*2월완결

Transcription

1 Part 1 Part 2 Part 3 월간특집 3. ARP Spoofing 공격및대책 1. ARP Spoofing 공격개요 최근해외로부터의홈페이지해킹후악성코드를삽입하는사건들이다수발생되고있는데, 이사고들은대부분해당웹서버가직접해킹당한후악성코드가삽입되어졌다. 그런데, 최근들어웹서버는전혀해킹을당하지않았음에도불구하고해당웹서버로부터악성코드가다운로드되는사건이발생했다. 이사건은공격자가동일한 IP 세그먼트내의다른서버를해킹한후 ARP Spoofing 을이용하여특정웹서버와관련된웹트래픽을가로채어악성코드를삽입한사례였다. ARP Spoofing 공격은로컬네트워크 (LAN) 에서사용하는 ARP 프로토콜의허점을이용하여자신의 MAC(Media Access Control) 주소를다른컴퓨터의 MAC 인것처럼속이는공격이다. ARP Spoofing 공격은 ARP Cache 정보를임의로바꾼다고하여 ARP Cache Poisoning 공격 이라고도한다. 과거의더미허브환경에서는쉽게 Sniffing 이가능하였지만, 최근의스위치환경에서는해당 MAC 을가진컴퓨터에게만패킷이전달되어더미환경에비해 Sniffing 이쉽지않게되었다. 하지만공격자들은자신의 MAC 주소를라우터또는 Sniffing 하고자하는대상서버의 MAC 주소로위장 (ARP Spoofing) 하여스위치환경에서도패킷을 Sniffing 할수있다. 하지만, 최근발견된몇건의사고들을통해 ARP Spoofing 기법이단순히패킷을가로채어훔쳐보는 sniffing 수준이아니라, 가로챈패킷을변조한후재전송하는공격에도사용되고있음을알수있었다. 한서버가아무리안전하게구축되어해킹당할염려가없다고하더라도해당서버가포함된네트워크내에안전하지못한서버가있을경우 ARP Spoofing 공격으로쉽게데이터가유출되거나변조될수있음을알수있다. 다수의서버들이밀집해있는 IDC 에서버가있을경우타업체서버의보안문제점이자사의보안문제로전이될수있음을보여준다. 따라서, IDC 나호스팅업체와같이 IP 세그먼트내에여러고객서버가있을경우고객서버들은동일한수준으로보안이유지되어야함을알수있다. ARP Spoofing 기법은금융기관등을사칭하는피싱 / 파밍공격에도사용될수있다. 사용자가금융사이트접속을위해 DNS 요청을할경우, 공격자는 ARP Spoofing 기법을이용하여위장사이트의 IP 주소값을사용자에게보냄으로써위장사이트로접속을유도할수도있다. 또한, 지난 4 월에는중국청화대학교에서 100 여대의 PC 가 ARP Spoofing 바이러스에감염되어대학내 1 만여대의 PC 가간접적인피해를입은바있다고밝혔다 1). ARP Spoofing 공격은데이터의유출및변조뿐만아니라네트워크내의한대의 PC 만감염되더라도내부컴퓨터들에게잘못된 Gateway MAC 주소를알려줌으로써쉽게전체네트워크의장애를유발시킬수있다. 이처럼 ARP Spoofing 공격은다양하게악용가능하고피해도심각할수있는반면공격에대한탐지와대응은쉽지않다. ARP Spoofing 의공격대상은자신의시스템이직접해킹당한것이아니므로피해사실조차파악하기어렵다. 본문서에서는 ARP Spoofing 공격의원리와주요사례를통해공격기법을이해하고, 이에대한탐지와대응방안을검토해보도록한다. 1) 뉴스 ARP 스푸핑바이러스전파, 대학교기숙사인터넷접속불가 년 6 월호

