정보보안기사 실기 재도전 04 — 프로토콜 ① 계층·PDU 헤더, IP·ARP·RARP·ICMP·라우팅

올드 IT직장인 2026. 11. 3. 08:54

정보보안기사 실기 재도전 04 — 프로토콜 ① 계층·PDU 헤더, IP·ARP·RARP·ICMP·라우팅

출제기준 주요항목 1. 시스템·네트워크 보안특성 파악 (1-2 프로토콜별)
단답 비중이 높은 편입니다.
계층별 PDU, IP 헤더·단편화 계산, ARP/RARP/ICMP 타입, 라우팅 프로토콜 이름을 정확히 외우는 편이에요.

이번 편 출제 맵 ⭐⭐⭐

주제	출제 회차 (예시)	유형
라우팅 프로토콜 (RIP·OSPF·EIGRP)	22회 1번	단답
ARP Request 목적지 주소	22회 7번	단답
RARP (MAC → IP)	27회 2번	단답
ARP 캐시 테이블 보고 공격 판단	25회 17번, 6회 16번	실무
스위치 포워딩 방식	30회 7번	단답
ICMP 차단(iptables)	31회 3번	단답
IP 단편화 표기 해석·계산	9회 5번, 산업기사 30회 17번	단답·계산

(회차는 기출 파일과 이론 정리 문서에서 확인한 예시입니다. 전수 목록은 아니에요. 05편에서 이어지는 TCP·UDP·SSL/TLS·IPsec·DoS는 05편으로 넘깁니다.)

1. 계층별 프로토콜 · PDU ⭐⭐⭐

계층	대표 프로토콜·장비	PDU	보안 포인트
응용	HTTP(80), HTTPS(443), FTP(20/21), SMTP(25), POP3(110), IMAP(143), DNS(53), SNMP(161/162), Telnet(23), SSH(22)	데이터(메시지)	서비스별 취약점
전송	TCP(연결형), UDP(비연결형)	세그먼트(TCP), 데이터그램(UDP)	SYN Flood, 스캔
인터넷	IP, ICMP, ARP, IPsec, 라우팅(RIP·OSPF·BGP)	패킷	스푸핑, 단편화 공격
네트워크 접근	Ethernet(MAC), 스위치, 무선랜	프레임	MAC Flooding, WEP

단답 키워드: 인터넷 계층 PDU = 패킷 / 네트워크 접근(링크) 계층 PDU = 프레임 / 전송 계층 PDU = 세그먼트
⚠️ 헤더에 포트 번호가 있으면 전송 계층, IP 주소면 인터넷 계층, MAC 주소면 링크 계층

2. IP 헤더 · 단편화 ⭐⭐

IP 헤더 주요 필드

Version · IHL(헤더 길이) · ToS · Total Length
Identification · Flags(DF, MF) · Fragment Offset
TTL · Protocol · Header Checksum
Source IP · Destination IP

필드	의미
Identification	같은 원본 패킷에서 나온 조각은 같은 값
Flags	DF(단편화 금지), MF(More Fragment: 뒤에 조각이 더 있음)
Fragment Offset	원본 데이터 내 위치, 8바이트 단위
TTL	라우터를 지날 때마다 1 감소, 0이 되면 폐기
Protocol	상위 프로토콜 (TCP 6, UDP 17, ICMP 1)

MTU는 한 번에 보낼 수 있는 최대 패킷 크기이며 이더넷은 1500바이트입니다.

단편화 계산 순서 ⭐⭐

1. 조각 하나의 최대 데이터 = (MTU − IP 헤더 20)를 8의 배수로 내림
2. 조각 수 = ⌈원본 데이터 ÷ 조각당 최대 데이터⌉
3. Offset = (앞 조각까지 누적 데이터) ÷ 8
4. 마지막 조각만 MF = 0, 나머지는 MF = 1

예) 데이터 400바이트, IP 헤더 20바이트, MTU 124바이트

조각당 최대 데이터: 124 − 20 = 104 (8의 배수 ✓)
조각 수: 400 ÷ 104 → 4개 (104 · 104 · 104 · 88)
전체 길이: 124 · 124 · 124 · 108
Offset:   0 · 13 · 26 · 39     (104÷8 = 13)
MF:       1 · 1 · 1 · 0

⚠️ Offset은 바이트 ÷ 8 입니다. 바이트 값을 그대로 쓰면 오답!
⚠️ 마지막 조각의 전체 길이 = 남은 데이터 + 20 (헤더)
⚠️ 조각당 데이터가 8의 배수가 아니면 내림해서 맞춰야 합니다 (예: MTU 1500 → 1480)

단편화를 악용하는 공격

공격	방법
Teardrop	Offset을 조작해 조각이 중첩되게 → 재조합 오류
Tiny Fragment	아주 작은 조각으로 쪼개 방화벽 필터 우회
Ping of Death	큰 ICMP 패킷을 다수 조각으로 보내 재조합 부하·오류 유발

