Nmap으로 일반적인 네트워크 포트 스캔하기

소개

이 실습에서는 Nmap으로 일반적인 네트워크 포트를 스캔하는 방법을 배웁니다. 포트 스캔은 네트워크 보안에서 중요한 기법으로, 대상 시스템에서 열려 있는 포트를 식별하는 데 도움이 됩니다. 열린 포트는 공격자가 시스템에 침입하는 경로가 될 수 있으므로 네트워크 관리자와 보안 전문가에게 꼭 필요한 기술입니다.

강력한 오픈 소스 네트워크 스캔 도구인 Nmap을 익히면 네트워크에서 활성화된 서비스를 찾고, 보안 취약점을 평가하며, 시스템의 무결성을 유지할 수 있습니다.

네트워크 포트 이해 및 웹 서버 설치

이 단계에서는 네트워크 포트가 무엇이고 사이버 보안에서 왜 중요한지 알아봅니다. 네트워크 포트는 컴퓨터 네트워크에서 여러 애플리케이션과 서비스가 서로 통신할 수 있게 해줍니다. 포트는 시스템으로 들어오고 나가는 데이터의 통로 역할을 하므로 네트워크 보안에 관심이 있는 사람이라면 반드시 이해해야 하는 개념입니다.

네트워크 포트란 무엇인가요?

네트워크 포트는 컴퓨터 네트워크에서 통신을 위한 가상 끝점입니다. 애플리케이션과 서비스가 데이터를 주고받는 문이라고 생각하면 됩니다. 포트를 사용하면 한 시스템의 여러 애플리케이션과 서비스가 서로 간섭하지 않고 네트워크 리소스를 공유할 수 있습니다. 포트 번호는 0부터 65535까지이며, 번호 범위마다 용도가 정해져 있습니다.

포트 0~1023: 표준 서비스를 위해 예약된 잘 알려진 포트입니다. 예를 들어 웹 브라우징에 사용하는 HTTP는 일반적으로 포트 80을, 파일 전송에 사용하는 FTP는 포트 21을, 보안 원격 접속에 사용하는 SSH는 포트 22를 사용합니다.
포트 1024~49151: 특정 애플리케이션에 등록된 포트입니다. 소프트웨어 개발자는 애플리케이션에서 사용할 포트 번호를 등록할 수 있습니다.
포트 49152~65535: 동적 포트 또는 사설 포트입니다. 애플리케이션이 임시 연결을 설정할 때 사용합니다.

스캔을 위한 웹 서버 설정

포트 스캔을 연습하기 위해 먼저 로컬 시스템에 웹 서버를 설정합니다. 웹 서버는 HTTP(Hypertext Transfer Protocol)를 사용해 웹 페이지를 구성하는 파일을 사용자에게 제공하는 프로그램입니다. 사용자가 브라우저에 웹사이트 주소를 입력하면 브라우저가 웹 서버에 요청을 보내고, 서버는 해당 웹 페이지를 전송해 응답합니다. 웹 서버는 기본적으로 포트 80에서 실행됩니다.

LabEx VM 환경에서 터미널 창을 엽니다. 터미널은 명령을 입력해 운영 체제와 상호작용하는 텍스트 기반 인터페이스입니다. 현재 위치는 기본 디렉터리인 /home/labex/project여야 합니다. 다음 명령으로 현재 디렉터리를 확인합니다.

pwd

pwd는 "print working directory"의 약자입니다. 이 명령을 실행하면 현재 디렉터리의 경로가 표시됩니다. 다음과 같은 출력이 나타나야 합니다.

/home/labex/project

Apache2 웹 서버를 설치합니다.

sudo apt update && sudo apt install apache2 -y

sudo는 관리자 권한으로 명령을 실행합니다. apt update는 시스템의 패키지 정보를 갱신하고, apt install apache2 -y는 Apache2 웹 서버를 설치합니다. -y 옵션을 사용하면 설치 확인 메시지에 자동으로 "yes"라고 응답합니다.

Apache2 서비스를 시작합니다.

sudo service apache2 start

service 명령은 시스템 서비스를 관리합니다. 여기서는 Apache2를 시작해 들어오는 요청을 처리할 수 있도록 합니다.

