간 차는 순수 네트워크 왕복 지연(RTT)을 나타내고, 반면 요청 패킷(HTTP GET 등)과 응답 패킷 사이의 시간 차가 크면 서버 애플리케이션의 처리 지연을 의심합니다. Wireshark의 Time 컬럼 델타(Delta time)나 tcp.time_delta 필드를 활용하면 특정 구간의 응답 지연을 정량적으로 확인할 수 있습니다. 실무에서는 이 둘을 구분해야 네트워크 팀과 애플리케이션 팀 중 어느 쪽에서 원인을 찾아야 하는지 빠르게 판단할 수 있습니다.
관련 개념 RTT, tcp.time_delta, 서버 처리 지연 vs 네트워크 지연, Follow TCP Stream, 응답 시간 분석
답안
DNS 문제 진단 시에는 udp.port==53 또는 dns 디스플레이 필터로 쿼리와 응답 쌍을 확인합니다. 정상이라면 DNS Query에 대해 곧바로 DNS Response가 오지만, 응답이 없거나 지연되면 DNS 서버 장애, 방화벽 차단, 또는 재귀 질의 타임아웃을 의심할 수 있습니다. 응답 코드가 NXDOMAIN이면 존재하지 않는 도메인, SERVFAIL이면 DNS 서버 측 처리 오류를 의미합니다. 또한 응답 크기가 512바이트를 넘으면 UDP에서 TCP로 전환(TCP Fallback)되는 경우가 있어 방화벽에서 DNS TCP(53) 포트를 막아둔 경우 조회 실패의 원인이 되기도 합니다. 실무에서는 nslookup/dig 결과와 패킷 캡처를 함께 대조해 원인을 좁힙니다.
관련 개념 NXDOMAIN/SERVFAIL, DNS TCP Fallback, 재귀/반복 질의, dig/nslookup, DNS 캐시
답안 허브 환경에서는 모든 트래픽이 모든 포트로 브로드캐스트되어 스니핑이 쉽지만, 스위치 환경에서는 목적지 MAC 주소에 해당하는 포트로만 프레임을 전달하므로 다른 포트의 트래픽을 그냥 캡처할 수 없습니다. 이 때문에 공격자는 ARP 스푸핑이나 MAC 플러딩으로 스위치의 정상 동작을 방해해 트래픽을 가로채려 시도하기도 합니다. 반대로 정상적인 분석 목적으로는 스위치의 포트 미러링(SPAN, Switched Port Analyzer) 기능을 사용해 특정 포트나 VLAN의 트래픽을 분석용 포트로 복사해 캡처합니다. 실무 트러블슈팅이나 보안 모니터링(IDS 센서 연결 등)에서는 SPAN 포트나 네트워크 탭(TAP) 장비를 통해 정상적으로 트래픽을 확보하는 것이 표준적인 방법입니다.
관련 개념 SPAN(포트 미러링), 네트워크 TAP, MAC 플러딩, ARP 스푸핑, 스니핑 방어
답안 이상 트래픽 탐지 시에는 몇 가지 패턴을 중점적으로 봅니다. 첫째, 짧은 시간 내 다수의 SYN 패킷만 있고 완료된 핸드셰이크가 적은 경우 SYN Flood 같은 서비스 거부 공격을 의심합니다. 둘째, 특정 목적지 포트에 대한 순차적인 접속 시도(포트 스캔)가 짧은 시간에 여러 포트로 발생하면 정찰 행위로 판단합니다. 셋째, 비정상적으로 큰 아웃바운드 트래픽이나 알려지지 않은 외부 IP·비표준 포트로의 지속적인 통신은 데이터 유출(Exfiltration)이나 C2(명령제어) 통신 가능성을 시사합니다. Wireshark의 통계(Statistics) 메뉴 - Conversations, IO Graph 기능을 활용하면 트래픽 양과 패턴을 시각적으로 파악해 이런 이상 징후를 빠르게 포착할 수 있습니다.
관련 개념 SYN Flood, 포트 스캔 패턴, C2 통신, IO Graph, Conversations 통계
답안 Follow TCP Stream은 Wireshark에서 특정 TCP 연결에 속한 모든 패킷의 페이로드를 시간 순서대로 재조합해 하나의 연속된 대화 형태로 보여주는 기능입니다. 개별 패킷 단위로는 파악하기 어려운 HTTP 요청/응답 전체 내용, 평문 프로토콜의 로그인 정보, 애플리케이션 레벨 오류 메시지 등을 한눈에 확인할 수 있어 장애 원인 분석이나 보안 점검에 유용합니다. 다만 TLS로 암호화된 트래픽은 세션 키 없이는 내용을 복호화해 볼 수 없으며, 이 경우 서버/클라이언트의 SSL 키 로그 파일을 Wireshark에 등록해야 복호화된 스트림을 확인할 수 있습니다. 실무에서는 평문 프로토콜(HTTP, FTP, Telnet 등) 트러블슈팅 시 이 기능을 자주 활용합니다.