2 2. ARP Spoofing 공격기법의이해 브로드캐스팅트래픽이제한되는이더넷스위치를사용하는 IP 기반네트워크에서는타시스템간의트래픽에접근하는데제한이있기때문에도청하기가쉽지가않다. 하지만 ARP 공격수법에 manin-the-midddle 공격수법을추가하여앞에서와같은문제를충분히우회할수있다. 공격자는잘조작된 MAC 주소를스위치상에 ARP Reply 하는것으로원래는다른곳으로전달되어야할데이터패킷을수신할수있다. 이러한방법으로공격자는게이트웨이를가장하여도청을원하는서버의모든트래픽을도청하여원하는데이터를수집 / 가공이가능하다. 가. 이더넷 /IP 통신에대한이해 ARP Request (dest:ffffffffffff) ARP Reply (dest:mac-a) 호스트 -A 호스트 -B ( 그림 ) Layer2 계층의두호스트간통신 호스트 -A 가호스트 -B 와통신하기위해서 Layer2 계층의통신흐름은다음과같다. 1) 호스트 -A : 자신의로컬 ARP Cache 에호스트 -B IP/MAC 주소의매핑이존재하는지검사 2) 호스트 -A ARP Request : 호스트 -B IP 의 MAC 주소에대한 ARP 요청을브로드캐스팅 3) 호스트 -B ARP Reply : 호스트 -B 의 IP 와 MAC 주소를담은 ARP 응답을호스트 -A 에게전송 4) 호스트 -A : ARP Cache 업데이트 MAC-A : Switch Route Table Port ( 그림 ) 두호스트간스위치통신 MAC-B : Layer2 장비인스위치는앞서봤던단계에따라이더넷프레임으로부터 MAC 주소를추출하여위와같은 Switch Route Table 을작성한다. 위의 2) 번단계가진행되면 1 번포트에 MAC-A( 호스트 -A) 주소를테이블에등록하고 3) 번이진행된후 5 번포트에 MAC-B 주소를등록한다. 이후테이블에등록되어매칭된포트와 MAC 주소를통해서통신을하게된다. 인터넷침해사고동향및분석월보 23

3 Part 1 Part 2 Part 3 월간특집 나. ARP Spoofing 공격기법스위치는모든트래픽을 MAC 주소를기반으로해서전송하게된다. 공격자는 LAN 상의모든호스트 IP-MAC 주소매핑을 ARP Request 브로드캐스팅을통해정확하게알아낼수있어공격자에게악용될수있다. 아래 ( 그림 ) 은호스트 -A 와호스트 -B 의정상적인스위치상에서의트래픽이전송되는모습이다. IP Addr 호스트 -A ARP Cache IP Addr 호스트 -B ARP Cache 호스트 -A IP Addr : MAC-A : 호스트 -B IP Addr : MAC-A : Switch Route Table Port Sniffer IP Addr : MAC-A : ( 그림 ) 정상적인통신 IP Addr 호스트 -A ARP Cache IP Addr 호스트 -B ARP Cache 호스트 -B MAC= [Sniffer MAC 주소 ] 호스트 -A MAC= [Sniffer MAC 주소 ] Port Switch Route Table ARP Reply Sniffer IP Addr : MAC-A : ( 그림 ) ARP Spoofing 공격 년 6월호

4 ARP 프로토콜은인증을요구하는프로토콜이아니기때문에간단한 ARP Reply 패킷을각호스트에보내서쉽게 ARP Cache 를업데이트시킬수있다. 앞페이지의 ( 그림 ) 처럼스니퍼는각호스트들에게위조한 MAC 주소 ( 상대방의 MAC 주소 = 스니퍼 MAC 주소 ) 를보내각호스트의 ARP Cache 를업데이트시키게되고스위치에서는스니퍼의 MAC 주소와포트매핑정보가테이블에등록된다. 계속해서스니퍼는 Cache 가사라지기전에변조된 ARP Reply 를지속적으로보내므로각호스트들의 ARP Cache 의변조된 MAC 주소의정보는계속해서유지된다. 이때스니퍼는두방향으로정확히재전송해줄수있는기능이있어야만호스트 -A 와 B 는통신을할수있다. 공격에성공하면두호스트는서로의 MAC 주소를스니퍼의 MAC 주소로인식하고있기때문에모든트래픽을스니퍼에게전달하게된다. 스니퍼는이두호스트에게재전송할수있는기능이있으며또한모든패킷들을캡쳐할수있게된다. IP Addr 호스트 -A ARP Cache IP Addr 호스트 -B ARP Cache Switch Route Table Port Sniffer IP Addr : MAC-A : ( 그림 ) ARP Spoofing 후스니핑 인터넷침해사고동향및분석월보 25

