정보보안기사 실기 재도전 10 — 보안관제 (웹 로그·패킷·세션 분석, 침해사고 대응, 포렌식)
출제기준 주요항목 3. 보안관제 및 대응 (3-1 정보수집·모니터링 / 3-2 로그분석·대응)
이 파트는 외우는 것보다 "로그를 보고 공격 이름 → 성공 여부와 이유 → 대응"을 말하는 해석형이 핵심입니다.
실무형 2문항 중 하나로 자주 나오는 영역이라, 해석 순서를 몸에 익히는 게 목표예요.
이전 편:
정보보안기사 실기 재도전 09 — 보안장비 설정·점검 (방화벽·iptables·IDS/IPS·Snort·SIEM·VPN·WAF)
정보보안기사 실기 재도전 09 — 보안장비 설정·점검 (방화벽·iptables·IDS/IPS·Snort·SIEM·VPN·WAF)출제기준 주요항목 1. 시스템·네트워크 보안특성 파악 (1-4 보안장비별 보안특성)/ 2. 취약점 점검·
tech.seanney.pe.kr
이번 편 출제 맵 ⭐⭐⭐
| 주제 | 출제 회차 (예시) | 유형 |
|---|---|---|
| 주제 | 출제 회차 (예시) | 유형 |
| SQL Injection 웹 로그 해석 | 22회 17번, 5회 4번, 2회 16번 | 실무·단답 |
| Blind SQL Injection 로그 (substr 반복) | 4회 12번, 11회 15번 | 서술·실무 |
디렉터리 트래버설(%c0%80) 로그, 성공 여부 |
17회 14번 | 실무 |
| Apache 접근 로그 필드 해석 | 24회 10번 | 단답 |
netstat SYN_RECEIVED 다수 → SYN Flooding |
3회 3번, 5회 3번 | 단답 |
netstat -rn 라우팅 테이블 게이트웨이 |
6회 4번 | 단답 |
| Wireshark DNS 응답 필터 | 7회 6번 | 단답 |
| 침해사고 조사 명령어 (find, tcpdump) | 11회 12번 | 서술 |
| Wireshark 캡처 해석 (SYN Flood / DNS 증폭 / Slow POST) | 9회 16번, 18회 16번, 15회 15번 | 실무·서술 |
| 보안 도구 (hping3, YARA, Tripwire, Nessus, mimikatz) | 32회 8번, 18회 2번, 31회 4번, 17회 1번 | 단답 |
| 관제 3요소 | 29회 15번 | 서술 |
| 침해사고 대응 7단계 | 17회 6번 | 단답 |
| Cyber Kill Chain 7단계 | 28회 3번, 7회 8번 | 단답 |
| MITRE ATT&CK, APT | 17회 3번, 26회 7번 | 단답 |
| KISA 경보 단계 5가지 | 14회 6번 | 단답 |
| 디지털 포렌식 / 5원칙 / Chain of Custody | 30회 9번, 16회 12번, 8회 13번 | 단답·서술 |
| 백업 스크립트 권한 / umask | 15회 14번 | 서술 |
(회차는 기출 원문 파일에서 직접 확인한 예시이며 전수 목록은 아닙니다.
이론 정리 문서의 일부 문항 번호가 원문과 달라서, 이 글의 번호는 모두 원문 기준으로 다시 맞췄습니다.
원문에 정답이 없는 문항은 표준 지식으로 채운 답이라고 표시했어요.)
1. 웹 로그 분석 ⭐⭐⭐
Apache 접근 로그 한 줄 읽기 — 24회 10번
200.3.1.4 - - [30/May/2023:01:20:01 +09:00] "GET /bulletin/read.php?no=101&item=book HTTP/1.1" 200 3549
"http://test.co.kr/main.php" "Mozilla/5.0 (compatible;MSIE 10.0;Windows NT 6.1;WOW64;Trident/6.0)"
필드: 클라이언트 IP / ident / 인증 사용자 / 시각 / "메서드 URI 프로토콜" / 상태 코드 / 응답 바이트 / Referer / User-Agent
1) no=101&item=book : GET 방식으로 전달한 파라미터. 게시물 번호 101번, item(항목)은 book
2) HTTP 상태코드 : 200 (요청 정상 처리)
3) http://test.co.kr/main.php : Referer. 이 페이지에서 링크를 타고 접속했다는 뜻 (이전 페이지)
(24회 10번 원문에는 정답이 없고 로그 필드 구조 기준으로 풀이한 답입니다.)