관련 개념 TCP 스트림 재조합, TLS 복호화(SSL 키 로그), 평문 프로토콜, 페이로드 분석, HTTP 요청/응답 확인
대상: 전공자 · 정보처리기사 취득자 | 목적: 인프라 직무(네트워크·클라우드·시스템·보안) 기술 면접 대비 중요도: ★★★ 최빈출 · ★★ 자주 출제 · ★ 기본 개념
답안 정보보안의 핵심 목표는 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)의 세 가지로 요약됩니다. 기밀성은 인가된 사용자만 정보에 접근할 수 있도록 하는 것으로, 이를 위협하는 사례는 데이터 유출이나 도청입니다. 무결성은 정보가 인가되지 않은 방식으로 변경·훼손되지 않도록 보장하는 것으로, 위·변조 공격이나 중간자 공격에 의한 데이터 조작이 위협 사례입니다. 가용성은 인가된 사용자가 필요할 때 정상적으로 서비스를 이용할 수 있도록 하는 것으로, DDoS 공격이나 랜섬웨어에 의한 서비스 마비가 대표적 위협입니다. 실무에서 보안 정책이나 통제를 설계할 때 이 세 요소 중 무엇을 우선적으로 보호할지 트레이드오프를 고려하는 경우가 많습니다.
관련 개념 기밀성/무결성/가용성, 부인방지(Non-repudiation), 인증(Authenticity), DDoS, 데이터 위변조
답안 대칭키 암호화는 암호화와 복호화에 동일한 키를 사용하는 방식으로(예: AES), 연산 속도가 빨라 대용량 데이터 암호화에 적합하지만 키를 안전하게 전달·공유하는 문제(키 분배 문제)가 있습니다. 비대칭키 암호화(공개키 암호화)는 공개키와 개인키의 쌍을 사용해, 공개키로 암호화한 데이터는 반드시 대응하는 개인키로만 복호화할 수 있는 방식으로(예: RSA), 키 분배 문제를 해결할 수 있지만 연산이 복잡해 속도가 느립니다. 이 때문에 실무에서는 하이브리드 방식을 주로 사용하는데, 비대칭키로 대칭키(세션키)를 안전하게 교환한 뒤 실제 데이터 통신은 빠른 대칭키로 암호화하는 방식이며, 이는 TLS의 핵심 동작 원리이기도 합니다.
관련 개념 AES, RSA, 키 분배 문제, 하이브리드 암호화, 세션키
답안 TLS 핸드셰이크는 클라이언트와 서버가 안전한 통신 채널을 수립하는 과정입니다. 클라이언트가 지원 가능한 암호 방식 목록을 담아 ClientHello를 보내면, 서버는 사용할 암호 방식과 자신의 인증서(공개키 포함)를 담아 ServerHello + Certificate로 응답합니다. 클라이언트는 인증서를 신뢰할 수 있는 CA(인증기관)의 서명으로 검증한 뒤, 서버 공개키로 암호화한 세션키(또는 키 교환 값)를 전달합니다. 이후 양측은 이 세션키를 기반으로 대칭키 암호화로 실제 데이터를 주고받습니다. 이 과정에서 인증서 검증은 서버 신원 확인(인증)을, 세션키 교환은 기밀성을 보장하는 역할을 합니다.
관련 개념 인증서(CA, 공개키), ClientHello/ServerHello, 세션키 교환, 서버 신원 검증, TLS 1.3 개선점
답안 해시 함수는 임의 길이의 입력을 고정된 길이의 출력(해시값)으로 변환하는 함수로, 일방향성(입력으로부터 출력은 쉽지만 역산은 사실상 불가능)과 충돌 저항성(서로 다른 입력이 같은 출력을 내기 어려움)이라는 특징을 갖습니다. 암호화는 복호화를 전제로 하지만, 해시는 원래 값으로 되돌릴 수 없다는 점이 결정적 차이입니다. 실무에서는 비밀번호를 원문 그대로 저장하지 않고 해시값(주로 솔트를 추가한 형태)으로 저장해 데이터 유출 시에도 원문 비밀번호가 드러나지 않도록 하며, 파일의 무결성 검증(다운로드 파일의 체크섬 비교)이나 디지털 서명에도 활용됩니다.
