야 솔직히 말해서 포트 스캐닝이 뭔지 모르면 보안 공부 시작도 못 한다고 봐야 해 ㅋㅋㅋ
해커들이 공격 전에 제일 먼저 하는 게 바로 이거거든. 마치 도둑이 집에 들어오기 전에 창문이랑 문이 잠겼는지 하나하나 확인하는 것처럼, 해커들도 서버에 어떤 포트가 열려 있는지 먼저 스캔해.

오늘은 이 포트 스캐닝이 어떻게 작동하는지, 어떻게 탐지하는지, 그리고 어떻게 막는지까지 싹 다 파헤쳐볼 거야. 개발자라면 진짜 알아야 하는 내용이니까 집중해줘! 🎯

포트 스캐닝(Port Scanning)은 네트워크 상의 특정 호스트에서 어떤 포트가 열려 있는지, 닫혀 있는지, 필터링되어 있는지를 확인하는 기술이야.

포트는 0번부터 65535번까지 총 65536개가 있는데, 이 중에서 0~1023번은 "잘 알려진 포트(Well-Known Port)"라고 해서 특정 서비스들이 고정적으로 사용해. 예를 들면:

해커 입장에서 포트 스캐닝은 "이 서버에서 어떤 서비스가 돌아가고 있나?" 를 파악하는 첫 번째 정찰 단계야. 열린 포트를 발견하면 해당 서비스의 취약점을 노리는 거지. 진짜 무서운 게 이게 합법적인 도구로도 할 수 있다는 거야 ㅋㅋㅋ

해커들이 쓰는 포트 스캐닝 기법은 생각보다 다양해. 각각 특징이 다르고 탐지 난이도도 달라. 하나씩 뜯어보자!

가장 기본적인 방식이야. TCP 3-way handshake를 완전히 완료해서 포트가 열려 있는지 확인해.
SYN → SYN-ACK → ACK 이 세 단계를 다 거치는 거야.

장점: 구현이 쉽고 정확해.
단점: 로그에 완전히 남아서 탐지가 쉬워. 🚨

TCP 연결을 완전히 맺지 않고 SYN 패킷만 보내서 응답을 확인하는 방식이야.
포트가 열려 있으면 SYN-ACK가 오고, 닫혀 있으면 RST가 와. 그러면 해커는 ACK를 보내지 않고 RST를 보내서 연결을 끊어버려.

장점: 연결이 완성되지 않아서 일부 로그에 안 남을 수 있어.
단점: 현대 IDS는 다 잡아냄 ㅋㅋㅋ 방심하면 안 돼.

UDP 프로토콜을 이용한 스캔이야. UDP는 연결 지향이 아니라서 응답이 없으면 포트가 열려 있을 가능성이 높고, ICMP "Port Unreachable" 메시지가 오면 닫혀 있는 거야.

DNS(53), SNMP(161), DHCP(67/68) 같은 UDP 서비스를 찾을 때 써. 속도가 느리다는 단점이 있어.

이건 좀 교묘한 방식이야. TCP 플래그를 비정상적으로 설정해서 방화벽을 우회하려는 시도야.

RFC 793 표준에 따르면 닫힌 포트는 RST로 응답하고, 열린 포트는 응답 없음이야. 근데 Windows 시스템은 이 규칙을 다르게 구현해서 이 스캔이 잘 안 먹히기도 해 ㅋㅋ

여러 IP에서 조금씩 나눠서 스캔하는 방식이야. 단일 IP에서 대량의 스캔 패킷이 오면 바로 탐지되니까, 봇넷을 이용해서 여러 곳에서 조금씩 스캔하는 거지. 탐지가 진짜 어려워서 고급 기법으로 분류돼.

이제 진짜 중요한 부분이야. 해커가 스캔하는 걸 어떻게 잡아낼 수 있을까? 탐지 기법을 알아야 제대로 방어할 수 있어!

가장 기본적인 방법이야. 특정 시간 내에 하나의 IP에서 너무 많은 포트에 접근하면 스캔으로 간주하는 거야.

예를 들어 "1초 안에 10개 이상의 포트에 SYN 패킷을 보내면 스캔으로 탐지" 이런 식으로 규칙을 설정해.

# iptables로 포트 스캔 탐지 및 차단 예시
iptables -N PORT_SCAN
iptables -A PORT_SCAN -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j RETURN
iptables -A PORT_SCAN -j DROP
iptables -A INPUT -p tcp --tcp-flags SYN,ACK,FIN,RST RST -j PORT_SCAN

FIN, NULL, Xmas 스캔처럼 비정상적인 TCP 플래그 조합을 가진 패킷을 탐지하는 방식이야. 정상적인 통신에서는 이런 패킷이 거의 안 나오거든.

