정보보안기사 실기 재도전 09 — 보안장비 설정·점검 (방화벽·iptables·IDS/IPS·Snort·SIEM·VPN·WAF)

정보보안기사 실기 재도전 09 — 보안장비 설정·점검 (방화벽·iptables·IDS/IPS·Snort·SIEM·VPN·WAF)

출제기준 주요항목 1. 시스템·네트워크 보안특성 파악 (1-4 보안장비별 보안특성)
/ 2. 취약점 점검·보완 (2-3 네트워크·보안장비 설정 점검)
방화벽·iptables·Snort는 단답부터 실무형 빈칸·룰 해석까지 폭넓게 나오는 단골입니다.
"무엇을 보는 장비인가 → 어떻게 설정하는가 → 오탐·미탐은 왜 생기는가" 순서로 정리합니다.

이전 편:

2026.11.02 - [자격증 정복/정보보안(산업)기사] - 정보보안기사 실기 재도전 08 — 네트워크 장비 보안 (서브넷·SNMP·스캐닝·VLAN·Router ACL·NAT)

정보보안기사 실기 재도전 08 — 네트워크 장비 보안 (서브넷·SNMP·스캐닝·VLAN·Router ACL·NAT)

 

---

이번 편 출제 맵 ⭐⭐⭐

주제	출제 회차 (예시)	유형
패킷 필터링 방화벽 (IP Spoofing 차단, Tiny Fragment, SPI 차이)	18회 13번	단답
iptables ping 차단 빈칸	31회 3번	단답
iptables DROP vs REJECT	10회 13번	서술
iptables 3가지 Chain, LOG 룰 해석	24회 15번	서술
iptables 유해 IP 차단 -j 빈칸	18회 15번	서술(리눅스 점검 중 일부)
iptables SYN Flooding 차단 (limit)	9회 16번	실무
iptables 동일 IP SYN 30개 이상 차단	21회 14번	실무
오용 탐지 / 이상 탐지 / FP·FN	13회 3번, 20회 5번, 21회 11번	단답·서술
HIDS / NIDS	19회 5번, 26회 10번	단답
IDS 탐지 시 대응 행위 4가지	25회 16번	서술
Snort 룰 빈칸·작성	3회 5번, 7회 4번, 11회 17번	단답·실무
Snort 룰 해석·수정	2회 12번, 14회 16번, 17회 15번, 20회 13번	서술·실무
Snort threshold type 3가지	22회 6번	단답
부정확한 Snort 룰의 문제점	30회 15번	서술
SIEM (기능 4단계 / 정의)	1회 6번, 31회 12번, 32회 5번	단답
NAC 물리적 구성 2가지	17회 12번	서술
IPsec VPN 정의·동작 모드	28회 13번 (+ 12회 2번)	서술
오픈소스 IDS/IPS (Suricata), EDR, DLP, Sandbox, 공개용 WAF	15회 5번, 16회 5번, 29회 4번, 32회 12번, 9회 4번	단답

 

(회차는 기출 원문 파일에서 직접 확인한 예시이며 전수 목록은 아닙니다.

아래 기출 중 원문 파일에 정답이 없는 문항은 표준 지식으로 채운 답이라고 따로 표시했습니다.)

---

1. 방화벽 (Firewall) ⭐⭐⭐

방화벽은 내·외부 네트워크 사이에서 트래픽을 정책에 따라 허용·차단하는 장비입니다.

유형 5가지 — "무엇을 보는가"로 구분

유형	보는 것	특징
패킷 필터링	IP · Port · 프로토콜	빠르고 단순, 상태 추적 불가, IP 스푸핑·Tiny Fragment에 취약
상태 검사 (Stateful / SPI)	연결(세션) 상태 테이블	정상 연결의 응답만 허용, 현재 방화벽의 표준
애플리케이션 게이트웨이 (프록시)	응용 계층 내용	서비스별 프록시, 내용 검사·사용자 인증·로깅, 보안성 높고 느림
회선 게이트웨이	TCP/UDP 연결	연결 단위 프록시, 응용 내용 제어는 불가
DPI (심층 패킷 검사)	페이로드까지	전 계층 검사

 

구축 유형

스크리닝 라우터   : 라우터의 패킷 필터링만 사용
듀얼 홈드 호스트  : NIC 2개, 내·외부 직접 라우팅 차단 + 프록시
스크린드 호스트   : 스크리닝 라우터 + 배스천 호스트
스크린드 서브넷   : 스크리닝 라우터 2대 + 배스천 호스트, 사이에 DMZ
⚠️ 배스천 호스트 = 외부에 노출되어 방어를 강화한 호스트 (부하 분산 장비가 아닙니다)