관련 개념 일방향성, 충돌 저항성, 솔트(Salt), SHA 계열, 무결성 검증
답안 인증은 "당신이 누구인지"를 확인하는 절차로, 아이디/비밀번호, 인증서, 생체 정보, OTP 등을 통해 사용자의 신원을 검증하는 것입니다. 인가는 인증이 완료된 사용자에게 "무엇을 할 수 있는지" 권한을 부여하는 절차로, 특정 자원에 대한 읽기/쓰기/실행 권한을 결정합니다. 즉 로그인에 성공했다고 해서 모든 리소스에 접근할 수 있는 것은 아니며, 로그인 이후 역할(Role)이나 정책에 따라 접근 가능한 범위가 인가를 통해 별도로 결정됩니다. 실무에서는 다중 인증(MFA)으로 인증을 강화하고, RBAC(역할 기반 접근 제어)로 인가를 세밀하게 관리하는 것이 일반적인 보안 설계 원칙입니다.
관련 개념 MFA(다중 인증), RBAC/ABAC, 최소 권한 원칙, 세션 관리, SSO
답안 패킷 필터링 방화벽은 IP 주소, 포트, 프로토콜 등 패킷 헤더 정보만 보고 미리 정의된 규칙(ACL)에 따라 허용/차단을 결정하는 가장 기본적인 방식으로 속도는 빠르지만 세션 상태를 추적하지 못합니다. 상태 기반 방화벽(Stateful Inspection)은 연결의 상태(세션 테이블)를 추적해, 예를 들어 내부에서 시작한 연결의 응답 패킷은 별도 규칙 없이도 자동으로 허용하는 등 더 정교한 제어가 가능하며 현재 대부분의 방화벽이 이 방식을 채택합니다. 애플리케이션 레벨 방화벽(프록시/L7 방화벽, WAF 포함)은 페이로드 내용까지 검사해 특정 애플리케이션 프로토콜의 이상 행위나 SQL 인젝션 같은 공격 패턴까지 탐지할 수 있지만 처리 부하가 큽니다. 실무 네트워크는 보통 이 세 방식을 계층적으로 조합해 운영합니다.
관련 개념 Stateful Inspection, ACL, WAF, 세션 테이블, 프록시 방화벽
답안 IDS(Intrusion Detection System)는 네트워크나 시스템의 트래픽을 모니터링해 공격 시그니처나 이상 행위를 탐지하고 알림(경고)만 발생시키는 시스템으로, 일반적으로 트래픽 경로 밖에서 미러링된 트래픽을 수동적으로 관찰(Passive)합니다. IPS(Intrusion Prevention System)는 트래픽 경로 상에 직접 위치해(In-line) 탐지된 공격을 실시간으로 차단(Active)할 수 있다는 점이 핵심 차이입니다. IPS는 즉각적인 방어가 가능하다는 장점이 있지만, 오탐(False Positive)이 발생하면 정상 트래픽까지 차단해 서비스 장애를 유발할 위험이 있어 튜닝이 중요합니다. 탐지 방식으로는 알려진 패턴과 비교하는 시그니처 기반과 정상 행위 패턴에서 벗어남을 감지하는 이상탐지 기반이 있습니다.
관련 개념 시그니처 기반/이상탐지 기반, In-line/Passive, 오탐(False Positive)/미탐(False Negative), NIDS/HIDS, 차단 정책
답안 디지털 서명은 송신자가 메시지의 해시값을 자신의 개인키로 암호화해 메시지에 첨부하는 방식으로 동작합니다. 수신자는 송신자의 공개키로 서명을 복호화해 원본 해시값을 얻고, 받은 메시지를 직접 해싱한 값과 비교해 일치하면 메시지가 변조되지 않았고(무결성), 실제로 해당 개인키 소유자가 보냈다는 것(인증, 부인방지)을 동시에 검증할 수 있습니다. 이는 공개키 암호화와 반대 방향으로 키를 사용하는 점이 특징이며, 실무에서는 소프트웨어 배포 시 코드 서명, 전자문서의 서명, 인증서 발급(CA가 인증서에 서명) 등에 활용됩니다.
관련 개념 개인키/공개키, 해시값 서명, 부인방지, 인증서(CA 서명), 전자서명법
답안 최소 권한 원칙(Principle of Least Privilege)은 사용자나 프로세스에게 업무 수행에 꼭 필요한 최소한의 권한만 부여해야 한다는 보안 원칙으로, 계정이 탈취되더라도 피해 범위를 최소화하는 데 목적이 있습니다. 심층 방어는 단일 보안 장비나 통제에 의존하지 않고 네트워크, 시스템, 애플리케이션, 데이터 등 여러 계층에 걸쳐 중첩된 보안 통제를 배치하는 전략으로, 하나의 방어선이 뚫려도 다음 계층에서 공격을 저지할 수 있도록 설계합니다. 예를 들어 방화벽 + IPS + 서버 하드닝 + 애플리케이션 인증 + 데이터 암호화를 겹겹이 적용하는 것이 심층 방어의 사례입니다. 두 개념 모두 "완벽한 방어는 없다"는 전제 하에 피해를 최소화하기 위한 설계 철학입니다.