# Snort 규칙 예시 - NULL 스캔 탐지
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"NULL 스캔 탐지"; flags:0; sid:1000001;)

# Xmas 스캔 탐지
alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"Xmas 스캔 탐지"; flags:FPU; sid:1000002;)

이건 진짜 스마트한 방법이야! 실제로 서비스하지 않는 포트를 열어놓고, 거기에 접근하는 IP를 스캐너로 간주하는 거야.

정상적인 사용자는 알려진 서비스 포트에만 접근하지, 랜덤한 포트에 접근하지 않거든. 그러니까 이상한 포트에 접근하면 "얘 스캔하고 있구나!" 하고 바로 잡을 수 있어.

Snort, Suricata 같은 오픈소스 IDS(침입 탐지 시스템)를 사용하면 포트 스캔을 자동으로 탐지할 수 있어.
IDS는 탐지만 하고, IPS는 탐지 + 차단까지 해.

최근에는 AI/ML을 활용한 이상 탐지가 많이 쓰여. 정상 트래픽 패턴을 학습시켜놓고, 거기서 벗어나는 패턴을 자동으로 탐지하는 방식이야.

분산 스캔처럼 임계값 기반으로는 잡기 어려운 공격도 ML로는 탐지 가능해. 다만 구축 비용이 높고 false positive(오탐)가 발생할 수 있다는 단점이 있어.

탐지도 중요하지만 애초에 스캔 자체를 어렵게 만들거나, 스캔해도 정보를 못 얻게 하는 방어 기법도 알아야 해!

방화벽은 포트 스캔 방어의 기본 중의 기본이야. 필요한 포트만 열고 나머지는 다 닫는 화이트리스트 방식이 제일 안전해.

# UFW (Ubuntu Firewall) 기본 설정
ufw default deny incoming    # 기본적으로 모든 인바운드 차단
ufw default allow outgoing   # 아웃바운드는 허용
ufw allow 22/tcp             # SSH만 허용
ufw allow 80/tcp             # HTTP 허용
ufw allow 443/tcp            # HTTPS 허용
ufw enable                   # 방화벽 활성화

이건 진짜 신기한 기법이야! 특정 포트들을 정해진 순서로 "노크"(접근 시도)해야만 실제 서비스 포트가 열리는 방식이야.

예를 들어 1234 → 5678 → 9012 순서로 접근하면 SSH 포트(22)가 열리는 식이야. 스캐너는 이 규칙을 모르니까 SSH 포트를 찾을 수 없어!

# knockd 설정 파일 예시 (/etc/knockd.conf)
[options]
UseSyslog

[openSSH]
sequence    = 7000,8000,9000
seq_timeout = 5
command     = /sbin/iptables -A INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
tcpflags    = syn

[closeSSH]
sequence    = 9000,8000,7000
seq_timeout = 5
command     = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
tcpflags    = syn

SSH를 22번 대신 22222번이나 다른 포트로 변경하는 방식이야. 완벽한 방어는 아니지만 자동화된 스캔 도구의 공격을 상당히 줄여줘.
특히 22, 3389(RDP) 같은 잘 알려진 포트는 항상 공격 대상이 되니까 변경하는 게 좋아.

# SSH 포트 변경 (/etc/ssh/sshd_config)
Port 22222    # 기본 22에서 변경
PermitRootLogin no    # root 직접 로그인 금지
MaxAuthTries 3        # 인증 시도 횟수 제한

단일 IP에서 오는 연결 시도 속도를 제한하는 방식이야. 포트 스캔은 빠른 속도로 많은 포트를 스캔하는 특성이 있어서 이걸 제한하면 효과적이야.

# iptables로 속도 제한 설정
# 1분에 새로운 연결 25개 이상이면 차단
iptables -A INPUT -p tcp --syn -m limit --limit 25/minute --limit-burst 100 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

# fail2ban으로 SSH 브루트포스 방어
# /etc/fail2ban/jail.conf
[sshd]
enabled = true
port    = ssh
filter  = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

서버 네트워크를 여러 구역으로 나눠서 한 구역이 뚫려도 다른 구역으로 못 넘어오게 하는 방식이야.

DMZ(비무장지대) 개념을 활용해서 외부에서 접근 가능한 서버(웹서버)와 내부 서버(DB서버)를 분리하는 게 기본이야.

스캐너에게 응답을 매우 느리게 보내서 스캔 속도를 극도로 늦추는 방식이야. 스캐너 입장에서는 타임아웃이 계속 발생해서 스캔하기 엄청 힘들어져 ㅋㅋㅋ

# iptables tarpit 설정 (xtables-addons 필요)
iptables -A INPUT -p tcp -j TARPIT --tarpit

Nmap은 세계에서 가장 많이 쓰이는 포트 스캐너야. 해커도 쓰고 보안 관리자도 써. 자기 서버 점검할 때 진짜 유용해!