 

정책 원칙

① Default Deny : 기본은 모두 차단, 필요한 IP·Port만 허용
② 규칙은 위에서 아래로 순서대로 평가, 처음 일치한 규칙이 적용
③ Ingress / Egress 필터링으로 IP 스푸핑 방어 (08편)

 

18회 13번 — 패킷 필터링 방화벽 (4문항)

(1) IP Spoofing 차단 필터링 기법 : Ingress 필터링 (외부에서 들어오는 패킷의 출발지가
    내부 대역이면 차단) / Egress 필터링 (나가는 패킷의 출발지가 내부 대역이 아니면 차단)
(2) Tiny Fragment 공격의 목적 : TCP 헤더를 아주 작은 조각으로 쪼개 첫 조각에 포트 정보가
    들어가지 않게 만들어, 포트를 검사하는 패킷 필터링 규칙을 우회
(3) 대응 : 첫 조각의 최소 크기를 강제(너무 작으면 폐기) 또는 단편을 재조합한 뒤 검사
(4) SPI vs 일반 패킷 필터링 : 일반은 패킷 하나하나를 IP·Port 규칙으로 독립 판단,
    SPI는 세션 상태 테이블로 앞뒤 맥락(정상 연결의 응답인지)까지 판단

 

(18회 13번 원문 파일에는 정답이 없어서 표준 지식으로 채운 답입니다.)

---

2. iptables ⭐⭐⭐

구조

테이블(filter · nat · mangle) → 체인(INPUT · OUTPUT · FORWARD) → 규칙(조건 + 타깃)

INPUT   : 방화벽(이 서버)이 최종 목적지인 패킷
OUTPUT  : 방화벽(이 서버)이 출발지인 패킷
FORWARD : 방화벽을 경유해서 지나가는 패킷
타깃    : ACCEPT(허용) / DROP(조용히 폐기) / REJECT(거부 응답) / LOG(기록)

 

옵션 정리

옵션	의미
-A 체인	규칙 맨 뒤에 추가
-I 체인 [n]	맨 앞 또는 n번째에 삽입 (순서가 중요하므로 차단 규칙은 앞에)
-D 체인 n	삭제
-L -n	목록 보기 (숫자 출력)
-F	전체 삭제
-P 체인 DROP	체인의 기본 정책 지정
-s / -d	출발지 / 목적지 IP
--sport / --dport	출발지 / 목적지 포트
-m state --state	상태 추적 (NEW · ESTABLISHED · RELATED · INVALID)

 

31회 3번 — ping 차단 (정답이 원문에 있음)

# iptables -A INPUT -p ( 1 ) --icmp-type ( 2 ) -j ( 3 )
정답: (1) icmp  (2) 8  (3) DROP
ICMP type 8 = Echo Request(요청). 0 = Echo Reply(응답)이므로 헷갈리지 마세요.

 

18회 15번 (3) — 유해 IP 차단

iptables -A INPUT -p tcp -s 57.7.234.12 -j ( ㄷ )   →   DROP (또는 REJECT)
(원문에 정답이 없어 표준 지식 기준입니다. 보통 DROP으로 씁니다)

 

DROP vs REJECT — 10회 13번 (서술)

구분	DROP	REJECT
동작	응답 없이 조용히 폐기	차단하면서 ICMP unreachable / TCP RST로 거부 응답
공격자 입장	포트가 열려 있는지 닫혀 있는지 구분 못함 (정찰 방해)	방화벽이 있다는 사실과 차단 사실이 드러남
정상 사용자 입장	타임아웃까지 기다림	즉시 실패
보안 관점	유리 (정보 노출 최소화)	내부 정책상 빠른 실패가 필요할 때

10회 13번 답안 구조:
1) DROP : 패킷을 응답 없이 폐기
2) REJECT : 폐기하면서 송신자에게 거부 메시지(ICMP unreachable / RST) 전송
3) 보안상 DROP이 유리 : 공격자에게 서비스·방화벽 존재 정보를 주지 않고 스캔을 지연시킴
   (단, 내부 사용자에게는 REJECT가 장애 원인 파악에 편리)

 

