이 랩에서는 Nmap 을 사용하여 네트워크 스캐닝의 기본 사항을 배우게 됩니다. Nmap 은 네트워크 관리자와 보안 전문가가 널리 사용하는 강력하고 다재다능한 도구입니다. 이는 네트워크 검색 및 보안 감사를 위한 오픈 소스 유틸리티로, 네트워크를 스캔하여 호스트와 서비스를 찾고, 운영 체제를 식별하며, 취약점을 탐지할 수 있습니다.
실습을 통해 다양한 유형의 포트 스캔을 수행하는 방법을 이해하게 됩니다. 또한 스캔 결과를 해석하고 네트워크 보안 평가 기술에 대한 통찰력을 얻는 방법을 배우게 됩니다.
포트 스캐닝에 대해 배우기 전에 컴퓨터 네트워킹의 맥락에서 포트가 무엇인지 이해하는 것이 중요합니다. 포트는 통신 엔드포인트 역할을 합니다. 이는 컴퓨터의 서로 다른 프로세스가 네트워크 리소스를 공유할 수 있도록 합니다. 데이터를 컴퓨터로 들어오고 나갈 수 있는 출입구라고 생각하면 됩니다. 총 65,535 개의 포트가 있으며, 세 가지 범위로 나뉩니다.
이 단계에서는 랩 환경에 로컬 서비스를 설정할 것입니다. 나중에 이 서비스를 스캔할 것입니다. 이 실습 방식을 통해 강력한 포트 스캐닝 도구인 Nmap 이 열린 포트와 해당 포트에서 실행되는 서비스를 어떻게 감지하는지 이해할 수 있습니다.
먼저 터미널을 엽니다. 터미널은 컴퓨터와 상호 작용하기 위해 명령을 입력할 수 있는 텍스트 기반 인터페이스입니다. 터미널이 열리면 프로젝트 디렉토리에 있는지 확인해야 합니다. 프로젝트 디렉토리는 이 실험과 관련된 모든 파일이 저장되는 곳입니다. 다음 명령을 실행하여 프로젝트 디렉토리로 이동할 수 있습니다.
cd /home/labex/project다음으로, 머신에 간단한 HTTP 서버를 만들 것입니다. Python 의 내장 HTTP 서버 모듈을 사용할 것입니다. 이 서버는 포트 8080 에서 수신 대기합니다. 포트에서 수신 대기한다는 것은 서버가 해당 특정 포트에서 들어오는 요청을 기다리고 있음을 의미합니다. 이 서버는 Nmap 스캔의 대상이 됩니다. 서버를 시작하려면 다음 명령을 실행합니다.
python3 -m http.server 8080 &이 명령을 실행한 후 출력은 다음과 유사해야 합니다.
Serving HTTP on 0.0.0.0 port 8080 (http://0.0.0.0:8080/) ...명령 끝에 있는 & 기호는 중요합니다. 백그라운드에서 프로세스를 실행합니다. 즉, 서버가 계속 실행되며 터미널을 사용하여 다른 명령을 입력할 수 있습니다.
서버가 실행 중인지 확인하기 위해 수신 대기 포트를 확인합니다. 다음 명령을 실행하여 이를 수행할 수 있습니다.
ss -tuln | grep 8080ss 명령은 소켓 통계를 표시하는 데 사용됩니다. -tuln 옵션은 TCP, UDP, 수신 대기 소켓을 표시하고 숫자 주소를 표시하도록 명령에 지시합니다. | 기호는 파이프이며, ss 명령의 출력을 가져와 grep 명령에 전달합니다. 그런 다음 grep 명령은 출력에서 문자열 8080을 검색합니다.
서버가 올바르게 실행 중이면 포트 8080 이 사용되고 있음을 출력에 표시해야 합니다.
tcp LISTEN 0 1 0.0.0.0:8080 0.0.0.0:*이 출력은 HTTP 서버가 예상대로 실행 중이며 Nmap 으로 스캔할 준비가 되었음을 확인합니다.