5 Part 1 Part 2 Part 3 월간특집 3. ARP Spoofing 공격사례및도구 가. 웹페이지악성코드삽입사례 ( 그림 ) 침해사고개요도 웹서버의경우공격자에의해직접적인공격을받지않았음에도불구하고피해시스템과같은브로드캐스팅도메인네트워크대역에존재한다는이유로피해를보게된것이다. 원격의클라이언트인터넷브라우저로웹서버 (210.X.X.139) 에접속하게되면, ( 그림 ) 과같이모든 HTML 페이지에악성프로그램설치를유도하는코드가삽입되어있었다. ( 그림 ) 접속자브라우저에서수신한웹페이지 하지만실제웹사이트의페이지들에서 iframe 코드는전혀보이지않았고, 웹서버에서클라이언트에게보내는패킷을 tcpdump 로확인해보면이더넷카드를통해나갈때까지도 iframe 코드가삽입되지않은것을확인할수있었다. 원인분석결과동일한네트워크내의취약한윈도우서버 (210.X.X.222) 가해킹을당해 ARP Spoofing 공격에이용되었으며, ARP Spoofing 에이용된서버는게이트웨이에게자신이마치웹서버인것처럼속이고, 웹서버에게는자신이마치게이트웨이인것처럼속여웹서버와게이트웨이사이의웹패킷을가로채서악성코드를삽입하는방법을사용하였다 년 6월호

6 2 3 나. ARP Spoofing 공격도구앞서살펴본사례에서 ARP Spoofing 공격서버에서 3 가지도구가발견되었으며이러한도구들은공격자가상당히쉽게 ARP Spoofing 할수있도록구성되어있었다. 본문서에서는공격툴악용을방지하기위해 공격툴 A, B, C 로부르며, 공격툴에대한상세분석내용은제외함 공격툴 A 공격툴 A 는네트워크트래픽을도청하고트래픽에서나오는패스워드를수집하거나암호화된정보를크랙해주는윈도우즈 GUI 도구이다. 이도구는 ARP Spoofing 공격을통해같은브로드캐스팅도메인네트워크에존재하는 PC 나서버의트래픽을모니터링하거나각종응용프로그램들의패스워드들을모니터링할수있다. 공격툴 A 의공격절차는아래와같다. 서브넷의모든호스트 MAC 주소스캔 ARP Spoofing 공격 ARP Spoofing 대상선택 관련어플리케이션패스워드모니터링 공격툴 A 를사용하면응용프로그램들 (FTP, HTTP, POP, SIP) 의평문으로전송되는아이디 / 패스워드를가로챌수있다. 공격툴 B 공격툴 B 는실제웹페이지에악성코드를삽입하는역할을하였다. 이툴은 WinPcap 라이브러리를사용해서프로그래밍되어있으며패킷을변조하는부분은아래와같은구조로프로그램이작성되어있었다. ForwardPacket 1 패킷을각각의프로토콜별로분류 ETHeader IPHeader TCPHeader IP Header 분석을통해 Destination IP 와옵션에서지정된 IP 와같은패킷만을분석 Input packet Pcap Library IP Header 에서 TCP 로지정된것과 TCP Header 를분석해옵션에서지정된포트와같은패킷만을분석 pcap_loop 4 TCP data TCP data 앞의조건을만족하는 TCP data 를패킷변조함수로전달 Output packet pcap_sendpacket * pcap_loop : 실제패킷을잡아서실행할함수 (ForwardPacket) 를지정해주는함수 * pcap_sendpacket : 패킷을생성해서보낼때사용되는함수 (WinPcap 에서만제공 ) ReplacePacket job.txt 파일읽어비교 교체할문자를 Linked List로저장 를구분문자로다음라인을하나씩읽어메모리에저장 szold <title> <iframe src... sznew TCP data에서위의교체 ( 비교 ) 대상문자열 (szold) 과일치하는지검사 - szold 값이첫번째문자를검사하고일치하는게있으면연속해서문자열이전부일치하는지검사한다.( 속도향상 ) szold 이후문자열하나씩검사하고 szold <title> <title> 문자열길이가매칭된문자열길이가 TCP data 첫째문자검사같은지검사해서최종판단 TCP data에서교체할대상이확인되면교체할문자 (sznew) 로대체 ( 그림 ) 공격툴 B 동작과정 인터넷침해사고동향및분석월보 27

