스캔 결과에서 취약점 보고서까지

01개념과 구성 요소

• 진단 단계서비스 발견, 제품 식별, 취약점 조건 검증, 보고는 서로 다른 결론을 만든다.
• 근거응답 패킷·배너·설정·버전·제품 권고를 연결하며 자동 도구 출력은 그중 하나다.
• 보고 대상영향·성립 조건·재현 범위·수정 방법·재시험 결과를 구분한다.

02발견된 서비스에서 취약점 판단까지

1. 도달·포트 상태 관찰SYN/ACK·RST·ICMP·무응답을 캡처 위치와 함께 읽는다. 무응답에는 필터·손실·프로토콜 조건이 섞일 수 있다.
2. 프로토콜 식별서비스 probe와 응답 패턴을 비교한다. 먼저 배너를 보내는 서비스와 요청 이후 응답하는 서비스를 구분한다.
3. 제품·버전 근거 수집배너와 스택 특성 등 서로 다른 단서를 연결한다. 프록시·호환 구현·변경 배너로 인한 오판 가능성을 남긴다.
4. 취약 조건 대조CVE·제품 권고·패치와 실제 기능·설정을 대조한다. 버전 문자열만으로 backport나 비활성 기능을 무시하지 않는다.
5. 영향·수정·재시험 기록관찰 사실과 추정을 나누고 동일 조건에서 수정 효과를 다시 확인할 수 있는 보고서를 작성한다.

03발견·식별·취약점 검증은 다른 결론이다

• 발견과 식별자산 발견은 어느 대상이 응답하는지 찾는 단계이고 포트 조사는 어떤 전송 계층 접점이 열렸는지 판단하는 단계다. 서비스 식별은 그 포트에서 동작하는 프로토콜·제품을 추정한다.
• 취약점 조건취약점 검증은 식별한 제품의 버전·설정·기능이 특정 결함의 성립 조건과 일치하는지 증거를 더하는 단계다. 열린 SSH 포트 하나만으로 취약한 SSH라고 결론 내릴 수 없다.
• 도구별 관찰Nmap의 -sV·-O·NSE는 서로 다른 대상을 관찰한다. -sV는 서비스 응답 패턴, -O는 TCP/IP 스택 특성, NSE는 개별 스크립트의 논리를 이용한다.
• 배너의 한계결과 열에 제품명이 표시되어도 배너·프록시·호환 구현 때문에 확정 수준이 달라진다.

04응답에 따라 달라지는 포트 상태

• TCP 상태TCP SYN에 SYN/ACK가 오면 연결을 수락하는 서비스의 근거가 되고 RST가 오면 보통 닫힌 포트의 근거가 된다. 응답이 없거나 특정 ICMP 오류를 받으면 필터링과 경로 조건을 고려한다.
• SYN 조사 한계SYN 방식이 완전한 연결을 만들지 않는다는 이유로 로그가 전혀 남지 않는 것은 아니다. 방화벽·IDS·패킷 캡처에는 시도 자체가 관찰될 수 있다.
• UDP 무응답UDP는 응답하지 않는 정상 서비스도 있으므로 무응답을 open으로 확정하지 않는다. open|filtered는 응답만으로 열림과 필터링을 분리하지 못한 상태다.
• ACK·-Pn 의미ACK 기반 도달성 조사는 방화벽 필터 상태에 관한 정보를 주며, 응답했다고 애플리케이션이 열렸다고 결론 내리는 조사가 아니다.

05서비스 Probe 데이터베이스의 구조

• Probe 비교서비스 식별은 열린 포트에 여러 형태의 요청을 보내고 nmap-service-probes의 응답 패턴과 비교하는 과정이다. NULL probe는 연결 후 서버가 먼저 보내는 배너를 기다린다.
• 대화 시작 방식FTP·SSH처럼 먼저 안내를 보내는 서비스와, HTTP처럼 요청을 받아야 응답하는 서비스의 대화 시작 방식이 다르기 때문이다.
• Probe 필드Probe는 전송할 바이트, ports는 우선 적용할 포트, sslports는 TLS 안에서 사용할 포트, rarity는 시도 우선순위에 관여하는 희귀도를 기술한다. match는 특정 응답 형식으로 서비스를 식별하고 softmatch는 서비스 계열을 좁히는 단서가 된다.
• Fallbackfallback은 다른 probe의 패턴을 참고하는 관계다. 서버의 오류도 해당 구현이 입력을 어떻게 해석했는지 알려주는 응답이다.

