탐지 유형

다음은 호스트가 탐지하는 것을 차단할 수 있는 포트스캔 활동 유형입니다.

• Regular portscan(일반 포트스캔) - 공격자가 단일 대상 호스트에서 여러 포트를 스캔하기 위해 하나의 호스트를 사용하는 일대일 포트스캔입니다. 이 옵션은 TCP, UDP 및 IP 포트스캔을 탐지합니다.

• Decoy portscan(Decoy 포트스캔) - 공격자가 실제 스캐닝 IP 주소와 스푸핑된 소스 IP 주소를 혼합하는 일대일 포트스캔입니다. Decoy 포트스캔 옵션은 TCP, UDP 및 IP 프로토콜 포트스캔을 탐지합니다.

• Distributed portscan(분산형 포트스캔) - 여러 호스트가 개방형 포트를 위해 단일 호스트를 쿼리하는 다대일 포트스캔입니다. 이는 여러 호스트에서 제공되는 모든 요청이 합법적으로 보일 수 있으므로 포트스캔 탐지를 회피하는 데 사용됩니다. 분산형 포트스캔 옵션은 TCP, UDP 및 IP 프로토콜 포트스캔을 탐지합니다.

• Port sweep(포트 스윕) - 공격자가 하나 또는 여러 호스트를 사용하여 여러 대상 호스트에서 단일 포트를 스캔하는 일대다 포트 스윕입니다. 이는 대개 새로운 익스플로잇에서 발생하며 공격자는 특정 서비스를 찾고 있습니다. 이 옵션은 TCP, UDP, ICMP 및 IP 포트 스윕을 탐지합니다.

참고	일반, Decoy 및 분산형 포트스캔은 일반 포트스캔 활동으로 분류되지 않으며 알림을 받습니다.

Traffic Selection(트래픽 선택)

• Permitted(허용됨), Denied(거부됨) 또는 All(모두) 트래픽에 대해 포트스캔 탐지를 선택할 수 있습니다. 기본적으로 포트스캔 탐지는 선택한 범주의 모든 트래픽에 대해 발생합니다.

• 포트스캔 활동을 모니터링할 네트워크를 지정할 수 있습니다. 모니터링되는 네트워크 내에서 특정 호스트가 스캐너로 식별되는 것을 제외할 수 있습니다.

• 대상 호스트로 향하는 모든 트래픽을 포트스캔 탐지에서 제외할 수도 있습니다.

• 포트스캔 탐지는 IPv4 및 IPv6 트래픽 모두에 대해 지원됩니다.

탐지 구성

탐지 구성 옵션은 다음과 같습니다.

• 구성 옵션:

  • Protocol types(프로토콜 유형): TCP, UDP, IP, ICMP

  • 포트 수(Port count): TCP 및 UDP 기반 스캔을 위해 액세스되는 포트 수

  • Host count(호스트 수): TCP, UDP 및 ICMP 기반 스캔을 위해 액세스되는 호스트 수

  • Protocol count(프로토콜 수): IP 프로토콜 스캔에 사용되는 프로토콜 수

  • Interval(간격): 시간 간격

• Predefined sensitivity levels(사전 정의된 민감도 레벨) - 다음 민감도 레벨을 사용하여 포트스캔 탐지를 조정할 수 있습니다.

  • Low(낮음) - 대상 호스트에서 부정적인 응답만 탐지합니다. 이 민감도 레벨을 선택하면 오탐을 억제할 수 있지만, 일부 포트스캔 유형(느린 스캔, 필터링된 스캔)을 놓칠 수 있습니다.

    이 레벨은 포트스캔 탐지에 가장 짧은 시간 창을 사용합니다.

  • Medium(중간) - 호스트에 대한 연결 수를 기반으로 포트스캔을 탐지합니다. 즉, 필터링된 포트스캔을 탐지할 수 있습니다. 그러나 네트워크 주소 변환기와 프록시 등 매우 활동적인 호스트는 오탐을 생성할 수 있습니다.

    기본적으로 민감도 레벨은 Medium(중간)으로 설정됩니다.

    이 레벨은 포트스캔 탐지에 좀 더 긴 시간 창을 사용합니다.

  • High(높음) - 정해진 기간을 기반으로 포트스캔을 탐지합니다. 즉, 시간 기반 포트스캔을 탐지할 수 있습니다. 이 레벨은 포트스캔 탐지에 훨씬 긴 시간 창을 사용합니다.

  • Custom(사용자 지정) - 민감도 레벨을 사용자 지정하려는 경우 사용합니다. 기존의 사전 구성된 민감도 레벨을 편집하는 경우 Custom(사용자 지정) 옵션이 자동으로 선택됩니다.

• 임계값을 세부적으로 조정할 수 있고, 다양한 스캔 유형을 활성화하거나 비활성화할 수도 있습니다.

방지 구성

방지 구성에는 다음과 같은 옵션이 있습니다.

• 포트스캔 활동을 수행하는 것으로 식별된 호스트를 차단할 수 있습니다.

• 기간 만료 후 호스트의 차단을 자동으로 해제하는 기간 기반 차단을 사용할 수 있습니다.

• 호스트가 포트스캔 활동으로 인해 차단되는 것을 제외할 수 있습니다.

포트스캔 탐지 및 방지 구성에 대한 자세한 내용은 포트스캔 탐지 및 방지 구성 항목을 참고하십시오.

예

포트스캔이 낮은 민감도의 위협 방어에서 활성화된다고 가정합니다.

구성된 포트 수 임계값 = 120

계산된 거부 수 임계값 = 120의 10% = 12

공격자가 대상의 131개 포트를 사용하여 연결을 개시하며, 대상이 모든 개시를 긍정적으로 확인합니다. 포트 수 131개는 임계값보다 크지만 부정적 확인이 없으므로 알림이 트리거되지 않습니다.

공격자가 대상의 131개 포트를 사용하여 연결을 개시하며, 대상이 121개의 개시를 긍정적으로 확인하고 10개의 개시를 부정적으로 확인합니다.

포트 수 131개는 임계값보다 크지만 거부 포트 수 10개는 거부 임계값보다 작으므로 알림이 트리거되지 않습니다.

공격자가 대상의 134개 포트를 사용하여 연결을 개시하며, 대상이 121개의 개시를 긍정적으로 확인하고 13개의 개시를 부정적으로 확인합니다. 포트 수 134개는 임계값보다 크고 거부 포트 수 13개도 거부 임계값보다 큽니다. 따라서 이 경우 알림이 트리거됩니다.