SNMP: OID 조회·Counter 계산·Trap 해석

01개념과 구성 요소

• Manager·AgentManager가 장비의 Agent에 값을 요청하며 Agent는 관리 객체의 값을 반환한다.
• MIB·OIDMIB는 객체의 의미·타입을 정의하고 OID는 객체 및 인스턴스를 식별한다.
• 조회와 알림Get 계열 조회, Set 변경, Trap·Inform 알림은 서로 다른 메시지 동작이다.

02누적 트래픽 Counter를 초당 비트 수로 읽는 순서

1. 인터페이스 선택ifDescr 등으로 대상 인덱스를 확인하고 같은 행의 octet counter를 선택한다.
2. 첫 표본 저장카운터 값과 실제 수집 시각을 함께 기록한다. 값 하나는 누적량이며 현재 속도가 아니다.
3. 두 번째 표본 수집같은 객체·인스턴스를 다시 조회하고 두 시각의 실제 차이를 구한다.
4. 불연속 검사장비 재시작·카운터 폭에 따른 wrap·인덱스 변경을 확인한다. 단순 음수 차이를 정상 속도로 쓰지 않는다.
5. 단위 계산정상 증가량을 초 단위 시간 차로 나누고 octet을 bit로 표시하려면 8을 곱한다.

03Manager와 Agent: 어느 쪽이 요청하는가

• Manager·AgentSNMP는 관리 대상 장비의 상태를 일정한 이름과 자료형으로 조회하고 일부 설정을 변경하거나 사건 알림을 받는 관리 프로토콜이다. Cacti 같은 Manager가 질의하고 라우터·서버의 Agent가 응답한다.
• 웹 관리와 차이웹 화면을 제공하는 Cacti를 서버라고 부르더라도 SNMP 조회 방향에서는 요청을 시작하는 쪽이다.
• Net-SNMP 서비스Net-SNMP의 snmpd는 조회에 응답하는 Agent이고 snmptrapd는 비동기 알림을 받는 수신기다. 둘을 같은 역할로 설치하면 안 된다.
• 포트의 역할관례상 Agent 조회는 UDP 161, 알림 수신은 UDP 162를 사용하며 응답의 목적지는 요청자가 사용한 포트이다.
• Polling폴링은 정해진 시각의 값을 읽는 표본 추출이다. 5분마다 정상 여부를 조회하면 그 사이에 잠깐 생겼다가 사라진 문제는 놓칠 수 있다.
• 알림Trap은 사건 직후 알림을 보완하지만 전달 보장과 알림 설정을 별도로 확인해야 한다.

04MIB는 스키마, OID는 객체와 인스턴스의 주소

• MIB·OIDMIB는 관리 객체의 이름, OID 계층, 자료형, 의미와 접근 특성을 정의한다. 현재의 CPU 사용률이나 인터페이스 바이트 수 자체를 모두 저장한 데이터베이스라는 뜻이 아니다.
• 객체 인스턴스Agent는 이 정의에 따라 현재 상태를 읽어 값을 돌려준다. MIB 파일이 로컬에 없어도 숫자 OID로 질의할 수 있으나 이름 변환과 의미 파악은 불편해진다.
• Scalar와 테이블1.3.6.1.2.1은 mib-2 계층이다. sysName이라는 scalar 객체는 실제 값에 접근할 때 인스턴스 접미사 .0을 붙여 1.3.6.1.2.1.1.5.0으로 조회한다.
• 동일 행테이블은 행을 구별하는 인덱스를 사용한다. ifDescr.2와 ifInOctets.2는 같은 ifIndex 2에 대한 설명과 수신량이므로 인덱스를 맞춰 읽어야 한다.
• 복합 인덱스모든 테이블 인덱스가 하나의 정수인 것은 아니다. 주소나 여러 필드를 결합한 인덱스도 있다.
• 인덱스 변화재부팅이나 인터페이스 재구성으로 인덱스가 달라지면 예전 인덱스에 같은 그래프 이름을 붙여 다른 포트를 기록할 수 있으므로 인터페이스 이름·설명과 재연결한다.

