[2022-2] 컴퓨터네트워크 - 221012

1) 네트워크 분석
- 컴퓨터간의 데이터 교환은 통신 프로토콜에 따라 패킷(packet)이라는 데이터 단위를 사용
- 패킷을 분석(해석)할 수 있다면 통신에 대한 개념을 명확하게 이해하고, 문제점을 해결할 수 있음
- 패킷을 해석하기 위해 먼저 패킷을 캡처
- 네트워크 분석은 전달되는 트래픽을 살피고, 분석하는 행위
- 패킷 분석기 / LAN 분석기 / 패킷 스니퍼라고 함
- 대표적인 소프트웨어 → WireShark

2) 전문적인 네트워크 분석가의 요건
- TCP / IP 통신 프로토콜에 대한 이해
- 와이어샤크 사용법
- 패킷 구조와 흐름의 이해

3) 패킷 분석기
- 네트워크를 통해 전달되는 패킷을 캡처하여 패킷의 내용을 화면에 나타내주는 소프트웨어
- 네트워크 분석 도구
- 덤프 분석(dump analysis) : 캡처한 패킷의 의미를 알아보는 것
- 타인의 통신을 도청하거나 도청한 정보를 악용하면 법률로 처벌 받을 수 있음

4) 하드웨어 분석기
- 휴대형으로 현장에 가지고 가서 사용
→ 커넥터를 이용해 네트워크에 접속
- 케이블 품질 조사, 오류 프레임 등을 정확히 측정
- 비교적 고가로 기업용으로 사용

5) 소프트웨어 분석기
- 노트북이나 서버에 설치
- 네트워크 인터페이스 카드를 이용하여 네트워크에 접속
- 통계, 보고, 임계치 설정 기능이 뛰어남
- 무료가 많음 (대표적인 소프트웨어 : Wireshark)

6) 와이어샤크 개요
- LAN상에서 전달되는 패킷을 분석하는 도구
- 제널드 콤즈(Gerald Combs)가 개발
→ 1988년에 "Ethereal"이라는 이름으로 LAB 분석기를 개발하여 GPL로 공개
- Open Source Application
- Npcap 소프트웨어를 같이 사용함으로써 윈도우에서 패킷 캡처 가능
- 유닉스, 리눅스 등 다양한 운영체제에서 사용 가능

7) 와이어샤크의 용도
- 컴퓨터 네트워크 프로토콜을 학습하기 위해 사용
- 네트워크 관리자가 네트워크의 트러블 슈팅에 사용
- 보안 기술자가 보안 문제 테스트 / 확인 / 해결에 사용
- 개발자가 프로토콜 구현 시 오류 확인에 사용
- 품질 관리 엔지니어가 네트워크 어플리케이션 확인에 사용

8) 와이어샤크의 주요 기능
- 대부분의 OS(유닉스, 리눅스, 윈도우 등) 지원
- 네트워크 인터페이스로부터 실시간으로 패킷 캡처
- 패킷에 대한 프로토콜 정보를 자세하게 보여줌
- 패킷 캡처 데이터를 열거나 저장 가능
- 다른 패킷 분석기가 획득한 자료를 변환하여 읽거나 출력 가능
- 조건에 따라 패킷 제한 검색 가능
- 필요한 패킷을 원하는 색으로 나타낼 수 있음
- 캡처한 데이터를 다양한 형식으로 출력 / 통계 생성
- 여러가지 암호화 프로토콜의 복호화 지원

9)  와이어샤크의 단점
- 상용에 비해 통계 / 보고 / 임계치 기능이 낮음
- 네트워크의 변화를 감지, 화면에 경고 메시지를 표시 또는 관리자에게 메일 송신할 수 는 없음
- 네트워크를 직접 조작할 수 없음

10) 와이어샤크의 장점
- 패킷의 내용을 자세하게 보여주는 것과 쉬운 패킷 해석
- 지속적인 버전 업
- 패킷 변화 (형식 변환, 복수 캡처 파일 결합 / 분석)

11) 와이어샤크 안정판과 개발판 버전
- 안정판은 개발이 완료된 버전 (2021년 3월, wireshark 3.4.4)
- 오류를 지속적으로 수정하여 공개
- 개발판은 개발자에 의해 추가된 새로운 기능을 반영한 버전
- 다운로드 사이트 : http://www.wireshark.org/download.html

12) 패킷 캡처 드라이버
- 역할 : 소켓을 건너뛰고 직접 패킷 분석기에서 네트워크를 통해 전달되는 모든 패킷을 조작할 수 있음, 무차별(Promiscuous) 모드로 동작
- 패킷 캡처 드라이버의 종류
  - Npcap : Windows용 패킷 캡처 드라이버
  - Libpcap : Unix/Linux용 패킷 캡처 드라이버

13) 패킷 처리 요소들
- Npcap, AirPcap 및 libpcap : 데이터 (raw data)에 대한 접근을 제공
- Wiretap 라이브러리 : 저장된 추적 파일에 대한 입력 / 출력 기능을 위해서 사용
- 캡처 엔진 → dumpcap : 실제 패킷 캡처 시작
- 코어 엔진 (Core Engine) : 와이어샤크의 주요 핵심 기능, 바이트를 사람이 읽을 수 있는 형식의 프레임으로 변환하는 수천가지의 해석기(dissector)를 제공
- 해석기(dissector) : 프레임의 필드를 쪼개서 내용에 대한 분석을 수행