8/3 과제 - IP Spoofing 공격 및 대응 방안

0. IP Spoofing 정의

1. IP Spoofing 공격

2. IP Spoofing 대응 방안

---

0. IP Spoofing 정의

[그림 1] IP Spoofing Process

IP Spoofing은 공격자가 자신의 IP 주소를 변조하거나 속여서 접근 제어 목록(ACL: Access Control List)을 우회하거나 회피하여 공격하는 것을 말한다. 공격자는 변조된 IP 주소를 이용하여 서비스 거부 공격(DoS: Denial of Service)이나 연결된 세션을 차단하며 공격에 대한 추적을 어렵게 만든다.

 

1. IP Spoofing 공격

1.1. ARP Reply 패킷을 이용하여 MAC 주소 변조 후 Telnet 접속정보 Sniffing

1.2. IP Spoofing을 이용한 IP 접근제어 우회

 

2. IP Spoofing 대응 방안

2.1. Bogon-list를 사용한 Filtering 정책

[그림 0] Team Cymru의 Bogon Reference 창

이 정책은 고객 측의 Firewall과 같은 경계 장비에 적용된다. 실제 인터넷 라우팅 테이블에서 사용되지 않는 IP 대역들(ex. 사설 IP, 예약 주소)과 End User에게 아직 할당되지 않은 공인 IP 주소가 'http://www.team-cymru.org/bogon-reference.html' 사이트에 list로 업데이트된다. 해당 대역의 경우 Filtering 정책을 통해 외부에서 내부로 접근이 불가능하도록 설정하는 것이 보안상 안전하다.

 

2.2. uRPF (unicast Reverse Path Forwarding)

[그림 0] uRPF 개념

uRPF는 Outgoing Interface와 Ingoing Interface가 다르면, 패킷을 drop시키는 기능을 한다. uRPF는 트래픽을 보내는 Source가 신뢰할만한 곳이면, 그 곳에서 보내는 트래픽 역시 신뢰할 수 있다고 판단한다. uRPF는 Cisco 기준으로 2가지 Mode가 있는데, 각각 Loose Mode와 Strict Mode이다. 

Loose Mode는 제3자가 보내는 패킷의 Source Address가 자신의 Routing Table에 없으면 악의적인 트래픽이라고 판단하여 패킷을 drop한다. Strict Mode는 트래픽이 자신한테 들어오는 경로(Ingoing Path)가 자신이 보내는 경로(Outgoing Path)와 다르면 악의적인 트래픽이라고 판단하여 패킷을 drop한다. Strict Mode의 경우 정상적인 트래픽도 차단될 가능성이 있다.

uRPF는 주로 ISP(Internet Service Provider)와 같은 Service Provider 장비에 적용되는 IP Spoofing 방어법이다. Cisco Device에서 지원되는 기능이고, 해당 Device에 CEF(Cisco Express Forwarding)이 활성화되어 있어야 한다. 

 

* Unicast: 인터넷에서 전자메일, 화상회의를 위한 화상·음성 데이터 등을 하나의 송신자가 다른 하나의 수신자에게 1:1로 전송하는 방식. 여러 수신자가 같은 데이터를 원할 때 송신자는 데이터를 여러 번 복사하여 각각의 수신자의 IP 주소로 전송해야 한다.

 

2.3. IPSG (IP Source Guard)

[그림 0] IP Source Guard 개념

IP Source Guard는 Switch에서 IP Spoofing 공격을 방어하는 기법으로, DHCP Snooping 기능과 함께 사용이 가능하다. Switch가 특정 트래픽을 수신했을 경우 해당 패킷의 Source IP 주소와 자신의 DHCP Snooping Binding 테이블에 기록된 포트의 IP를 비교하여 서로 일치되는 경우에만 허용되는 원리이다. 만약 일치하지 않는 IP 주소를 수신하게 되면 해당 포트를 shutdown시킨다. GNS3 이더 스위치 모듈에서는 명령어가 지원되지 않고 IOU의 경우는 명령어는 지원이 되지만 동작을 하지 않는다. 따라서 IP Source Guard는 실장비에서만 Test가 가능하다. 

 

* DHCP(Dynamic Host Configuration Protocol): IP 주소와 같은 TCP/IP 통신을 수행하기 위한 네트워크 구성 파라미터들을 동적으로 설정하기 위해 사용되는 프로토콜. DHCP는 UDP패킷을 이용하는 비연결형 서비스 모델을 기반으로 한다.

  Snooping: 네트워크상에서 남의 정보를 염탐하여 불법으로 가로채는 행위. 네트워크 트래픽을 분석하기 위해 사용되기도 한다. (Sniffing의 유사어)