• 컴퓨터 네트워크의 보안 취약점을 찾아내어 이를 악의적으로 이용하는 행위
• 시스템 관리자가 구축해 놓은 보안 망을 무력화 시키거나, 시스템 관리자 권한을 불법적으로 획득 및 악용해 다른 사용자에게 피해를 주는 일체의 행동

• 스니퍼는 컴퓨터 네트워크 상에 흘러 다니는 트래픽을 였듣는 도청장치
• 스니핑은 스니퍼를 이용하여 네트워크상의 데이터를 도청하는 행위

그림 삽입

1. 다양한 공격 기법을 통해 실제 공격 대상 시스템에 관리자 권한을 얻어낸 후 스니핑 도구를 설치하여 스니핑
2. 공격 대상 기업의 다른 호스트에 대한 접근 권한을 얻어내서 그 호스트를 이용하여 스니핑
3. ISP 장비에 대한 시스템 권한을 얻어내서 스니핑 도구를 설치하여 스니핑

그림 삽입

• TCP/IP의 구조적 결함에서 출발한 방법으로 TCP 시퀀스 번호, Source routing, 소스 IP 주소를 이용해서 상대방 호스트가 자신의 호스트를 트러스트하게 만드는 해킹 방법 (spoof: 속이기/속임수)
• IP 주소 등의 정보를 속임으로써 권한을 획득하고 중요 정보를 가로채어, 서비스 방해까지 행하는 TCP/IP 프로토코로 결합을 이용한 해킹 공격

• 1단계: 패킷의 내용을 변경하여 스크리닝 라우터와 방화벽 통과
• 2단계: 소스 IP 주소를 조작하여 자신을 신뢰성 있는 호스트로 인식
• 3단계: 원하는 호스트의 초기 시퀀스 번호를 알아냄
• 4단계: 트로이 목마 등의 프로그램 설치, 호스트 접근 권한 혹은 루트 권한 획득

그림 삽입

• TCP 프로토콜의 3 Way Handshake 를 악용
• 서버에 수 천 개의 TCP 접속(SYN) 요청 메시지를 보냄, 이 때 패킷 내부의 소스 IP주소를 속이거나 인터넷 상에서 사용하지 않는 IP 주소 값으로 변형
• 서버는 SYN/ACK 응답을 보낸 후, 클라이언트로 부터 ACK가 올 때까지 기다리게 되고, 서버는 ACK 메시지를 받지 못하게 됨.
• 이렇게 되면, 서버는 ACK를 받을 때까지, 버퍼와 같은 자원을 계속 종료하지 못하고 열어두게 되면서 누적에 따른 시스템 다운 및 서비스를 중단하는 상황 직면
• 불완전한 연결을 저장하기 위한 메모리 자료구조의 크기 제한으로 서버 자원이 고갈되어 Buffer Overflow에러 발생

그립 삽입

• 광범위한 효과로 인해, 가장 무서운 DoS 방법 중의 하나이며, IP와 ICMP¹⁾ 특징을 악용
• 직접적인 브로드캐스트와 세 가지 구성요소인 공격자, 증폭네트워크, 표적을 최대한 이용함
• 공격자는 증폭 네트워크의 브로드 캐스트 주소로 공격, 서버가 요구하는 것처럼 패킷들의 원본 주소를 위조하여 ICMP echo 패킷을 전송하고, ICMP echo 패킷을 수신한 증폭 네트워크 내의 모든 시스템은 공격 서버에 응답을 하게 됨

• 섭스에 대한 정당한 접근을 방해하거나 차단하고자 네트워크에 분산되어 있는 많은 에이전트를 이용하여 공격대상 서버에 동시에 과도한 서비스 요청을 발생시키는 공격

그림 삽입

1. 공격자는 DDoS 에이전트를 확보하기 위해서 버퍼 오버플로우 등의 공격으로 일반 인터넷 사용자의 PC에 에이전트를 설치
2. 설치된 에이전트는 마스터에 연결하여 DDoS 공격도구를 다운로드 받고, 공격 명령을 대기함
3. 공격자는 마스터를 통해서 공격명령을 각 에이전트로 전달하고, 에이전트는 마스터로부터 수신한 공격명령에 따라서 피해자를 공격함

1. P2P: 정상 소프트웨어에 악성코드(에이전트)를 삽입하여 사용자 설치 유도
2. 웜/바이러스: 웜/바이러스의 감염으로 인한 에이전트의 설치
3. 사회공학(Social Engineering): 이메일등을 통해서 첨부파일 형태로 사용자에게 전달 후, 설치 유도
   - 인간 상호 작용을 이용하여, 사람을 속여 보안 절차를 깨트리는 비기술적 침입 수단
4. 홈페이지: 취약한 웹서버를 해킹한 후, 사용자 방문시 악성코드의 자동 설치

그림 삽입

• 네트워크 행위분석기반(Network Behavior Analysis)의 DDoS 공격 대응 전용시스템 도입
• 시그너처 기반의 비정상 패킷 차단, 행위기반의 DDoS 차단과 사용자 정의 규칙(Rule)에 의한 DDoS 차단 기능을 제공함

• DDoS 공격보다 진일보한 새로운 공격 기법으로 인터넷 환경에서 정상적으로 이용할 수 있는 시스템 및 서비스(예: DNS, WEB, FTP, Telnet 등)를 에이전트로 이용하여 공격

### 2) DRDoS(Distributed Reflection Denial of Service) 특징

• 기존 DoS 및 DDoS 공격형태 포함
• 정상적인 트래픽으로 위장 가능
• 탐지 및 방어 어려움

• 보안 정책의 수립, 교육 등을 통한, 절차 준수
• 보안 감사 시행
• 보안 컨설팅 및 교육 시행

• 출입통제 강화 (예, SWAT팀 운영 등을 통해 서버 접근은 지정된 공간 및 PC에서만 가능한 환경 구성)
• 서류 및 파일의 유출 금지 강화