MITM·DoS의 원리와 방어 관찰

01개념과 구성 요소

• MITM통신의 중간 경로에 개입하는 상태다. 경로에 있다는 사실만으로 올바르게 검증되는 TLS 평문을 읽는 것은 아니다.
• ARP 경계같은 링크의 IPv4 다음 홉 IP를 MAC에 연결하며 기본 메시지에 암호학적 발신자 인증이 없다.
• DoS대역폭·연결 상태·처리 슬롯·CPU 같은 자원이 소진되어 정상 이용이 어려워지는 결과다.

02정상 ARP 매핑이 통신 경로를 결정하는 순서

1. 다음 홉 선택외부 네트워크 목적지로 보낼 때 IP 라우팅으로 같은 링크의 게이트웨이를 선택한다.
2. MAC 확인ARP cache에서 게이트웨이 IP의 MAC을 찾고 필요하면 ARP 요청·응답으로 매핑을 얻는다.
3. 프레임 전송최종 서버 IP는 유지하면서 프레임 목적지 MAC을 다음 홉으로 설정한다.
4. 매핑 변경 영향잘못된 매핑을 학습하면 프레임이 다른 장치로 향한다. 한쪽 또는 양쪽 매핑 변화에 따라 관찰 경로도 달라진다.
5. 전달·폐기 결과중간 장치가 전달하면 경로가 유지될 수 있고 버리면 가용성 장애가 된다. 종단 인증·암호화는 이 경로에서도 별도 보호층이다.

03ARP는 같은 링크의 다음 홉을 찾는다

• 목적지 IP·다음 홉IPv4 호스트가 다른 네트워크로 보내는 패킷의 목적지 IP는 최종 서버를 가리키지만, 이더넷 프레임의 목적지 MAC은 같은 링크에 있는 게이트웨이를 가리킨다. ARP cache는 이 로컬 IP↔MAC 관계를 저장한다.
• ARP 인증 부재기본 ARP 메시지에는 암호학적 발신자 인증이 없어 잘못된 매핑을 학습하면 프레임이 다른 장치로 향할 수 있다.
• 정상 매핑피해자 호스트의 캐시에 필요한 항목은 게이트웨이 IP→게이트웨이 MAC이고, 게이트웨이에는 피해자 IP→피해자 MAC이다. 오염 후 각각의 오른쪽 MAC이 중간 장치의 MAC으로 바뀌는 것이 핵심이다.
• 계층 구분IP 라우팅 목적지가 바뀌는 것과 L2 다음 홉이 바뀌는 것을 구분한다.

04한 방향과 양방향 중간 경로

• 한쪽·양쪽 경로피해자의 게이트웨이 매핑만 바뀌면 피해자에서 나가는 방향이 중간 장치를 통과하지만 응답은 원래 경로로 돌아올 수 있다. 양쪽의 매핑이 바뀌면 양방향을 관찰할 수 있는 조건이 된다.
• Half·Full의 의미이러한 설명의 half/full은 여기서 오염된 경로의 방향을 뜻하며 물리 이더넷의 duplex 협상과 같은 설정은 아니다.
• 중계·폐기중간 장치가 받은 프레임을 원래 목적지로 전달하면 통신이 계속될 수 있고, 전달하지 않으면 가용성 장애로 나타난다. 커널 forwarding이나 도구 자체 전달 엔진의 차이가 있으므로 특정 시스템 설정 하나를 모든 도구의 필수 조건으로 일반화하면 안 된다.
• 브로드캐스트 범위ARP는 라우터 너머의 다른 브로드캐스트 도메인까지 직접 전파되지 않는다.

05TLS가 보호하는 내용과 여전히 남는 장애

• 종단 인증·암호화올바른 인증서·호스트 키 검증을 수행하는 TLS·SSH는 경로 중간에 있는 장치가 애플리케이션 평문을 읽거나 바꾸는 것을 막는다. 중간에 위치했다는 사실만으로 암호화가 해제되지 않는다.
• 프록시 CA 신뢰실습 프록시에서 평문을 보는 것은 별도의 실습 CA 신뢰를 설정했기 때문이며 단순 ARP 오염과 조건이 다르다.
• 지연·폐기암호화는 패킷을 버리거나 연결을 지연시키는 행위를 막지 않는다. 주소·연결 시각·트래픽 양 같은 메타데이터도 일부 관찰될 수 있다.
• 보호 속성기밀성·무결성 보호와 가용성 보호가 별도 통제를 요구하는 사례다.

