PRACTICE MATERIAL
7/10 - RIP (수동축약, default information) · 실습·개념 참고 화면 5
에 삽입된 원본 학습 화면이다. pfSense의 Snort 관리 화면에서 Blocked Hosts 메뉴와 차단 목록의 저장·새로고침 설정을 확인하는 화면이다.
CONCEPT → PRACTICE → VERIFICATION
SPAN 수신 위치와 TCP 플래그 규칙을 연결하기
센서 가시성을 확인한 뒤 저장된 패킷의 조건을 규칙 헤더·옵션으로 옮긴다.
- 복제할 방향과 센서 연결 포트를 확인한다source interface f1/2 both는 양방향 프레임을 복제한다는 뜻이며 destination interface f1/1은 복제본을 받는 포트다.
- 패킷 조건을 필요한 필드로 좁힌다캡처에는 FIN·SYN·PSH·URG가 함께 있는 데이터 없는 TCP 프로브가 보인다. 이 조합과 Len=0을 규칙 조건으로 옮길 수 있다.
- 문법과 실제 일치를 별도 시험한다설정 검증은 규칙을 읽을 수 있는지 확인하고, PCAP 재현은 실제 표본이 조건에 맞는지 확인한다. 검증이 성공해도 경보가 반드시 생기는 것은 아니다.