05Get·GetNext·GetBulk·Set의 동작 차이

• Get·GetNextGet은 지정한 인스턴스의 값을 요구한다. GetNext는 OID를 사전식 순서로 정렬했을 때 다음에 접근 가능한 인스턴스를 반환하므로 테이블 끝이나 하위 트리 경계를 검사해야 한다.
• Walksnmpwalk는 이러한 질의를 반복하는 도구이지 walk라는 하나의 SNMP PDU 이름이 아니다.
• GetBulkSNMPv2 이후의 GetBulk는 한 번의 요청에 여러 후속 값을 받아 왕복 횟수를 줄인다. non-repeaters와 max-repetitions로 반복 범위를 지정하지만 한 번 호출하면 모든 장비의 모든 MIB가 내려오는 기능은 아니다.
• View 제한응답 크기·접근 view·네트워크 MTU·타임아웃이 실제 수집에 영향을 준다.
• SetSet은 허용된 객체의 값을 바꾸도록 요청한다. Agent가 자료형·범위·쓰기 권한을 검사하며 MIB 정의 파일 자체를 수정하는 동작은 아니다.
• 읽기 권한모니터링만 필요하면 쓰기 권한을 열지 않는다. 존재하지 않는 인스턴스, 접근이 금지된 객체, 통신 타임아웃은 서로 다른 진단 결과이다.

1. 시작 OID 지정Walk가 시작할 하위 트리의 OID를 정한다.
2. 다음 인스턴스 요청GetNext로 현재 OID 다음의 객체 인스턴스와 값을 얻고 반환된 OID를 다음 요청의 기준으로 삼는다.
3. 범위 종료반환 OID가 원하는 하위 트리를 벗어나거나 끝 조건에 도달하면 반복을 끝낸다. GetBulk는 여러 다음 값을 한 응답에 받는 다른 요청 방식이다.

06v1·v2c·v3와 인증·암호화·접근 범위

• Communityv1과 v2c의 community는 평문 메시지에 실린다. 긴 문자열로 바꾸고 읽기 전용으로 제한하더라도 암호화가 추가되지는 않는다.
• v2c 보호 범위실습망의 v2c 예제는 출발지 ACL과 최소 view를 함께 사용하고 운영 비밀을 명령 기록이나 문서에 남기지 않는다.
• v3 보안 수준v3는 보안 모델과 접근 제어 구조를 제공한다. USM의 noAuthNoPriv는 인증·암호화를 적용하지 않고, authNoPriv는 인증과 무결성 보호를 제공하며, authPriv는 여기에 암호화를 추가한다.
• 수준·알고리즘v3를 선택했다는 사실만으로 암호화되었다고 판정하면 안 된다. 지원 인증·암호 알고리즘은 장비와 빌드에 맞춰 확인한다.
• VACMVACM은 어떤 사용자·보안 수준·context가 어떤 OID view를 읽거나 쓸 수 있는지 제한한다. 인증 성공과 모든 객체 접근 허용은 별개이다.
• 자격 보호v3 엔진 식별과 시간 관련 상태가 맞지 않아 요청이 실패하는 경우도 있으므로 단순히 비밀번호 오타만 의심하지 않는다.

snmpget -v3 -l authPriv -u <USER> -a <AUTH_ALG> -A <AUTH_SECRET> \
  -x <PRIV_ALG> -X <PRIV_SECRET> <AGENT_IP> 1.3.6.1.2.1.1.5.0

명령 구조를 보여 주는 자리표시자 예제다. 실제 비밀을 셸 기록·프로세스 목록에 노출하지 않는 입력 방식은 해당 도구 환경에 맞게 선택한다.

07누적 Counter를 초당 비트 수로 바꾸기

• 누적 OctetifInOctets는 대개 현재 초당 속도가 아니라 누적 octet 수이다. 두 측정값의 차이를 실제 경과 초로 나누고 8을 곱해야 평균 bit/s가 된다.
• 차이 계산예를 들어 60초 동안 100,000,000에서 115,000,000으로 늘었다면 15,000,000 × 8 ÷ 60 = 2,000,000bit/s, 즉 십진 기준 2Mbit/s이다.
• 32비트 Wrap32비트 Counter는 최대값 다음에 0으로 돌아간다. 1Gbit/s가 지속되면 2^32 octet를 채우는 데 약 34.36초밖에 걸리지 않아 5분 폴링으로 여러 번의 wrap을 구별할 수 없다.
• 64비트 카운터지원되는 인터페이스에는 64비트 ifHCInOctets/ifHCOutOctets를 사용하고 counter 폭과 수집기를 일치시킨다.
• Reset·불연속재부팅·카운터 초기화는 정상 wrap과 다르다. sysUpTime, ifCounterDiscontinuityTime 등으로 단절을 판단하고 그 구간의 변화율을 미상으로 처리해야 음수나 거대한 spike를 피할 수 있다.
• 누락 표본누락 표본을 0으로 바꾸면 장애 시간에도 트래픽이 없었던 것처럼 보인다.
• 사용률 분모사용률을 계산할 때 분모의 인터페이스 속도 단위도 확인한다. ifSpeed는 bit/s이고 고속 링크에는 ifHighSpeed의 백만 bit/s 단위를 사용한다.
• 링크 의미실제 링크 속도와 논리 인터페이스의 표기 속도가 다를 수 있어 수치만 보고 포화 여부를 확정하지 않는다.

