정보보안기사 실기 리눅스 명령어 및 스노트(Snort) 룰 벼락치기 팁
정보보안기사 실기 리눅스 명령어 및 스노트(Snort) 룰 벼락치기 팁
핵심만 먼저
정보보안기사 실기에서는 리눅스 계정·패스워드 정책 관련 설정 파일과 스노트(Snort) 침입탐지 룰 문법이 실무형 문제로 자주 다뤄지는 편입니다. 리눅스는 /etc/shadow, /etc/login.defs, pwquality.conf 같은 설정 파일의 위치와 의미를, 스노트는 룰의 action-header-option 구조와 각 옵션의 문법을 정확히 알아두는 것이 벼락치기 전략의 핵심입니다.
💬 실기 앞두고 리눅스랑 스노트, 뭘 봐야 할지 모르겠다면
정보보안기사 실기 준비를 하다 보면 리눅스 명령어와 스노트 룰 파트에서 막막함을 느끼는 경우가 많습니다. 범위가 넓어 보이지만, 실제로 자주 다뤄지는 설정 파일 몇 개와 룰 문법의 기본 구조만 확실히 잡아두면 생각보다 빠르게 감을 잡을 수 있습니다.
리눅스 계정·패스워드 관련 필수 암기 포인트
- /etc/shadow 3번째 필드: 마지막으로 패스워드를 변경한 날짜를 1970년 1월 1일 기준 경과일수로 저장한다. 사람이 읽기 쉬운 형태로 확인하려면
chage -l [계정명]이나passwd -S [계정명]명령어를 사용한다 - /etc/login.defs: PASS_MAX_DAYS(패스워드 최대 사용기간), PASS_MIN_DAYS(최소 사용기간), PASS_WARN_AGE(만료 경고 시작일수) 등 패스워드 사용기간 정책을 설정한다
- /etc/security/pwquality.conf: minlen(최소 길이), minclass(포함해야 할 문자 종류 수), maxrepeat(연속 동일 문자 허용 개수) 등 패스워드 복잡도 정책을 설정한다
- /etc/pam.d/system-auth: pam_tally2.so deny=5 unlock_time=60처럼 로그인 실패 횟수에 따른 계정 잠금 정책을 설정한다
스노트(Snort) 룰, 구조부터 이해해야 문제가 풀린다
스노트 룰은 크게 action(처리 방식) - header(프로토콜과 출발지·목적지) - option(세부 탐지 조건) 세 부분으로 구성됩니다. 이 구조를 먼저 이해하면 처음 보는 룰이라도 각 옵션의 역할을 유추해 풀 수 있습니다.
- action 유형: alert(로그만 기록), log(로그만 기록), pass(무시), drop(차단+로그 기록), reject(차단+로그+거부 응답), sdrop(차단만 하고 로그는 남기지 않음). 이 중 '차단하면서 로그도 남기는' 유형은 drop과 reject 두 가지다
- content 옵션: 패킷 페이로드에서 찾아낼 문자열을 지정한다
- offset·depth 옵션: offset은 검사를 시작할 바이트 위치를, depth는 그 지점부터 검사할 범위(바이트 수)를 지정한다
- nocase 옵션: 대소문자를 구분하지 않고 문자열을 검사한다
- distance·within 옵션: 앞서 찾은 문자열 위치를 기준으로 다음 문자열을 찾을 최소 거리(distance)와 최대 범위(within)를 지정한다
- threshold 옵션: 지정한 시간 동안 발생하는 이벤트 수를 제한해 과도한 탐지 로그 발생을 억제한다
- pcre 옵션: 정규표현식을 이용해 더 정교한 패턴을 탐지한다
실전 문제 유형 예시로 감 잡기
실기 실무형 문제에서는 이런 형태의 룰이 제시되고, 특정 옵션의 의미나 빈칸을 채우는 방식으로 자주 출제됩니다.
- HTTP GET 요청이 짧은 시간 안에 반복되는 것을 탐지하는 룰에서는 content로 "GET" 문자열을, threshold로 특정 시간 내 반복 횟수를 제한하는 조건을 함께 사용한다
- SQL Injection을 탐지하는 룰에서는 content로 " or ", "=" 같은 특징적인 문자열을 찾고, pcre로 요청 방식(GET·POST)까지 함께 검사하는 방식이 활용된다
- 대소문자 표기가 다른 패킷을 탐지하지 못하는 경우, nocase 옵션을 추가하거나 offset·depth 값을 다시 계산해 수정한다
자주 묻는 질문
01리눅스 명령어는 어디까지 외워야 하나요?+
명령어 자체보다 계정·패스워드 관리와 관련된 설정 파일의 위치와 각 항목의 의미를 정확히 아는 것이 우선입니다. /etc/shadow, /etc/login.defs, /etc/security/pwquality.conf처럼 실기에서 반복적으로 다뤄지는 파일들을 중심으로, chage나 passwd -S 같은 확인 명령어까지 함께 정리해두면 실무형 문제에 대응하기 좋습니다.
02스노트 룰 문법을 다 외워야 하나요, 아니면 이해만 하면 되나요?+
모든 옵션을 문자 그대로 암기하기보다, 룰이 action-header-option 구조로 이뤄져 있다는 큰 틀과 자주 쓰이는 옵션(content, offset, depth, nocase, distance, within, threshold, pcre)의 역할을 이해하는 것이 더 효율적입니다. 구조를 이해하면 처음 보는 룰이 나와도 옵션의 의미를 유추해 문제를 풀 수 있습니다.
03content 옵션의 offset과 depth는 어떻게 다른가요?+
offset은 페이로드의 어느 바이트부터 검사를 시작할지를 지정하고, depth는 그 시작 지점으로부터 몇 바이트 범위까지 검사할지를 지정합니다. 예를 들어 페이로드의 첫 번째 바이트부터 13번째 바이트 범위 안에서 문자열을 찾고 싶다면 offset은 0(기본값이라 생략 가능), depth는 13으로 설정합니다.
04차단과 로그를 동시에 하는 스노트 action은 뭔가요?+
drop과 reject입니다. drop은 패킷을 차단하고 로그를 남기며, reject는 차단과 로그 기록에 더해 상대방에게 거부 응답까지 보냅니다. 반면 alert와 log는 패킷을 차단하지 않고 각각 로그를 남기는 데 그치고, sdrop은 차단은 하지만 로그를 남기지 않는다는 차이가 있습니다.
이어서 보면 좋은 글
← 정보보안 및 사이버 해킹 허브로 돌아가기실기 실무 지식을 다졌다면 다음은
모의해킹 부트캠프 전에 Security+가 필요할까
국내 자격증 준비와 별개로, 국비지원 모의해킹 부트캠프를 앞두고 있다면 컴티아 Security+ 취득의 실제 효용도 확인해 보세요.