관련 개념 최소 권한, 심층 방어, 계정 권한 관리, 제로 트러스트, 보안 계층화
답안 AES(Advanced Encryption Standard)는 빠른 연산 속도 덕분에 대용량 데이터의 실제 암호화에 널리 사용되며, 디스크 암호화, VPN 터널 내 데이터 암호화, TLS 세션 수립 이후의 데이터 전송 구간 암호화 등에 사용됩니다. RSA는 연산이 무겁기 때문에 대용량 데이터를 직접 암호화하기보다는 키 교환이나 디지털 서명, 인증서 발급처럼 상대적으로 적은 데이터를 다루는 곳에 사용됩니다. 즉 TLS 통신에서는 초기 핸드셰이크 단계에 RSA(또는 ECDHE 등)로 세션키를 안전하게 교환하고, 이후 실제 데이터 송수신은 AES로 처리하는 조합이 대표적인 실무 활용 사례입니다.
관련 개념 AES, RSA, TLS 핸드셰이크, 키 교환(ECDHE), 디스크 암호화
대상: 전공자 · 정보처리기사 취득자 | 목적: 인프라 직무(네트워크·클라우드·시스템·보안) 기술 면접 대비 중요도: ★★★ 최빈출 · ★★ 자주 출제 · ★ 기본 개념
답안 모의해킹은 일반적으로 정찰(Reconnaissance) → 스캐닝(Scanning) → 취약점 분석(Vulnerability Assessment) → 공격 및 침투(Exploitation) → 권한 상승/내부 이동(Post-Exploitation) → 보고(Reporting)의 순서로 진행됩니다. 정찰 단계에서는 대상의 도메인, IP 대역, 조직 정보 등을 수집하고, 스캐닝 단계에서는 열린 포트와 실행 중인 서비스를 파악합니다. 취약점 분석 단계에서는 발견된 서비스의 알려진 취약점을 확인하고, 공격 단계에서는 사전에 합의된 범위 안에서 실제로 취약점을 악용해 침투 가능성을 검증합니다. 마지막으로 발견한 취약점과 위험도, 개선 방안을 담은 보고서를 작성해 고객에게 전달하는 것으로 마무리되며, 모든 단계는 사전에 서면으로 합의된 범위(Scope)와 규칙(Rules of Engagement) 내에서만 수행되어야 합니다.
관련 개념 정찰/스캐닝/취약점분석/공격/보고, Rules of Engagement, Scope 정의, 화이트박스/블랙박스 테스트, 보고서 작성
답안 수동적 정찰(Passive Reconnaissance)은 대상 시스템에 직접적인 트래픽을 발생시키지 않고 공개된 정보만으로 정보를 수집하는 방식으로, 검색 엔진, WHOIS 조회, DNS 공개 레코드 확인, 소셜미디어·채용공고 분석 등이 해당하며 대상이 이를 탐지하기 어렵다는 특징이 있습니다. 능동적 정찰(Active Reconnaissance)은 대상 시스템에 직접 패킷을 보내 응답을 확인하는 방식으로, 포트 스캔이나 서비스 배너 확인 등이 해당하며 방화벽이나 IDS에 탐지될 가능성이 있습니다. 실무 모의해킹에서는 보통 탐지 위험이 낮은 수동적 정찰로 최대한 정보를 확보한 뒤, 필요한 범위 내에서만 능동적 정찰로 넘어가는 순서를 따릅니다.
관련 개념 WHOIS, DNS 열거, OSINT, 포트 스캔, 배너 그래빙
답안 취약점 스캐닝은 자동화된 도구를 사용해 대상 시스템의 알려진 취약점(CVE 등)을 패턴 매칭 방식으로 빠르게 탐지하는 작업으로, 짧은 시간에 넓은 범위를 점검할 수 있지만 오탐과 미탐이 발생할 수 있습니다. 취약점 진단(평가)은 스캐너의 결과를 바탕으로 실제로 악용 가능한지, 비즈니스에 미치는 영향은 어느 정도인지를 사람이 직접 검증하고 우선순위를 매기는 과정으로, 스캐닝보다 더 정확하고 심층적인 결과를 제공합니다. 실무에서는 정기적인 취약점 스캐닝으로 전체 자산의 상태를 빠르게 파악하고, 위험도가 높다고 판단되는 항목은 별도의 수동 진단이나 침투 테스트로 심층 검증하는 방식으로 운영합니다.
