Booil Jung

현대 컴퓨터 네트워크 공격의 포괄적 분류

컴퓨터 네트워크 공격, 즉 사이버 공격은 정보 시스템의 자원이나 정보 자체를 수집, 방해, 거부, 저하 또는 파괴하려는 모든 종류의 악의적인 활동으로 정의된다.1 현대 사회에서 사이버 공격의 동기와 주체는 급격히 다양화 및 고도화되고 있다. 과거에는 개인 해커나 소규모 집단이 기술력을 과시하거나 단순한 호기심으로 공격을 감행하는 경우가 많았으나, 최근에는 국가의 후원을 받는 조직들이 정치적, 경제적, 군사적 목적으로 정교한 공격을 수행하는 사례가 급증하고 있다.2 이러한 공격자들은 사이버 범죄자, 핵티비스트(Hacktivists), 국가 지원 공격자, 내부 위협자 등 다양한 그룹으로 분류될 수 있으며, 그들의 목표 또한 단순한 시스템 마비를 넘어 지적 재산 탈취, 중요 데이터 파괴, 시스템 제어권 장악 등으로 확장되고 있다.4 이처럼 복잡해진 위협 환경을 이해하기 위해서는 공격을 체계적으로 분류하고 분석하는 프레임워크가 필수적이다.

네트워크 공격을 분류하는 가장 근본적인 기준은 공격자가 데이터 흐름에 직접적인 변경을 가하는지 여부이다. 이에 따라 공격은 수동적 공격(Passive Attack)과 능동적 공격(Active Attack)으로 나뉜다.6

수동적 공격은 시스템이나 데이터에 직접적인 영향을 주지 않으면서 네트워크를 통해 전송되는 정보를 몰래 엿듣거나 수집하는 행위를 의미한다.7 공격의 주된 목적은 정보 수집이며, 시스템의 상태를 변경하지 않기 때문에 탐지가 매우 어렵다는 특징이 있다. 그러나 암호화와 같은 예방 조치를 통해 효과적으로 방어할 수 있다.9

능동적 공격은 데이터의 흐름을 가로채 변조하거나, 시스템의 정상적인 동작을 방해하는 등 시스템 자원에 직접적인 영향을 미치는 모든 공격을 포함한다.7 수동적 공격과 달리 시스템 상태에 변화를 일으키므로 그 흔적이 남아 탐지가 상대적으로 용이하다.12 수동적 공격을 제외한 거의 모든 종류의 네트워크 공격이 능동적 공격에 해당한다고 볼 수 있다.7

공격의 기술적 분류를 넘어 그 근본적인 목표를 이해하기 위해서는 정보보안의 3요소인 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 기준으로 공격을 재분류하는 것이 유용하다. 모든 사이버 공격은 궁극적으로 이 세 가지 요소 중 하나 이상을 훼손하는 것을 목표로 한다.1

이러한 기초적인 분류 체계는 단순히 공격을 나열하는 것을 넘어, 방어 전략 수립에 핵심적인 단서를 제공한다. 예를 들어, 탐지가 어려운 수동적 기밀성 공격에 대해서는 암호화와 같은 사전 예방적 통제(Preventive Control)가 최우선 전략이 된다. 반면, 시스템에 즉각적인 영향을 미치는 능동적 무결성 및 가용성 공격에 대해서는 침입 탐지 시스템(IDS)이나 방화벽과 같은 탐지 및 대응 통제(Detective/Responsive Control)가 방어의 핵심이 된다. 이처럼 공격의 본질을 이해하는 것은 효과적인 보안 아키텍처를 설계하는 첫걸음이다.

가용성을 목표로 하는 공격은 시스템이나 네트워크를 마비시켜 정상적인 서비스를 불가능하게 만드는 데 중점을 둔다. 가장 잘 알려진 형태는 서비스 거부(DoS) 및 분산 서비스 거부(DDoS) 공격이다.

이 공격 유형은 목표 시스템의 네트워크 대역폭을 모두 소진시켜 정상적인 트래픽이 도달하지 못하게 하는 것을 목표로 한다. 주로 3계층(네트워크) 및 4계층(전송) 프로토콜을 이용한다.

