tcpdump 패킷 분석 과정은 Linux 명령줄에서 네트워크 증거를 수집하고 범위를 좁혀 검사·보존하는 방법을 가르칩니다. 4개의 안내형 실습이 인터페이스와 실시간 캡처부터 BPF 필터, 페이로드, PCAP 관리까지 이어지며 마지막 도전에서는 단계별 명령 없이 노이즈가 많은 침해 캡처를 조사합니다.
격리된 Ubuntu 22.04 학습 VM 안에서 생성된 트래픽과 준비된 캡처를 사용합니다. 패킷에 정확한 질문을 던지고 유용한 증거를 보존하며 암호화되지 않은 프로토콜이 노출하는 정보를 이해하는 데 초점을 둡니다.
학습 내용
- 캡처 인터페이스 열거와 tcpdump의 간결한 패킷 요약 해석
- 인터페이스, 패킷 수, snapshot length로 실시간 캡처 제한
- 호스트, 출발지/목적지 방향, 포트, 프로토콜, 논리 조합의 BPF 표현식 작성
- 전체 페이로드를 ASCII와 16진수+ASCII 형식으로 표시
- tcpdump와 텍스트 필터를 결합해 HTTP 헤더와 평문 지표 탐색
- PCAP 파일 기록, 재생, 필터링과 집중된 증거 추출
- 준비된 사고 캡처에서 의심 호스트, FTP 트래픽, 노출된 자격 증명 식별
추천 대상
명령줄 패킷 분석의 실무 기초가 필요한 보안 분석가 지망생, SOC 학습자, 네트워크 문제 해결 담당자, Linux 사용자에게 적합합니다. 프로토콜 분석, IDS, 네트워크 포렌식 과정 전에 유용합니다.
선수 지식: 기본 Linux 셸 사용과 IP 주소, TCP/UDP, 포트, 클라이언트-서버 트래픽에 대한 이해가 필요합니다. tcpdump 경험은 없어도 됩니다.
학습 환경: 브라우저 Ubuntu 22.04 VM에서 독립적으로 실행되는 5개 활동으로, 4개 안내형 실습과 1개 도전입니다. 로컬 loopback/Web 트래픽, 일반 VM 인터페이스 트래픽, 준비된 PCAP을 사용하며 tcpdump는 설치되어 있습니다.
자주 묻는 질문
실제 외부 대상의 트래픽을 캡처하나요?
아닙니다. 학습 VM 자체 인터페이스, 로컬 생성 loopback/Web 트래픽, 준비된 PCAP만 사용합니다. 제3자 네트워크를 스캔하거나 가로채지 않습니다.
일부 tcpdump 명령에 sudo가 필요한 이유는 무엇인가요?
실시간 캡처에는 네트워크 인터페이스에 대한 특권 접근이 필요합니다. 본인 소유 PCAP을 읽을 때는 일반적으로 필요하지 않으며 실습에서 차이를 설명합니다.
tcpdump로 모든 연결의 비밀번호를 볼 수 있나요?
아닙니다. 의도적으로 암호화하지 않은 HTTP와 FTP 증거로 읽을 수 있는 페이로드를 보여 줍니다. 올바르게 암호화된 HTTPS와 SSH는 일반 캡처에서 응용 콘텐츠를 평문으로 노출하지 않습니다.
어떤 네트워크에서든 이 기술을 사용해도 되나요?
소유하거나 명시적으로 모니터링 권한을 받은 시스템과 네트워크에서만 캡처하세요. PCAP에는 사적 통신과 자격 증명이 포함될 수 있으므로 범위, 보관, 공유는 정책과 법률을 따라야 합니다.
