호환마마, 신종 인플루엔자보다 더 무서운 ARP스푸핑 (4/4 - 네번째 이야기)

[부록: 재미로 보는 통계]
사이버공격 순위에서 우리 나라는 몇 위? 

 사이버공격 연구 재단인 ShadowServer (URL은 참고문헌 참조)에서 각 국가별로 각종 공격과 공격 명령제어 서버 폐쇄 여부를 매일 추적하여 보여 주는 리포트에 따르면, 한국은 인터넷 강국답게 상대적으로 공격을 덜 받고 있는 것으로 보인다. DDoS 공격의 경우, 세계 17위로 인터넷 사용인구나 인프라로 볼 때 상대적으로 공격을 덜 받고 있는 것으로 보인다. 물론, 이 통계는 샘플링 을 기준으로 했기 때문에 참고만 하시길. 그런데, 이런 데도 인터넷 대란이 일어났는데 공격을 더 받으면 어떤 일이 일어날까???

 

   ** 표의 용어 설명

CC – 해당 국가에 있는 C&C (Command & Control) 개수

  Closed – CC 중 적발, 폐쇄된 비율

  Opened – CC 중 적발되지 않고 여전히 활동 중인 개수

  CC* - 해당 국가에 있는 C&C 개수를 기준으로 매긴 국가별 순위

  TGT – 그 지역에서 일어난 공격의 개수를 기준으로 매긴 국가별 순위

 

같은 재단에서 추적한 2년 간의 봇넷 C&C의 추세를 보면, 갈수록 DDoS 공격은 심해질 것으로 보인다. 특히 몇몇 해외 전문가들은 ‘봇넷 경제학’이라는 기고를 통해 DDoS 등 각종 사이버공격이 기업화되어 가고 있으며 심지어는 DDoS 공격을 미리 예고, 금품을 탈취하는 범위를 벗어나 PC에 봇넷을 설치 후 봇넷을 수십만 대씩 판매(?)하기도 한단다. 앞으로 정말 해커들과의 전쟁이 불가피할 것 같다.

     [그림4 2년간 봇넷 C&C 추세, 출처: ShadowServer]

 

 

<참고 문헌>

[KrCERT/CC 2007.06 - ARP Spoofing 공격 분석 및 대책]

  http://www.krcert.or.kr/unimDocsDownload.do?fileName1=TR20070704_ARP_Spoofing.pdf&docNo=TR2007001&docKind=2

 [KrCERT/CC 2008.07 - ARP Poisoning [Spoofing] 악성코드 감염사고 분석]

   http://www.krcert.or.kr/unimDocsDownload.do?fileName1=ARP%20Poisoning.pdf&docNo=TR2008005&docKind=2

 [KrCERT/CC 2007.02 - ARP Spoofing 기법 이용 웹페이지 악성코드 삽입사례]

   http://www.krcert.or.kr/unimDocsDownload.do?fileName1=IN2007003.pdf&docNo=IN2007003&docKind=3

 

[사이버공격 연구 비영리 기관인 ShadowServer에서 각 국가별로 각종 공격과 공격 명령제어 서버 폐쇄 여부를 매일 추적하여 보여 주는 리포트]

http://www.shadowserver.org/wiki/pmwiki.php/Stats/GeoLocations

 

[ShadowServer가 봇넷 C&C 추세를 보여 주는 리포트]

http://www.shadowserver.org/wiki/pmwiki.php/Stats/BotnetCharts

 

[US-CERT가 제공하는 각종 사이버 안전을 위한 tip]

http://www.us-cert.gov/control_systems/pdf/csvul1105.pdf

http://www.us-cert.gov/cas/tips/

 

[유용한 툴들]

n  패킷 분석

①     Tcpdump : http://www.tcpdump.org/

②     이더리얼: http://www.ethereal.com

③     와이어샤크: http://wireshark.org

④     이더피크: http://wildpackets.com/products/etherpeak/overview

⑤     패킷뷰어: http://www.krcert.or.kr

n  ARP Table 감시도구

①     Sniffswitch: http://www.nextsecurity.net/

②     XArp: http://www.초갸늧.de/developing/xarp/XArp_screenshot_advanced_view.png

③     Arpwatch: http://www.ee.lbl.gov

n  L2보안스위치 : http://www.handream.net