네트워크 프로토콜(주로 TCP/IP)의 설계상 허점이나 취약점을 악용하여 목표 시스템의 자원을 고갈시키는 공격이다.

네트워크 대역폭보다는 웹 서버, 데이터베이스 등 애플리케이션 자체의 자원을 고갈시키는 데 초점을 맞춘 공격이다. 정상적인 요청처럼 보이기 때문에 대역폭 소진형 공격보다 탐지가 훨씬 어렵고 정교하다.

이러한 DDoS 공격의 진화 과정은 공격자와 방어자 간의 끊임없는 ‘군비 경쟁’을 명확히 보여준다. 초기의 스머프 공격이나 UDP 플러딩과 같은 대규모 대역폭 소진형 공격에 대응하여 트래픽 스크러빙(scrubbing)과 같은 효과적인 방어 기술이 개발되자, 공격자들은 방어의 초점이 맞춰져 있던 네트워크 계층(Layer 3/4)을 벗어나 애플리케이션 계층(Layer 7)으로 공격의 무대를 옮겼다. 슬로로리스나 해시 DoS와 같은 애플리케이션 논리 기반 공격은 정상 트래픽과 구별하기 어려워 단순한 트래픽 양 분석만으로는 방어가 불가능하다. 이는 현대의 DDoS 방어 전략이 반드시 네트워크 계층의 대용량 트래픽 방어 능력과 더불어, 애플리케이션의 특성을 이해하고 비정상적인 행위를 판별할 수 있는 지능적인 분석 능력을 갖춘 다층적 구조여야 함을 시사한다.

무결성을 목표로 하는 공격은 데이터를 위조하거나 다른 사용자로 위장하여 신뢰를 깨뜨리고 시스템을 조작하는 데 초점을 맞춘다.

스푸핑은 ‘속이다’라는 의미로, 공격자가 자신의 정체를 숨기거나 다른 합법적인 개체인 것처럼 위장하는 모든 종류의 공격을 통칭한다.

기술적 취약점 대신 인간의 심리적 허점이나 사회적 신뢰를 이용하여 기밀 정보를 빼내거나 악성 행위를 유도하는 공격 기법이다.

공격자가 통신하는 두 당사자 사이에 몰래 끼어들어 양쪽의 모든 통신 내용을 도청하거나 조작하는 공격이다. ARP 스푸핑은 MitM 공격을 수행하기 위한 대표적인 선행 작업이다.

이러한 무결성 공격 기법들은 독립적으로 사용되기보다는 ‘공격 체인(Attack Chain)’의 형태로 서로 연결되어 사용되는 경우가 많다. 예를 들어, 공격자는 먼저 스피어 피싱 이메일17을 보내 초기 접근을 시도하고, 이메일에 첨부된 악성 파일은 피해자 컴퓨터에 트로이 목마11를 설치한다. 설치된 트로이 목마는 키로거15를 통해 사용자의 계정 정보를 탈취하거나, 네트워크 스니퍼11를 통해 세션 토큰을 가로챈다. 마지막으로, 공격자는 탈취한 세션 토큰을 이용해 세션 하이재킹9을 수행하여 사용자의 계정으로 민감한 내부 시스템에 접속한다. 이처럼 공격이 여러 단계에 걸쳐 진행된다는 사실은 방어 전략 역시 다층적이어야 함을 의미한다. 이메일 필터링, 엔드포인트 보안, 네트워크 암호화, 접근 제어 등 각 단계에 맞는 방어 체계를 갖추는 ‘심층 방어(Defense-in-Depth)’ 전략이 필수적인 이유가 여기에 있다.

기밀성을 목표로 하는 공격은 인가되지 않은 정보의 노출에 초점을 맞춘다. 이는 주로 탐지가 어려운 수동적 공격의 형태를 띤다.

