네트워크 역추적의 원리와 한계 | 정보보안기사 필기

1. 역추적과 현재 경로 진단은 다르다

역추적(Traceback)은 이미 관찰한 공격 패킷·연결이 어느 이전 지점에서 왔는지 기록을 연결해 좁히는 과정이다. 현재 내 컴퓨터에서 목적지까지의 홉을 관찰하는 traceroute와 목적이 다르다.

IP 주소의 등록 지역이나 위치 정보도 실제 사람의 현재 위치를 보장하지 않는다. VPN·프록시 출구나 감염된 중계 호스트가 보일 수 있다. 기술적 출발지를 찾는 것과 책임 있는 행위자를 확정하는 것은 별개다.

호스트 기반 방식은 수신 연결과 해당 세션이 만든 송신 연결을 프로세스·사용자 기록으로 연결한다. 네트워크 기반 방식은 여러 지점의 시각·방향·크기·흐름을 비교한다. 패턴 유사성만으로 동일 연결임을 확정하지 않는다.

패킷 마킹은 라우터가 경로 단서를 패킷에 남기는 계열이고, 패킷 로깅은 경유 기록이나 요약을 장비 측에 보관하는 계열이다. 장비 지원과 기록이 필요하며 모든 인터넷 패킷에서 자동 제공되는 기능은 아니다. 세부 복원 알고리즘·확률 계산은 제외한다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

최초 접속지 후보 → 중계 A → 중계 B → 피해 시스템

피해 시스템에는 B의 주소가 보일 수 있다. B에서 해당 수신·송신 연결 관계를 확인해 A로, 다시 A의 기록을 확인해 이전 지점으로 좁힌다. 이러한 중계 호스트를 Stepping Stone이라고 한다.

주소 위조, NAT, 프록시·VPN, 동적 주소 할당, 시계 오차, 로그 누락이 추적을 어렵게 한다. 중계 지점의 기록이 없으면 그 관계를 확정하기 어려우며, 최초 후보가 감염된 장치라면 실제 제어자는 따로 있을 수 있다.

NAT·공유 주소 환경에서는 외부의 출발지 IP·포트·프로토콜·정확한 시각을 변환 기록과 연결한다. 이어서 DHCP 임대나 VPN 인증 기록으로 해당 시각의 내부 단말·세션을 확인한다. 자세한 해석 예는 네트워크 로그와 상관분석에서 다룬다.

로그는 원본과 시각 정보를 보존하고 무결성·접근권한을 관리한다. 다른 관리 영역으로 넘어가면 그 조직의 보존 기록과 적법한 협력이 필요하다.

Ingress/Egress 필터링과 uRPF는 출발지 위조를 줄이는 예방 통제다. 이미 발생한 공격자의 경로를 자동으로 복원하는 역추적 시스템 자체는 아니다.