[네트워크] 패킷 분석

패킷 분석은 네트워크에서 전송되는 데이터 패킷을 분석하는 과정을 말합니다. 네트워크 트래픽을 분석함으로써 네트워크의 동작, 보안 문제, 성능 등을 이해하고 해결하는 데 도움이 됩니다. 이 과정에서 주로 사용되는 도구 중 하나는 패킷 분석기입니다. 이들 도구는 네트워크 상에서 전송되는 패킷을 캡처하고, 분석하여 정보를 추출하고 문제를 해결하는 데 사용됩니다.

패킷 분석의 주요 단계는 다음과 같습니다.

패킷 캡처(Capture):
패킷 분석을 시작하기 위해서는 먼저 네트워크 트래픽을 캡처해야 합니다. 일반적으로 이는 네트워크 장비에 설치된 패킷 캡처 도구를 사용하여 이루어집니다. 예를 들어, Wireshark는 매우 인기 있는 패킷 캡처 및 분석 도구 중 하나입니다.

패킷 필터링(Filtering):
캡처된 패킷은 대부분 매우 많은 양의 데이터로 구성되어 있습니다. 따라서 필요한 정보만을 분석하기 위해 패킷을 필터링하는 것이 중요합니다. 이를 통해 관심 있는 트래픽만을 포함하는 작은 세트의 패킷을 선택할 수 있습니다.

패킷 분석(Analysis):
필터링된 패킷을 분석하여 네트워크 동작, 프로토콜 사용, 보안 문제 등에 대한 정보를 얻습니다. 이 단계에서는 패킷 헤더 및 데이터를 살펴보고, 프로토콜의 동작을 이해하고 문제를 해결하기 위한 정보를 추출합니다.

결과 해석(Interpretation):
분석된 결과를 이해하고 이를 해석하여 네트워크의 상태를 평가하고 문제를 해결합니다. 이 과정에서는 네트워크 관리자나 보안 전문가가 필요한 경우가 많습니다.

 

[패킷 흐름 이해의 기본 : 3-way handshake]

"3-way handshake"는 TCP(Transmission Control Protocol)에서 연결을 설정하는 과정을 의미합니다. TCP는 신뢰성 있는 데이터 전송을 보장하기 위해 사용되며, 3-way handshake는 통신을 시작하기 전에 클라이언트와 서버 간에 초기화된 연결을 설정하는 방법입니다.

3-way handshake 과정은 다음과 같습니다:

클라이언트가 서버에게 연결 요청(SYN):
클라이언트는 서버에게 연결을 요청하는 SYN 패킷을 보냅니다. 이 패킷에는 클라이언트가 사용할 초기 sequence number가 포함되어 있습니다. 이 sequence number는 클라이언트가 전송한 데이터의 첫 번째 바이트의 순서를 나타냅니다. 이 때, 클라이언트는 아직 서버로부터 아무 것도 받지 않은 상태입니다.

서버가 클라이언트의 연결 요청에 응답(SYN-ACK):
서버는 클라이언트의 SYN 요청을 받으면, 클라이언트에게 응답으로 SYN-ACK 패킷을 보냅니다. 이 패킷은 서버가 클라이언트의 요청을 받았으며, 클라이언트의 연결 요청을 수락한다는 것을 나타냅니다. 이 패킷에도 서버가 사용할 초기 sequence number가 포함되어 있습니다.

클라이언트가 서버의 응답을 확인(ACK):
클라이언트는 서버로부터 받은 SYN-ACK 패킷에 대한 응답으로 ACK(확인) 패킷을 보냅니다. 이 패킷은 서버의 응답을 확인하고, 통신이 성립되었음을 알리는 역할을 합니다. 이제 클라이언트와 서버는 양쪽에서도 통신할 준비가 되었습니다.

이렇게 되면 클라이언트와 서버 간에 신뢰성 있는 연결이 설정됩니다. 이후에는 데이터 전송이 이루어지게 되는데, 이때는 TCP의 슬라이딩 윈도우 프로토콜 등을 사용하여 전송이 진행됩니다. 연결이 끝나면 연결을 종료하는 과정이 있겠지만, 이는 "4-way handshake"로 이루어집니다.

