해설 보기
정답기술적 침투가 아니라 사람의 심리를 파고들어 정보나 접근권한을 얻어내는 공격, 즉 ② 사회공학적 공격입니다.
핵심 개념
사회공학적 공격(Social Engineering)
사회공학적 공격은 암호 알고리즘이나 시스템의 기술적 결함이 아니라 '사람'이라는 가장 약한 고리를 노리는 공격입니다. 공격자는 신뢰·권위·호기심·두려움·긴급함 같은 심리적 취약점을 자극해, 피해자가 스스로 비밀번호를 알려주거나 첨부파일을 열도록 유도합니다. 시스템 관리자나 수사기관, 거래처를 사칭하는 전화(비싱), 위장 메일(피싱·스피어피싱), 어깨너머로 훔쳐보는 숄더서핑, 버려진 문서를 뒤지는 트래싱(쓰레기통 뒤지기), 출입 인가자를 뒤따라 들어가는 테일게이팅 등이 대표적 수법입니다. 방화벽·암호화 같은 기술적 통제만으로는 막기 어렵기 때문에, 보안 인식 교육과 엄격한 신원 확인 절차가 핵심 대응책이 됩니다.
선지별 해설
①스푸핑은 IP 주소, MAC 주소, DNS 응답 등을 위조해 자신을 신뢰받는 다른 호스트인 것처럼 속이는 공격입니다. 사람의 심리가 아니라 프로토콜의 인증 취약점을 노리는 기술적 공격이므로 제시문의 설명과 다릅니다.
②제시문의 '사람의 심리적인 취약점을 악용하여 비밀 정보나 접근권한을 얻는다'는 서술이 곧 사회공학적 공격의 정의입니다. 기술적 침투 없이 사칭·설득 같은 대인 접촉만으로 목적을 달성한다는 점이 결정적 단서이므로 이 선지가 정답입니다.
③세션 가로채기(세션 하이재킹)는 인증이 끝난 뒤의 세션 ID나 TCP 시퀀스 번호를 탈취해 정당한 사용자의 연결을 가로채는 공격입니다. 통신 세션을 겨냥한 기술적 공격이어서 심리적 취약점 악용과는 무관합니다.
④사전 공격은 자주 쓰이는 단어와 비밀번호를 모아 둔 사전 파일을 차례로 대입해 암호를 알아내는 패스워드 크래킹 기법입니다. 사람을 속이는 것이 아니라 반복 계산으로 암호를 추측하는 방식이므로 제시문과 다릅니다.
해설 보기
정답능동적 공격인 ㄷ(신분위장)과 ㄹ(서비스 거부)을 묶은 ④가 정답입니다.
핵심 개념
능동적(active) 공격과 수동적(passive) 공격의 구분
보안 공격은 시스템 자원에 영향을 주지 않고 정보를 엿보기만 하는 수동적 공격과, 데이터나 시스템 동작 자체를 변경·방해하는 능동적 공격으로 나뉩니다. 수동적 공격의 대표 유형은 메시지 내용 노출(도청, snooping)과 트래픽 분석(감시, monitoring)으로, 데이터를 바꾸지 않아 탐지가 매우 어렵고 암호화 같은 사전 예방이 주된 대책입니다. 반면 능동적 공격은 신분위장(masquerade), 재전송(replay), 메시지 변조(modification), 서비스 거부(DoS)의 네 가지로 분류되며, 완벽한 예방이 어려워 탐지와 복구에 초점을 두고 대응합니다. 즉 '기밀성만 위협하면 수동, 무결성·가용성까지 침해하면 능동'으로 기억하면 됩니다.