24회 15번 — 3가지 Chain + LOG 룰 해석

1) INPUT / OUTPUT / FORWARD (위 구조 참고)
2) iptables -A INPUT -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "[Faked NEW request]"
   해석: SYN 플래그가 없는데(! --syn) 상태가 NEW로 들어온 TCP 패킷은
         정상적인 3-way handshake의 시작일 수 없는 비정상 패킷이므로
         "[Faked NEW request]" 접두어를 붙여 로그에 남긴다.
         (LOG 타깃은 기록만 하고 패킷은 다음 규칙으로 계속 진행 → 차단하려면 DROP 규칙을 이어서 추가)
(원문에 정답이 없어 표준 지식 기준으로 정리했습니다)

 

SYN Flooding 차단 — 9회 16번, 21회 14번 (실무형)

9회 16번 빈칸 : iptables -A INPUT -p tcp (A) -m limit (B) (C) DROP
  → (A) --syn  (B) --limit 10/s 처럼 "초당 허용 횟수"를 쓰는 자리로 읽힙니다.
  → 원문에 정답이 없습니다. 아래 정석 패턴을 같이 알아 두세요.

정석 1) limit 방식 : 허용 한도까지만 ACCEPT, 나머지는 DROP
  iptables -A INPUT -p tcp --syn -m limit --limit 10/s --limit-burst 20 -j ACCEPT
  iptables -A INPUT -p tcp --syn -j DROP

정석 2) connlimit 방식 : 같은 출발지 IP의 동시 연결 수 초과 시 DROP
  iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 30 -j DROP

정석 3) recent 방식 : 최근 N초 동안 같은 IP가 N번 이상이면 DROP (21회 14번 "2초 동안 30개 이상")
  iptables -A INPUT -p tcp --dport 80 --syn -m recent --name flood --set
  iptables -A INPUT -p tcp --dport 80 --syn -m recent --name flood --update --seconds 2 --hitcount 30 -j DROP

확장 모듈 구분 (21회 14번처럼 "옵션을 5개로 구분해 설명" 하라면)
  -p tcp --syn           : TCP SYN 패킷 대상
  --dport 80             : 목적지 포트 80
  -m recent --name ...   : 출발지 IP 목록을 만들어 추적
  --seconds 2            : 시간 창 2초
  --hitcount 30          : 그 안에 30회 이상이면 매칭
  -j DROP                : 매칭되면 폐기
connlimit = 동시 연결 수 / limit = 단위 시간당 횟수 / recent = 최근 IP 목록 기반

 

(21회 14번은 5개 옵션 구분 설명이 요구라서, 옵션 하나하나의 역할을 한 줄씩 쓰는 것이 부분 점수 포인트입니다.)

---

3. IDS · IPS ⭐⭐⭐

구분

구분	IDS	IPS
역할	탐지 + 경고 (수동적)	탐지 + 차단 (능동적)
설치	미러링 (SPAN/TAP, 경로 밖)	인라인 (경로 위)
장애 영향	네트워크에 영향 없음	장비 장애 시 전체 구간 장애로 확산 가능

 

HIDS vs NIDS

HIDS : 서버(호스트)에 설치, 사용자 행위·파일·로그 검사        예) Tripwire
NIDS : 네트워크 패킷을 실시간 검사                          예) Snort, Suricata
19회 5번: (ㄱ) 네트워크 기반 IDS (NIDS)  (ㄴ) 호스트 기반 IDS (HIDS)
26회 10번 정답: (A) HIDS  (B) NIDS
15회 5번: 오픈소스 IDS/IPS로 Snort의 장점을 수용하고 대용량 트래픽을 실시간 처리 → Suricata

 

탐지 방식과 오류 — 13회 3번, 20회 5번, 21회 11번

방식	비교 대상	장점	단점
오용 탐지 (Misuse, 시그니처)	알려진 공격 패턴	오탐(FP) 낮음	새로운 공격 탐지 어려움 → 미탐(FN) ↑
이상 탐지 (Anomaly)	정상 행위 프로파일 이탈	새로운 공격 탐지 가능	오탐(FP) 높음

13회 3번 정답 흐름 : 1) 오용 탐지  2) 이상 탐지  3) False Negative (미탐)
20회 5번 : A = False Positive (정상을 비정상으로 오판)  B = False Negative (비정상을 정상으로 오판)
21회 11번 : 1) 오용 탐지 = 알려진 공격 패턴과 비교해 일치하면 탐지
            2) 이상 탐지 = 정상 행위 프로파일을 만들고 벗어나면 탐지
            3) 장점 = 오탐률이 낮고 탐지 근거가 명확
            4) 단점 = 새로운(알려지지 않은) 공격은 탐지 불가, 시그니처를 계속 갱신해야 함