관련 개념 CVE, 오탐/미탐, 자동화 스캐너, 위험도 우선순위(CVSS), 수동 검증
답안 OWASP Top 10은 웹 애플리케이션에서 발생하는 대표적인 보안 취약점을 주기적으로 정리해 발표하는 커뮤니티 기반 가이드로, 개발자와 보안 담당자가 우선적으로 점검해야 할 취약점 유형을 파악하는 데 널리 활용됩니다. 대표적인 유형으로는 사용자 입력값을 제대로 검증하지 않아 데이터베이스 쿼리가 조작되는 인젝션(Injection, 예: SQL Injection), 웹 페이지에 악성 스크립트를 삽입해 다른 사용자의 브라우저에서 실행되게 하는 XSS(Cross-Site Scripting), 접근 권한 검증이 미흡해 인가되지 않은 자원에 접근 가능한 취약한 접근 제어(Broken Access Control), 그리고 알려진 취약점이 있는 오래된 소프트웨어 컴포넌트를 그대로 사용하는 문제 등이 있습니다. 이 목록은 특정 취약점의 존재 여부보다는 개발·운영 단계에서 놓치기 쉬운 보안 카테고리를 이해하는 데 그 의의가 있습니다.
관련 개념 SQL Injection, XSS, Broken Access Control, 입력값 검증, 시큐어 코딩
답안 SQL 인젝션은 애플리케이션이 사용자 입력값을 검증 없이 그대로 SQL 쿼리 문자열에 결합해 실행할 때, 공격자가 입력값에 SQL 구문의 일부(따옴표, 논리 연산자 등)를 삽입해 원래 쿼리의 의미를 조작하는 공격입니다. 이를 통해 인증 우회, 비인가 데이터 조회, 데이터 변조·삭제 등이 가능해질 수 있습니다. 근본적인 방어 방법은 사용자 입력을 쿼리 문자열에 직접 이어붙이지 않고 파라미터화된 쿼리(Prepared Statement)를 사용해 입력값이 항상 데이터 값으로만 취급되도록 하는 것이며, 추가적으로 입력값 검증(화이트리스트 방식), 데이터베이스 계정의 최소 권한 부여, WAF를 통한 탐지·차단을 병행합니다.
관련 개념 Prepared Statement, 입력값 검증, WAF, 최소 권한 DB 계정, Blind SQL Injection
답안 저장형(Stored) XSS는 공격자가 삽입한 악성 스크립트가 게시판 글, 댓글처럼 서버에 영구 저장되어 이후 그 페이지를 열람하는 모든 사용자에게 실행되는 방식으로 피해 범위가 가장 넓습니다. 반사형(Reflected) XSS는 악성 스크립트가 담긴 URL을 사용자가 클릭하도록 유도해, 서버가 그 요청 값을 그대로 응답 페이지에 반영할 때 즉시 실행되는 방식입니다. DOM 기반(DOM-based) XSS는 서버를 거치지 않고 클라이언트 측 자바스크립트가 사용자 입력을 그대로 DOM에 반영할 때 발생합니다. 공통적인 방어 방법은 사용자 입력을 화면에 출력하기 전에 HTML 인코딩(이스케이프 처리)을 적용하는 것이며, 추가로 쿠키에 HttpOnly 속성을 부여해 스크립트를 통한 쿠키 탈취를 방지하고 CSP(Content Security Policy)로 스크립트 실행 범위를 제한합니다.
관련 개념 저장형/반사형/DOM 기반, HTML 인코딩, HttpOnly, CSP, 세션 쿠키 탈취
답안 블랙박스(Black-box) 테스트는 테스터가 대상 시스템에 대한 사전 정보(소스코드, 내부 구조 등)를 전혀 제공받지 않고 외부 공격자의 관점에서 진행하는 방식으로, 실제 공격 상황을 가장 유사하게 재현할 수 있지만 시간이 오래 걸립니다. 화이트박스(White-box) 테스트는 소스코드, 아키텍처 문서, 계정 정보 등 내부 정보를 모두 제공받아 진행하는 방식으로, 짧은 시간에 더 깊이 있는 취약점을 찾을 수 있습니다. 그레이박스(Gray-box) 테스트는 일부 정보(예: 일반 사용자 계정)만 제공받아 진행하는 절충된 방식으로, 실무에서는 시간과 비용 효율을 고려해 그레이박스 방식이 자주 채택됩니다.