이제 HTTP 서버가 실행 중이므로 Nmap 을 사용하여 기본 포트 스캔을 시작할 준비가 되었습니다. 하지만 먼저 포트 스캐닝이 무엇인지 이해해 보겠습니다. 포트 스캐닝은 네트워크 보안의 기본 기술입니다. 호스트에서 어떤 포트가 열려 있는지 확인하는 데 도움이 됩니다. 포트는 건물 안의 문과 같습니다. 컴퓨터에서 실행되는 각 서비스는 통신을 위해 특정 포트를 사용합니다. 네트워크 관리자의 경우 열린 포트를 아는 것은 서비스가 예상대로 작동하는지 확인하는 데 도움이 됩니다. 보안 전문가에게는 열린 포트가 때때로 공격자에 의해 악용될 수 있으므로 잠재적인 취약점을 식별하는 데 중요한 단계입니다.
먼저 Nmap 이 시스템에 설치되어 있는지 확인해야 합니다. Nmap 은 이 실험 전체에서 사용할 강력한 네트워크 스캐닝 도구입니다. 설치되었는지 확인하려면 터미널에서 다음 명령을 실행할 수 있습니다.
nmap --version이 명령은 시스템에 설치된 Nmap 의 버전을 표시하도록 요청합니다. Nmap 이 올바르게 설치된 경우 다음과 유사한 출력이 표시됩니다.
Nmap version 7.80 ( https://nmap.org )Nmap 이 설치되었는지 확인했으므로 기본 스캔을 수행하여 localhost 에서 포트 8080 이 열려 있는지 확인해 보겠습니다. localhost 는 현재 작업 중인 컴퓨터를 나타내며 IP 주소 127.0.0.1 로 표시됩니다. 스캔을 수행하려면 다음 명령을 실행합니다.
nmap -p 8080 localhost이 명령에서 -p 플래그는 스캔할 포트를 지정하는 데 사용됩니다. 여기서는 포트 8080 에만 관심이 있습니다. 이 명령을 실행하면 Nmap 은 localhost 의 포트 8080 으로 특수 네트워크 패킷을 보내고 응답을 분석하여 포트가 열려 있는지 확인합니다.
다음과 유사한 출력이 표시됩니다.
Starting Nmap 7.80 ( https://nmap.org ) at 2023-08-01 10:00 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00020s latency).
PORT STATE SERVICE
8080/tcp open http-proxy
Nmap done: 1 IP address (1 host up) scanned in 0.05 seconds이 출력은 중요한 정보를 제공합니다. 포트 8080 이 열려 있고 Nmap 이 이 포트에서 실행되는 서비스를 "http-proxy"로 식별했음을 알려줍니다.
다음으로, 이 스캔의 출력을 파일에 저장하려고 합니다. 스캔 결과를 저장하는 것은 나중에 추가 분석을 위해 참조할 수 있으므로 유용합니다. 출력을 저장하려면 다음 명령을 실행합니다.
nmap -p 8080 localhost > /home/labex/project/basic_scan.txt이 명령에서 > 기호는 Nmap 스캔의 출력을 /home/labex/project 디렉토리에 있는 basic_scan.txt라는 파일로 리디렉션하는 데 사용됩니다.
출력이 올바르게 저장되었는지 확인하기 위해 cat 명령을 사용할 수 있습니다. cat 명령은 파일의 내용을 표시하는 데 사용됩니다. 다음 명령을 실행합니다.
cat /home/labex/project/basic_scan.txt이전과 동일한 출력이 파일에 저장된 것을 볼 수 있습니다.
Nmap 스캔의 출력을 자세히 살펴보고 각 줄의 의미를 이해해 보겠습니다.