네트워크를 통해 전송되는 패킷을 가로채서 그 내용을 엿보는 행위이다. 이는 가장 고전적이고 직접적인 기밀성 침해 공격이다.6

통신 내용이 암호화되어 있어도, 통신 패턴 자체를 분석하여 정보를 얻어내는 더 정교한 염탐 기법이다.6

악성 소프트웨어, 즉 멀웨어는 그 자체로 공격이라기보다는, 다양한 공격 목표(정보 탈취, 시스템 파괴, 금전 갈취)를 달성하기 위한 핵심적인 도구이자 전달 벡터(Delivery Vector)로 사용된다.

스스로를 복제하거나 사용자를 속여 시스템에 침투하는 전통적인 형태의 악성 코드이다.

금전적 이득이나 특정 정보 탈취 등 명확한 목적을 가지고 설계된 현대적인 멀웨어이다.

네트워크 공격을 OSI 7계층 또는 TCP/IP 모델의 각 계층별로 분석하는 것은 공격이 발생하는 위치와 원리를 심도 있게 이해하고, 계층별 방어 전략을 수립하는 데 필수적이다. 이는 네트워크 엔지니어와 아키텍트에게 특히 중요한 관점을 제공한다.

이 계층의 공격은 주로 로컬 네트워크(LAN) 내에서 물리적 접근이나 로컬 프로토콜의 취약점을 이용한다.

네트워크 간의 IP 주소 기반 라우팅을 담당하는 3계층에서는 주로 IP 패킷 헤더를 조작하는 공격이 발생한다.

TCP, UDP와 같이 종단 간(end-to-end) 연결과 데이터 전송의 신뢰성을 관리하는 4계층에서는 세션 관리 및 데이터 흐름 제어의 허점을 노리는 공격이 주를 이룬다.

이 상위 계층들은 특정 애플리케이션의 데이터 형식, 세션 관리, 그리고 사용자 인터페이스를 다루기 때문에, 공격 역시 HTTP, DNS, SQL 등 특정 프로토콜이나 서비스에 종속적인 형태로 나타난다.

OSI 모델을 통해 공격을 계층별로 분석하는 것은 매우 유용하지만, 각 계층이 완벽하게 독립적으로 동작한다는 단순한 시각에서 벗어나는 것이 중요하다. 실제 공격에서는 ‘계층 간 취약점(Cross-Layer Vulnerability)’을 악용하는 사례가 빈번하게 발생한다.32 예를 들어, 3계층 프로토콜인 ICMP를 이용해 위조된 오류 메시지를 생성함으로써 2계층인 Wi-Fi의 보안 메커니즘을 우회하는 공격이 가능하다.39 이는 방어 체계가 특정 계층에만 고립되어서는 안 되며, 각 계층의 보안 이벤트가 다른 계층에 미치는 영향을 종합적으로 분석하고 연관 지을 수 있는 통합적인 보안 관제(예: SIEM, XDR)가 필수적임을 시사한다. 공격자들은 프로토콜 스택의 ‘틈새’를 노리므로, 방어자 역시 전체 스택을 아우르는 시야를 가져야 한다.