3. ARP · RARP ⭐⭐⭐

구분	방향	설명
구분	방향	설명
ARP	IP → MAC	요청은 브로드캐스트(목적지 MAC `FF:FF:FF:FF:FF:FF`), 응답은 유니캐스트. 결과는 ARP 캐시(`arp -a`)에 저장
RARP	MAC → IP	디스크 없는 워크스테이션이 부팅 시 IP를 얻을 때 사용
BOOTP	MAC → IP + 부팅 정보	RARP 발전형 (서브넷 마스크, 게이트웨이 등)
DHCP	동적 IP 할당	BOOTP 발전형

22회 7번: ARP Request의 목적지 주소 → 브로드캐스트 FF:FF:FF:FF:FF:FF
27회 2번: MAC으로 IP를 할당받는 디스크 없는 장비용 프로토콜 → RARP
⚠️ ARP와 RARP는 방향이 반대. "MAC → IP로 부팅 시 IP 할당" = RARP

ARP 스푸핑 (실무형 단골) ⭐⭐⭐

원리: 공격자가 위조 ARP Reply를 피해자에게 지속 전송
      → 게이트웨이 IP ↔ 공격자 MAC 으로 ARP 캐시 오염
      → 패킷이 공격자를 경유 (MITM, IP 포워딩으로 연결 유지) → 스니핑·변조
탐지: arp -a 에서 서로 다른 IP가 같은 MAC / Wireshark에서 요청 없는 다수 ARP Reply
대응: 정적 ARP (arp -s 게이트웨이IP MAC), ARPwatch, 스위치 DAI·Port Security, 암호화 통신

25회 17번 유형:

1) 출력 명령            → arp -a
2) 판단되는 공격         → ARP 스푸핑
3) 이유                 → 서로 다른 IP(192.168.100.1과 .5)가 같은 MAC을 가짐
4) 게이트웨이 실제 MAC이 00-0a-00-62-c6-09일 때 대응
                       → arp -s 192.168.100.1 00-0a-00-62-c6-09

(25회 파일에는 해설이 없어, 이론 정리 문서의 ARP 스푸핑 설명을 기준으로 정리한 답입니다.

시험지 보기에서 같은 MAC이 중복되는 행을 찾는 것이 핵심이에요.)

4. ICMP ⭐⭐⭐

타입	이름	용도
8	Echo Request	ping 요청
0	Echo Reply	ping 응답
3	Destination Unreachable	목적지 도달 불가
5	Redirect	경로 변경 안내
11	Time Exceeded	TTL 만료 (traceroute가 이용)
12	Parameter Problem	헤더 오류

ping: Echo Request를 보내 Echo Reply로 접근성 · RTT · 패킷 손실 확인. 응답 TTL로 경유 홉 수 추정 가능
ping -l 65500 -n 100 IP (Windows): 큰 페이로드를 반복 전송 → Ping of Death 유형

외부에서 들어오는 ping 차단 (31회 3번)

iptables -A INPUT -p icmp --icmp-type 8 -j DROP
                   (1)           (2)       (3)
정답: (1) icmp  (2) 8  (3) DROP
⚠️ 차단 대상은 Echo Request(8)입니다. Echo Reply(0)가 아닙니다.

5. 라우팅 프로토콜 · 스위치 ⭐⭐

라우팅 프로토콜 (22회 1번)

프로토콜	알고리즘	특징
RIP	거리 벡터	가장 오래되고 널리 사용되는 내부(IGP), 최대 홉 15
OSPF	링크 상태	링크 상태 변화 시에만 정보 교환, 대규모 망
EIGRP	하이브리드	시스코, 거리 벡터 + 링크 상태 장점
BGP	경로 벡터	AS(자율 시스템) 간 라우팅

22회 1번 정답: (A) RIP  (B) OSPF  (C) EIGRP
라우팅 테이블 확인: netstat -rn (Linux route -n, Windows route print)

스위치 프레임 포워딩 방식 (30회 7번)

방식	검사 범위	지연	오류 프레임
Store-and-Forward	프레임 전체 수신 후 CRC 검사	가장 큼	완벽 차단
Cut-Through	목적지 MAC(앞 6바이트)만 확인 후 즉시 전송	가장 작음	차단 불가
Fragment-Free	앞 64바이트(충돌 단편 구간) 확인	중간	충돌 조각(Runt) 차단