Starting Nmap 7.80 ( https://nmap.org ) at 2023-08-01 10:00 UTC: 이 줄은 Nmap 스캔이 시작된 시간을 알려줍니다. 스캔이 수행된 시간을 추적하는 데 유용합니다.Nmap scan report for localhost (127.0.0.1): 이 줄은 스캔의 대상 호스트를 식별합니다. 이 경우 IP 주소가 127.0.0.1 인 localhost 입니다.Host is up (0.00020s latency): 이 줄은 대상 호스트가 온라인 상태임을 확인합니다. 지연 시간 값은 네트워크 패킷이 호스트로 이동하여 다시 돌아오는 데 걸리는 시간을 나타냅니다. localhost 는 작업 중인 동일한 컴퓨터이므로 매우 낮은 지연 시간이 예상됩니다.PORT STATE SERVICE: 이것은 포트 스캔 결과의 헤더입니다. 다음 줄에 표시될 정보를 알려줍니다.8080/tcp open http-proxy: 이 줄은 포트 8080 이 열려 있음을 나타냅니다. /tcp 부분은 사용된 네트워크 프로토콜의 유형 (신뢰할 수 있는 데이터 전송을 위한 일반적인 프로토콜인 TCP) 을 지정합니다. Nmap 은 이 포트에서 실행되는 서비스를 "http-proxy"로 식별했습니다.Nmap done: 1 IP address (1 host up) scanned in 0.05 seconds: 이 줄은 스캔을 요약합니다. Nmap 이 하나의 IP 주소 (localhost) 를 스캔했고, 호스트가 작동 중임을 확인했으며, 0.05 초 만에 스캔을 완료했음을 알려줍니다.기본 포트 스캔을 성공적으로 완료했으므로 기술을 한 단계 더 발전시켜 몇 가지 더 고급 Nmap 스캐닝 기술을 살펴볼 차례입니다. Nmap 은 네트워크 서비스에 대한 자세한 정보를 수집할 수 있는 다양한 옵션을 제공하는 강력한 도구입니다. 이 정보는 네트워크 관리와 보안 평가 모두에 중요합니다. 고급 스캐닝 기술을 사용하면 네트워크의 시스템에 대해 더 많은 정보를 얻을 수 있으며, 잠재적인 보안 위험을 식별하고 네트워크를 보다 효과적으로 관리하는 데 도움이 됩니다.
Nmap 의 가장 유용한 기능 중 하나는 열린 포트에서 실행 중인 서비스와 버전을 결정하는 기능입니다. 서비스와 버전을 아는 것은 특정 서비스 버전과 관련된 잠재적인 취약점을 식별하는 데 도움이 되기 때문에 필수적입니다. 많은 소프트웨어 취약점은 특정 버전과 관련되어 있으므로 포트에서 실행 중인 정확한 버전을 알면 알려진 보안 문제가 있는지 빠르게 확인할 수 있습니다.
포트 8080 에서 서비스 버전 감지 스캔을 수행하려면 다음 명령을 실행해야 합니다.
nmap -sV -p 8080 localhost이 명령에서 -sV 플래그가 핵심입니다. Nmap 에 서비스 정보를 확인하기 위해 열린 포트를 프로브하도록 지시합니다. -p 8080은 포트 8080 을 스캔하려는 것을 지정하고 localhost는 자체 머신을 스캔하고 있음을 나타냅니다.
이 명령의 출력은 다음과 유사해야 합니다.
Starting Nmap 7.80 ( https://nmap.org ) at 2023-08-01 10:15 UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.00022s latency).
PORT STATE SERVICE VERSION
8080/tcp open http SimpleHTTPServer 0.6 (Python 3.10.12)
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 6.32 seconds보시다시피 Nmap 은 이제 포트 8080 에서 실행 중인 서비스에 대한 더 자세한 정보를 제공합니다. 서비스가 Python SimpleHTTPServer 이고 버전과 실행 중인 Python 버전을 식별합니다.
이제 이 귀중한 정보를 파일에 저장해 보겠습니다. 다음 명령을 실행하여 이 작업을 수행할 수 있습니다.
nmap -sV -p 8080 localhost > /home/labex/project/advanced_scan.txt> 기호는 nmap 명령의 출력을 지정된 파일로 리디렉션하는 데 사용됩니다.
파일의 내용을 보려면 cat 명령을 사용할 수 있습니다.
cat /home/labex/project/advanced_scan.txt고급 스캔이 왜 그렇게 유용한지 이해하기 위해 기본 스캔과 고급 스캔을 비교해 보겠습니다.
기본 스캔 (nmap -p 8080 localhost): 기본 스캔을 실행하면 포트 8080 이 열려 있고 서비스를 실행 중이라는 것만 알려줍니다. 포트 번호를 기반으로 Nmap 은 서비스가 "http-proxy"일 수 있다고 추측합니다. 그러나 이것은 대략적인 추정치일 뿐이며 실제 서비스에 대한 자세한 정보를 제공하지 않습니다.