⚠️ FP = 정상을 공격으로 오판 (괜한 경보) / FN = 공격을 정상으로 오판 (놓침, 더 위험)

 

IDS가 공격을 탐지했을 때 할 수 있는 행위 4가지 — 25회 16번 (서술)

① 경보(알림) 발송 : 관리자에게 이메일·SMS·콘솔로 통지
② 로그 기록 : 공격 패킷·시각·출발지 등 증거 보존
③ 세션 종료 : TCP RST 전송 등으로 해당 연결 차단 (IDS의 제한적 대응)
④ 방화벽 연동 차단 : 출발지 IP를 방화벽·라우터 ACL에 등록해 차단
(원문에 정답이 없어 표준 지식 기준입니다. 같은 내용을 "경보·기록·연결 종료·방화벽 연동"으로 쓰면 됩니다)

---

4. Snort 룰 ⭐⭐⭐

룰 구조

룰 헤더 : action  protocol  출발IP  출발Port  방향  목적IP  목적Port
룰 옵션 : ( msg:"..."; content:"..."; ...; sid:...; )

alert tcp any any -> any 21 (msg:"Anonymous FTP attempt"; content:"anonymous"; nocase; sid:1000012;)

 

룰 옵션 정리

옵션	의미
msg	경고(이벤트) 이름
content	페이로드에서 찾을 문자열 (16진수는 |00FF|)
nocase	대소문자 구분 안 함
offset N	페이로드 시작에서 N바이트를 건너뛰고 검색 시작 (기본 0)
depth M	검색 시작 지점부터 M바이트까지만 검색
distance N	이전 content 매칭 이후 N바이트 떨어진 곳에서 검색 시작
within M	distance 지점부터 M바이트 이내
pcre	정규표현식
flags	TCP 플래그 (S=SYN, A=ACK, F=FIN, R=RST, P=PSH, U=URG)
sid	룰 ID (사용자 정의는 1,000,000 이상)
threshold	이벤트 발생 빈도 제한

⚠️ offset/depth는 "페이로드 시작" 기준, distance/within은 "이전 content 매칭 끝" 기준
⚠️ offset과 distance를 바꿔 쓰면 오답

 

3회 5번 / 7회 4번 / 11회 17번 — 빈칸·작성

3회 5번 : Alert tcp any any -> 192.168.0.1 (A) ((B):"/administrator"; (C):"Web Scan Detected";)
   → (A) 목적지 포트(예: 80)  (B) content  (C) msg   (원문에 정답이 없어 구조 기준으로 정리)

7회 4번 : alert tcp any any (( A ):"|00FF|"; ( B ):9, ( C ):2)
   → (A) content  (B) offset  (C) depth   (offset 9 = 앞 9바이트를 건너뛰고 10번째부터, depth 2 = 2바이트 안에서)
   (원문에 정답이 없어 옵션 의미 기준으로 정리)

11회 17번 : "Telnet(23) 접속 패킷 중 14번째 자리까지 'anonymous'가 포함되면 'Dangerous' 경고" 룰
   alert tcp any any -> any 23 (msg:"Dangerous"; content:"anonymous"; offset:0; depth:14;)
   (원문에 정답이 없어 표준 방식으로 작성한 예시입니다. 시험에서는 nocase 포함 여부를 문제 조건에 맞추세요)

 

17회 15번 — 옵션 의미 4가지

(1) msg:"GET Flooding"          → 경보 이름이 "GET Flooding"
(2) content:"GET / HTTP1."      → 페이로드에 "GET / HTTP1." 문자열이 있는지 검사 (HTTP GET 요청 매칭)
(3) content:"USER"; content:!"anonymous" → USER는 포함하되 anonymous가 아닌 경우 (! = 부정)
(4) content:"|00|"; depth:1     → 페이로드 첫 1바이트가 16진수 00인 패킷
(원문에 정답이 없어 옵션 의미 기준으로 정리)

 

2회 12번 — GET Flooding 룰 해석 (서술)

Alert tcp any any -> any any (
  msg:"Get Flooding"; content:"GET / HTTP1."; nocase; depth:13;
  threshold: type threshold, track by_dst, count 10, seconds 1; sid:1000999 )

