수동적 공격과 능동적 공격: 탐지·변조·서비스 방해에 대응하는 보안 설계

관찰로 끝나는 공격과 직접 피해를 만드는 공격

사이버 공격은 대상의 정보를 조용히 수집하는 방식과 시스템의 상태를 바꾸거나 서비스를 멈추게 하는 방식으로 나뉜다. 전자는 수동적 공격(Passive Attack), 후자는 능동적 공격(Active Attack)이다.

두 유형은 분리된 범주처럼 보이지만 실제 침해에서는 이어질 수 있다. 공격자가 먼저 네트워크 구조와 통신 패턴을 파악한 뒤, 확보한 정보를 바탕으로 인증을 우회하거나 데이터를 변조할 수 있기 때문이다.

수동적 공격은 흔적을 최소화하며 정보를 모은다

수동적 공격은 시스템이나 네트워크에서 정보를 가로채거나 감시하는 행위다. 공격 과정에서 대상의 데이터나 동작을 직접 바꾸지 않는다는 점이 핵심이며, 이 특성 때문에 공격 사실을 발견하기 어렵다.

도청(Eavesdropping)은 유선·무선 통신 내용을 허가 없이 들여다보는 방식이다. 공용 Wi-Fi에서의 패킷 스니핑이나 이메일 모니터링이 여기에 해당한다.

트래픽 분석(Traffic Analysis)은 통신의 내용 대신 패턴, 빈도, 크기 같은 정보를 분석한다. 데이터가 암호화되어도 메타데이터는 수집할 수 있으며, 조직 내부의 통신 양상을 통해 중요 서버의 위치를 파악하는 데 이용될 수 있다.

스캐닝(Scanning)은 네트워크 구조, 시스템 정보, 열린 포트를 조사하는 활동이다. 포트 스캔, 취약점 스캔, 네트워크 토폴로지 매핑은 이후 능동적 공격을 준비하는 단계로 활용될 수 있다.

수동적 공격에 대응하려면 통신 내용을 보호하는 데서 멈추지 않고, 노출되는 통신 패턴도 함께 고려해야 한다.

⤢✕

TLS/SSL, VPN 등의 암호화는 도청을 막는 기본 수단이다. 네트워크를 논리적으로 나누는 LAN 세그먼트 세분화는 정보가 노출될 수 있는 범위를 줄인다. 트래픽 패딩(Traffic Padding)은 일정한 크기와 간격으로 데이터를 전송해 패턴 분석을 어렵게 하며, IDS는 비정상적인 네트워크 활동을 모니터링하고 탐지하는 역할을 맡는다.

능동적 공격은 데이터와 서비스에 직접 개입한다

능동적 공격은 시스템 또는 네트워크의 취약점을 이용해 정보를 변조하거나 서비스 제공을 방해한다. 수동적 공격보다 눈에 띄는 경우가 많지만, 데이터 무결성이나 가용성에 직접 영향을 주므로 피해가 빠르게 커질 수 있다.

무차별 대입 공격(Brute Force Attack)은 가능한 조합을 반복 시도해 사용자 계정이나 암호화 키를 탈취하려는 공격이다. 로그인 시도 반복이나 암호화된 파일 해독 시도가 대표적이다.

위장 공격(Masquerading)은 합법적인 사용자로 가장해 시스템에 접근하는 방식이다. 피싱으로 계정 정보를 탈취한 뒤 정상 사용자인 것처럼 접근하는 사례가 있다.

패킷 재전송 공격(Packet Replay)은 정상 네트워크 트래픽을 캡처한 뒤 다시 전송한다. 인증 정보가 포함된 패킷을 사용해 권한을 얻거나, 인증 토큰을 재사용하고 금융 거래를 재전송하는 방식으로 나타날 수 있다.

메시지 변조 공격(Message Modification)은 전송 중인 메시지를 중간에서 바꾼다. 전송자와 수신자는 변조 사실을 인지하기 어려울 수 있으며, 중간자(MITM) 공격을 통한 거래 정보 변경이 이에 해당한다.

서비스 거부 공격(DoS/DDoS)은 시스템 자원을 고갈시켜 정상적인 서비스 제공을 방해한다. SYN Flooding, Ping Flooding, DDoS가 주요 유형이며, 대규모 좀비 네트워크로 주요 웹사이트를 다운시키는 방식이 대표적이다.