고급 스캔 (nmap -sV -p 8080 localhost): 반대로 고급 스캔은 훨씬 더 자세한 정보를 제공합니다. 정확한 서비스 이름 (SimpleHTTPServer), 버전 (0.6) 및 서비스가 실행 중인 프로그래밍 언어 및 버전 (Python 3.10.12) 까지 알려줍니다.
이 추가 정보는 다음과 같은 여러 가지 이유로 유용합니다.
Nmap 은 다양한 유형의 스캔을 수행하기 위해 결합할 수 있는 다른 많은 스캐닝 옵션을 제공합니다. 다음은 가장 일반적으로 사용되는 옵션 중 일부입니다.
-sS: 이것은 TCP SYN 스캔이며, 스텔스 스캔이라고도 합니다. 전체 TCP 연결을 완료하지 않으므로 포트를 스캔하는 빠르고 스텔스적인 방법이며, 감지하기가 더 어렵습니다.-O: 이 옵션은 운영 체제 감지를 활성화합니다. Nmap 이 대상 머신에서 실행 중인 운영 체제를 확인하도록 할 수 있습니다.-A: OS 감지, 버전 감지, 스크립트 스캐닝 및 traceroute 를 포함한 여러 기능을 결합한 공격적인 스캔입니다. 대상 시스템에 대한 포괄적인 보기를 제공합니다.-T<0-5>: 이 옵션은 타이밍 템플릿을 설정하는 데 사용됩니다. 숫자가 높을수록 스캔 속도가 빨라지지만 감지될 가능성도 높아질 수 있습니다.-Pn: 이 옵션은 모든 호스트를 온라인 상태로 처리하여 호스트 검색 단계를 건너뜁니다. 대상이 온라인 상태임을 알고 시간을 절약하려는 경우에 유용합니다.예를 들어, 로컬 머신에서 모든 잘 알려진 포트를 빠르게 스캔하려면 다음 명령을 사용할 수 있습니다.
nmap -F localhost-F (fast) 옵션은 Nmap 에 기본 스캔보다 적은 포트를 스캔하도록 지시합니다. 이는 시스템에서 열린 포트에 대한 간략한 개요를 얻으려는 경우에 유용합니다.
참고: 실제 네트워크 보안 평가에서는 시스템을 스캔하기 전에 적절한 권한을 받는 것이 중요합니다. 무단 스캔은 많은 관할 구역에서 법에 위배될 수 있습니다.
이 단계에서는 Nmap 스캔 결과를 이해하고 분석하는 방법을 배우겠습니다. 네트워크 보안과 관련하여 스캔 출력을 읽을 수 있는 것은 필수적입니다. 이는 네트워크 보안에 대해 정보에 입각한 결정을 내리는 데 도움이 됩니다. 예를 들어, 스캔 결과를 기반으로 잠재적인 취약점이나 무단 액세스 지점을 식별할 수 있습니다.
출력이 어떻게 다른지 확인하기 위해 몇 가지 더 많은 유형의 스캔을 수행해 보겠습니다. 먼저, 포괄적인 스캔을 수행합니다. 이 유형의 스캔에는 모든 일반적인 옵션이 포함되어 있어 대상에 대한 자세한 보기를 제공합니다.
nmap -A -p 8080 localhost > /home/labex/project/comprehensive_scan.txt이 명령에서 -A 플래그는 매우 중요합니다. 공격적인 스캔 옵션을 활성화합니다. 이러한 옵션에는 대상의 운영 체제 감지, 실행 중인 서비스의 버전 파악, 사용 가능한 스크립트 스캔 및 traceroute 수행이 포함됩니다. 이 플래그를 사용하면 대상에 대한 많은 유용한 정보를 수집할 수 있습니다.
이제 이 포괄적인 스캔의 결과를 살펴보겠습니다.
cat /home/labex/project/comprehensive_scan.txt출력은 매우 자세할 것입니다. 포트 8080 에서 실행 중인 서비스, 서비스에 대해 실행할 수 있는 가능한 스크립트 및 기타 관련 세부 정보에 대한 정보가 포함됩니다. 이 자세한 정보는 대상의 보안 상황을 더 잘 이해하는 데 도움이 될 수 있습니다.