표 1: OSI 계층별 주요 네트워크 공격 분류

OSI 계층 공격 명칭 공격 원리 및 설명 주요 목표 (CIA) 대표 사례 및 벡터
7: 응용 HTTP Flooding, Slowloris 대량의 HTTP 요청 또는 비정상적으로 느린 요청을 통해 웹 서버 자원 고갈 가용성 웹사이트 서비스 마비, API 기능 장애 9
  SQL Injection, XSS 사용자 입력값 검증 부재를 이용, 악성 쿼리나 스크립트를 삽입하여 실행 무결성, 기밀성 데이터베이스 정보 유출, 사용자 세션 탈취 21
  DNS Spoofing 위조된 DNS 응답으로 사용자를 악성 사이트로 유도 무결성 피싱을 통한 개인정보 탈취 11
6: 표현 SSL/TLS Downgrade Attack 보안 협상 과정에 개입하여 암호화 수준을 낮추거나 해제 기밀성, 무결성 암호화된 통신 내용 도청 및 변조 12
5: 세션 Session Hijacking 인증된 사용자의 세션 ID를 탈취하여 해당 사용자로 위장 기밀성, 무결성 비인가된 계정 접근 및 기능 사용 9
4. 전송 TCP SYN Flooding 3-way handshake를 완료하지 않아 서버의 연결 대기 큐를 가득 채움 가용성 서버의 신규 연결 수용 불능 상태 유발 8
  Port Scanning 대상 시스템의 포트를 스캔하여 열려 있는 서비스 및 취약점 파악 기밀성 (정찰) 공격 대상의 사전 정보 수집 9
3. 네트워크 IP Spoofing 패킷의 출발지 IP 주소를 위조하여 공격자 신원 은폐 또는 타 시스템 위장 무결성 Smurf, Land Attack 등 다른 공격의 기반 기술 11
  Smurf Attack, PoD ICMP 프로토콜을 악용하여 대량 트래픽을 유발하거나 시스템을 다운시킴 가용성 네트워크 대역폭 소진, 시스템 마비 11
  Teardrop Attack IP 단편화/재조립 과정의 논리적 오류를 유발하여 시스템 장애 발생 가용성 운영체제 커널 패닉 유발 8
2. 데이터 링크 ARP Spoofing 로컬 네트워크에서 MAC 주소를 속여 트래픽을 가로챔 기밀성, 무결성 로컬 네트워크 내 중간자 공격(MitM) 수행 9
  MAC Flooding 스위치의 MAC 주소 테이블을 오버플로우시켜 허브처럼 동작하게 만듦 기밀성 네트워크 트래픽 스니핑 환경 조성 20
  VLAN Hopping VLAN 간의 논리적 격리를 우회하여 다른 VLAN 트래픽에 접근 기밀성 인가되지 않은 네트워크 세그먼트 정보 접근 28
1. 물리 Wiretapping, Cable Cutting 물리적 케이블에 접근하여 신호를 도청하거나 회선을 절단 기밀성, 가용성 데이터 도청, 물리적 서비스 중단 28

네트워크 아키텍처 전반에 걸친 공격을 넘어, 현대 공격의 대부분은 최종 사용자와 직접 상호작용하는 애플리케이션 자체에 집중된다. 이 분야의 위협을 체계적으로 이해하기 위해 산업 표준 프레임워크인 OWASP Top 10을 활용하는 것이 효과적이다.

OWASP(Open Web Application Security Project)는 웹 애플리케이션 보안 분야에서 가장 심각하고 널리 퍼져 있는 10가지 위험을 주기적으로 선정하여 발표한다. 2021년 발표된 목록은 다음과 같다.37

현대 애플리케이션 아키텍처가 서버가 직접 HTML을 생성하는 방식에서, 프론트엔드와 백엔드가 API(Application Programming Interface)를 통해 데이터를 주고받는 방식으로 변화함에 따라 API 자체가 핵심적인 공격 표면으로 부상했다. 이에 OWASP는 웹 애플리케이션 Top 10과 별도로 API 보안에 특화된 위험 목록을 발표했다.41

API 보안 목록이 별도로 존재하는 이유는 현대 애플리케이션 아키텍처의 근본적인 변화를 반영한다. 과거의 단일체(Monolithic) 웹 애플리케이션과 달리, 현대의 분산 시스템은 API를 통해 통신한다. 이 구조적 변화는 XSS와 같이 웹 페이지 렌더링과 관련된 전통적인 취약점의 중요도를 상대적으로 낮추는 대신, BOLA나 기능 수준 권한 부여 실패와 같이 API의 데이터 처리 및 접근 제어 로직에 내재된 새로운 유형의 취약점을 부각시켰다. 공격자들은 데이터와 로직이 집중되는 API를 새로운 ‘네트워크 경계’로 인식하고 있으며, 이는 방어 전략 역시 전통적인 웹 페이지 스캐닝을 넘어 API의 논리적 흐름과 권한 부여 체계를 심층적으로 분석할 수 있는 전문적인 API 보안 테스트로 진화해야 함을 의미한다.