1) 이벤트 명 : Get Flooding
2) nocase : 대소문자를 구분하지 않고 매칭
3) content "GET / HTTP1." : HTTP GET 요청의 첫 줄 (페이로드 앞 13바이트 안에서 검사, depth:13)
4) threshold type : 이벤트 제한 방식. 여기서는 type threshold → 목적지(by_dst)당 1초에 10번째 이벤트마다 알림

 

threshold type 3가지 — 22회 6번

type	의미
limit	지정 시간 동안 처음 count번까지만 알림
threshold	count번째 이벤트마다 알림
both	지정 시간 내 count번 이상이면 한 번만 알림

 

track by_src는 출발지 IP 기준, by_dst는 목적지 IP 기준입니다.

 

14회 16번 — 탐지 실패 룰 수정 (실무형)

alert any any -> any 80 (msg "XSS"; content "GET"; offset:1; depth:3;
   content:"/login.php.. XSS"; distance 1;)
탐지 못한 접근: Content:"/Login.php?id=..."

1) content:"GET"; offset:1; depth:3 : 페이로드 1바이트를 건너뛴 지점부터 3바이트 안에서 "GET" 검색
   → GET은 페이로드 맨 앞(0번째)에서 시작하므로 offset:1이면 G를 건너뛰어 매칭 실패
2) content:"/login.php XSS"; distance 1 : 앞의 content(GET) 매칭 이후 1바이트 떨어진 위치부터 검색
3) 수정 : GET 검색은 offset:0; depth:3, 두 번째 content에는 nocase를 붙여 "/Login.php"도 매칭,
   XSS 패턴은 문자열 하나가 아니라 pcre 또는 "<script"처럼 공격 특징 문자열로 구성
   (프로토콜 부분은 `alert tcp any any -> any 80`처럼 프로토콜 명시, msg 문법은 msg:"XSS";)

 

(14회 16번 원문에 정답이 없어 옵션 의미 기준으로 풀이한 답입니다.

원문 룰에 오타가 섞여 있어서 문법 오류도 지적 포인트로 쓸 수 있어요.)

 

20회 13번 — 룰 + 패킷 보고 공격 설명

Rule  : alert tcp any any -> any 21 (content:"anonymous"; nocase; msg:"Anonymous FTP attempt"; sid:1000012)
Packet: USER AnOnYmOuS
답안  : 21번 포트(FTP)로 익명(anonymous) 계정 로그인을 시도한 것. nocase 때문에 대소문자가 섞여
        있어도 탐지된다. → 익명 FTP 접속 시도(정보 수집·무단 접근 시도)

 

30회 15번 — 부정확한 Snort 룰의 문제점 (서술) ⭐⭐⭐

원문 해설에 정리된 4가지입니다 (이론 정리에 "32회"로 적혀 있던 항목이 원문에서는 30회 15번입니다).

① 오탐(FP) 급증 + 보안 피로도(Alert Fatigue)
   : 조건이 넓으면 정상 트래픽을 공격으로 판단. IPS면 정상 서비스 차단(서비스 장애),
     알람 폭주로 진짜 침해 알람을 놓치게 됨
② 미탐(FN) → 보안 공백
   : 조건이 너무 좁으면 변종 공격·단편화·offset 조작 같은 회피 기법을 못 잡음
③ 성능 저하 · 패킷 손실
   : pcre나 content 길이 미지정 등 고비용 룰이 많으면 CPU·메모리 사용 급증 → 지연, 패킷 드롭
④ ReDoS (정규표현식 DoS) 노출
   : 백트래킹을 유발하는 pcre를 공격자가 노리면 탐지 프로세스 CPU 100%로 마비

4회 14번 (참고) : tcp any any -> any any PCRE(/^POST.*Contentx2dLength...evilstring)
   문제 : ① 프로토콜이 any라 모든 포트·방향에서 pcre 검사 → 성능 저하
          ② `.*` 와일드카드로 백트래킹 유발 → 오탐·ReDoS 위험
   해결 : 포트·방향을 좁히고(content로 빠른 사전 필터 후 pcre), 정규식에서 `.*` 최소화
   (원문에 정답이 없어 표준 지식 기준)

---

5. SIEM · ESM · NAC · VPN · 기타 솔루션 ⭐⭐⭐

SIEM — 1회 6번 / 31회 12번 / 32회 5번

SIEM (Security Information and Event Management)
 : 서버·보안 시스템 로그를 수집해 빅데이터 기법으로 상관분석, 포렌식, 지능적 위협의 조기 경보를 제공하는 통합 분석 시스템
31회 12번 · 32회 5번 정답 : SIEM