[참고 : 4-way handshake]
4-way handshake는 TCP 연결을 종료하는 과정을 의미합니다. TCP 연결이 끝나는 과정은 데이터 전송이 완료된 후에 이루어지며, 클라이언트와 서버 간에 양쪽으로 확인 메시지를 주고받으면서 이뤄집니다. 이 과정은 다음과 같습니다:

클라이언트가 서버에게 연결 종료 요청(FIN):
클라이언트가 데이터 전송을 마치고 연결을 종료하고자 할 때, 클라이언트는 서버에게 FIN 패킷을 보냅니다. 이 패킷에는 더 이상 데이터를 보내지 않을 것임을 나타내는 FIN 플래그가 설정되어 있습니다.

서버가 클라이언트에게 FIN에 대한 확인 및 연결 종료 요청(FIN-ACK):
서버는 클라이언트로부터 받은 FIN 패킷에 대한 확인을 보내고, 동시에 서버 측에서도 데이터 전송을 마치고 연결을 종료하겠다는 의미의 FIN 패킷을 클라이언트에게 보냅니다.

클라이언트가 서버의 FIN에 대한 확인(ACK):
클라이언트는 서버로부터 받은 FIN-ACK 패킷에 대한 확인을 보냅니다. 이때 클라이언트는 아직 보낸 데이터에 대한 확인을 서버로부터 받지 못했을 수 있습니다. 따라서 이 확인 패킷은 연결 종료를 위한 것이며, 데이터 전송의 확인을 나타내는 것이 아닙니다.

서버가 클라이언트의 ACK에 대한 확인:
서버는 클라이언트로부터 받은 ACK 패킷에 대한 확인을 받으면, 이제 모든 데이터 전송이 완료되었으며 연결이 종료되었다는 것을 인지합니다. 이후에 서버는 클라이언트와의 연결을 완전히 종료하고 리소스를 해제합니다.

이렇게 되면 클라이언트와 서버 간에 TCP 연결이 완전히 종료됩니다. 이후에는 더 이상 데이터 교환을 위한 연결이 없으며, 필요한 경우 다시 연결을 설정해야 합니다.

[패킷 분석 도구 : Wireshark]

Wireshark는 네트워크 패킷 분석 도구로서 오픈 소스로 개발되고 있는 프로그램입니다. 네트워크 트래픽을 캡처하고 분석하여 다양한 프로토콜 활동, 성능 문제, 보안 문제 등을 파악할 수 있습니다. 아래에서 Wireshark의 주요 기능과 작동 방식에 대해 설명하겠습니다:

다양한 프로토콜 지원: Wireshark는 수많은 네트워크 프로토콜을 지원합니다. 이는 Ethernet, IPv4, IPv6, TCP, UDP, HTTP, DNS, SSL/TLS, SSH, DHCP, ARP 등 다양한 프로토콜을 포함합니다.

실시간 패킷 캡처: Wireshark는 네트워크 인터페이스를 통해 실시간으로 패킷을 캡처할 수 있습니다. 이를 통해 네트워크 상황을 실시간으로 모니터링하고 문제를 진단할 수 있습니다.

패킷 필터링: Wireshark는 패킷을 분석하기 전에 사용자가 원하는 조건에 맞는 패킷만 선택하여 필터링할 수 있습니다. 이를 통해 분석 대상을 좁히고 원하는 정보만을 쉽게 확인할 수 있습니다.

패킷 디코딩: Wireshark는 캡처된 패킷을 해당 프로토콜의 구조에 맞춰 디코딩하여 사용자에게 보여줍니다. 이를 통해 각각의 프로토콜 헤더와 데이터를 쉽게 이해하고 분석할 수 있습니다.

패킷 분석: Wireshark는 패킷을 분석하여 네트워크 트래픽의 흐름, 프로토콜 사용량, 트래픽 패턴 등을 확인할 수 있습니다. 또한, 성능 문제나 보안 문제 등을 파악하여 해결하는 데 도움을 줍니다.

패킷 저장 및 로딩: Wireshark는 캡처된 패킷을 다양한 형식으로 저장하고, 나중에 불러와 분석할 수 있습니다. 이를 통해 문제가 발생한 시점의 패킷을 저장하고 나중에 분석하여 원인을 파악할 수 있습니다.