네트워크 공격은 개별 기술의 나열을 넘어, 명확한 목표와 장기적인 계획을 가진 조직적인 범죄 활동으로 진화했다. 특히 국가의 지원을 받는 공격 그룹과 전문화된 사이버 범죄 비즈니스 모델은 현대 보안 환경의 가장 큰 위협이다.

APT는 단발성 공격이 아닌, 특정 목표(정부, 군, 기업 등)를 대상으로 장기간에 걸쳐 은밀하게 진행되는 고도로 지능화된 공격 캠페인이다. 공격의 주체는 주로 특정 국가의 후원을 받는 해킹 그룹으로, 막대한 자원과 기술력을 동원하여 정보 탈취, 시스템 파괴, 사회 혼란 야기 등을 목표로 한다.17

APT 공격은 일반적으로 다음과 같은 체계적인 단계를 거쳐 진행된다.

  1. 정찰 (Reconnaissance): 공격 대상 조직의 구조, 임직원 정보, 사용 중인 시스템, 네트워크 구성, 잠재적 취약점 등 공개된 정보를 통해(OSINT) 목표에 대한 사전 조사를 수행한다.44
  2. 초기 침투 (Initial Compromise): 정찰을 통해 얻은 정보를 바탕으로 네트워크에 첫 발을 들여놓는다. 스피어 피싱 이메일, 아직 알려지지 않은 제로데이 취약점 공격, 목표가 자주 방문하는 사이트를 감염시키는 워터링 홀 공격, 또는 신뢰할 수 있는 소프트웨어 공급망을 해킹하는 공급망 공격 등 다양한 기법이 사용된다.44
  3. 거점 확보 및 내부 확산 (Establish Foothold & Lateral Movement): 초기 침투에 성공하면, 외부와 통신할 수 있는 백도어를 설치하여 지속적인 접근 경로를 확보한다. 이후 내부 네트워크를 스캔하여 추가 취약점을 찾고, 권한 상승(Privilege Escalation)을 통해 더 높은 권한을 획득하며, 다른 시스템으로 수평적으로 이동(Lateral Movement)하여 최종 목표(핵심 데이터 서버 등)에 접근한다.15
  4. 목표 달성 및 데이터 유출 (Achieve Mission & Exfiltration): 최종 목표 시스템에 도달하여 정보를 훔치거나 시스템을 파괴한다. 데이터를 유출할 때는 탐지를 피하기 위해 데이터를 암호화하거나 여러 개의 작은 파일로 분할하고, DNS나 ICMP 프로토콜을 이용한 터널링과 같이 정상적인 트래픽으로 위장하는 은밀한 방법을 사용한다.44

APT 공격의 가장 중요한 특징은 기술의 ‘지능성(Advanced)’뿐만 아니라, 공격의 ‘지속성(Persistent)’에 있다. 일반적인 랜섬웨어 공격이 단기간에 피해를 입히고 사라지는 ‘치고 빠지기’식이라면, APT는 목표 네트워크 내에서 탐지되지 않고 수개월에서 수년에 걸쳐 잠복하는 것을 목표로 한다. 이러한 위협의 특성은 방어 패러다임의 근본적인 전환을 요구한다. 외부로부터의 침입을 막는 전통적인 경계 기반 보안(Perimeter Security)만으로는 충분하지 않으며, “침해를 가정하는(Assume Breach)” 자세가 필요하다. 즉, 고도로 숙련된 공격자는 언젠가는 내부로 침투할 것이라는 전제 하에, 이미 내부에 들어와 있을지 모를 위협을 찾아내고 신속하게 제거하기 위한 지속적인 내부 모니터링, 위협 헌팅(Threat Hunting), 사고 대응(Incident Response) 역량을 갖추는 것이 현대 보안 운영의 핵심이 된다.44

서비스형 랜섬웨어(Ransomware-as-a-Service, RaaS)는 랜섬웨어 개발자(Operator)가 자신이 만든 악성코드를 다른 공격자(Affiliate)에게 서비스 형태로 제공(대여)하고, 그 대가로 구독료를 받거나 랜섬머니 수익의 일부를 공유하는 사이버 범죄 비즈니스 모델이다.46

RaaS 모델은 사이버 범죄의 분업화와 전문화를 통해 진입 장벽을 크게 낮추었다. 기술력이 부족한 범죄자도 쉽게 랜섬웨어 공격을 감행할 수 있게 된 것이다.46

기술이 발전함에 따라 공격 기법 또한 진화한다. 인공지능, 사물 인터넷 등 새로운 기술은 새로운 공격 표면을 만들어내며, 사이버 위협의 지형을 끊임없이 바꾸고 있다.

