IP Spoofing 원리와 네트워크 경계 방어 전략

출발지 주소 위조가 만드는 공격 경로

IP Spoofing은 IP 패킷의 출발지 주소를 바꿔 다른 호스트에서 보낸 것처럼 보이게 하는 기법이다. TCP/IP 프로토콜의 설계상 취약점을 이용하며, 패킷 헤더의 출발지 IP 주소 필드를 임의로 조작해 발신자 신원을 속인다.

이 방식은 DoS/DDoS 공격, 세션 하이재킹, 신뢰 관계 악용에 사용될 수 있다. IPv4 기반 네트워크에서 특히 취약하지만, IPv6로 전환한다고 위험이 완전히 사라지는 것은 아니다.

⤢✕

프로토콜과 위치에 따라 달라지는 위장 방식

비연결형 프로토콜을 이용하는 경우

UDP처럼 연결을 맺지 않는 프로토콜에서는 3-way 핸드셰이크가 없으므로 위조 패킷을 만들기 쉽다. DNS 증폭 공격이나 SNMP 반사 공격에 활용될 수 있으며, 공격자가 응답 패킷을 직접 수신할 필요가 없어 추적도 어려워진다.

TCP 연결을 노리는 경우

TCP를 대상으로 한 공격은 TCP 시퀀스 넘버 예측을 통한 세션 하이재킹과 연결될 수 있다. 신뢰 관계가 형성된 시스템 사이의 통신을 가장하는 방식도 여기에 포함된다. 직접적인 데이터 탈취 가능성이 높다.

중간자 공격과 결합하는 경우

ARP Spoofing을 함께 사용하면 로컬 네트워크 트래픽을 감청하는 흐름을 만들 수 있다. 이 방식은 로컬 네트워크에서 효과적이며, SSL/TLS 통신도 중간자 공격으로 복호화될 수 있다.

⤢✕

대규모 반사 공격과 내부 신뢰 관계 악용

DDoS 반사·증폭 공격에서는 위조한 출발지 주소가 핵심 역할을 한다. 2013년 Spamhaus DDoS 공격은 DNS 증폭과 IP Spoofing을 결합해 300Gbps 트래픽을 발생시켰고, 2018년 GitHub 대상 1.35Tbps 공격은 Memcached 서버를 이용한 반사 공격이었다. 이런 공격은 대규모 봇넷과 IP Spoofing을 결합해 효과를 키운다.

내부 네트워크에서는 신뢰하는 IP 주소를 가장해 중요 시스템의 접근 권한을 얻으려는 시도가 가능하다. 2020년 SolarWinds 공급망 공격에서는 내부 시스템 간 신뢰 관계와 IP Spoofing 기법이 활용됐으며, 방화벽 우회와 침입 탐지 시스템 회피에도 사용됐다.

금융권에서는 2016-2017년 SWIFT 네트워크 공격에서 내부 시스템 간 IP 기반 인증 체계가 우회됐다. 방글라데시 중앙은행에서는 8,100만 달러 탈취 사건이 발생했으며, 내부 네트워크 IP 주소를 위장해 정상 거래처럼 보이게 했다.

경계 필터링부터 인증 계층까지

경계에서 위조 주소를 걸러내기

BCP 38(RFC 2827)과 BCP 84(RFC 3704)는 인그레스·이그레스 필터링의 기준이 된다. 네트워크 경계에서 비정상 출발지 IP를 차단하고, 자신의 네트워크 블록에 속하지 않는 출발지 주소를 가진 패킷이 외부로 나가는 것을 막는다. ISP 수준에서 구현하는 방식이 가장 효과적이지만 글로벌 채택률은 낮다.

⤢✕

패킷과 연결의 정당성 확인

IPsec을 이용하면 패킷 인증과 무결성 검증을 적용할 수 있다. 암호화 기반 인증 헤더(AH)를 구현하고 상호 인증된 양단 간 통신만 허용하는 방식이며, VPN 환경에서 효과적으로 적용 가능하다.

TCP 계층에서는 SYN 쿠키(SYN Cookies)로 연결을 검증하고, RFC 5961 기반 TCP 스택 보안을 강화할 수 있다. 임의적 시퀀스 넘버 생성으로 예측을 막고 TCP 상태를 추적해 비정상 연결을 탐지한다.

애플리케이션은 IP 주소만으로 인증하지 않는 편이 낫다. 다중 요소 인증(MFA), 암호화된 세션 기반 인증, 애플리케이션 레벨 암호화와 서명을 조합해야 한다.

위조 패킷을 찾아내는 관측 방식

NetFlow/IPFIX 데이터 분석, 패킷 캡처, 심층 패킷 검사(DPI)는 비정상 트래픽과 패킷을 식별하는 데 사용된다. 통계적 이상 탐지는 대규모 스푸핑 공격 감지에 활용할 수 있고, TTL 값을 분석하면 비정상 경로를 통과한 패킷을 식별할 수 있다.

IDS/IPS는 시그니처 기반 패턴과 행위 기반 분석으로 스푸핑 시도를 탐지한다. 실시간 트래픽 분석과 이상 징후 경고, 내부 네트워크 세그먼트 사이의 비정상 통신 모니터링도 함께 필요하다.

능동적 검증에는 TTL 값으로 경로를 검증하는 Hop Count Filtering(HCF), 네트워크 토폴로지 맵과 실제 패킷 경로를 비교하는 Active Mapping, 패킷 경로를 역추적하는 IP Fast Traceback이 있다. 분산 패킷 로깅과 상관관계 분석도 실제 발신지 확인에 활용된다.

IPv6 전환 이후에도 남는 지점

IPv6는 주소 공간이 넓어 스캔 기반 공격을 어렵게 만들고, 표준에 포함된 IPsec으로 인증과 무결성 검증을 적용하기 쉽다. 그렇다고 로컬 네트워크에서의 스푸핑 위험이 사라지는 것은 아니다.

이중 스택(Dual Stack) 환경에서는 IPv4-IPv6 변환 지점의 취약성을 주의해야 하며, IPv6 확장 헤더를 이용한 새로운 형태의 스푸핑 공격도 등장하고 있다.

기술 통제와 대응 체계를 함께 운영하기

네트워크 경계 보안 정책을 강화하고, 외부 접근 제한 및 필수 인증 정책을 구현해야 한다. 내부 네트워크를 세그먼트로 나누면 피해 범위를 제한할 수 있으며, 정기적인 보안 점검과 취약점 평가도 필요하다.

공격 탐지 이후의 대응 프로세스도 미리 정의해야 한다. 신속한 차단과 완화 조치 매뉴얼, 법적 증거 수집·보존 절차, 관련 기관 및 CERT와의 협력 체계가 포함된다.

실시간 네트워크 모니터링, 보안 이벤트 로그 분석과 상관관계 파악, 최신 공격 기법과 방어 기술 연구를 지속하고 보안 아키텍처를 업데이트해야 한다. IP Spoofing은 네트워크 설계의 근본적 취약점을 악용하며 최신 DDoS 공격에도 계속 활용된다. IPv6 전환만으로 해결할 수 없으므로, 경계 필터링을 비롯한 다층 방어와 조직의 정책·교육·대응 체계를 통합해야 한다.