06ARP 관찰값을 정상 변화와 구분하기

• 매핑 이상같은 IP에 여러 MAC이 응답하거나 게이트웨이 MAC이 갑자기 바뀌면 조사할 이유가 생긴다. 그러나 정상적인 장애 조치, IP 이동, 가상화 환경의 변경도 ARP 갱신을 만든다.
• 정상 ARP 변화Gratuitous ARP 자체를 공격 증거로 보는 대신 기존 게이트웨이 정보와 스위치 포트·DHCP 바인딩을 연결한다.
• DAIDAI는 DHCP snooping 등에서 얻은 신뢰 가능한 IP·MAC·VLAN·포트 관계와 ARP 내용을 비교한다. 정적 IP 장치가 많은 환경은 별도의 신뢰 바인딩 정책이 필요하다.
• 신뢰 포트잘못 지정한 trusted port는 검사를 우회시킬 수 있고, 잘못된 바인딩은 정상 장치를 차단할 수 있다.

ip neigh show
# 예시 해석: 게이트웨이의 lladdr가 기준값과 달라졌는지 관찰
# STALE은 일정 시간 확인되지 않은 이웃 상태이며 단독 공격 판정이 아니다.

tcpdump -nni <관찰_인터페이스> -e arp

원문에 있는 읽기 중심 관찰 명령입니다. 인터페이스는 실제 실습 장치에 맞춥니다.

07TCP Window=0은 수신 버퍼의 흐름 제어

• Receive Window수신자가 TCP window를 0으로 광고하면 현재 더 받을 공간이 없다는 뜻이다. 송신자는 해당 방향의 새 데이터 전송을 줄이고 윈도 갱신을 알아보기 위한 probe를 보낼 수 있다.
• 정상 정체애플리케이션이 소켓 데이터를 읽지 않거나 일시적으로 느려진 정상 상황에서도 발생한다. 혼잡 제어의 congestion window와 수신자가 광고하는 receive window를 구분한다.
• 자원 악용Zero Window를 악용하는 행위는 흐름 제어 상태나 연결 유지 자원을 이용한다. 네트워크 밖에서 임의 패킷 하나를 보내면 어떤 TCP 연결이든 멈춘다는 뜻은 아니다.
• TCP 수용 조건패킷이 해당 연결과 일치하고 TCP의 수용 조건을 통과해야 하며, sequence/acknowledgment 값은 암호학적 인증 코드가 아니다.

1. 수신 버퍼 부족수신 측이 애플리케이션 처리 지연 등으로 받을 공간이 없으면 window=0을 광고한다.
2. 새 데이터 제한송신 측이 해당 방향의 새 데이터 전송을 제한한다. 광고된 receive window는 congestion window와 다른 값이다.
3. 상태 재확인송신 측은 윈도 갱신을 확인하기 위한 probe를 보낼 수 있다.
4. 수신 재개버퍼가 비고 수신 측이 양의 윈도를 광고하면 허용된 범위에서 데이터 전송을 이어갈 수 있다.

08DoS는 어떤 자원이 먼저 소진되는지로 분해한다

• 고갈 자원대역폭 고갈은 링크 용량, 연결 고갈은 상태 테이블·소켓·worker, 느린 요청은 작업 슬롯과 시간, 계산량이 큰 요청은 CPU를 압박한다. 같은 “접속 불가”라도 병목이 다르면 방어 위치가 달라진다.
• 회선 병목수신 트래픽이 회선 용량을 이미 넘었다면 서버 내부의 규칙만으로 회선 혼잡을 되돌릴 수 없다.
• 제한의 단위연결 수·요청 크기·처리 시간 제한은 어떤 자원을 어느 주체별로 제한하는지 정해야 한다. NAT 뒤 사용자를 하나의 IP로 묶으면 정상 사용자도 영향을 받을 수 있다.
• 정상 지연 대조느린 정상 클라이언트와 자원 점유를 구분할 근거로 현재 연결 수, 수신·처리 속도, 대기열, timeout 원인을 함께 읽는다.

12패킷·호스트·장비 증거를 연결하는 법

• 증거 연결ARP 이상은 이웃 테이블과 스위치 바인딩, TCP zero window는 방향별 window 변화와 애플리케이션 읽기 상태, 서비스 불능은 큐·CPU·메모리·회선 지표를 함께 설명해야 한다. 패킷에 zero window가 찍혔다는 사실만으로 의도적 공격이라고 결론 내리면 원래의 서버 병목을 놓칠 수 있다.
• 통제 역할ARP 보호·망 분리·종단 암호화는 서로 다른 실패 지점을 줄인다. IPv6는 ARP 대신 NDP를 사용하므로 동일한 용어와 필터를 그대로 적용하지 않는다.
• fragrouterfragrouter는 IP 단편화 기반 시험 도구이며 일반 ARP 중계 장치의 이름이 아니다.