1회 6번	과정	설명
(A)	수집	관제 대상 시스템의 에이전트가 SNMP·syslog 서버로 로그를 모으는 과정
(B)	집합 (Aggregation)	이벤트 누적 횟수 등 유사 정보를 그룹핑해 한 개로 취합
(C)	정규화 (Normalization)	다양한 로그 형식을 표준 포맷으로 변환
(D)	상관분석 (Correlation)	타임스탬프·IP·이벤트 규칙으로 여러 로그의 연관성을 분석

 

(1회 6번 원문에는 정답이 없고, 문제의 설명문으로 (A)수집 (B)집합 (C)정규화 (D)상관분석을 매칭한 것입니다.)

 

ESM · NAC · 기타

솔루션	핵심
ESM	여러 보안장비를 통합 관리. Agent(수집) → Manager(저장·분석) → Console(시각화·제어)
SOAR	분석·대응 자동화 (SIRP · SOA · TIP, 플레이북)
NAC	미등록·비인가 단말의 네트워크 접속 차단. 구성: 정책 서버 · 차단 서버 · 에이전트 · 콘솔
DLP	내부 중요 정보의 외부 유출 방지 — 29회 4번 정답: DLP
EDR	엔드포인트 행위 기반 탐지·조사·대응 (16회 5번: 단말 설치, 백신·HIDS·HIPS·HFW 기능, AI 기반 → EDR, 원문에 정답 없어 설명문 기준)
Sandbox	격리된 가상 환경에서 의심 파일 실행·분석 — 32회 12번 정답: Sandbox
허니팟	일부러 취약하게 만든 유인 시스템으로 공격 기법 수집·조기 경보
UTM	방화벽·IPS·VPN·백신 등을 한 장비에 통합
WAF	웹 공격(SQLi·XSS 등)을 7계층에서 탐지·차단. 공개용 = ModSecurity (9회 4번 Trustwave)

17회 12번 NAC 물리적 구성 2가지 (원문에 정답 없음, 표준 지식 기준):
  ① 인라인(In-line) : 트래픽 경로 위에 설치, 직접 차단. 장애 시 전체 영향
  ② 아웃오브밴드(Out-of-band) : 경로 밖에서 스위치·에이전트와 연동해 제어. 장애 영향 작지만 차단은 연동에 의존

 

IPsec VPN — 28회 13번 (서술)

정의 : OSI 3계층(네트워크 계층)에서 IP 패킷을 암호화하고 무결성을 검증해,
       인터넷 같은 공중망에서 안전한 터널을 제공하는 VPN. 기밀성·무결성·송신자 인증·재전송 방지를 제공
동작 모드 2가지 (원문 해설)
  ① 전송 모드 (Transport) : 원래 IP 헤더는 유지하고 페이로드만 보호 → 종단 호스트 간 통신
  ② 터널 모드 (Tunnel)   : 원본 IP 패킷 전체를 보호하고 새 IP 헤더를 붙임 → 게이트웨이 간 VPN (사이트 투 사이트)
12회 2번 : IPsec은 3계층 / 무결성·메시지 인증 = AH / 기밀성(암호화) = ESP  (원문에 정답이 없어 표준 지식 기준)

---

6. 보안장비 설정·점검 (출제기준 2-3) ⭐⭐

출제기준 2-3은 "장비에 어떤 설정이 되어 있어야 양호한가" 를 묻습니다. 아래 틀로 정리해 두면 서술형에서 자신 있게 쓸 수 있어요.

장비	점검 포인트
공통 (관리 접근)	기본 계정·패스워드 변경 · 계정별 권한 최소화 · 미사용 계정 삭제 · 공용 계정 지양(책임 추적성) · 관리자 IP 제한 · SSH/HTTPS로만 접속 · 세션 타임아웃
Firewall	Default Deny · 불필요한 Any 허용 룰 제거 · 룰 순서 점검 · 정책 변경 이력 관리 · 로그 보관
IDS/IPS	시그니처 최신 업데이트 · 오탐 많은 룰 튜닝 · 인라인 장애 시 Bypass 설정 확인 · 탐지 로그를 SIEM으로 연동
WAF	블랙리스트(Negative) + 화이트리스트(Positive) 정책 · 탐지 모드 → 차단 모드 단계 전환 · SSL 트래픽 복호화 구간 확인
VPN	강한 암호 알고리즘(AES, SHA-2) · 인증 방식(인증서·OTP) · 사용자별 접근 범위 제한 · 구형 프로토콜(PPTP) 지양
Anti-DDoS	네트워크 최상단에 위치해 다른 장비 보호 · 임계치·시그니처 설정 · SSL 오프로드로 암호화 트래픽 가시성 확보
Anti-APT	파일·문서를 추출해 샌드박스 실행 + 평판 조회로 악성 판단