7 Part 1 Part 2 Part 3 월간특집 공격툴 C 공격툴 C 는최근사고분석에서확인된 ARP Spoofing 공격도구로이전 공격툴 B 보다도훨씬다양한기능을추가하고있었다. 홈페이지접속아이디 / 패스워드도청지정된 IP 영역의웹트래픽을스니핑하면서원하는키워드값이나타나면아이디 / 패스워드를캡쳐하여파일로기록한다. iframe 악성스크립트삽입공격자가지정한 IP 대역에서외부로접속하는사용자웹패킷이나지정된대역으로접속해들어오는사용자웹패킷양쪽모두에 iframe 을삽입할수있다. 즉, 외부에서내부웹서버로접속하는클라이언트에게도 iframe 을삽입할수있고, 내부에서외부로접속하는내부사용자에게도 iframe 을삽입할수있는것을확인할수있다. DNS 스푸핑 DNS Reply를조작하여특정웹사이트로접속하고자하는패킷은모두조작된사이트로접속시킬수있다. 다운로드파일교체스니핑대상호스트들이내 외부로웹을통해파일을다운로드할경우공격자가지정한사이트특정사이트의악성프로그램을다운받을수있게할수있다 년 6월호

8 4. ARP Spoofing 공격탐지방법 ARP Spoofing 공격은 Subnet 내의한대의시스템만이해킹을당하더라도여러서버에영향을미칠수있으므로공격에대한탐지가쉽지만은않다. 본장에서는 ARP Spoofing 공격시나타나는증상을토대로 ARP Spoofing 대상서버 ( 공격대상서버 ), 공격서버, 네트워크장비에서각각공격을탐지할수있는방법을소개한다. 가. ARP Spoofing 발생시증상 1) 피해시스템에서의증상 네트워크속도저하 ARP Spoofing 을위해서버와클라이언트같은종단간의통신을가로채어재전송하는시스템이있기때문에네트워크속도의저하가발생한다. 악성코드가웹페이지시작부분에위치패킷을가로챈후변조하는경우에는대부분의웹페이지가공통적으로사용하는태그를인식하여악성코드를삽입하기때문에웹페이지가시작되는 head, title 등의태그주변에삽입한다. 그이유는패킷의중간이나끝부분에삽입하고자하면 TCP 패킷의전송특성상대체하고자하는문자열이분리 (fragmentation) 와재조합과정에서나누어져서문자열을인식할수없는가능성이있기때문이다. 정기적인 ARP 패킷다량수신피해시스템에서관리하는 ARP table을계속해서변조한상태로유지하기위해공격자는조작한 ARP 패킷을지속적으로발송하므로, ARP패킷의수신량이증가한다. 2) 공격시스템에서의증상 네트워크사용량증가타시스템간의통신을가로챈후재전송하게되므로, 네트워크사용량이증가하게된다. 정기적인 ARP 패킷발송피해시스템의 ARP table을지속적으로속이기위해정기적으로 ARP 패킷을발송한다. 악성프로그램의프로세스동작 ARP Spoofing과트래픽변조를위한프로그램의프로세스가동작한다. 인터넷침해사고동향및분석월보 29