⚠️ Fragment-Free의 64바이트는 "최소 프레임 크기". 충돌로 깨진 짧은 프레임을 걸러내는 기준

단답 키워드 표 ⭐⭐⭐

질문	답
인터넷 계층 PDU	패킷
링크 계층 PDU	프레임
전송 계층 PDU (TCP)	세그먼트
IP → MAC 변환	ARP
MAC → IP 변환	RARP
ARP Request 목적지 MAC	FF:FF:FF:FF:FF:FF
ARP 캐시 확인 명령	arp -a
ping 요청 / 응답 ICMP 타입	8 / 0
TTL 만료 시 ICMP 타입	11 (Time Exceeded)
단편화 시 Offset 단위	8바이트
거리 벡터 / 링크 상태 / 하이브리드	RIP / OSPF / EIGRP
AS 간 라우팅	BGP
프레임 전체 검사 후 포워딩	Store-and-Forward
목적지 MAC만 보고 포워딩	Cut-Through

서술형 답안 구조 ⭐⭐⭐

ARP 스푸핑 (정의 → 원리 → 대응)

정의: 위조 ARP 응답으로 ARP 캐시를 오염시켜 통신을 가로채는 MITM 공격
원리: 게이트웨이 IP에 공격자 MAC을 매핑 → 피해자 패킷이 공격자를 경유
대응: 정적 ARP, ARPwatch 같은 감시 도구, 스위치 DAI/Port Security, 구간 암호화(SSH·TLS)

단편화 공격

정의: IP 단편화·재조합 과정의 취약점을 악용 (Teardrop, Tiny Fragment, Ping of Death)
위험: 재조합 오류로 시스템 장애, 방화벽 필터 우회
대응: 패치, 단편화 패킷 재조합 후 검사하는 방화벽, 비정상 Offset·크기 패킷 차단

⚠️ 함정 모음

⚠️ ARP = IP → MAC / RARP = MAC → IP (방향 반대)
⚠️ ping 차단은 ICMP 타입 8 (Request). 0은 응답
⚠️ Offset은 바이트 ÷ 8, 마지막 조각만 MF = 0
⚠️ RIP(거리 벡터) / OSPF(링크 상태) / EIGRP(하이브리드, 시스코) 짝을 바꿔 쓰지 말 것
⚠️ Fragment-Free = 앞 64바이트, Cut-Through = 목적지 MAC(앞 6바이트)
⚠️ PDU 이름: 패킷(인터넷) / 프레임(링크) / 세그먼트(전송)

기출 Q&A

Q. (22회 7번) ARP Request를 보낼 때 목적지 주소를 형식에 맞게 쓰시오.

A. FF:FF:FF:FF:FF:FF (이더넷 브로드캐스트)

Q. (22회 1번) 거리 벡터 방식의 가장 오래된 내부 라우팅 프로토콜, 링크 상태 변화 시에만 정보를 교환하는 프로토콜, 시스코의 하이브리드 프로토콜은?

A. RIP, OSPF, EIGRP

Q. (31회 3번) iptables -A INPUT -p ( 1 ) --icmp-type ( 2 ) -j ( 3 ) 로 외부에서 들어오는 ping을 차단하려면?

A. (1) icmp (2) 8 (3) DROP

💡 실무에서는?

20년 인프라/보안 SI 경험에서 ARP 스푸핑은 현장에서도 흔한 사고예요.

내부망에서 갑자기 통신이 느려지거나 인증서 경고가 뜨면 arp -a로 게이트웨이 MAC이 바뀌었는지부터 봅니다.

스위치가 DAI와 Port Security를 지원하면 켜 두는 것이 좋고, 장비가 지원하지 않으면 중요한 서버만이라도 정적 ARP를 잡습니다. ICMP는 전부 막으면 장애 진단이 어려워지니, Echo Request(8)만 외부에서 차단하고 내부 진단용 허용 범위는 따로 정리하는 편이 현실적이에요.

핵심 정리

✅ PDU: 전송=세그먼트 / 인터넷=패킷 / 링크=프레임
✅ 단편화: Offset = 바이트 ÷ 8, 마지막 조각만 MF = 0
✅ ARP(IP→MAC, 브로드캐스트 FF:FF:FF:FF:FF:FF) / RARP(MAC→IP)
✅ ARP 스푸핑 탐지: 서로 다른 IP, 같은 MAC → arp -s 로 정적 설정
✅ ICMP: 8 Request / 0 Reply / 3 Unreachable / 5 Redirect / 11 Time Exceeded
✅ 라우팅: RIP(거리 벡터) / OSPF(링크 상태) / EIGRP(하이브리드) / BGP(AS 간)
✅ 스위치: Store-and-Forward / Cut-Through / Fragment-Free

📌 참고: 2027년 출제기준 개편에서 실기 1-2-3의 "IP, ARP, RARP, ICMP, Routing"에서 RARP가 삭제되고, 1-2에 클라우드 네트워크(VPC, Security Group)가 추가됩니다.

이번 11/14 시험은 현행 기준이라 RARP도 공부해야 해요.

다음 편에서는 프로토콜 ② TCP·UDP·SSL/TLS·IPsec, DoS/DDoS 원리, 무선으로 이어갑니다!

궁금한 점은 댓글로 남겨주세요!

저작자표시 비영리 동일조건 (새창열림)