인라인 vs 미러링 : IPS = 인라인(경로 위, 차단 가능, 장애 시 확산) / IDS = 미러링(경로 밖, 차단 어려움)
DMZ : 인터넷과 내부망 사이 공개 서버 구간 / 내부망은 직접 접근 불가

---

단답 키워드 표 ⭐⭐⭐

질문	답
상태 테이블로 응답 패킷만 허용하는 방화벽	상태 검사(Stateful, SPI)
방화벽 기본 정책	Default Deny (모두 차단 후 허용)
패킷 단편으로 포트 검사 우회	Tiny Fragment
ping 차단 iptables 빈칸	icmp / 8 / DROP
방화벽 경유 패킷 체인	FORWARD
응답 없이 폐기 / 거부 응답	DROP / REJECT
동시 연결 수 제한 모듈	connlimit
알려진 패턴 비교 탐지	오용 탐지
정상 프로파일 이탈 탐지	이상 탐지
정상을 공격으로 오판 / 공격을 정상으로 오판	False Positive / False Negative
호스트 기반 / 네트워크 기반 IDS	HIDS / NIDS
오픈소스 IDS/IPS, 멀티스레드·대용량	Suricata
페이로드 N바이트 건너뛰고 검색	offset
검색 범위 N바이트까지	depth
이전 content 이후 위치	distance
threshold type 3가지	limit / threshold / both
로그 수집→집합→정규화→상관분석	SIEM
ESM 구성 3요소	Agent · Manager · Console
격리 환경에서 의심 파일 실행	Sandbox
정보 유출 방지 솔루션	DLP
엔드포인트 행위 기반 탐지·대응	EDR
공개용 웹 방화벽	ModSecurity
IPsec 무결성 / 기밀성	AH / ESP

---

서술형 답안 구조 ⭐⭐⭐

오용 탐지 vs 이상 탐지 (정의 → 장단점)

오용 탐지 : 알려진 공격 패턴(시그니처)과 비교 → 오탐 낮음, 신종 공격 탐지 불가
이상 탐지 : 정상 행위 프로파일과 비교 → 신종 공격 탐지 가능, 오탐 높음

 

DROP vs REJECT (정의 → 비교 → 결론)

DROP = 무응답 폐기 / REJECT = 거부 응답 → 보안상 DROP이 정찰 방해에 유리, 내부 장애 분석엔 REJECT 편리

 

부정확한 Snort 룰의 문제점 (결과 4가지)

오탐 급증(서비스 장애·알람 피로) → 미탐(보안 공백) → 성능 저하·패킷 드롭 → ReDoS 노출

 

IPsec VPN (정의 → 모드 → 보안 기능)

3계층 암호화 터널 → 전송 모드(페이로드) / 터널 모드(전체 패킷) → 기밀성·무결성·인증·재전송 방지

 

방화벽 정책 점검 (실무 서술)

Default Deny 확인 → 불필요 Any 허용 제거 → 룰 순서·충돌 점검 → 관리 접근 SSH/HTTPS·IP 제한 → 변경 이력·로그 관리

---

⚠️ 함정 모음

⚠️ ICMP type 8 = Echo Request(ping 요청). 응답은 type 0
⚠️ -A는 맨 뒤 추가, -I는 앞 삽입. 차단 규칙이 허용 규칙 뒤에 있으면 무력화됨
⚠️ limit은 "허용 한도"를 만드는 모듈이라 보통 ACCEPT와 짝, 나머지를 DROP으로 막는다
⚠️ LOG 타깃은 기록만 하고 패킷은 다음 규칙으로 진행 (차단 아님)
⚠️ 오용 탐지는 오탐이 낮고 미탐이 높다 / 이상 탐지는 반대 (FP/FN 방향을 거꾸로 쓰면 감점)
⚠️ offset·depth는 페이로드 시작 기준, distance·within은 이전 매칭 기준
⚠️ threshold type: limit(처음 N번만) / threshold(N번째마다) / both(N번 이상이면 한 번만)
⚠️ 배스천 호스트는 부하 분산이 아니라 "방어를 강화한 노출 호스트"
⚠️ IPS는 인라인이라 자체가 장애 지점(SPOF)이 될 수 있다

