스니핑 공격과 탐지 방법

핵심 정리

스니핑은 LAN에서 통신 내용을 몰래 엿듣는 공격이다. 스니핑은 네트워크 트래픽을 도청하는 수동적 공격이다. 백도어 등을 쓰지 않고 패킷을 엿듣기만 하므로, 이를 적극적 침입 공격으로 보아서는 안 된다.

스위치 환경에서는 공격자에게 남의 패킷이 전달되지 않으므로, 스위치의 주소 테이블을 무력화하는 방법이 함께 쓰인다. 주소 테이블 무력화 MAC 플러딩은 위조 MAC 주소로 스위치의 MAC 테이블을 채워 스위치를 허브처럼 동작하게 만드는 공격이다. 스위치 재밍은 MAC 주소 테이블을 가짜 주소로 채워 트래픽이 도청 가능한 상태가 되게 하는 스니핑 기법이다.

스니핑 공격의 방지책으로 암호화하는 방법이 있다. 원격 접속에서는 SSH를 써서 데이터를 암호화하면 스니핑으로 내용을 볼 수 없다. 웹 통신에 HTTPS를 사용하면 패킷을 가로채도 내용을 볼 수 없다. 이메일은 S/MIME으로 메시지를 암호화하고 전자서명하여 이메일 스니핑에 대비한다. 스니핑을 어렵게 하려면 더미 허브 대신 스위치를 사용해야 한다.

암호화는 전송 중인 내용을 지키는 수단이므로, 암호화된 패킷이 클라이언트 PC나 서버에 도착한 뒤의 정보 유출까지 막지는 못한다. 전송 중 도청만 막는다 전송 계층 보안은 기밀성을 우선하여 스니핑 공격에 뛰어난 보안성을 보이지만, 개인정보 유출, 기밀정보 유출, DDoS, APT, 악성코드 공격이 발생하면 무력화된다고 본다.

스니핑은 수동적 공격이어서 트래픽 자체로는 드러나지 않으므로, 탐지는 무차별 모드로 동작하는 호스트가 보이는 간접 반응을 관찰하는 방식으로 이루어진다. 간접 반응 관찰

자세히

탐지 기법은 간접 반응을 관찰한다

무차별 모드 호스트는 자신에게 온 패킷이 아닌 것도 받아들이므로, 그 특성이 드러나는 반응을 골라 찾아낸다. 존재하지 않는 MAC 주소로 ping을 보내 ICMP Echo Reply가 오면 그 호스트를 스니퍼로 판단할 수 있다. ARP 요청에 대한 응답을 이용해 무차별 모드 호스트를 찾아내는 방법도 스니핑 탐지 기법이다. 스니퍼는 IP를 도메인 이름으로 바꾸기 위해 DNS 트래픽을 발생시키므로, 이 트래픽을 감시하여 스니퍼를 탐지할 수 있다. 자신에게 지정되지 않은 주소로 보낸 ICMP 요청에도 응답하는 호스트는 스니퍼일 가능성이 있다.

특정 호스트의 promiscuous 모드 설정 여부를 확인하면 스니퍼를 추측할 수 있다. ARP 트래픽을 모니터링하는 ARP watch로도 스니퍼를 추측할 수 있다. 방법마다 관찰하는 반응이 다르므로 아래 표로 구분해 두면 된다.

탐지 기법과 혼동되기 쉬운 SSID는 무선랜의 네트워크 식별자일 뿐이며 스니핑 탐지 방법과 관계가 없다.