관련 개념 내부 정보 제공 범위, 공격자 관점 시뮬레이션, 테스트 효율성, 소스코드 리뷰, 계정 기반 테스트
답안 윤리적 해킹은 반드시 대상 조직으로부터 서면으로 명시적인 사전 승인(계약서, Scope of Work)을 받은 범위 내에서만 수행되어야 하며, 승인되지 않은 시스템이나 제3자의 자산을 건드리는 것은 정당한 사유 없이는 정보통신망법 등 관련 법률 위반에 해당할 수 있습니다. 테스트 범위(Scope), 허용되는 공격 기법, 테스트 가능 시간대, 비상 연락 체계 등을 사전에 규칙(Rules of Engagement)으로 명확히 문서화해야 하며, 테스트 과정에서 발견한 민감 정보는 비밀유지계약(NDA)에 따라 외부에 유출하지 않아야 합니다. 또한 서비스 가용성에 실질적 피해를 줄 수 있는 공격(예: 실제 DDoS)은 사전 합의가 없다면 수행해서는 안 되며, 발견된 취약점은 악용하지 않고 즉시 보고해 개선으로 이어지도록 하는 것이 윤리적 해커의 책임입니다.
관련 개념 Rules of Engagement, NDA, 서면 승인, 정보통신망법, 책임있는 취약점 공개(Responsible Disclosure)
답안 발견된 취약점은 모두 동일하게 다뤄지지 않으며, 얼마나 쉽게 악용될 수 있는지(공격 복잡도, 필요 권한, 사용자 개입 여부)와 악용되었을 때 어떤 피해(기밀성·무결성·가용성 영향)를 주는지를 종합해 위험도를 평가합니다. CVSS(Common Vulnerability Scoring System)는 이러한 요소들을 정량화해 0~10점 사이의 점수로 산출하는 국제적으로 널리 사용되는 평가 체계로, 점수 구간에 따라 심각(Critical)·높음(High)·중간(Medium)·낮음(Low) 등으로 분류합니다. 실무에서는 CVSS 점수만이 아니라 해당 시스템이 비즈니스에서 갖는 중요도, 실제 인터넷에 노출되어 있는지 여부 등을 함께 고려해 패치 우선순위를 정합니다.
관련 개념 CVSS 점수 체계, 공격 벡터/복잡도, 심각도 분류, 패치 우선순위, 비즈니스 영향도
답안 보고서는 경영진과 실무 엔지니어 모두가 활용할 수 있도록 구성되어야 합니다. 우선 비전문가도 이해할 수 있도록 전체 결과와 위험 수준을 요약한 경영진 요약(Executive Summary)이 있어야 하고, 이어서 테스트 범위와 방법론을 명시해 어떤 조건 하에서 수행된 결과인지 밝혀야 합니다. 핵심은 발견된 각 취약점에 대해 재현 절차, 위험도(CVSS 등), 영향 범위, 구체적인 개선 권고사항을 상세히 기술하는 부분이며, 스크린샷이나 로그와 같은 증적 자료를 함께 첨부해 신뢰성을 높입니다. 마지막으로 전체 취약점을 위험도 순으로 정리한 요약표를 제공해 담당자가 조치 우선순위를 빠르게 파악할 수 있도록 하는 것이 일반적입니다.
관련 개념 Executive Summary, 재현 절차(PoC), 개선 권고사항, 증적 자료, 위험도 순위표
대상: 전공자 · 정보처리기사 취득자 | 목적: 인프라 직무(네트워크·클라우드·시스템·보안) 기술 면접 대비 중요도: ★★★ 최빈출 · ★★ 자주 출제 · ★ 기본 개념
답안 SOC는 조직의 보안 위협을 상시로 모니터링하고 대응하는 전담 조직으로, 핵심 업무는 24시간 실시간 로그·이벤트 모니터링을 통해 침해 징후를 탐지하는 것입니다. 탐지된 이벤트는 정상·오탐·실제 위협 여부를 분석(트리아지, Triage)하여 심각도를 판단하고, 실제 위협으로 확인되면 침해사고 대응 절차에 따라 격리·차단 등의 조치를 취합니다. 이 외에도 보안 장비(방화벽, IPS, EDR 등)의 정책 관리와 튜닝, 신규 위협 인텔리전스 반영, 정기적인 취약점 점검 및 패치 관리 조율, 경영진 보고를 위한 보안 현황 리포팅 등이 SOC의 주요 업무에 포함됩니다.
관련 개념 실시간 모니터링, 트리아지, 위협 인텔리전스, EDR, 보안 리포팅
답안 SIEM은 방화벽, IPS, 서버, 애플리케이션 등 조직 내 다양한 장비와 시스템에서 발생하는 로그와 이벤트를 한곳에 수집·정규화·저장하고, 이를 상관분석(Correlation)해 의미 있는 보안 이벤트로 만들어주는 플랫폼입니다. 개별 장비의 로그만 봐서는 발견하기 어려운 복합적인 공격 패턴(예: 여러 시스템에 걸친 로그인 실패 후 특정 서버에서의 이상 행위)을, 여러 소스의 로그를 시간 순으로 연관지어 탐지할 수 있다는 점이 핵심 가치입니다. 실무에서는 사전에 정의된 상관 분석 규칙(Correlation Rule)에 따라 의심스러운 이벤트가 발생하면 자동으로 경보를 생성해 관제 담당자에게 전달하며, 사고 발생 시 과거 로그를 신속히 검색해 조사(포렌식)하는 용도로도 활용됩니다.