Apache2가 정상적으로 실행 중인지 확인합니다.

sudo service apache2 status

status 옵션은 Apache2 서비스의 현재 상태를 표시합니다. 다음과 비슷한 출력이 나타나야 합니다.

* apache2 is running

새 "Web Service" 탭을 만들어 웹 서버에 접속할 수 있는지 확인할 수도 있습니다. 가상 환경 상단 탭에서 + 기호를 클릭하고 "Web Service"를 선택한 다음 포트 80을 입력합니다. 설정이 올바르면 기본 Apache2 환영 페이지가 표시됩니다.

이제 시스템에서 웹 서버가 실행 중이며, 통신을 위해 포트 80이 열렸습니다. 다음 단계에서는 Nmap으로 이 열린 포트를 확인합니다.

Nmap 소개 및 일반 포트 스캔 수행

이 단계에서는 설정한 웹 서버가 실행 중인 시스템에서 어떤 포트가 열려 있는지 Nmap으로 확인합니다. 열린 포트를 이해하는 것은 네트워크 보안에서 중요합니다. 열린 포트가 공격자의 침입 경로가 될 수 있기 때문입니다. Nmap으로 열린 포트를 식별한 다음 적절한 보안 조치를 취할 수 있습니다.

Nmap이란 무엇인가요?

Nmap은 Network Mapper의 약자로, 네트워크 탐색과 보안 감사를 위해 사용하는 잘 알려진 무료 오픈 소스 도구입니다. 네트워크 보안 분야에서 다양한 용도로 활용됩니다.

네트워크의 호스트와 서비스 탐색: Nmap으로 네트워크에 연결된 장치와 각 장치에서 제공하는 서비스를 확인할 수 있습니다. 예를 들어 네트워크에 파일 서버, 웹 서버 또는 메일 서버가 있는지 탐지할 수 있습니다.
네트워크 시스템 목록 작성: Nmap으로 네트워크의 모든 시스템과 IP 주소, 실행 중인 서비스를 목록으로 만들 수 있습니다. 이 목록은 네트워크 관리자가 네트워크를 관리하고 유지하는 데 유용합니다.
대상 호스트에서 열린 포트 확인: 포트는 컴퓨터로 들어가는 문과 같습니다. 포트가 열려 있다는 것은 서비스가 연결을 기다리고 있다는 뜻입니다. Nmap으로 대상 호스트를 스캔해 열린 포트를 확인할 수 있습니다.
네트워크 호스트의 운영 체제와 서비스 버전 식별: 호스트에서 실행 중인 운영 체제와 서비스 버전을 알면 보안 전문가가 공격자가 악용할 수 있는 알려진 취약점이 있는지 판단하는 데 도움이 됩니다.

Nmap으로 일반 포트 스캔하기

Nmap은 다양한 스캔 옵션을 제공합니다. 처음 사용하는 경우 빠른 스캔 옵션(-F)이 유용합니다. 기본적으로 Nmap은 포트 1000개를 스캔하므로 시간이 오래 걸릴 수 있습니다. -F 옵션을 사용하면 스캔 대상이 가장 일반적인 포트 100개로 줄어들어 스캔이 훨씬 빨라집니다.

방금 설정한 웹 서버를 찾을 수 있도록 로컬 시스템에서 빠른 스캔을 수행합니다.

터미널을 열고 로컬 시스템을 빠른 스캔합니다.

nmap -F localhost

이 명령은 세 부분으로 구성됩니다.

nmap: 네트워크 스캔 도구를 실행합니다.
-F: 빠른 스캔 모드를 활성화하고 가장 일반적인 포트 100개만 스캔합니다.
localhost: IP 주소 127.0.0.1을 사용하는 로컬 시스템을 대상으로 지정합니다.

명령을 실행하면 다음과 비슷한 출력이 나타납니다.

Starting Nmap 7.80 ( https://nmap.org ) at 2023-XX-XX XX:XX UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000097s latency).
Not shown: 96 closed ports
PORT   STATE SERVICE
80/tcp open  http

Nmap done: 1 IP address (1 host up) scanned in X.XX seconds

출력에서 다음과 같은 중요한 정보를 확인할 수 있습니다.

