네트워크 보안에서 '정찰'이란 무엇인가?
정찰(Reconnaissance)은 대상 시스템에 대한 정보를 은밀하게 수집하여 그 내부를 파악하는 행위를 말합니다. 사이버 보안 분야에서는 윤리적 해킹(Ethical Hacking)이나 모의 침투 테스트(Penetration Testing)에서 이 방법이 매우 폭넓게 활용됩니다.
흥미롭게도 '정찰'이라는 용어는 군사 용어에서 유래했습니다. 적군에 관한 정보를 수집하는 임무를 뜻하는 이 개념이 사이버 보안 영역으로 확장되면서, 해커들이 표적 네트워크나 시스템을 침투하기 전에 수행하는 정보 수집 활동을 지칭하게 되었습니다.
공격 과정에서 정찰 단계는 언제, 어떻게 진행될까?
정찰 단계는 취약한 표적을 식별하고 이를 악용할 방법을 탐색하는 과정입니다. 초기 단계에서는 조직 내 어떤 직원이든 표적이 될 수 있으며, 공격자가 조직 내부에 접근할 수 있는 경로는 의외로 하나뿐일 때도 많습니다.
이 단계의 특징 중 하나는 표적형 피싱 이메일(Spear Phishing)이 악성코드 배포 수단으로 자주 사용된다는 점입니다. 공격자는 정찰을 통해 얻은 개인정보를 활용해 신뢰도 높은 위장 이메일을 만들어내기 때문입니다.
정찰 프로세스: 정보 수집의 핵심 기법
정찰 과정에서는 다양한 기법이 동원되어 표적에 대한 정보를 수집하고 분석합니다. 대표적인 방법은 다음과 같습니다.
- 풋프린팅(Footprinting): 도메인, IP 주소, 네트워크 구조 등 표적의 외형 정보를 수집
- 스캐닝(Scanning): 열려 있는 포트와 실행 중인 서비스를 탐지
- 열거(Enumeration): 사용자 계정, 공유 리소스 등 상세 정보 추출
공격자는 열려 있는 포트나 실행 중인 서비스에 직접 상호작용하는 능동적(active) 방식과, 네트워크에 접촉하지 않고 공개된 정보만을 수집하는 수동적(passive) 방식을 모두 활용할 수 있습니다.
정찰 공격, 왜 심각한 위협인가?
표적 네트워크나 시스템에 대한 정보를 수집하는 공격을 '정찰 공격(Reconnaissance Attack)'이라고 합니다. 정찰 공격 자체는 시스템에 직접적인 피해를 주지 않지만, 결코 가볍게 여겨서는 안 됩니다.
그 이유는 명확합니다. 정찰을 통해 수집된 정보가 곧 접근 공격(Access Attack)이나 서비스 거부 공격(DoS Attack)을 실행하는 데 필요한 재료가 되기 때문입니다. 즉, 정찰 공격은 본격적인 사이버 공격의 전초전이라 할 수 있습니다.
정찰 공격의 주요 유형
정찰 공격은 논리적(Logical) 방식과 물리적(Physical) 방식으로 나누어 분석할 수 있으며, 구체적인 기법은 다음과 같습니다.
- 패킷 스니핑(Packet Sniffing): 네트워크를 오가는 데이터 패킷을 가로채 분석
- 핑 스위핑(Ping Sweeping): 특정 범위 내 활성화된 호스트를 탐지
- 포트 스캐닝(Port Scanning): 대상 서버의 열린 포트를 확인
- 피싱(Phishing): 사회공학적 기법으로 민감 정보를 탈취
- 소셜 엔지니어링(Social Engineering): 사람의 심리적 취약점을 이용한 정보 수집
- 인터넷 정보 조회: 공개된 웹 정보를 활용한 수동적 수집
정찰 단계에서 해커들은 무엇을 하는가?
정찰 단계의 목적은 운영체제(OS)의 오류와 내재된 취약점을 식별하는 것입니다. 대부분의 경우 해커는 표적의 운영체제를 비교적 쉽게 추측할 수 있으며, 이후 해당 OS의 알려진 취약점에 대한 정보를 추가로 수집합니다.
다만 이러한 침입 시도는 침입 탐지 시스템(IDS, Intrusion Detection System)에 의해 탐지될 가능성이 있습니다. 따라서 조직 입장에서는 IDS/IPS를 properly 구축하고 로그를 면밀히 모니터링하는 것이 정찰 공격을 조기에 차단하는 핵심 방어책이 됩니다.
사이버 공격의 5단계: 정찰부터 권한 상승까지
일반적인 사이버 공격은 다음과 같은 5단계로 진행됩니다.
- 1단계 - 정찰(Recon): 발견 몇 주 전부터 시작되는 정보 수집 단계
- 2단계 - 침투 및 거점 확보(Intrusion): 발견 수개월 전, 시스템 내부에 침투
- 3단계 - 수평 이동(Lateral Movement): 내부 네트워크를 타고 이동하며 확장
- 4단계 - 권한 상승(Privilege Escalation): 발견 수일~수주 전, 관리자 권한 획득 시도
- 5단계 - 최종 목표 달성: 데이터 유출, 시스템 파괴 등 공격 목적 실행
이 흐름에서 볼 수 있듯이, 정찰은 모든 공격의 출발점이며 이 시점에 탐지·차단할수록 피해를 최소화할 수 있습니다.
정찰 공격으로부터 조직을 지키는 방법
정찰 공격은 공개적으로 이용 가능한 정보를 악용하는 경우가 많습니다. 따라서 다음과 같은 예방 조치가 효과적입니다.
- 온라인에 노출되는 조직 정보와 직원 정보를 최소화
- 침입 탐지 시스템(IDS)과 방화벽으로 비정상 스캔·탐색 시도 감시
- 직원 대상 보안 인식 교육으로 피싱·소셜 엔지니어링 방어력 강화
- 정기적인 모의 침투 테스트로 우리 조직의 노출 취약점을 먼저 파악
정찰은 공격자에게는 준비 단계이지만, 방어자에게는 위협을 선제적으로 발견할 수 있는 기회이기도 합니다. 정찰 단계에서의 철저한 모니터링과 대응이 곧 강력한 사이버 보안의 시작입니다.