Nmap 은 포트에 대해 몇 가지 가능한 상태를 보고합니다. 각 상태는 포트의 상태에 대해 다른 내용을 알려줍니다.
포트 범위를 스캔하여 이러한 상태가 스캔 결과에 어떻게 나타나는지 살펴보겠습니다.
nmap -p 8080-8085 localhost > /home/labex/project/port_states.txt스캔이 완료되면 결과를 볼 수 있습니다.
cat /home/labex/project/port_states.txt포트 8080 이 열린 것으로 보고되는 반면, 범위 내의 다른 포트는 닫힌 것으로 보고될 것입니다. 이를 통해 어떤 포트가 활발하게 사용되고 있고 어떤 포트가 사용되지 않는지 알 수 있습니다.
이제 스캔 결과에서 주요 정보를 추출하여 요약된 보고서를 만들어 보겠습니다. grep 명령을 사용하여 열린 포트를 필터링합니다. 열린 포트는 공격자가 침입할 수 있는 잠재적인 진입점이므로 보안 평가에 매우 중요합니다.
grep "open" /home/labex/project/comprehensive_scan.txt > /home/labex/project/open_ports.txt필터링 후 결과를 볼 수 있습니다.
cat /home/labex/project/open_ports.txt이 필터링된 출력은 열린 포트에 집중하는 데 도움이 됩니다. 전체 자세한 스캔 보고서를 살펴보는 대신 어떤 포트가 열려 있는지 빠르게 확인하고 보안 위험을 평가할 수 있습니다.
스캔 결과의 보안 영향을 이해하는 것이 중요합니다. 다음은 염두에 두어야 할 몇 가지 주요 사항입니다.
LabEx 환경에서는 HTTP 서버를 위해 의도적으로 포트 8080 을 열었습니다. 그러나 실제 프로덕션 환경에서는 이 서비스가 필요한지, 제대로 보호되고 있는지 신중하게 평가해야 합니다.
이 단계를 마치기 전에 앞서 시작한 HTTP 서버를 중지하여 정리해 보겠습니다. 먼저, 프로세스 ID 를 찾아야 합니다.
ps aux | grep "python3 -m http.server"이 명령을 실행하면 HTTP 서버 프로세스를 보여주는 줄을 찾습니다. 출력의 두 번째 열에는 프로세스 ID(PID) 가 포함되어 있습니다. PID 를 찾으면 이를 사용하여 서버를 중지할 수 있습니다.
kill <PID><PID>를 이전 명령 출력의 실제 프로세스 ID 로 바꿉니다.
또는 다음 명령을 사용하여 한 단계로 프로세스를 찾아 중지할 수 있습니다.
pkill -f "python3 -m http.server"서버를 중지한 후에는 더 이상 실행되지 않는지 확인해야 합니다.
ss -tuln | grep 8080출력이 없으면 서버가 성공적으로 중지된 것입니다.
이 Lab 에서는 사이버 보안 업계에서 강력하고 널리 사용되는 도구인 Nmap 을 사용하여 네트워크 스캐닝의 기본 사항을 배웠습니다. 먼저, 컴퓨터 네트워킹에서 포트와 해당 기능의 개념을 이해했습니다. 그런 다음 실제 서비스를 스캔하는 연습을 위해 로컬 HTTP 서버를 설정했습니다.
기본 포트 스캔에서 고급 서비스 버전 감지에 이르기까지 다양한 Nmap 스캔을 수행했습니다. 스캔 결과를 해석하고 포트 상태와 보안 영향을 이해하는 방법을 배웠습니다. 또한 보안 평가를 위해 결과를 필터링하는 연습을 했습니다. 이러한 기술은 네트워크 관리자와 보안 전문가가 열린 포트를 식별하고, 취약점을 감지하고, 정보에 입각한 보안 결정을 내리고, 네트워크 구성을 문서화하는 데 매우 중요합니다. 이러한 기술을 마스터함으로써 네트워크 보안 평가 및 관리에 대한 숙련도를 향해 중요한 발걸음을 내디뎠습니다. 실제 시나리오에서 시스템을 스캔하기 전에 항상 적절한 권한을 얻으십시오. 무단 스캔은 불법일 수 있습니다.