관련 개념 로그 수집·정규화, 상관분석(Correlation Rule), 알람(Alert), 로그 보존 기간, SOAR 연계
답안 로그 분석의 기본 접근은 베이스라인(평상시 정상 패턴)을 파악한 뒤 이로부터의 이탈을 탐지하는 것입니다. 예를 들어 특정 계정의 평소 로그인 시간대·위치·빈도를 기준으로 삼아, 심야 시간대 해외 IP에서의 접속이나 짧은 시간 내 다수의 로그인 실패 후 성공(Brute Force 의심) 같은 패턴을 이상 징후로 판단합니다. 또한 알려진 공격 시그니처와의 매칭(시그니처 기반)과 정상 범위를 벗어난 통계적 변화 탐지(이상탐지 기반)를 함께 활용하며, 단일 로그만으로 판단하기보다 여러 로그 소스(방화벽, 서버, 인증 시스템 등)를 상관 분석해 오탐을 줄이고 실제 위협 여부를 검증합니다. 최종적으로는 담당자가 이벤트의 맥락(어떤 시스템인지, 얼마나 민감한 자산인지)을 고려해 실제 대응 여부를 결정합니다.
관련 개념 베이스라인, Brute Force 탐지, 시그니처/이상탐지, 로그 상관분석, 오탐 최소화
답안 일반적인 침해사고 대응은 탐지(Detection) → 분석(Analysis) → 격리/차단(Containment) → 제거(Eradication) → 복구(Recovery) → 사후 분석(Lessons Learned)의 순서로 진행됩니다. 탐지 단계에서는 SIEM 알람, 관제 요원의 이상 징후 발견, 사용자 신고 등을 통해 사고를 인지하고, 분석 단계에서는 로그와 시스템을 조사해 침해 경로와 피해 범위를 파악합니다. 격리 단계에서는 감염된 시스템을 네트워크에서 분리하거나 관련 계정을 차단해 피해 확산을 막는 것이 최우선이며, 제거 단계에서는 악성코드나 백도어 등 원인을 완전히 제거하고, 복구 단계에서 정상 서비스를 재개합니다. 마지막 사후 분석 단계에서는 사고 원인과 대응 과정을 정리해 재발 방지 대책과 프로세스 개선에 반영합니다.
관련 개념 Containment(격리), Eradication(제거), Recovery(복구), Lessons Learned, 사고 대응 계획(IRP)
답안 격리는 피해가 다른 시스템으로 확산되는 것을 막는 가장 시급한 조치이기 때문에 사고 대응 초기 단계에서 최우선으로 다뤄집니다. 감염된 서버를 즉시 네트워크에서 분리하거나 방화벽에서 관련 IP·포트를 차단해 랜섬웨어의 추가 확산이나 공격자의 지속적인 접근을 차단하는 것이 목적입니다. 다만 주의할 점은, 시스템을 무조건 종료하거나 재부팅하면 메모리에 남아 있는 휘발성 증거(실행 중인 프로세스, 네트워크 연결 정보 등)가 사라져 이후 포렌식 분석에 어려움이 생길 수 있다는 것입니다. 따라서 실무에서는 가능하다면 네트워크 연결만 차단하고 시스템 전원은 유지한 채로 증거를 수집한 뒤 격리 조치를 이어가는 것을 원칙으로 합니다.
관련 개념 네트워크 격리, 휘발성 증거 보존, 디지털 포렌식, 증거 보전의 원칙, 사고 대응 우선순위
답안 취약점 관리는 자산 식별 → 취약점 스캐닝 → 위험도 평가 및 우선순위화 → 조치(패치/완화) → 재검증의 순환 구조로 이루어집니다. 먼저 조직 내 어떤 시스템과 자산이 존재하는지 자산 목록(인벤토리)을 파악하고, 정기적인 취약점 스캔을 통해 각 자산의 보안 취약점을 식별합니다. 발견된 취약점은 CVSS 점수와 자산의 중요도를 함께 고려해 우선순위를 매기고, 우선순위가 높은 것부터 패치 적용이나 설정 변경 등의 완화 조치를 수행합니다. 조치 후에는 반드시 재스캔을 통해 실제로 취약점이 해소되었는지 검증하며, 이 전체 과정을 정기적으로 반복해 지속적으로 보안 수준을 관리하는 것이 핵심입니다.