9 Part 1 Part 2 Part 3 월간특집 나. 피해시스템에서의탐지방법 1) ARP table을통한 MAC 주소중복확인윈도우즈나유닉스 / 리눅스계열모두 arp -a 명령과같이 ARP table을조회하는명령으로주변시스템의 IP와 MAC 주소를확인한다. 단, 평소에통신을하지않던시스템의 MAC 주소도확인해야하므로, 동일서브네트워크의모든 host에 ping 명령이나 nmap등의도구를사용하여 IP-MAC 주소를모두확보한후에확인해야한다. 대부분의경우게이트웨이의 IP 와 MAC 주소로위장하기때문에이부분을유심히살펴본다. 만약게이트웨이의 MAC 주소가실제게이트웨이의 MAC 주소와다르다면 ARP Spoofing으로인한결과일확률이대단히높다. 또한, ARP table 에동일한 MAC 주소가서로다른 IP 에서사용되고있는지확인한다. 즉, 아래그림의경우처럼게이트웨이 IP( ) 에서사용하는 MAC 을다른 IP( ) 도사용하고있다면, ARP Spoofing 을의심해볼수있다. 다만, 시스템설정에따라하나의 NIC 에여러 IP 를사용할수도있고, ARP Spoofing 을수행하는시스템에 IP 를넣지않는경우등은예외이다. 2) 송수신패킷에서악성코드유무검사 tcpdump 2), 이더리얼 3), 와이어샤크 4), 이더피크 5), 패킷뷰어 6) 등의패킷분석도구를사용하여실제로서버로부터송신되는패킷에악성코드가삽입되어있는지확인해본다. 만약송신되는패킷내에 iframe 등을악용한악성코드가있다면 ARP Spoofing 공격으로인한사고가아니라, 서버내부에악성코드가존재하는것이므로 ARP Spoofing 이아닐것이다. 하지만서버로부터송신되는패킷에는아무런악성코드가없는데, 클라이언트가수신하는패킷에악성코드가삽입되어있다면 ARP Spoofing 으로인해패킷이변조되었을가능성이대단히높다. tcpdump 를활용할경우에는서버로부터전송되는패킷에악성코드가있는지를확인해보기위해 tcpdump-w[log 파일명 ] -s 1500 port 80 명령으로송신되는패킷을저장한후 tcpdump -Xqnr 명령으로저장된패킷을 ACII 모드로변환하여조회해본다. 아래의그림처럼송신되는패킷에는악성코드가삽입되어있지않다면 ARP Spoofing 과패킷변조를의심해볼수있다. 2) 3) 4) 5) 6) 센터자료실 보안도구 년 6 월호

10 3) 비정상적인 ARP 패킷수신확인 ARP Spoofing 공격이실행되고있을때, 피해서버측에서 ARP 패킷을수집하여분석해보면필요이상의 reply 패킷이수신되고있음을알수있다. 서버들의경우인터넷서비스를위해계속해서게이트웨이와통신을하기때문에게이트웨이의 MAC 주소가 ARP table 에서삭제되지않으므로, 수초마다계속해서 request 가없는 ARP reply 패킷만수신될이유가없다. ( 그림 ) 위장 ARP Reply 다량수신 리눅스서버의경우 tcpdump arp 명령으로수신되는 ARP 패킷들을관찰할수있으므로, MAC 주소를위장하기위한 ARP 패킷이주기적으로수신되는지확인해본다. 인터넷침해사고동향및분석월보 31