IP 주소가 127.0.0.1인 로컬 시스템을 스캔했습니다.
포트 80이 열려 있고 HTTP 서비스가 실행 중입니다. 앞에서 설치한 Apache 웹 서버는 기본적으로 포트 80에서 요청을 기다립니다.
나머지 일반 포트는 닫혀 있으므로 자세히 표시되지 않습니다.

열린 포트에서 실행 중인 서비스의 버전까지 확인하려면 다음 명령을 실행합니다.

nmap -sV -F localhost

-sV 옵션은 열린 포트에서 실행 중인 서비스의 버전을 탐지합니다. 출력에 더 자세한 정보가 표시됩니다.

Starting Nmap 7.80 ( https://nmap.org ) at 2023-XX-XX XX:XX UTC
Nmap scan report for localhost (127.0.0.1)
Host is up (0.000097s latency).
Not shown: 96 closed ports
PORT   STATE SERVICE VERSION
80/tcp open  http    Apache httpd 2.4.X

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in X.XX seconds

이 출력에서 Apache 웹 서버가 포트 80에서 실행 중이며 해당 버전이 무엇인지 확인할 수 있습니다.

스캔 결과 이해하기

스캔 결과에서 포트 80이 열려 있고 HTTP 서비스가 실행 중인 것을 확인할 수 있습니다. Apache 웹 서버를 설치하고 시작했으므로 예상한 결과입니다. Apache는 기본적으로 포트 80에서 요청을 기다립니다. 실제 환경에서 열린 포트를 파악하는 일은 보안 전문가에게 매우 중요합니다.

잠재적인 보안 취약점 식별: 열린 포트에서 실행되는 서비스에는 알려진 취약점이 있을 수 있습니다. 어떤 포트가 열려 있고 해당 포트에서 어떤 서비스가 실행되는지 알면 보안 위험을 점검할 수 있습니다.
필요한 서비스만 실행 중인지 확인: 열린 포트에서 불필요한 서비스를 실행하면 공격 표면이 넓어질 수 있습니다. 열린 포트를 식별하면 실제로 필요한 서비스만 실행 중인지 확인할 수 있습니다.
방화벽 설정이 의도대로 작동하는지 확인: 방화벽은 들어오고 나가는 네트워크 트래픽을 제어합니다. 열린 포트를 스캔하면 방화벽이 의도한 포트의 연결을 차단하거나 허용하는지 확인할 수 있습니다.

스캔 결과 기록 및 보안상 의미

네트워크 보안에서는 조사 결과를 기록하는 일이 중요합니다. Nmap에는 스캔 결과를 효율적으로 기록할 수 있는 보고서 생성 기능이 내장되어 있습니다. 이 단계에서는 Nmap 보고서를 생성하고 결과를 분석한 다음 열린 포트가 보안에 미치는 영향을 살펴봅니다. 마지막으로 실습을 위해 시작한 서비스를 올바르게 중지해 시스템을 안전하게 정리합니다.

Nmap으로 보고서 생성하기

Nmap은 스캔 결과를 일반 텍스트, XML, JSON 등 다양한 보고서 형식으로 바로 출력할 수 있습니다. 직접 보고서를 작성하는 것보다 효율적이고 정확합니다. Nmap의 출력 옵션으로 보고서를 생성합니다.

출력 옵션을 지정해 Nmap 스캔을 실행합니다.

nmap -F -sV localhost -oN /home/labex/project/nmap_report.txt

이 명령에서 각 옵션은 다음과 같은 역할을 합니다.

-F 옵션은 빠른 스캔을 수행해 가장 일반적인 포트 100개만 스캔합니다.
-sV 옵션은 열린 포트에서 실행 중인 서비스의 버전을 확인합니다.
-oN /home/labex/project/nmap_report.txt는 출력을 일반 텍스트 형식으로 지정된 파일에 저장합니다.

생성된 보고서를 확인합니다.

cat /home/labex/project/nmap_report.txt

보고서에는 다음을 비롯한 전체 스캔 정보가 포함됩니다.