상태 코드로 성공 여부 판단
| 코드 | 의미 | 공격 로그 해석 |
| 200 | 정상 처리 | 공격 요청이 처리됐을 가능성 (응답 크기도 함께 확인) |
| 301/302 | 리다이렉트 | |
| 403 | 접근 거부 | 차단됨 |
| 404 | 없음 | 해당 경로가 없어 공격 실패 가능성 |
| 500 | 서버 내부 오류 | SQL 구문 오류 등 취약점 탐색 단서 |
공격별 로그 패턴 판별표
| 공격 | 로그에서 보이는 패턴 |
| SQL Injection | ' %27, or 1=1, union select, -- #, 같은 URL에 파라미터만 바꿔 반복 |
| Blind SQLi | substr( ascii( sleep( benchmark(, 응답 크기·시간 차이로 참/거짓 판단 |
| XSS | <script> %3Cscript%3E, onerror=, document.cookie |
| 디렉터리 트래버설 | ../ %2e%2e%2f, 유니코드 %c0%ae %c0%80, /etc/passwd, cmd.exe |
| 웹쉘 업로드 | POST /upload 이후 업로드된 .php 접근 (cmd= 파라미터) |
| 스캐너 | User-Agent에 sqlmap nikto, 짧은 시간에 다수의 404 |
| 무차별 대입 | POST /login 동일 계정 다수 반복 |
22회 17번 — SQL Injection 로그 (실무형)
GET /member/login.php?user_id=1' or '1' = '1'# &user_pw=foo HTTP/1.1
GET /member/login.php?user_id=1' or '1' = '1 &user_pw=foo HTTP/1.1
1) 취약점 : SQL Injection (인증 우회)
2) 판단 이유 : user_id 파라미터에 작은따옴표(')와 항상 참인 조건(or '1'='1'), 주석(#)이 들어가
쿼리의 WHERE 조건을 조작하려는 시도임. 비밀번호 검증을 우회하려는 전형적 패턴
3) 대응 : ① Prepared Statement(바인딩 변수) 사용 ② 입력값 검증(특수문자 필터링·화이트리스트)
③ 에러 메시지 노출 제한 ④ DB 계정 최소 권한 ⑤ WAF 적용
(22회 17번 원문에는 정답이 없어 표준 지식으로 풀이한 답입니다)4회 12번 — Blind SQL Injection 로그 (서술)
GET /login?id=1'+and+substr(password,2,1)='0'#
GET /login?id=1'+and+substr(password,2,1)='1'#
GET /login?id=1'+and+substr(password,1,1)='2'#
GET /login?id=1'+and+substr(password,1,1)='3'#
1) 공격 기법 : Blind SQL Injection (Boolean 기반)
2) 원리 : 에러나 결과가 직접 보이지 않으므로, substr()로 비밀번호를 한 글자씩 잘라
'0','1','2' … 값을 대입해 보며 응답이 참일 때와 거짓일 때의 차이(화면·응답 크기)로 글자를 하나씩 알아냄
3) 결과 : 반복 시도 끝에 관리자(id=1) 계정의 비밀번호를 한 글자씩 알아내 전체 비밀번호를 획득
(4회 12번 원문에는 정답이 없어 표준 지식 기준입니다)11회 15번 : view.php?no=1 union select(substr(database(),0,1))='t' → 결과 '1' 출력
1) Blind SQL Injection 2) DB 이름의 글자 확인 → 이어서 테이블·컬럼·계정 정보 추출
3) 화면 '1' 출력만 막는 HTML 수정은 근본 대책이 아님: 서버 쿼리가 계속 실행되고 응답 크기·시간 차이로 여전히 추론 가능
→ 대응: Prepared Statement, 입력값 검증, DB 오류 메시지 제어
(원문에 정답이 없어 표준 지식 기준)17회 14번 — 디렉터리 트래버설 + 성공 여부 (실무형)
192.168.0.11 192.168.0.30 GET /script/..%c0%80%ef../winnt/system32/cmd.exe?/c+dir 404 420 324 HTTP 1.0
(1) 취약점 : 디렉터리 트래버설(유니코드 우회 `%c0%80`, Unicode/Directory Traversal)을 이용한 cmd.exe 실행 시도