인공지능(AI) 기술은 방어뿐만 아니라 공격에도 활발하게 활용되고 있다. 미국 국립표준기술연구소(NIST)는 AI 시스템에 대한 공격을 크게 네 가지로 분류했다.56

본 보고서를 통해 분석한 바와 같이, 컴퓨터 네트워크 공격은 단순한 기술 기법의 목록이 아니라, 동적으로 상호작용하며 끊임없이 진화하는 복잡한 생태계이다. 이 생태계를 관통하는 몇 가지 핵심적인 흐름을 종합하며 결론을 내릴 수 있다.

첫째, 공격자와 방어자 간의 ‘군비 경쟁’은 위협의 진화를 추동하는 핵심 동력이다. 방어자가 네트워크 계층의 대용량 DDoS 공격을 막아내자 공격자들은 정상 트래픽과 구별하기 어려운 애플리케이션 계층으로 공격의 무대를 옮겼다. 이처럼 방어 기술의 발전은 필연적으로 새로운 공격 기법의 등장을 촉발하며, 이 순환은 앞으로도 계속될 것이다.

둘째, 공격의 중심이 네트워크 인프라에서 애플리케이션 및 비즈니스 로직으로 이동하고 있다. 과거의 공격이 프로토콜의 취약점을 파고들었다면, 현대의 정교한 공격은 API의 권한 부여 로직(BOLA)이나 비즈니스 흐름의 허점을 노린다. 이는 방어의 초점 역시 단순한 트래픽 필터링을 넘어, 애플리케이션의 내부 동작과 데이터의 흐름을 이해하는 방향으로 전환되어야 함을 의미한다.

셋째, 사이버 범죄의 전문화와 비즈니스화는 위협의 대중화를 이끌고 있다. RaaS와 같은 서비스 모델은 기술력이 낮은 범죄자들에게도 강력한 공격 도구를 제공하며 전체적인 위협 수준을 상향 평준화시켰다. 초기 접근 브로커, 랜섬웨어 운영자, 제휴사로 이어지는 분업화된 생태계는 사이버 범죄가 더 이상 개인의 일탈이 아닌 하나의 ‘산업’으로 자리 잡았음을 보여준다.

마지막으로, 이러한 위협 환경에 대응하기 위해서는 다층적이고 통합적인 ‘심층 방어(Defense-in-Depth)’와 ‘침해를 가정하는(Assume Breach)’ 방어 철학이 필수적이다. 완벽한 방어는 불가능하며, 고도로 동기 부여된 공격자는 언젠가 경계선을 넘을 수 있다는 전제 하에, 침입을 최대한 지연시키고, 침입 발생 시 이를 신속하게 탐지하여 대응하고, 피해로부터 빠르게 복구하는 ‘사이버 회복탄력성(Cyber Resilience)’을 확보하는 것이 현대 보안 전략의 핵심 목표가 되어야 한다.

결론적으로, 컴퓨터 네트워크 공격의 위협은 정적인 지식의 집합이 아니라, 기술, 경제, 지정학적 요인이 복합적으로 작용하는 유기적인 현상이다. 따라서 효과적인 방어는 개별 공격 기법에 대한 대응을 넘어, 이러한 위협 환경의 근본적인 동학과 진화 방향을 지속적으로 분석하고 예측하며, 이에 맞춰 유연하고 심층적인 방어 체계를 구축해 나가는 끊임없는 과정 속에서만 달성될 수 있다. 우리의 디지털 사회가 더욱 깊이 연결될수록 이 보이지 않는 전쟁의 중요성은 더욱 커질 것이다.