수업 원본 자료

서비스 식별 결과가 증명하는 범위

원본 크기로 보기 ↗

이 자료에서 읽어낼 것

1. 22/tcp open은 이 관찰 위치와 시점에서 해당 TCP 포트가 연결을 받아들이는 것으로 관측되었다는 뜻입니다. 방화벽 규칙이나 다른 출발지에서도 같은 결과인지까지 보여 주지는 않습니다.
2. VERSION의 OpenSSH 8.7은 서비스 탐지가 얻은 식별 결과입니다. 배포판의 보안 패치 역이식과 실제 패키지 상태를 확인하지 않고 숫자만으로 취약성을 확정할 수 없습니다.
3. Host is up과 포트 open은 계정 인증 성공, 권한 확보, 서비스의 안전성을 뜻하지 않습니다. 발견·서비스 식별·취약성 검증을 분리해 결과를 기록합니다.

Nmap 공식 문서: 서비스와 버전 탐지 ↗

09400·404·접속 거부도 식별 자료가 된다

• 오류 응답HTTP 400·특정 경로의 404·MySQL 호스트 접속 거부도 서비스 식별의 관찰값이 된다. 400은 요청이 서버가 기대한 HTTP 문법에 맞지 않았다는 근거가 될 수 있고, DB 접속 거부는 애플리케이션 프로토콜이 응답했다는 사실과 접근 허용 여부를 동시에 보여준다.
• 식별과 업무 성공정상 페이지를 받지 못했다고 식별 자체가 모두 실패한 것은 아니다.
• 경로별 단서반대로 특정 경로의 요청을 보았다고 곧 취약점 악용이 발생한 것은 아니다. 서비스 탐색 도구와 관리 프로그램이 겹치는 API 경로를 사용할 수 있다.
• 복수 관찰요청 형태, 짧은 시간의 목적지·포트 변화, 응답 패턴을 함께 해석해야 한다.

10별도 TCP 연결과 IDS 상관분석

• 연결 분리서비스 probe가 다른 출발지 포트로 새 TCP 연결을 만들면 별도 연결 문맥이 생긴다. 5튜플이 달라지면 센서에서는 별도 flow로 관리될 수 있어 한 연결에 설정한 flowbit가 다음 연결을 자동으로 대표하지 않는다.
• 규칙과 행위특정 URI를 한 규칙으로 탐지하는 것과 여러 probe를 하나의 스캔 행위로 묶는 것은 다른 계층의 문제다.
• SIEM 연결 키SIEM은 출발지·목적지·서비스·시간창 등 명시된 기준으로 여러 이벤트를 집계할 수 있다. 그러나 NAT 뒤의 여러 사용자를 하나의 출발지로 묶거나 정상 모니터링을 스캔으로 오인할 가능성이 있으므로 원시 이벤트와 집계 이유를 함께 남긴다.
• 출발지 집계“IP가 같음”만으로 동일 주체를 확정하지 않는다.

11CVE·CVSS·제품 권고를 연결하는 절차

• CVE와 CVSSCVE는 공개 취약점을 식별하는 번호이지 모든 시스템에서 실행 가능한 공격의 보증서가 아니다. CVSS 점수는 버전과 vector가 함께 있어야 해석 가능하다.
• 버전 추정 한계공격 조건·필요 권한·사용자 상호작용·영향 평가를 읽고 자산의 노출과 업무 중요도를 별도로 판단한다. 배포판이 수정 사항을 백포트하면 표시된 기본 버전이 낮아도 취약한 코드가 그대로 남았다고 볼 수 없다.
• 권고·설정 대조벤더 권고의 affected/fixed 버전, 패키지 릴리스, 활성 기능, 관련 설정을 대조한 뒤 자신의 환경에 적용되는 결론을 쓴다. 배너가 숨겨져 있거나 제품이 추정뿐이면 그 불확실성도 결과에 남긴다.
• 운영 영향침해가 이미 확인된 시스템에서는 패치만 적용한 것과 공격자의 잔존 변경을 제거한 것이 동일하지 않다.

12재시험 가능한 보고서의 내용

• 보고서 구성좋은 결과에는 관찰과 해석이 분리되어 있다. “포트가 열림”, “응답에 제품 문자열이 있음”, “권고의 영향 조건과 일치함”, “무해한 재현에서 권한 경계가 깨짐”은 서로 다른 문장이다.
• 재시험 근거재현에 필요한 버전·설정·입력과 실제 결과를 기록하면 수정 뒤 같은 조건으로 재시험할 수 있다.
• 속도와 누락속도 옵션은 지연·재전송·부하를 바꾸므로 느리게 실행하면 탐지되지 않는다는 식으로 일반화하지 않는다. 호스트 발견을 생략하는 -Pn도 방화벽을 해제하는 옵션이 아니다.
• 범위 명시확인한 포트 집합과 발견 방법을 적어야 미조사 영역을 안전한 영역으로 오해하지 않는다.