(2) 성공 여부 : 실패. 상태 코드가 404(해당 경로 없음)이므로 요청한 경로의 cmd.exe가 실행되지 않았음
(3) 대응 2가지 : ① 웹 서버·OS 최신 패치(유니코드 디코딩 취약점 해결) ② 웹 루트 밖 접근 차단·경로 정규화·WAF 적용
(원문에 정답이 없어 로그 해석 기준으로 풀이했습니다)2회 16번 / 5회 4번 — SQL 인젝션 이름 맞히기
2회 16번 : ?password=' or id='admin';-- → SQL Injection (인증 우회)
5회 4번 : /login.php?id%3D%27user%27%20and%20pw%3D%271%27%20or%201%3D1 → 200 3926
URL 인코딩된 ' / = 를 디코딩하면 or 1=1 → SQL Injection. 상태 200이므로 공격이 통했을 가능성웹 로그 답안 3종 세트 ⭐⭐⭐
① 공격 이름 (SQL Injection / XSS / 트래버설 / 웹쉘 …)
② 성공 근거 (상태 코드 200 · 응답 크기 변화 · 후속 요청 존재)
③ 대응 (코드 수정 + 설정/패치 + 보안장비 순서)2. 패킷 · 세션 분석 ⭐⭐⭐
netstat — 상태 해석
| 상태 | 의미 |
| LISTEN | 포트를 열고 대기 |
| ESTABLISHED | 연결됨 |
| SYN_RECEIVED (SYN_RECV) | SYN을 받고 SYN+ACK를 보낸 뒤 ACK를 기다리는 반개방 상태 |
| TIME_WAIT | 연결 종료 후 대기 |
3회 3번 · 5회 3번 : 21번(FTP) 포트에 동일 출발지 IP의 SYN_RECEIVED 상태가 다수 존재
→ SYN Flooding 공격 (반개방 연결이 쌓여 연결 큐 고갈)
(원문에 정답이 없어 netstat 상태 의미 기준으로 풀이)
대응은 05편 SYN Cookie, backlog 확대, 방화벽 임계치(09편 iptables limit/connlimit)6회 4번 — netstat -rn 라우팅 테이블 해석
Destination Gateway Genmask
10.0.96.100 10.0.160.1 255.255.255.255 UGH ← 호스트 경로
10.0.64.0 10.0.160.2 255.255.255.0 UG
10.0.64.0 10.0.160.3 255.255.192.0 UG ← 10.0.64.0/18 (64~127)
10.0.128.0 10.0.160.4 255.255.192.0 UG ← 10.0.128.0/18 (128~191)
10.0.160.0 * 255.255.254.0 U ← 직접 연결
127.0.0.0 * 255.0.0.0 U
0.0.0.0 10.0.160.5 0.0.0.0 UG ← 기본 경로
원칙 : 가장 길게 일치하는(Longest Prefix Match) 경로를 사용
(A) 10.0.96.100 → /32 호스트 경로 일치 → 10.0.160.1
(B) 10.0.122.100 → 10.0.64.0/18 (64~127) → 10.0.160.3
(C) 10.0.192.100 → 일치하는 경로 없음 → 기본 경로 10.0.160.5
(원문에 정답이 없어 위 계산 기준으로 풀이했습니다)Wireshark / tcpdump 필터
| 목적 | 명령 |
| DNS 응답 패킷만 (7회 6번) | dns.flags.response == 1 |
| 특정 IP | ip.addr == 1.2.3.4 |
| 특정 포트 | tcp.port == 80 |
| HTTP GET만 | http.request.method == "GET" |
| SYN 패킷만 (스캔·Flood) | tcp.flags.syn == 1 && tcp.flags.ack == 0 |
| tcpdump 두 호스트 간 (11회 12번 3) | tcpdump -i eth0 host 192.168.256.3 and host 192.168.10.48 |
| tcpdump 저장 | tcpdump -i eth0 -w capture.pcap |
⚠️ 11회 12번의 192.168.256.3은 옥텟이 255를 넘는 잘못된 IP입니다. 시험에선 문제 그대로 쓰되,
주소 표기가 틀렸음을 알고 있으면 침착하게 쓸 수 있어요.
