PRACTICE MATERIAL
7/30 - 발표 · 실습·개념 참고 화면 30
「2. 공격자 페이지를 다른 출처로 서비스」 문맥에 삽입된 원본 실습·개념 참고 화면이다. Snort 규칙과 검사 흐름 이해하기 학습 내용과 함께 당시 구성·설정·관찰 결과를 비교할 수 있다.
CONCEPT → PRACTICE → VERIFICATION
SPAN 수신 위치와 TCP 플래그 규칙을 연결하기
센서 가시성을 확인한 뒤 저장된 패킷의 조건을 규칙 헤더·옵션으로 옮긴다.
- 복제할 방향과 센서 연결 포트를 확인한다source interface f1/2 both는 양방향 프레임을 복제한다는 뜻이며 destination interface f1/1은 복제본을 받는 포트다.
- 패킷 조건을 필요한 필드로 좁힌다캡처에는 FIN·SYN·PSH·URG가 함께 있는 데이터 없는 TCP 프로브가 보인다. 이 조합과 Len=0을 규칙 조건으로 옮길 수 있다.
- 문법과 실제 일치를 별도 시험한다설정 검증은 규칙을 읽을 수 있는지 확인하고, PCAP 재현은 실제 표본이 조건에 맞는지 확인한다. 검증이 성공해도 경보가 반드시 생기는 것은 아니다.
