[Network] 스니핑 (Sniffing)

김리영·2025년 1월 28일

Network

목록 보기

6/13

📌 본 게시물은 자기 학습 목적으로 작성되어 일부 내용이 부정확하거나 최신 정보와는 다를 수 있습니다.
💬 잘못된 부분이나 보완할 점이 있다면 댓글로 공유하여 주시면 감사하겠습니다!

허브는 들어오는 패킷을 수신한 포트를 제외한 모든 포트로 전송
같은 허브에 연결된 사용자는 자신이 아닌 다른 사람의 패킷을 스니핑 가능
NIC 무차별 모드(promiscuous mode) : 네트워크 인터페이스 카드(NIC)를 무차별 모드로 설정하면 특정 사용자의 패킷뿐 아니라 네트워크를 통과하는 모든 패킷 수집 가능

스위치의 MAC 주소 테이블을 오버플로우 시켜 스위치를 허브처럼 동작하게 만드는 공격 기법
스위치의 Fail Opne 정책을 악용하여 스니핑을 가능하게 함
- Fail Open : 장애가 발생할 경우, 모든 트래픽을 허용하여 가용성을 우선시하는 정책
- Fail Close : 장애가 발생할 경우, 모든 트래픽을 차단하여 보안을 우선시하는 정책

<포트 미러링(Port Mirroring)>

<포트 스캐닝(Port Scanning)>

ping 테스트: 네트워크에 존재하지 않는 MAC 주소로 위장된 ping 요청을 보내고, 이에 대해 ICMP Echo Reply가 반환되는 경우 스니퍼가 존재할 가능성을 판단
ARP Watch: 초기 IP 주소와 MAC 주소 매칭 데이터를 저장하고, ARP 트래픽을 모니터링하여 이상 패킷을 탐지하는 툴을 사용

옵션	설명	예제
-i [interface]	캡처할 네트워크 인터페이스 지정	`tcpdump -i eth0`
-w [filename]	캡처한 데이터를 `.pcap` 파일로 저장	`tcpdump -w capture.pcap`
-r [filename]	저장된 `.pcap` 파일을 읽음	`tcpdump -r capture.pcap`
-n	캡처한 패킷의 호스트 이름을 IP 주소로 표시 (DNS 조회 비활성화)	`tcpdump -n`
-nn	포트 번호를 서비스 이름 대신 숫자로 표시	`tcpdump -nn`
-c [count]	캡처할 패킷의 개수를 지정	`tcpdump -c 10`
-s [snaplen]	캡처할 패킷의 길이를 지정, 기본값은 262144	`tcpdump -s 128`
-X	패킷 데이터를 16진수(hex)와 ASCII로 출력	`tcpdump -X`
-A	패킷 데이터를 ASCII 형식으로 출력	`tcpdump -A`
-v	출력 정보를 자세히 표시 (Verbose 모드)	`tcpdump -v`
-vv	더 자세한 정보를 출력	`tcpdump -vv`
-e	링크 계층(header) 정보를 추가로 출력	`tcpdump -e`
-t	출력에서 타임스탬프를 제거	`tcpdump -t`
-q	출력 정보를 간략하게 표시	`tcpdump -q`
-C [filesize]	파일 크기가 지정된 값(메가바이트 단위)을 초과하면 새 파일로 분할 저장	`tcpdump -w capture.pcap -C 10`
-G [seconds]	지정된 시간(초 단위)마다 새 파일로 저장	`tcpdump -w capture.pcap -G 60`
-Z [user]	tcpdump 실행 후 지정된 사용자로 권한을 변경	`tcpdump -Z nobody`
-F [file]	필터 조건을 파일에 저장한 뒤, 해당 파일을 로드하여 사용	`tcpdump -F filter.txt`

Sentinel란 원격지 서버에서 네트워크 스니핑을 탐지하는 보안 툴로 다양한 방식(ARP, DNS, Etherping)을 통해 검사 수행

./sentinel –a –t 211.47.65.4

DNS 테스트 : -d 옵션은 DNS 기반 스니핑 탐지 테스트이며 -f 옵션은 특정 출발지 IP(1.1.1.1)를 지정하여 DNS 응답 조작 여부 검사

./sentinel –d –f 1.1.1.1 –t 211.47.65.4

./sentinel –e –t 211.47.65.4

Results: 211.47.65.4 tested positive to etherping test.

스니핑 장치는 일반적으로 TCP/IP 프로토콜을 기반으로 동작하므로 ICMP 패킷을 이용하여 탐지 가능
탐지 방법
1. 네트워크에 존재하지 않은 MAC 주소로 위장된 ping(ICMP Echo Request) 패킷을 특정 시스템으로 전송
2. 정상적인 네트워크 환경에서는 응답이 오지 않아야 하지만 만약 해당 호스트가 ICMP Echo Reply를 반환하면 스니핑을 하고 있을 가능성 존재
3. 이는 존재하지 않는 MAC 주소로 송신된 패킷을 수신한 호스트가 Promiscuous Mode(무차별 모드)로 설정되어 있다는 증거가 됨

Ping 기법과 유사한 방식으로 위조된 ARP 요청을 전송하여 스니퍼를 탐지하는 방법
탐지 방법
1. 가짜 ARP Request 패킷을 네트워크로 전송
2. 정상적인 네트워크에서는 해당 요청에 대한 응답이 없어야 함
3. 그러나 ARP Reply(응답)이 반환된다면, 해당 시스템이 Promiscuous Mode(무차별 모드)에서 네트워크 트래픽을 감청하고 있을 가능성 존재

일반적으로 스니핑 툴은 사용자의 IP를 직접 표시하는 대신 도메인 이름을 변환하여 보여주는 기능인 Inverse-DNS Lookup을 포함
탐지 방법
1. 네트워크에서 DNS 트래픽을 모니터랑하여 Inverse-DNS Lookup이 과도하게 많이 발생하는지 감시
2. 정상적인 환경에서는 특정 서비스에서만 Inverse-DNS Lookup이 수행
3. 그러나 비정상적으로 빈번한 DNS 조회 요청이 감지된다면해당 시스템이 스니핑을 수행하고 있을 가능성이 존재