Wireshark는 네트워크 관리자, 시스템 관리자, 보안 전문가 등 다양한 사용자들에게 네트워크 문제 해결 및 보안 감시에 필요한 강력한 도구를 제공합니다.

 

[Wireshark 패킷 분석 예시]

시나리오: 클라이언트가 웹 브라우저를 사용하여 특정 웹사이트에 연결하고 있습니다. 이 과정에서 Wireshark를 사용하여 해당 연결을 모니터링하고 분석합니다.

Wireshark 시작 및 패킷 캡처 설정:
Wireshark를 실행하고, 캡처할 네트워크 인터페이스를 선택합니다. 예를 들어, Wi-Fi 인터페이스를 선택하여 Wi-Fi 네트워크에서 발생하는 트래픽을 캡처할 수 있습니다.

웹 브라우저에서 웹사이트에 접속:
클라이언트 컴퓨터에서 웹 브라우저를 사용하여 특정 웹사이트에 접속합니다.

Wireshark에서 패킷 캡처 확인:
Wireshark 창에서 캡처된 패킷을 확인합니다. 이때, 여러 프로토콜의 패킷들이 표시될 것입니다. 예를 들어, HTTP, TCP, IP, Ethernet 등의 프로토콜이 보일 수 있습니다.

필터링 및 분석:
HTTP 프로토콜을 사용하여 웹사이트와의 통신을 분석합니다. Wireshark 필터 기능을 사용하여 HTTP 트래픽만을 필터링하여 보여줄 수 있습니다. 이를 통해 클라이언트가 서버로 보내거나 서버에서 받은 HTTP 요청과 응답을 확인할 수 있습니다.

HTTP 요청과 응답 분석:
캡처된 HTTP 패킷을 살펴보면, 클라이언트가 웹 서버에게 보낸 HTTP GET 요청과 서버로부터 받은 HTTP 응답을 확인할 수 있습니다. 이를 통해 요청한 웹페이지의 내용, HTTP 상태 코드, 응답 시간 등을 분석할 수 있습니다.

성능 및 보안 분석:
분석된 HTTP 트래픽을 기반으로 웹사이트의 성능 문제나 보안 문제를 확인할 수 있습니다. 예를 들어, 응답 시간이 지연되는 경우 웹사이트의 성능을 점검하거나, 보안적으로 중요한 정보가 평문으로 전송되는 경우 보안 설정을 강화할 필요가 있을 수 있습니다.

이렇게 Wireshark를 사용하여 웹사이트와의 통신을 분석하면, 네트워크 상에서 발생하는 문제를 식별하고 해결하는 데 도움이 됩니다.

 

[Wireshark 패킷 플래그 의미]

Wireshark에서 표시되는 패킷의 플래그(Flag)에는 여러 가지가 있으며, 각각의 플래그는 해당 패킷이 어떤 프로토콜에서 어떤 역할을 수행하는지를 나타냅니다. 가장 일반적으로 사용되는 TCP 패킷의 플래그와 그 의미를 아래 표에 나열하겠습니다.

플래그	의미
SYN	연결 설정 요청 (Synchronize)
ACK	패킷 수신 확인 (Acknowledgment)
PSH	데이터를 즉시 전송하도록 요청 (Push)
FIN	연결 종료 요청 (Finish)
RST	연결 재설정 요청 (Reset)
URG	긴급 데이터가 포함됨을 나타냄 (Urgent)

 

이 표에서 각 플래그는 TCP 패킷의 특정 상태를 나타냅니다. 예를 들어, SYN 플래그는 TCP 연결 설정을 요청하는데 사용되며, ACK 플래그는 패킷을 수신했다는 것을 확인하는 데 사용됩니다. PSH 플래그는 데이터를 즉시 전송하도록 요청하며, FIN 플래그는 TCP 연결 종료를 요청하는 데 사용됩니다. RST 플래그는 연결을 강제로 종료하고 재설정하는 데 사용되며, URG 플래그는 긴급 데이터가 포함되어 있다는 것을 나타냅니다.

Wireshark를 사용하여 패킷을 분석할 때 이러한 플래그들을 살펴보면, 해당 패킷이 어떤 동작을 수행하는지를 파악할 수 있습니다. 이를 통해 네트워크 트래픽을 이해하고 문제를 해결하는 데 도움이 됩니다.