---

기출 Q&A

Q. (31회 3번) 외부에서 리눅스 서버로 들어오는 ping을 차단하는 iptables -A INPUT -p ( 1 ) --icmp-type ( 2 ) -j ( 3 )의 빈칸은?

A. (1) icmp (2) 8 (3) DROP

 

Q. (32회 5번) 신속한 대응을 위해 여러 장비의 로그를 수집하고 빅데이터 기반으로 분석하는 솔루션은?

A. SIEM (Security Information Event Management)

 

Q. (22회 6번) Snort Threshold 옵션의 type 3가지는?

A. limit, threshold, both (처음 N번만 / N번째마다 / N번 이상이면 한 번만)

— 22회 파일에는 정답이 없어 표준 설명 기준입니다.

---

💡 실무에서는?

20년 인프라/보안 SI 경험에서 보안장비 점검의 현실은 "룰이 너무 많아서 아무도 모른다"입니다.

방화벽은 오래된 Any 허용 룰과 담당자가 떠난 룰이 쌓이는 게 가장 큰 문제라서, 정기적으로 룰 사용 이력(hit count)을 뽑아 안 쓰는 룰을 정리해요.

IPS는 처음부터 차단 모드로 올리면 정상 서비스가 막혀 장애가 나기 때문에 탐지 모드로 몇 주 튜닝한 뒤 차단으로 전환합니다.

 

시험의 "부정확한 Snort 룰의 문제점"이 실무에서는 오탐 폭주로 관제 요원이 경보를 무시하게 되는 상황과 똑같아요.

그래서 시그니처 업데이트만큼 룰 튜닝과 SIEM 연동이 중요합니다.

---

핵심 정리

✅ 방화벽: 패킷 필터링(IP·Port) / 상태 검사(세션) / 프록시(응용 내용), Default Deny + 룰 순서
✅ iptables: INPUT·OUTPUT·FORWARD, ping 차단 = icmp / 8 / DROP, DROP(무응답) vs REJECT(거부 응답)
✅ SYN Flood 차단: limit(빈도) / connlimit(동시 연결) / recent(최근 IP 목록)
✅ IDS vs IPS: 미러링·탐지 vs 인라인·차단, 오용(FP↓·신종 못 잡음) vs 이상(신종 가능·FP↑)
✅ Snort: 헤더 + 옵션, offset(건너뛰기)·depth(범위)·distance·within, threshold = limit / threshold / both
✅ 부정확한 룰: 오탐 급증 · 미탐 · 성능 저하 · ReDoS
✅ SIEM: 수집→집합→정규화→상관분석 / ESM: Agent·Manager·Console
✅ IPsec VPN: 3계층, AH(무결성)·ESP(기밀성), 전송·터널 모드
✅ 점검: 기본 계정 변경 · 관리자 IP 제한 · SSH/HTTPS · 룰 정리 · 시그니처 최신화

 

📌 참고: 2027년 출제기준 개편에서 실기 1-4에 EDR 및 EPP(백신) 솔루션과의 차이가 새로 들어가고, Anti-DDoS의 "대응장비" 표기가 "대응솔루션"으로 바뀝니다. 이번 11/14 시험은 현행 기준이니 위 EDR 개념 정도만 같이 챙겨 두세요.

 

다음 편에서는 보안관제 (웹 로그·패킷 분석·침해사고 대응)로 이어집니다!

 

궁금한 점은 댓글로 남겨주세요!

 

2026.10.27 - [자격증 정복/정보보안(산업)기사] - 정보보안기사 실기 재도전 01 — 소개·재도전 전략·출제 맵 (46점에서 합격으로)

정보보안기사 실기 재도전 01 — 소개·재도전 전략·출제 맵 (46점에서 합격으로)

2026.11.02 - [자격증 정복/정보보안(산업)기사] - 정보보안기사 실기 재도전 08 — 네트워크 장비 보안 (서브넷·SNMP·스캐닝·VLAN·Router ACL·NAT)

정보보안기사 실기 재도전 08 — 네트워크 장비 보안 (서브넷·SNMP·스캐닝·VLAN·Router ACL·NAT)