11Trap·Inform·Report와 수신 접근 정책

• Trap·InformTrap은 Agent가 사건을 알리는 비동기 메시지이며 수신 확인 응답이 없다. Inform은 Response를 기대하고 재시도할 수 있어 도착 가능성을 높이지만 재시도로 중복 알림이 생길 수 있다.
• ReportSNMPv3 Report는 보안·프로토콜 처리 문제 등의 보고에 쓰이며 이벤트 위험 등급이라는 뜻이 아니다.
• 수신 접근 정책snmptrapd가 실행 중이어도 접근 정책이 없으면 알림을 처리하지 않을 수 있다. authCommunity log,execute,net에서 log는 기록, execute는 handler 실행, net은 알림 전달 권한이다.
• Net 권한net은 수신 허용이 아니라 다른 대상에 알림을 전달하는 권한이다. 필요한 처리 권한만 열고 송신자·OID 범위도 제한한다.
• Log·Execute로그만 보는 실습에 외부 프로그램 실행 권한까지 한꺼번에 주는 것은 불필요하다. 수신 정책을 적용한 뒤 시험 알림의 OID와 값이 실제 기록되는지 확인한다.
• 비밀과 검증Community 같은 비밀값은 공개 예시에 넣지 않는다.

수업 원본 자료

프로세스 실행과 알림 수신 준비는 별개다

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. active (running)은 프로세스가 살아 있다는 뜻이다. 아래의 접근 제어 미설정 경고는 들어오는 알림을 처리하지 않겠다는 별도 상태를 알린다.
2. enabled는 부팅 시 시작 설정이다. preset: disabled는 배포판의 기본 정책으로, 현재 서비스가 비활성이라는 뜻이 아니다.
3. 수신 정책을 구성한 뒤 실제 시험 알림이 로그에 남는지 확인해야 한다. 이 화면 자체에는 정상 수신 결과가 없다.

12원본 알림 로그를 사건 단위로 읽기

• 알림 식별수신 로그의 전송 주소는 어디에서 도착했는지, snmpTrapOID는 무엇을 알리는지, varbind는 해당 사건의 추가 문맥을 보여 준다. sysUpTime은 일반적인 벽시계 날짜가 아니므로 수신 시각과 함께 해석한다.
• 시각 문맥장비 시각이 틀려도 수신 시간만으로 사건 발생 시간을 정확히 복원할 수는 없다.
• 인증 실패 알림authenticationFailure는 SNMP 인증 검증 실패를 알리는 유형이다. 접근 점검 도구의 잘못된 community, 오래된 Manager 설정, 권한 없는 조회 등 여러 원인이 가능하다.
• 추가 근거알림 하나만으로 공격 성공이나 SSH 계정 탈취로 확대하지 말고 조회 출발지·장비 로그·수집 설정을 대조한다.

수업 원본 자료

Trap의 전송 주소·알림 OID·가변 바인딩 읽기

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. 앞부분의 10.6.0.1에서 10.6.0.11:162로 향하는 UDP 표기로 알림의 송신 측과 수신 측을 구분한다. 일반 조회 응답을 기다리는 UDP 161과 다르다.
2. sysUpTime.0은 장비의 해당 관리 기능이 재초기화된 뒤 경과 시간이고, snmpTrapOID.0은 알림의 종류다. 나머지 OID와 값이 사건의 세부 문맥을 보충한다.
3. 구성 변경 알림과 뒤의 authenticationFailure는 서로 다른 사건이다. 인증 실패 알림만으로 SSH 로그인 실패나 공격자 신원을 확정하지 않는다.
4. 여러 행이 수신되었다는 사실은 확인되지만, 전송된 모든 Trap이 빠짐없이 도착했다는 증거는 아니다.

13조회 실패를 단계별로 좁히는 절차

• 경로·서비스먼저 관리 서버에서 Agent까지 경로·주소·포트를 확인하고 정확히 알려진 scalar OID 하나를 조회한다. timeout이면 서비스 바인딩, 방화벽, 장비 ACL과 응답 경로를 점검한다.
• 응답과 OID응답은 오지만 noSuchInstance이면 OID의 인스턴스와 지원 여부를 보고, authorization 오류라면 사용자·security level·view를 확인한다.
• 객체 의미그 다음 인터페이스 테이블을 읽어 ifIndex와 이름을 대응하고 동일 객체를 두 번 측정해 Counter 변화율을 검증한다. Graph UI에서 값이 비어 있을 때에는 SNMP 단계의 실패인지 Poller·RRD 저장 단계의 실패인지 분리한다.
• 알림 경로Trap 수신 시험은 Get 성공과 별도로 실시한다.