편집복원자동 검사 완료2023년 정보보안기사 2회 필기 · 시스템 보안 · 로그인 공격 분석 · 19번

SSH 로그에서 한 IP가 1분 동안 사용자명 300개에 각각 한 번씩 실패했고, 다른 IP 300개는 동일 계정 하나에 한 번씩 실패했다. 탐지 규칙을 개선할 때 두 패턴을 각각 무엇으로 보는 것이 적절한가?

10초 동안 서로 다른 420개 출발지에서 동일 계정 로그인 실패

그 직후 단일 주소에서 해당 계정 로그인 성공

성공 세션에서 권한 변경 명령 확인

1
첫째 내부 단편화, 둘째 외부 단편화
오답 이유단편화 용어는 메모리나 저장공간 배치 문제로 인증 로그 분포와 무관하다.
2
첫째 패스워드 스프레이, 둘째 크리덴셜 스터핑
오답 이유패스워드 스프레이는 보통 적은 수의 비밀번호를 많은 계정에 시도하며, 제시 정보만으로 둘째를 크리덴셜 스터핑이라 단정할 수 없다.
3
첫째 사용자명 열거 가능성이 있는 수평 시도, 둘째 분산형 단일계정 공격
정답 근거두 축의 분포를 정확히 읽고 계정 기준과 IP 기준 탐지를 함께 요구하는 설명이다.
4
둘 다 정상적인 키 교환
오답 이유대량 인증 실패는 SSH 키 교환의 정상 패턴이 아니다.

정답·상세해설

정답 3번

첫 패턴은 한 출발지가 많은 사용자명을 훑으므로 계정 열거 또는 수평 대입 특성이 있다. 둘째는 출발지를 분산해 하나의 계정에 집중하므로 IP별 임계치만으로는 놓칠 수 있다. 사용자·출발지·시간창을 함께 집계해야 한다.

콘텐츠 기록