이상 징후 탐지
악의적인 트래픽을 찾아냅니다
이상 징후 탐지은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 3번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
정상과 비정상
이상 징후를 탐지한다는 것은 네트워크의 기준 상태에서 벗어나는 트래픽을 찾아내는 일입니다. 정상 상태를 알아야 비정상을 인식할 수 있습니다.
이 단원에서는 악성 활동을 드러내는 일반적인 패턴을 다룹니다.
포트 스캔
포트 스캔은 하나의 출발지가 한 호스트의 여러 포트에 접속을 시도하는 형태로 나타나며, SYN 패킷에 RST 응답이 돌아오는 경우가 많습니다.
단일 IP에서 순차적인 포트로 SYN을 짧은 시간에 연속해서 보내는 것은 전형적인 징후입니다.
10.0.0.9 -> host:22 SYN -> RST
10.0.0.9 -> host:23 SYN -> RST
10.0.0.9 -> host:80 SYN -> SYN-ACK
(one src, many ports = scan)비콘 통신
악성 코드는 흔히 비콘 통신을 수행합니다. 일정한 간격으로 명령 및 제어 서버에 접속하는 것입니다. 같은 목적지에 비슷한 크기의 연결이 주기적으로 이루어지는 것이 단서입니다.
사람의 웹 탐색에서는 나타나지 않는 시계처럼 정확한 타이밍을 찾아보십시오.
Connections to 185.x.x.x:443
12:00:03 12:05:03 12:10:02
(every ~300s = beacon)DNS 터널링
DNS 터널링은 DNS 쿼리 안에 데이터를 몰래 넣어 전송합니다. 한 도메인 아래에 길고 무작위로 보이는 하위 도메인이 많이 나타나는 것이 특징입니다.
인코딩된 레이블을 포함한 쿼리가 하나의 도메인으로 대량 전송되면 의심해 볼 만합니다.
DNS query: a7f3k9d2.tunnel.bad.com
DNS query: x1m4p8q0.tunnel.bad.com
(long random labels = exfil/tunnel)예상 밖의 프로토콜
잘못된 포트에서 사용되는 프로토콜을 주의하십시오. 예를 들어 443에서 SSH가 사용되거나 HTTPS가 예상되는 곳에서 원시 TCP가 사용되는 경우입니다.
공격자는 방화벽을 빠져나가기 위해 흔한 포트에 트래픽을 숨깁니다. 와이어샤크의 프로토콜 탐지 기능을 사용하면 이러한 불일치를 찾을 수 있습니다.
대규모 외부 전송
워크스테이션이 갑자기 기가바이트 단위의 데이터를 외부로 전송한다면 데이터 유출을 나타낼 수 있습니다.
통계 메뉴의 통신 목록을 열고 바이트 수로 정렬하여 외부 IP로 비정상적으로 많은 데이터를 보내는 호스트를 찾으십시오.
Statistics -> Conversations
Sort by Bytes (A->B)
Watch internal host -> unknown external의심스러운 사용자 에이전트
HTTP에서 이상하거나 비어 있는 사용자 에이전트 문자열은 자동화 도구나 위장조차 하지 않은 악성 코드의 존재를 나타낼 수 있습니다.
비정상적인 에이전트를 필터링하여 스크립트로 동작하는 클라이언트를 찾아내십시오.
http.user_agent contains 'curl'
http.user_agent contains 'python'
http.user_agent == ''실패한 연결 폭주
많은 RST 패킷이 발생하거나 연결이 완료되지 않은 SYN이 반복되면 스캔, 무차별 대입 공격 또는 서비스 거부 시도를 나타낼 수 있습니다.
반쯤 열린 연결이 급증하면 조사할 가치가 있습니다.
tcp.flags.reset == 1
tcp.flags.syn == 1 and tcp.flags.ack == 0ARP와 스푸핑
로컬 네트워크에서는 ARP 이상 징후를 주의하십시오. 두 IP가 동일한 MAC을 사용한다고 주장하거나 ARP 응답이 빠르게 반복되는 경우입니다. 이는 중간자 공격이나 ARP 스푸핑을 암시합니다.
와이어샤크는 주소 중복 ARP를 자동으로 표시합니다.
성급히 판단하지 말고 상관관계 분석하기
이상한 패킷 하나만으로 공격이 입증되는 경우는 드뭅니다. 시간과 호스트 전반에서 여러 지표의 상관관계를 분석하여 확신을 높이십시오.
비콘 통신, 알려진 악성 도메인, 대규모 전송이 함께 나타나면 강력한 근거가 되지만, 어느 하나만으로는 근거가 약합니다.
도움이 되는 도구
와이어샤크 외에도 지크와 수리카타 같은 도구를 사용하면 원시 패킷을 구조화된 로그와 경고로 대규모 변환할 수 있습니다.
이 도구들은 그렇지 않으면 수작업으로 수행해야 할 이상 징후 탐지의 상당 부분을 자동화합니다.
빠른 확인
이상 징후 탐지에 대한 이해도를 확인해 보십시오.
복습
트래픽에서 이상 징후를 탐지하는 방법을 배웠습니다.
- 포트 스캔: 하나의 출발지가 여러 포트에 접속합니다.
- 비콘 통신: 일정한 시간 간격으로 명령 및 제어 서버에 연결합니다.
- DNS 터널링: 길고 무작위적인 하위 도메인을 사용합니다.
- 잘못된 포트의 프로토콜, 대규모 외부 전송, RST 패킷 폭주, ARP 스푸핑을 주의하십시오.
- 여러 지표의 상관관계를 분석하고, 대규모 환경에서는 지크와 수리카타를 사용하십시오.
다음에는 캡처 데이터에서 파일과 자격 증명을 추출합니다.
AI 튜터와 함께 Cyber Security Academy을(를) 배우세요 — 무료
브라우저에서 실제 코드를 작성하고 실행하며, 24/7 AI 튜터로부터 즉각적인 도움을 받고, 웹이나 앱에서 중단한 부분부터 계속 학습하세요.
- 코스
- 76
- 레슨
- 303
자주 묻는 질문
“이상 징후 탐지” 강의는 무료인가요?
네 — “이상 징후 탐지” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
“이상 징후 탐지”에서 뭘 배우나요?
악의적인 트래픽을 찾아냅니다 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.
Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?
사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 3번째 강의입니다.
“이상 징후 탐지” 강의는 얼마나 걸리나요?
대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.
이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?
네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.