11회 12번 1), 2) 침해사고 조사 명령 (원문에 정답이 없어 표준 방식 기준):
최근 7일 내 변경된 파일 : find / -mtime -7
root 소유 SetUID 파일 : find / -user root -perm -4000Wireshark 캡처 해석 사례
9회 16번 : 동일 목적지:80으로 서로 다른 출발지 포트에서 SYN만 반복 → TCP SYN Flooding
→ 서버는 SYN_RECEIVED 연결이 쌓여 새 연결 수락 불가 (서비스 거부)
15회 15번: POST 요청의 Content-Length는 10,000,000인데 작은 TCP 패킷(길이 42)만 천천히 반복 → Slow HTTP POST 계열
18회 16번: 두 호스트가 여러 외부 IP로 "ANY ripe.net" DNS 쿼리를 반복 → DNS 증폭(Amplification, DrDoS) 공격
(피해자 IP를 출발지로 위조한 질의로 큰 응답을 피해자에게 쏘게 만듦)
(위 세 문항은 04~05편의 DoS 설명과 이어집니다. 원문에 정답이 없어 캡처 설명문 기준으로 정리했습니다)리눅스 침해 흔적 점검 명령
lsof -i :포트 : 포트를 연 프로세스 확인 (28회 5번: 열린 파일 정보 출력 명령 → lsof)
netstat -anp : 포트·PID 확인
ps -ef · last · w : 프로세스·로그인 기록
Windows : netstat -ano · tasklist · tasklist /svc3. 보안 점검 · 분석 도구 ⭐⭐⭐
| 설명 키워드 | 도구 | 출처 |
| Salvatore Sanfilippo, 패킷 생성·분석, DoS 모의 | hping3 | 32회 8번 (원문 정답) |
| 악성코드 시그니처 규칙 분류, 문자열·바이너리 패턴·정규식 | YARA | 18회 2번 |
| 파일 무결성 점검 | Tripwire | 31회 4번 |
| Tenable, 취약점 진단, 패스워드·민감정보 취약점 점검 | Nessus | 31회 4번 |
| mimikatz로 NTLM·LANMAN 해시를 탈취해 원격 로그인 | Pass the Hash | 17회 1번 |
| 검색로봇 수집 허용/제한 파일 | robots.txt | 24회 6번 |
도구 문제는 설명문의 "회사명·만든 사람·용도" 키워드로 고릅니다.
Nmap = 스캔 / Snort·Suricata = IDS·IPS / Burp·Paros = 웹 프록시 / sqlmap = SQL 인젝션 자동화
(31회 4번, 32회 8번은 원문에 정답이 있고, 18회 2번·17회 1번·24회 6번은 설명문 기준 표준 답입니다.)
4. 보안관제 체계와 침해사고 대응 ⭐⭐⭐
보안관제 3요소 — 29회 15번 (서술, 원문 해설)
① 인력(People) : 관제 요원·보안 전문가. 24시간 모니터링, 오탐/정탐 분류, 침해 시 분석·대처·보고
② 프로세스(Process) : 관제 절차·대응 매뉴얼. 탐지 → 분석 → 대응 → 보고의 표준화
③ 기술/시스템(Technology) : SIEM·IDS/IPS·방화벽 등 관제 도구와 인프라침해사고 대응 7단계 — 17회 6번
사고 전 준비 → 사고 탐지 → (초기 대응) → 대응 전략 체계화 → 사고 조사 → 보고서 작성 → 해결
17회 6번 빈칸 정답: 초기 대응
(원문에 정답이 없어 KISA 침해사고 대응 절차 기준입니다)Cyber Kill Chain 7단계 — 28회 3번, 7회 8번
정찰 → 무기화 → 전달 → 악용(취약점 공격) → 설치 → 명령 및 제어(C2) → 목표 달성(표적 행동)
28회 3번 정답: 사이버 킬 체인 (Cyber Kill Chain)
7회 8번: APT 대비책으로 록히드마틴이 특허 등록한 7단계 공격 분석 프레임워크 → 사이버 킬 체인APT · MITRE ATT&CK · KISA 경보
26회 7번 : 표적 조직에 침투해 오랜 기간 탐지를 회피하며 정보를 수집·유출하는 지능형 공격 → APT
17회 3번 : 사이버 공격 전술·기술 정보 기반, 킬 체인을 확장한 프레임워크 → MITRE ATT&CK
14회 6번 : KISA 사이버 위협 경보 단계 → 정상 · 관심 · 주의 · 경계 · 심각
(원문에 정답이 없어 일반적으로 알려진 단계명 기준이며, 최신 지침을 한 번 더 확인하세요)디지털 포렌식
정의 (30회 9번 정답: 디지털 포렌식) : 디지털 기기의 데이터를 수집·분석해 범죄·사건의 증거를 과학적으로 찾아내는 수사 기법
5원칙 (16회 12번) : 정당성 · 재현 · 신속성 · 연계 보관성(Chain of Custody) · 무결성
- 정당성 : 적법한 절차로 증거를 수집
- 재현 : 같은 조건에서 같은 결과가 나와야 함
- 신속성 : 휘발성 증거는 즉시 수집
- 연계성 : 수집부터 법정 제출까지 담당자·이동 기록을 끊김 없이 관리
- 무결성 : 원본 변조 방지, 해시값으로 증명
8회 13번 Chain of Custody : 증거 획득 → 이송 → 보관 → 분석 → 법정 제출
→ (A) 이송 (B) 보관 (C) 분석 (원문에 정답이 없어 표준 절차 기준)
휘발성 수집 순서 : 휘발성 높은 것부터 → 레지스터·캐시 → 라우팅/ARP 테이블·프로세스 → 메모리 → 임시 파일 → 디스크 → 원격 로그
증거 보존 : 쓰기 방지 장치(Write Blocker) + 복제본으로 분석 + 해시값 기록
(원문에 정답이 있는 건 30회 9번과 29회 15번뿐이고, 나머지는 포렌식 표준 원칙 기준입니다.)