⤢✕

무차별 대입 공격에는 복잡성 요구와 주기적 변경을 포함한 패스워드 정책, 일정 횟수 실패 시 계정을 일시 잠그는 정책, SSH 키 기반 인증, 지식·소유·생체 정보를 조합하는 MFA가 대응 수단이 된다.

위장 공격은 다중 인증 요소를 적용한 인증 체계, 디지털 인증서를 활용한 인증서 기반 인증, 비정상적인 사용자 행동을 찾는 행위 기반 분석으로 방어할 수 있다.

패킷 재전송을 막으려면 패킷에 일련번호를 부여해 중복을 식별하고, 타임스탬프로 패킷의 유효 시간을 제한하며, 세션마다 새로운 키를 사용하는 방식이 필요하다.

메시지 변조에는 전자서명, 암호화 체크섬, 해시 기반 메시지 인증 코드(HMAC)가 사용된다. 이들은 발신자를 확인하고 메시지가 바뀌었는지 검증하는 수단이다.

DoS/DDoS 방어에서는 IP 기반 필터링과 지리적 접근 제한 같은 접근 제한, 자동화된 공격을 차단하기 위한 사용자 인증 강화, 사용자별 리소스 사용량 제한, CDN을 통한 트래픽 분산, 클라우드 기반 DDoS 방어 서비스 이용을 함께 검토할 수 있다.

침해 사례에서 드러난 공격의 연결

Target 데이터 유출 사건 (2013)

Target 데이터 유출 사건은 수동적 공격인 스캐닝과 능동적 공격인 위장, 메시지 변조가 이어진 사례로 볼 수 있다.

HVAC 업체 시스템을 통한 초기 침투
네트워크 스캐닝을 통한 POS 시스템 위치 파악
메모리 스크래핑 멀웨어 설치
4,000만 고객 신용카드 정보 유출

이 사건은 네트워크 세그먼테이션과 제3자 접근 관리가 보안 경계에서 중요한 이유를 보여준다.

Mirai 봇넷 DDoS 공격 (2016)

Mirai 봇넷 DDoS 공격은 능동적 공격 가운데 DoS에 해당한다.

IoT 장치 기본 패스워드 취약점 이용한 봇넷 구축
최대 1Tbps 규모의 DDoS 공격 실행
Dyn DNS 서비스 다운으로 Twitter, Netflix 등 주요 서비스 마비

기본 패스워드 변경과 IoT 보안 강화가 필요한 배경을 드러낸 사건이다.

목적과 방어 초점의 차이

구분	수동적 공격	능동적 공격
목적	정보 수집	시스템 변경/방해
탐지 난이도	높음 (숨겨진 공격)	상대적 낮음
영향 범위	정보 유출	서비스 중단, 데이터 변조
대응 초점	암호화, 은닉	인증, 무결성, 가용성
사전 징후	거의 없음	비정상 활동 발생 가능

보안 통제를 공격 흐름에 맞춰 겹쳐 배치하기

수동적 공격과 능동적 공격을 함께 다루려면 단일 방어 수단에 의존하기 어렵다. 다중 보안 계층을 두는 계층적 방어(Defense in Depth)는 네트워크, 엔드포인트, 애플리케이션 각 레벨을 보호해 하나의 방어선이 뚫렸을 때의 영향을 줄인다.

제로 트러스트 모델은 “항상 검증, 절대 신뢰하지 않음” 원칙 아래 모든 접근에 대해 지속적으로 인증과 권한을 검증한다. 네트워크 트래픽, 로그, 시스템 동작을 실시간으로 분석하고 SIEM(Security Information and Event Management)을 도입하는 지속적 모니터링도 함께 필요하다.

정기적인 취약점 스캔과 패치 관리, 보안 업데이트 즉시 적용 정책은 취약점 관리의 기반이다. 직원 대상 정기 보안 교육과 사회공학적 공격 대응 훈련 역시 기술적 통제만으로 남는 공백을 줄인다.

공격은 정보를 수집하는 단계에서 시작해 시스템 변경과 서비스 방해로 이어질 수 있다. 따라서 암호화와 네트워크 분리로 노출을 줄이고, 인증·무결성 검증·가용성 보호를 겹쳐 적용하며, 정기적 위험 평가와 사고 대응 계획을 지속적으로 운영해야 한다.