11 Part 1 Part 2 Part 3 월간특집 4) ARP table 감시도구활용윈도우즈계열의 ARP table 감시도구는 sniffswitch 7), XArp 등이있는데, 본문서에서는프리웨어이면서사용하기쉬운 XArp 를예로들어설명한다. 이도구를다운로드받을수있는곳은 이며, 2.0 버전 8) 도있지만 ARP Spoofing 을감시하기위한용도로는 v 도충분하다. 이프로그램을실행하면 ARP table 의 cache 상태를나타내며, ARP table 에서동일 IP 에서 MAC 주소가변경된시점의시간이표시된다. 아래의그림은 XArp 의실행화면이며, ARP Spoofing 으로인해게이트웨이의 MAC 주소가계속해서변경됨을보여준다. ( 그림 ) XArp 를활용한 ARP 테이블감시 위장한 ARP 패킷에의한 MAC 주소의변경을모니터링할수있는가장효과적인방법은, 정상적인상태에서의 ARP table 을저장해두고비교해보는것이다. 유닉스시스템에서는 arpwatch 9) 와같은도구를활용하여모니터링할수있다. 7) 8) 9) 년 6 월호

12 다. 공격시스템에서의탐지방법 패킷캡쳐프로그램존재유무확인윈도우즈계열의경우가장먼저확인해봐야할점검항목으로는 WinPcap 과같은패킷캡처라이브러리가설치되어있는지의여부이다. 일반적인서버운용상에서는이러한라이브러리가설치되는경우가많지않으므로, 설치되어있다면설치된일시를확인하고관리자에의한설치가맞는지확인해봐야한다. 네트워크어댑터의동작상태확인 ARP Spoofing도스니핑활동이므로네트워크어댑터 (NIC) 의동작상태가 promiscuous mode 인지확인해본다. 윈도우즈계열의경우 PromiscDetect 10) 라는도구를활용할수있으며, 유닉스 / 리눅스계열의경우 ifconfig 11) 또는 dmesg등을통해쉽게확인할수있다. 단, 해당시스템에서정상적으로설치 / 운용되는네트워크모니터링프로그램 (snort, 방화벽등 ) 이동작중이라면 promiscuous mode 가정상적일수있다. 10) 11) 보안정보 기술문서 문서번호 TR 인터넷침해사고동향및분석월보 33

13 Part 1 Part 2 Part 3 월간특집 ARP 패킷관찰 ARP Spoofing을실행중인시스템이라면지속적으로위장한 ARP패킷을보내기때문에앞서살펴본 tcpdump, 패킷뷰어등의네트워크모니터링도구를활용하여관찰해보면확인할수있다. 만약 ARP Spoofing공격을실행하는시스템이라면지속적인 ARP패킷전송외에도타시스템간에통신하는패킷들이보일것이며, 동일한패킷이한쌍의단위로나타나는것을관찰할수있는데, 그이유는타시스템간의전송패킷을가로챈것과재전송한패킷이존재하기때문이다. 라. 네트워크장비에서의탐지방법 ARP table 확인 Host 시스템에서확인한방법과마찬가지로해당서브네트워크에대한모든 IP-MAC 주소를확인하여, 동일한 MAC 주소를사용하는 IP 들이있는지확인한다. 패킷모니터링기능활용유입되는패킷들의모니터링기능을활용하여, 불필요한 ARP 패킷들이탐지되는지또는, 특정스위치포트나연결되어있는호스트의 MAC 주소가자주변경되는지확인해본다 년 6 월호