# 기본 포트 스캔 (상위 1000개 포트)
nmap 192.168.1.1

# 전체 포트 스캔 (0-65535)
nmap -p- 192.168.1.1

# 서비스 버전 탐지 (-sV)
nmap -sV 192.168.1.1

# OS 탐지 (-O)
nmap -O 192.168.1.1

# 스텔스 SYN 스캔 + 서비스 버전 + OS 탐지
nmap -sS -sV -O 192.168.1.1

# 스크립트 엔진으로 취약점 스캔
nmap --script vuln 192.168.1.1

# 결과를 파일로 저장
nmap -oN result.txt 192.168.1.1

Nmap 스캔 결과에서 포트 상태는 크게 세 가지야:

filtered 상태가 가장 안전해! closed는 포트가 닫혀 있어도 서버가 RST 패킷을 보내서 서버 존재 자체는 노출되거든. filtered는 방화벽이 패킷을 그냥 버려서 서버가 있는지조차 알기 어려워.

#!/bin/bash
# 내 서버 보안 점검 스크립트

TARGET="localhost"
echo "=== 포트 스캔 시작: $TARGET ==="

# 열린 포트 확인
echo "[*] 열린 포트 목록:"
nmap -sS -p- --open $TARGET 2>/dev/null | grep "open"

# 불필요한 서비스 확인
echo "[*] 실행 중인 서비스:"
ss -tlnp | grep LISTEN

# 방화벽 상태 확인
echo "[*] UFW 방화벽 상태:"
ufw status verbose

echo "=== 점검 완료 ==="

탐지와 방어를 했다면 이제 지속적인 모니터링이 필요해. 포트 스캔 시도가 있었는지 로그를 분석하는 방법을 알아보자!

# /var/log/auth.log에서 SSH 접근 시도 확인
grep "Invalid user" /var/log/auth.log | tail -20

# iptables 로그에서 차단된 패킷 확인
grep "DROPPED" /var/log/syslog | tail -20

# 특정 IP의 접근 시도 횟수 카운트
grep "192.168.1.100" /var/log/auth.log | wc -l

# 가장 많이 접근 시도한 IP 상위 10개
grep "Failed password" /var/log/auth.log | \
awk '{print $11}' | sort | uniq -c | sort -rn | head -10

fail2ban은 로그를 모니터링하다가 특정 횟수 이상 실패하면 자동으로 IP를 차단해주는 도구야. 진짜 편해 ㅋㅋㅋ

# fail2ban 설치
apt-get install fail2ban

# /etc/fail2ban/jail.local 설정
[DEFAULT]
bantime  = 3600      # 1시간 차단
findtime = 600       # 10분 내에
maxretry = 5         # 5번 실패하면 차단

[sshd]
enabled = true
port    = 22
filter  = sshd
logpath = /var/log/auth.log

[nginx-http-auth]
enabled = true
filter  = nginx-http-auth
port    = http,https
logpath = /var/log/nginx/error.log

# fail2ban 상태 확인
fail2ban-client status
fail2ban-client status sshd

Elasticsearch + Logstash + Kibana(ELK) 스택을 활용하면 실시간 보안 모니터링 대시보드를 만들 수 있어. 로그를 시각화해서 이상 패턴을 한눈에 볼 수 있거든.

규모가 큰 서비스라면 SIEM(Security Information and Event Management) 솔루션 도입도 고려해봐. Splunk, IBM QRadar, Microsoft Sentinel 같은 것들이 있어.

이론은 충분히 배웠으니까 실제로 내 서버에 적용할 수 있는 체크리스트를 정리해줄게!

오늘 배운 내용을 정리하면 이렇게 돼:

1. 최소 권한 원칙 (Principle of Least Privilege)
필요한 포트만 열어. 쓰지 않는 서비스는 다 꺼버려. 공격 표면(Attack Surface)을 최소화하는 게 핵심이야.

2. 심층 방어 (Defense in Depth)
방화벽 하나만 믿지 마. 방화벽 → IDS/IPS → 호스트 보안 → 애플리케이션 보안까지 여러 계층으로 방어해야 해.

3. 가시성 확보 (Visibility)
모니터링 없이는 공격을 알 수 없어. 로그를 수집하고 분석하는 체계를 갖춰야 해.

4. 지속적인 업데이트
보안은 상태가 아니라 과정이야. 계속 업데이트하고 점검해야 해.

포트 스캐닝은 모든 사이버 공격의 시작점이야. 이걸 제대로 이해하고 방어할 수 있다면 보안의 기초는 확실히 다진 거야. 개발자로서 자기가 만든 서비스를 지키는 건 선택이 아니라 필수라는 거 잊지 마! 💪