관련 개념 자산 인벤토리, 취약점 스캐닝, CVSS 우선순위화, 패치 관리, 재검증(재스캔)
답안 전통적인 백신(안티바이러스)은 주로 알려진 악성코드의 시그니처(패턴)와 파일을 비교해 탐지·차단하는 방식으로, 새로운 변종이나 알려지지 않은(제로데이) 공격에는 취약합니다. EDR은 엔드포인트(PC, 서버 등)에서 발생하는 프로세스 실행, 파일 접근, 네트워크 연결 등 행위 정보를 지속적으로 수집·기록해, 시그니처에 의존하지 않고 비정상적인 행위 패턴을 탐지할 수 있으며, 사고 발생 시 해당 엔드포인트의 상세한 활동 이력을 조사(포렌식)하고 원격으로 격리·프로세스 종료 같은 대응 조치까지 수행할 수 있다는 점에서 차이가 있습니다. 실무 SOC에서는 EDR에서 발생하는 알람도 SIEM과 연계해 통합 모니터링하는 경우가 많습니다.
관련 개념 시그니처 기반 탐지, 행위 기반 탐지, 엔드포인트 가시성, 원격 격리, 제로데이
답안 위협 인텔리전스는 현재 활동 중인 공격자 그룹의 수법, 악성코드의 특징, 알려진 악성 IP·도메인·해시값(IoC, Indicator of Compromise) 등 위협에 대한 정보를 체계적으로 수집·분석한 결과물입니다. SOC에서는 이러한 IoC를 방화벽, IPS, SIEM 등의 탐지 규칙에 반영해 새로운 위협을 선제적으로 차단하거나 탐지 정확도를 높이는 데 활용합니다. 또한 침해사고 분석 시 발견된 흔적을 위협 인텔리전스와 대조해 어떤 공격 그룹의 수법과 유사한지, 추가로 어떤 시스템이 노려질 가능성이 있는지를 판단하는 데도 사용됩니다. 실무에서는 외부 위협 인텔리전스 피드를 구독하거나 업계·정부 기관 간 정보를 공유하는 체계를 함께 활용합니다.
관련 개념 IoC(침해지표), 공격자 그룹 프로파일링, 위협 피드, 선제적 차단, 정보 공유 체계
답안 오탐이 지나치게 많으면 관제 담당자가 실제 위협 경보에도 경계심이 무뎌지는 "알람 피로(Alert Fatigue)" 현상이 발생해, 정작 중요한 실제 침해 징후를 놓칠 위험이 커집니다. 또한 매번 정상 트래픽을 조사하는 데 인력과 시간을 낭비하게 되어 관제 효율이 크게 떨어집니다. 개선 방법으로는 조직의 실제 환경에 맞게 탐지 규칙(시그니처, 임계치)을 지속적으로 튜닝하고, 알려진 정상 패턴은 화이트리스트(예외 처리)로 등록하며, 여러 로그를 종합해 판단하는 상관분석 규칙을 고도화해 단편적인 이벤트만으로 경보가 발생하지 않도록 개선하는 것이 필요합니다. 최근에는 이러한 반복 업무를 줄이기 위해 SOAR(보안 오케스트레이션 자동화) 도구로 저위험 이벤트의 초기 분석을 자동화하는 추세입니다.
관련 개념 Alert Fatigue, 탐지 규칙 튜닝, 화이트리스트, 상관분석 고도화, SOAR
답안 관제 업무에서는 다양한 소스의 로그를 종합적으로 다룹니다. 방화벽/네트워크 장비 로그에서는 허용·차단된 트래픽의 출발지/목적지 IP, 포트 정보를 확인할 수 있어 비정상 접근이나 스캔 시도를 파악할 수 있습니다. 서버/OS 로그(시스템 로그, 인증 로그)에서는 로그인 성공·실패 기록, 권한 변경, 프로세스 실행 이력을 확인해 계정 탈취나 권한 상승 시도를 탐지합니다. 웹 서버/WAF 로그에서는 HTTP 요청 패턴을 통해 SQL 인젝션이나 비정상 파라미터 시도를 확인할 수 있으며, 애플리케이션 로그에서는 비즈니스 로직 상의 이상 행위(대량 주문, 비정상 결제 시도 등)를 파악할 수 있습니다. 이러한 서로 다른 계층의 로그를 SIEM으로 통합해 상관분석하는 것이 정확한 침해 탐지의 핵심입니다.
관련 개념 방화벽 로그, 인증 로그, WAF 로그, 애플리케이션 로그, 통합 로그 상관분석