14 5. ARP Spoofing 공격방지대책 가. 시스템에서의방지대책 1) 정적인 ARP table 관리 윈도우즈계열에서사용하는시작 / 종료스크립트에정적으로관리하고자하는시스템의 IP 와 MAC 주소를입력하는스크립트를지정하거나, 리눅스계열에서의 rc3.d 와같이시작스크립트를기동하는곳에서스크립트를실행하도록하여재부팅시에도항상정적인 ARP table 이관리될수있도록한다. 아래는윈도우즈계열의경우에 ARP table 을정적으로관리하는명령이다. 특히, Gateway 의 IP 와 MAC 주소를정적으로고정시킴으로써잘못된 ARP Reply 정보가오더라도이를 ARP Table 에반영하지못하도록한다. 2) ARP spoofing 서버로악용되지않도록보안수준강화지금까지신고 / 접수되어분석한대부분의 ARP Spoofing 서버들은본래의용도외에침입자가설치한프로그램으로인해네트워크트래픽변조서버로악용된것이었다. 그러므로전체적인보안수준을강화하여, 공격자에게악용되지않도록관리하여야한다. 3) 중요패킷의암호화자신의서버를안전하게구축하였다고하더라도공격자는동일 Subnet 내의취약한서버를해킹하여트래픽의도청및변조가가능하다. 따라서, 네트워크를통해아이디 / 패스워드, 주민번호, 금융정보등중요데이터가송수신될경우이정보또한공격자에의해유출되거나변조될수있으므로이러한데이터에대한암호화가바람직하다. 국내에서는정보통신망이용촉진및정보보호에관한법률에의해인터넷상에서개인정보가송수신되는웹서버의경우보안서버를구축하도록규정하고있다. 개인정보나금융정보가네트워크를통해송수신되는서버의경우 SSL(Secure Socket Layer) 방식등을이용하여웹트래픽을암호화할필요가있다. 인터넷침해사고동향및분석월보 35

15 Part 1 Part 2 Part 3 월간특집 나. 네트워크장비에서의방지대책 1) MAC Flooding 제어및정적인 MAC 주소관리 이더넷스위치환경의경우, 허브환경과는다르게단순히자신의시스템만 promiscuous mode 로동작시킨다고해서스니핑할수없기때문에다양한방법 12) 들을동원하여스니핑하게된다. 그중에서 MAC Flooding( 또는 Switch Jamming) 방법은수많은위장 MAC 주소를생성하여스위칭에필요한 CAM(Content Addressable Memory) 을관리하는자원을고갈시킴으로써이더넷프레임들을모든포트에전송토록하는공격을일컫는데, 시스코장비의예를들면, 이공격을차단하기위해서아래의그림 13) 과같이 Port security 라는기능을사용하는것이효과적이다. ( 그림 ) Port Security 기능설정예 이기능에는물리적인포트가수용할수있는 MAC 주소의개수를지정하거나사용가능한 MAC 주소를지정할수있으므로, 수많은 MAC 주소가발생해도 CAM 의관리에어려움이없게된다. IDC 와같이시스템의변경이빈번하지않은환경이라면충분히효과적으로활용할수있다. 참고로, MAC 주소의정적인관리는양쪽의시스템모두에서이루어져야한다. 만약서버측에서만정적인 ARP tables 을관리한다면 ARP Spoofing 발생시네트워크트래픽의흐름이 Client G/W S/W ARP Spoofing Server 피해서버 S/W G/W Client 순서로이동하기때문에, 스니핑에의한정보유출이나조작된정보입력등의피해가발생할수있으므로, 반드시네트워크장비와 Host 시스템양측에서모두정적인 ARP 관리가되어야효과적인차단이가능하다. 2) ARP 패킷검사앞서살펴본 Port Security기능과유사한기능으로써, 스위치에수신되는 ARP 패킷들을검사하여마치 IP 필터링을하는방화벽의동작과유사하게지정된경로로만 ARP 패킷이전송되도록하는기능을사용하는것도효과적이다. 시스코장비의경우 ARP Inspection이라고한다. 12) 13) 정보보보호심포지움 SIS2005, 최우형 년 6월호

16 3) 사설 VLAN 기능활용 동일서브네트워크이지만, 지정한호스트만통신을가능하도록하는사설 VLAN 기능을활용하여서로통신할필요가없는서버들을격리시켜운용한다. 아래의그림은사설 VLAN 개념도이다. 예를들어서버호스팅의경우서로다른고객이사용하는서버가같은서브네트워크에있다고하더라도서로통신할필요가전혀없기때문에, 이러한경우에는고객별사설 VLAN 으로격리하여운용한다면더욱더안전한시스템운용을할수있다. ( 그림 ) 사설 VLAN 개념도 인터넷침해사고동향및분석월보 37