TCP SYN 스캔
IT 위키
더 많은 작업
TCP SYN 스캔(TCP SYN Scan)은 TCP 연결을 완전히 수립하지 않고 SYN 패킷만을 이용하여 대상 시스템의 포트 상태를 확인하는 포트 스캐닝 기법이다. Half-open Scan이라고도 불리며, 가장 널리 사용되는 포트 스캔 방식 중 하나이다.
TCP SYN 스캔은 포트 스캐닝 기법 중 하나로, TCP의 3-way Handshake 과정 중 초기 단계만 수행하여 열린 포트를 탐색한다.
일반적인 TCP 연결은 다음 순서로 이루어진다.
- SYN
- SYN/ACK
- ACK
그러나 SYN 스캔은 SYN 패킷을 전송한 뒤 SYN/ACK 응답 여부만 확인하고 연결을 완전히 성립시키지 않는다.
연결이 완전히 수립되기 전에 종료되므로 Half-open Scan이라고도 한다.
- 공격자는 대상 포트에 SYN 패킷을 전송한다.
- 대상 시스템의 응답을 분석한다.
- SYN/ACK 응답이 오면 열린 포트로 판단한다.
- RST 응답이 오면 닫힌 포트로 판단한다.
- 응답이 없으면 필터링된 포트로 판단한다.
- 열린 포트에 대해서는 RST 패킷을 보내 연결을 종료한다.
- TCP 연결을 완전히 수립하지 않음
- 비교적 빠른 스캔 가능
- 일반적인 TCP 연결 로그가 남지 않을 수 있음
- 가장 널리 사용되는 포트 스캔 방식 중 하나
- 관리자 권한이 필요한 경우가 많음
- TCP Connect 스캔보다 빠름
- 네트워크 부하가 상대적으로 적음
- 일부 시스템에서는 로그 기록이 적음
- 비교적 은밀한 스캔 가능
- IDS/IPS에서 탐지 가능
- 방화벽에 의해 차단될 수 있음
- 관리자 권한(root 권한)이 필요한 경우가 많음
- 최신 보안 장비에서는 탐지 우회 효과가 제한적임
| 구분 | SYN 스캔 | TCP Connect 스캔 |
|---|---|---|
| TCP 연결 | 완전히 수립하지 않음 | 완전히 수립함 |
| 속도 | 빠름 | 상대적으로 느림 |
| 로그 기록 | 상대적으로 적음 | 상대적으로 많음 |
| 권한 요구 | 관리자 권한 필요한 경우 많음 | 일반 사용자 권한 가능 |
| 은밀성 | 상대적으로 높음 | 상대적으로 낮음 |
방화벽은 SYN 패킷을 분석하여 포트 스캐닝 시도를 탐지할 수 있다.
일부 방화벽은 다음과 같은 방식으로 대응한다.
- SYN 패킷 차단
- Rate Limiting
- 비정상 패킷 탐지
- IDS/IPS 연동 탐지
현대 보안 장비는 SYN 스캔을 비교적 쉽게 탐지할 수 있다.
Nmap에서는 다음과 같은 옵션으로 SYN 스캔을 수행할 수 있다.
nmap -sS 대상IP
-sS 옵션은 대표적인 Half-open SYN 스캔 옵션이다.
- SYN 스캔은 Half-open Scan이라고도 한다.
- SYN 패킷만 이용하여 포트를 탐색한다.
- 열린 포트는 일반적으로 SYN/ACK 응답을 반환한다.
- 닫힌 포트는 일반적으로 RST 응답을 반환한다.
- 연결을 완전히 수립하지 않는다.
- TCP Connect 스캔보다 상대적으로 은밀하다.
- Nmap의 -sS 옵션은 SYN 스캔이다.