실제 시험 문제 21

이 글에서 익힐 것

• port 번호와 애플리케이션 의미를 구분한다.

• firewall의 단순 port filtering 한계를 이해한다.

• DNS query 이름에 데이터가 실리는 과정을 설명한다.

• attacker-controlled authoritative nameserver가 데이터를 받는 흐름을 그린다.

• DNS tunneling 탐지·차단 방법을 이해한다.

개념부터 차근차근

• Port는 문 번호

  IP address가 건물 주소라면 TCP/UDP port는 서비스 문 번호와 비슷하다. DNS는 일반적으로 UDP 53, 큰 응답·zone transfer 등에서는 TCP 53도 쓴다. 그러나 번호 53은 그 안의 데이터가 선량한 DNS 목적이라는 도덕적 보증이 아니다.

• Firewall port filtering

  단순 packet filter는 source/destination IP, protocol, port 등을 보고 허용·차단한다. destination port 53이라는 이유로 통과시킬 수 있지만 DNS 이름의 의미·길이·빈도까지 검사하지 않으면 covert channel을 놓친다.

• DNS 이름도 attacker-controlled data를 담을 수 있음

  질의 qname의 각 label에는 문자들이 들어간다. malware는 비밀 데이터를 Base32/hex처럼 DNS에 사용할 수 있는 문자로 바꾸어 secretchunk.attacker.example 같은 subdomain으로 질의할 수 있다.

단계별로 따라가기

1. Eve가 attacker.example domain과 그 authoritative nameserver를 통제한다.

2. 내부 감염 PC가 파일의 일부 'TOP SECRET'을 인코딩해 여러 chunk로 나눈다.

3. malware가 001-<encoded-data>.attacker.example 같은 DNS query를 내부 resolver에 보낸다.

4. 내부 resolver는 답을 찾기 위해 외부 DNS 계층을 거쳐 attacker.example의 authoritative server에 질의를 전달한다.

5. Eve의 authoritative server log에는 인코딩된 subdomain이 도착한다.

6. Eve가 순서 번호대로 조각을 합치고 decode해 원래 데이터를 복구한다.

7. 모든 packet이 형식상 DNS이고 port 53을 사용했어도 데이터가 외부로 유출됐다.

Tunneling beyond exfiltration

• DNS query로 내부→외부 데이터를 보내는 exfiltration뿐 아니라 DNS response의 TXT/CNAME 등으로 외부→내부 명령을 전달할 수 있다.

• 이렇게 command-and-control(C2) channel이나 낮은 대역폭의 양방향 tunnel을 만들 수 있다.

• DNS는 웹보다 대역폭이 작고 overhead가 크지만 많은 네트워크에서 반드시 허용되어 은닉 통로로 악용된다.

왜 그런지 이해하기

• Firewall은 port를 보고 'DNS 형식 트래픽'을 허용했지만 데이터의 의미까지 제한하지 않았다.

• 프로토콜은 payload 운반 수단이다. 정상 프로토콜 필드 안에도 공격자 데이터가 들어갈 수 있다.

• 내부 client가 외부 resolver에 직접 질의하지 못해도 내부 resolver를 재귀 중계로 이용해 attacker authoritative server까지 데이터가 도달할 수 있다.

• 따라서 egress filtering은 필요한 방어지만 port 하나만으로 data-loss prevention이 완성되지 않는다.

어떻게 방어하는가

• DNS 강제 중앙화

  내부 host는 승인된 internal resolver에만 질의하게 하고 외부 port 53 직접 접근을 막는다.

• DNS logging/analytics

  비정상적으로 긴·고엔트로피 subdomain, 많은 unique labels, 일정한 beaconing, 과도한 TXT query를 탐지한다.

• Domain reputation/RPZ

  새롭거나 의심스러운 domain과 알려진 C2 domain을 차단한다.

• Payload-aware gateway

  DNS protocol parsing, rate limit, 허용 record type 정책을 적용한다.

• Endpoint security

  감염 process가 데이터를 읽고 DNS query를 생성하는 근본 행위를 탐지한다.

문장을 하나씩 판별하기

• 첫 절 'port 53만 통과'는 firewall rule의 설명이다.

• 둘째 절은 그래서 DNS request만 가능하고 data exfiltration은 불가능하다고 결론 낸다.

• 하지만 DNS request 자체가 데이터를 실을 수 있으므로 결론이 성립하지 않는다.

• 반례인 DNS tunneling 하나로 Falsch다.

문제를 푸는 순서

1. 1단계: port와 payload 의미가 동일한지 의심한다.

2. 2단계: DNS qname에 임의 label을 넣을 수 있음을 떠올린다.

3. 3단계: encoded-data.attacker-domain 형태의 질의를 그린다.

4. 4단계: attacker authoritative server가 label을 수신한다고 설명한다.

5. 5단계: data exfiltration 가능이므로 Falsch라고 답한다.

스스로 확인하기

• 탈취 데이터가 주로 들어갈 수 있는 DNS query 부분은?

  공격자 domain 앞의 subdomain labels/qname.

• 공격자가 왜 authoritative nameserver를 통제하는가?

  최종 DNS query의 인코딩된 label을 직접 수신·기록하기 위해서다.

• port 53 외부 직접 접근을 막고 내부 resolver만 허용하면 충분한가?

  위험을 줄이지만 resolver가 공격자 domain으로 재귀 질의를 전달할 수 있어 분석·차단 정책도 필요하다.

설명의 근거

• Gedächtnisprotokoll Computersystemsicherheit WS2025_26.md, Networking / Multiple Choice, 4-(e).

• Vorlesung 06 Netzwerkgrundlagen — firewall와 port filtering.

• Vorlesung 08 Domain Name System — DNS query 구조와 트래픽 특성.

이 문제가 어려운 이유

짧은 문제 문장 ‘Firewall가 outgoing ports 중 Port 53만 허용하면 DNS-Anfragen만 통과하므로 data exfiltration은 불가능하다. Wahr/Falsch?’ 안에 정의, 조건, 처리 순서가 압축되어 있습니다. 아래 예시에서는 이를 한 단계씩 펼쳐 확인합니다.