5. 백업 · 복구 · 로그 관리 (3-2 중 백업·복구) ⭐⭐
백업 방식
| 방식 | 기준 | 복구 | 용량·시간 |
| 전체 백업 | 전부 | 가장 빠름 | 가장 큼 |
| 차등 백업 | 마지막 전체 백업 이후 변경분 | 전체 + 차등 1개 | 중간 |
| 증분 백업 | 마지막 백업(종류 무관) 이후 변경분 | 전체 + 증분 모두 순서대로 | 가장 작음 |
⚠️ 차등의 기준점 = 마지막 "전체" 백업 / 증분의 기준점 = 마지막 "어떤" 백업
3-2-1 규칙 : 사본 3개, 매체 2종, 1개는 오프사이트 (랜섬웨어 대비 분리 보관이 핵심)15회 14번 — 백업 파일 권한 문제 (서술)
rw-r--r-- root root /data/backup/etc_YYYYMMDD.tgz (이런 백업 결과 파일)
1) 문제점 : 권한이 644라 root 외 모든 사용자가 읽을 수 있음 → /etc, /home 백업에는
계정·설정·개인 데이터가 포함되므로 정보 유출 위험. 백업 파일은 600(root만)이어야 함
2) umask 변경 후 생성하고 복원 :
OLD=$(umask); umask 077
tar czf /data/backup/etc_$(date +%Y%m%d).tgz /etc
umask $OLD
3) operator만 읽기 (삭제·실행 불가) :
chown operator /data/backup/backup.sh ; chmod 400 /data/backup/backup.sh
(원문에 정답이 없어 표준 방식으로 작성한 풀이입니다)로그 관리 원칙
별도 서버에 원격 저장(변조 방지) · 무결성 보호 · 보관 기간 준수 · logrotate로 주기적 회전·압축
로그 보관 용량 = 1건 크기 × 건수 × 보관 일수 (예: 500B × 1,000건 × 30일 = 15,000,000B ≈ 15MB)단답 키워드 표 ⭐⭐⭐
| 질문 | 답 |
| 로그의 Referer 의미 | 이전(유입) 페이지 |
| 상태 코드 200 / 404 / 403 / 500 | 정상 / 없음 / 거부 / 서버 오류 |
| 파라미터 한 글자씩 substr 반복 | Blind SQL Injection |
%c0%80, ../ 포함 요청 |
디렉터리 트래버설 |
| netstat SYN_RECEIVED 다수 | SYN Flooding |
| 라우팅 경로 선택 원칙 | Longest Prefix Match |
| DNS 응답만 보는 Wireshark 필터 | dns.flags.response == 1 |
| 열린 파일·포트 연 프로세스 | lsof |
| 패킷 생성·DoS 모의 도구 | hping3 |
| 악성코드 규칙 기반 분류 | YARA |
| 파일 무결성 점검 | Tripwire |
| Tenable 취약점 진단 | Nessus |
| NTLM 해시로 원격 로그인 | Pass the Hash |
| 관제 3요소 | 인력 · 프로세스 · 기술 |
| 침해사고 대응 7단계 빈칸 (탐지 다음) | 초기 대응 |
| Kill Chain 7단계 | 정찰·무기화·전달·악용·설치·C2·목표 달성 |
| 공격 전술·기법 지식 베이스 | MITRE ATT&CK |
| 포렌식 5원칙 | 정당성·재현·신속성·연계성·무결성 |
| 차등 백업 기준 | 마지막 전체 백업 |
서술형 답안 구조 ⭐⭐⭐
웹 로그 분석 (실무형 3종 세트)
공격 이름 → 판단 근거(패턴·상태코드·응답 크기) → 성공 여부 → 대응(코드·설정·장비)침해사고 대응 절차
준비 → 탐지 → 초기 대응(격리·증거 보존) → 전략 수립 → 조사(로그·메모리·디스크) → 보고 → 해결(복구·재발 방지)디지털 포렌식 5원칙