스캔 날짜와 시간
대상 정보
열린 포트 목록
각 열린 포트에서 실행 중인 서비스와 버전

그 밖의 보고서 형식 옵션

Nmap은 용도에 따라 선택할 수 있는 여러 출력 형식을 지원합니다.

-oX filename - XML 형식으로 출력합니다. 자동 처리에 적합합니다.
-oG filename - Grepable 형식으로 출력합니다. grep으로 검색하기 편리합니다.
-oJ filename - JSON 형식으로 출력합니다. 최신 애플리케이션에 적합합니다.
-oA filename - Normal, XML, Grepable 형식으로 동시에 출력합니다.

예를 들어 XML 형식으로 보고서를 생성하려면 다음 명령을 실행합니다.

nmap -F -sV localhost -oX /home/labex/project/nmap_report.xml

스캔 결과의 보안상 의미 이해하기

스캔 보고서에서 포트 80/tcp가 열려 있고 HTTP 서비스(Apache 웹 서버)가 실행 중임을 확인할 수 있습니다. 여기에는 다음과 같은 중요한 보안상 의미가 있습니다.

잠재적인 공격 진입점: 열린 포트는 건물의 문과 같습니다. 공격자가 시스템에 침입하는 경로로 악용할 수 있습니다.
서비스 취약점 위험: 열린 포트에서 실행되는 서비스에는 공격자가 악용할 수 있는 보안 결함이 있을 수 있습니다.
모니터링이 필요한 통신 경로: 열린 포트는 통신에 사용되므로 비정상적인 동작을 탐지하려면 해당 포트의 활동을 모니터링해야 합니다.

포트 보안을 위해 다음 모범 사례를 따릅니다.

필요한 포트만 엽니다. 불필요하게 열린 포트는 시스템의 공격 표면을 넓힙니다.
해당 포트를 사용하는 서비스를 정기적으로 업데이트합니다. 업데이트에는 취약점을 해결하는 보안 패치가 포함되는 경우가 많습니다.
접근을 제한하는 방화벽 규칙을 설정합니다. 방화벽을 사용하면 특정 포트를 통해 시스템에 접근할 수 있는 대상을 제어할 수 있습니다.
비정상적인 패턴이 있는지 포트 활동을 모니터링합니다. 활동을 모니터링하면 잠재적인 위협을 적시에 탐지하고 대응할 수 있습니다.

실습 환경 정리

스캔 실습을 마쳤으므로 Apache 웹 서버를 중지합니다. 필요하지 않을 때도 서비스를 계속 실행하면 보안 위험이 생길 수 있으므로 실습 환경을 올바르게 정리해야 합니다.

Apache 서비스를 중지합니다.

sudo service apache2 stop

서비스가 중지되었는지 확인합니다.

sudo service apache2 status

다음과 같이 Apache2가 실행 중이 아니라는 내용이 표시되어야 합니다.

* apache2 is not running

포트 80이 닫혔는지 확인합니다.

nmap -F localhost

출력에서 포트 80이 닫혀 있거나 열린 포트 목록에 표시되지 않아야 합니다. 필요하지 않은 서비스가 계속 실행되어 보안 위험을 초래하지 않도록 실습 환경을 정리하는 일은 실제 환경에서도 중요합니다.

요약

이 실습에서는 네트워크 보안에 사용하는 강력한 오픈 소스 도구 Nmap으로 네트워크 포트를 스캔하는 기본 방법을 배웠습니다. 네트워크 포트를 이해하고, 열린 포트가 있는 웹 서버를 설정하고, Nmap으로 일반 포트를 스캔하고, 결과를 해석하고, 보안 보고서에 조사 결과를 기록하고, 서비스를 올바르게 중지하는 과정을 직접 수행했습니다.

이러한 기술은 네트워크 보안 평가의 기초입니다. IT 보안, 네트워크 관리, 시스템 관리 분야의 전문가에게 꼭 필요합니다. 포트 스캔을 익히면 네트워크 취약점을 식별하고 무단 접근으로부터 시스템을 보호할 수 있습니다.