스니핑 도구들
| OS |
이름 |
설명 |
| Windows 기반 |
Ethereal |
UNIX 용 Ethereal을 Windows로 포팅한 것으로 오픈 소스 |
| Windump |
Tcpdump를 Windows 용으로 포팅한 것. |
| NAI Sniffer |
스니핑 뿐 아니라, 다양한 통계 기능 등 제공(상용) |
| EtherPeek |
스니핑 뿐 아니라, 다양한 통계 기능 등 제공(상용) |
| AiroPeek |
EtherPeek를 제조한 WildPackets 사의 제품으로 무선 네트워크 상의 스니핑 도구(상용) |
| Cain&Abel |
스니핑 기능 외에도 패스워드 크래킹 등 다양한 기능이 포함된 통합 툴. 스위칭 환경에서의 스니핑 및 각종 프로토콜에
대한 디코드 기능을 가지고 있음.(상용) |
| UNIX 기반 |
tcpdump |
Command-line 툴로 해킹보다는 트러블슈팅의 용도로 가장 많이 사용되는 툴 |
| Ethereal |
GUI 기반으로 UNIX 용 GUI 스니핑 도구로서 매우 훌륭한 기능을 가지고 있음 |
| snoop |
Sun Solaris 시스템 등에서 기본적으로 제공하는 스니핑 도구 |
| Sniffit |
연결된 세션 내용 정보 등을 쉽게 볼 수 있음 |
| AiroPeek |
EtherPeek를 제조한 WildPackets 사의 제품으로 무선 네트워크 상의 스니핑 도구(상용) |
| dsniff |
송덕준 (Dug Song)이 개발한 스위칭 환경에서의 해킹 도구. 스니핑 툴만 포함된 것이 아니라 SSH나 SSL에
대한 Man-in-the-Middle-Attack 툴이 포함되어 있음. 각종 프로토콜에 대한 사용자ID, 암호 정보를 쉽게 수집해
줌. |
| LinSniff |
각종 프로토콜에 대한 사용자 ID, 암호 정보를 쉽게 수집합니다만 dsniff보다는 적은 프로토콜을 지원합니다.
하지만 좀 더 가볍습니다. |
| esniff |
Phrack Magazine에 소개된 툴 |
| ettercap |
스위칭 환경에서의 스니핑 툴 |
| snmpsniff |
SNMP 전용 스니핑 툴 |
스니핑에 취약한
프로토콜
앞서 말한 바와 같이 일단 패킷을 악의적인 사용자가 가로채어 보는 것은 그리 어려운 일이 아니다. 이런 시도를
탐지하는 방법도 알려져 있기는 하지만 일단 이런 시도 자체를 완전 봉쇄하는 것은 불가능하다고 볼 수 있다.
하지만 이렇게 얻어낸
패킷이 모두 유용한 것은 아니며, 암호화되지 않거나 암호화되더라도 너무도 간단한 방법으로 되어 쉽게 복호화 해낼 수 있는 그런 프로토콜에서
사용되는 패킷이 공격자에 의해 사용될 수 있다. 그런 종류의 프로토콜을 스니핑에 취약한 프로토콜이라 할 수 있는데 스니핑에 취약한 프로토콜을 몇
가지 예로 든다.
(1) Telnet, Rlogin
Telnet, Rlogin의 사용자 ID,
패스워드를 비롯한 모든 통신의 내용은 암호화되지 않아 모든 통신 내용을 쉽게 볼 수 있다.
(2) HTTP
HTTP의 사용자 인증으로 많이 사용되는 Basic Authentication 방법은 아주 기본적인 방법으로 encode되기
때문에 쉽게 사용자 ID, 패스워드 정보를 얻어낼 수 있다.
(3) SNMP
SNMP 프로토콜은 단순
네트워크 관리 프로토콜(Simple Network Management Protocol)이라는 이름과 같이 보안을 거의 고려하지 않았다. SNMP
프로토콜은 SNMPv1, SNMPv2, SNMPv3로 나뉘어 뒤로 갈수록 보안은 강화되었지만 아직도 가장 많이 사용되는 것은 SNMPv1
프로토콜이다. SNMP의 패스워드와 같은 역할을 하는 커뮤니티 이름을 비롯한 모든 통신 내용이 암호화 되지 않는다.
(4)
기타
NNTP, POP, FTP, IMAP, SMTP 등
스니핑의 방어
스위치에 브로드캐스트 도메인, MAC 주소 수동 설정 등을 함으로 패킷을 가로채는 시도를 줄일 수는 있으나 앞서 말한 바와 같이
다른 사용자가 패킷을 가로채는 시도를 원천 봉쇄하는 것은 불가능하다. 따라서 패킷을 가로채더라도 그것의 내용을 가지고 어떠한 행동조차 할 수
없도록 암호화 기법을 이용하는 것이 가장 일반적이고 중요한 스니핑의 방어 기법이라고 할 수 있다.
(1) SSL 적용
HTTP, IMAP, POP, SMTP, Telnet 등은 SSL을 적용하여 HTTPS, IMAPS, POPS, SMTPS,
Telnets 등으로 할 수 있다. SSL은 물론 HTTP에 가장 많이 활용되며 이를 적용하여 사용자 이름, 패스워드 및 전자 상거래 결재 정보
등 웹 서핑의 내용을 암호화 할 수 있다.
(2) PGP, S/MIME
SMTP 상으로 보내지는 메일은
기본적으로 암호화 되지 않기 때문에 스니핑하여 그 내용을 쉽게 얻어낼 수 있다. PGP, S/MIME 등을 이용하여 메일에 대한 암호화 기능을
제공할 수 있다.
(3) SSH
암호화 통신을 제공하여 Telnet, FTP, RCP, Rlogin
등을 대치할 수 있다.
(4) 사설망 혹은 가상사설망(VPN)
스니핑이 우려되는 네트워크 상에
전용선(leased line)으로 직접 연결함으로 중간에 도청되는 것을 막는 것이 사설망이다. 하지만 이는 거리가 멀어질수록 인터넷을 이용하는
것에 비해 비용이 매우 비싸질 수 밖에 없다. 인터넷 회선을 이용하며 사설망의 효과를 줄 수 있는 것이 VPN입니다. VPN 장비 간의 암호화를
통해 도청을 막을 수 있다.
결론
스니핑은 다양한 형태로 네트워크 상에서 이루어질 수 있으며
다음과 같은 두 가지 단계로 볼 수 있다.
- 패킷 가로채기
- 가로챈 패킷 디코딩을 통해 주요 정보 획득
패킷을 가로채는 시도는 차단하기 매우 어려우며 디코딩을 통해 주요 정보를 얻어내는 것을 막기 위해 SSL, SSH, VPN,
PGP 등 다양한 기법이 이용될 수 있다.
[출처] (주)코코넷
시큐레터 12월호 |
|