정당성 → 재현 → 신속성 → 연계성 → 무결성, 각 원칙을 한 줄로 설명보안관제 3요소
인력(분석·대응) · 프로세스(절차·표준화) · 기술(SIEM·IDS/IPS 등 도구)⚠️ 함정 모음
⚠️ 상태 코드 404는 공격 "시도"의 증거일 뿐, 성공은 아님 (17회 14번)
⚠️ 200이라고 항상 성공은 아님 → 응답 크기와 후속 요청까지 확인
⚠️ SYN_RECEIVED 다수 = SYN Flooding (ESTABLISHED가 아님)
⚠️ 라우팅 경로는 Longest Prefix Match (표의 위쪽 순서가 아님)
⚠️ 차등 백업 = 마지막 전체 이후 / 증분 = 마지막 백업 이후
⚠️ 포렌식은 휘발성 높은 것부터 수집, 원본이 아닌 복제본으로 분석
⚠️ Kill Chain(7단계)과 침해사고 대응(7단계)은 이름과 순서가 다름
⚠️ 이론 정리 문서의 일부 기출 번호가 원문과 다를 수 있으니 시험 직전엔 원문 문항 번호보다 내용을 기억하세요기출 Q&A
Q. (29회 15번) 네트워크 보안관제의 3요소는?
A. 인력(People), 프로세스(Process), 기술(Technology)
Q. (28회 3번) 공격 단계와 요소를 파악해 선제 공격하겠다는 군사 용어에서 온, APT 대응 7단계 프레임워크는?
A. 사이버 킬 체인 (Cyber Kill Chain)
Q. (32회 8번) Salvatore Sanfilippo가 만든 TCP/IP 패킷 생성·분석 도구는?
A. hping3
💡 실무에서는?
20년 인프라/보안 SI 경험에서 보안관제의 어려움은 "탐지"보다 "분류"입니다.
하루에도 수천 건씩 올라오는 경보 대부분이 오탐이라, 시험의 "성공 근거를 쓰라"는 문항이 실무의 정탐/오탐 분류와 똑같은 일을 합니다.
웹 로그에서는 공격 시도 자체보다 같은 IP가 이후 200 응답으로 업로드된 파일에 접근했는지, 응답 크기가 갑자기 달라졌는지를 보는 게 핵심이에요.
포렌식은 현장에서 대부분 "원본 전원을 내려도 되나?"의 판단이 먼저입니다.
메모리와 연결 정보 같은 휘발성 증거를 먼저 확보한 뒤 이미지를 뜨는 순서가 시험의 휘발성 수집 순서와 같아요.
백업 파일 권한 같은 기본 설정이 허술해 사고가 나는 경우도 정말 많습니다.
핵심 정리
✅ 웹 로그: 공격 이름 → 근거 → 성공 여부(상태 코드·응답 크기) → 대응
✅ Blind SQLi: substr 반복 + 참/거짓 응답 차이, 트래버설: ../ · %c0%80
✅ netstat SYN_RECEIVED 다수 = SYN Flooding, 라우팅은 Longest Prefix Match
✅ Wireshark DNS 응답 = dns.flags.response == 1, 리눅스 흔적 = lsof · find -mtime / -perm -4000
✅ 도구: hping3 · YARA · Tripwire · Nessus · mimikatz(Pass the Hash)
✅ 관제 3요소 = 인력·프로세스·기술, 침해 대응 7단계(초기 대응), Kill Chain 7단계
✅ 포렌식 5원칙 = 정당성·재현·신속성·연계성·무결성, 휘발성 높은 것부터
✅ 백업: 전체 / 차등(마지막 전체 이후) / 증분(마지막 백업 이후), 3-2-1, 백업 파일 권한 600📌 참고: 2027년 출제기준 개편에서 실기 주요항목 3의 이름이 "보안 로그 수집·분석 및 침해 대응"으로 바뀌고, 3-2-5 개인정보 유출사고 원인·재발방지가 추가됩니다. 이번 11/14 시험은 현행 기준이에요.
다음 편에서는 위험분석·정보보호대책 + 백업·재해복구로 이어집니다!
궁금한 점은 댓글로 남겨주세요!
반응형