TCP 스트림 무결성
TCP 상태머신·시퀀스·재조립 무결성 위반 — 세션 하이재킹과 IDS 회피의 조기 신호.
- TCP 타임스탬프 이상 TCP 타임스탬프 옵션이 세션 문맥과 어긋난 세그먼트.
- 과도한 재전송 동일 세그먼트가 임계 이상 반복 재전송됨.
- 윈도우 밖 FIN/세그먼트 TCP 수신 윈도우를 벗어난 위치의 FIN·세그먼트.
- 잘못된 시퀀스 번호 핸드셰이크·종료 단계에서 기대와 다른 seq 를 가진 패킷.
- 잘못된 ACK 세션 상태에 맞지 않는 ACK 번호를 가진 패킷.
- 핸드셰이크 회피 3-way 핸드셰이크의 seq/ack 조작으로 IDS 재조립을 흐트리는 패턴.
- SYN 재전송 이상 연결 수립 중 서로 다른 seq 의 SYN 을 반복 전송.
- 과도한 상이 SYN 다수의 서로 다른 SYN/SYN-ACK 로 연결을 시도.
- RST 인젝션 의심 세션 흐름과 어긋난 RST 주입 정황.
- 재조립 오버랩 서로 다른 내용의 세그먼트가 같은 위치에 겹침.
패킷 디코딩
패킷·헤더 디코딩 무결성(체크섬·옵션·길이). 대개 잡음이나 위조·핑거프린팅 정황.
- TCP 체크섬 오류 체크섬이 어긋난 TCPv4 패킷.
- UDP 체크섬 오류 체크섬이 어긋난 UDPv4 패킷.
- TCP 옵션 길이 이상 TCP 옵션 필드 길이가 규격을 벗어남.
- 헤더 길이 이상 TCP/IP 헤더 길이가 너무 작거나 규격을 위반.
프로토콜 이상
애플리케이션 계층 프로토콜 규약 이탈 — 포트 위장·터널링·은닉 채널 신호.
- 단방향 프로토콜 한 방향에서만 애플리케이션 프로토콜이 관측됨.
- 프로토콜 불일치 포트·방향 기대와 다른 애플리케이션 프로토콜.
- 역방향 최초 데이터 기대와 반대 방향에서 최초 데이터가 흐름.
- 예상치 못한 프로토콜 해당 세션에서 나올 수 없는 프로토콜을 검출.
- STARTTLS 다운그레이드 STARTTLS 협상 후 TLS 로 전환되지 않음.
HTTP 규약
HTTP 규약 위반 — 요청 스머글링·WAF 우회·호스트 헤더 공격 표면.
- 응답 매칭 실패(스머글링) 요청-응답 쌍을 매칭할 수 없는 HTTP 흐름.
- 예상치 못한 본문 본문이 없어야 할 메서드에 본문이 실림.
- 불완전 요청 라인 요청 라인이 규격대로 끝나지 않음.
- 비규격 문자 메서드·URI 에 규격 위반 문자가 포함됨.
- Host 헤더 이상 Host 헤더가 없거나 부정한 요청.
TLS 이상
TLS 핸드셰이크·레코드 이상 — 다운그레이드·스캐닝·익스플로잇(Heartbleed) 표면.
- TLS 레코드 이상 구조가 어긋난 TLS 레코드·트래픽.
- TLS 레코드 타입 이상 허용되지 않은 TLS 레코드 타입.
- TLS 에러 알림 핸드셰이크 중 TLS 에러(alert) 발생.
- TLS 핸드셰이크 무효 핸드셰이크 메시지 길이·구조 위반.
- Heartbleed 의심 비정상 heartbeat 로 메모리 유출을 노리는 정황(CVE-2014-0160).
DNS 이상
DNS 응답 이상 — 캐시 포이즈닝·스푸핑·반사 공격 신호.
- 비요청 DNS 응답 질의 없이 도착한 DNS 응답.
메일(SMTP) 이상
SMTP 세션 이상 — 스팸·릴레이 남용·메일 서버 프로빙.
- SMTP DATA 거부 DATA 명령이 서버에 거부됨.
- SMTP 웰컴 부재 서버 인사(220) 없이 세션이 진행됨.
- SMTP 비정상 응답 규격을 벗어난 SMTP 응답.
웹 공격 패턴
웹 애플리케이션 공격 패턴 — nginx 의심 요청을 정찰·인젝션·RCE 로 분류.
- 비밀파일 스캔 .env·.git·설정·키 파일을 노린 의심 요청.
- 경로 탐색(트래버설) ../·인코딩·시스템 경로로 파일 접근 시도.
- SQL 인젝션 UNION·information_schema·불리언/시간 기반 SQL 페이로드.
- 크로스사이트 스크립팅 스크립트 태그·이벤트 핸들러·쿠키 접근 페이로드.
- 원격코드실행 프로빙 쉘·명령 실행·역직렬화·JNDI 페이로드 탐지.
- 관리자 페이지 공략 wp-login·phpMyAdmin·관리 콘솔 경로 반복 접근.
- 악성 봇/스캐너 UA sqlmap·nikto·masscan 등 공격 도구 User-Agent.
- 기타 의심 요청 위 패턴에 맞지 않는 그 밖의 의심(is_suspicious) 요청.
ML 이상탐지
머신러닝 이상탐지 — 무지도 오토인코더가 학습 기준 이탈을 포착.
- Kitsune 오토인코더 이상 무지도 앙상블 오토인코더가 정상 대비 재구성 오차로 이상 IP 를 판정.
휴리스틱 스캔
규칙 기반 휴리스틱 — 스캐너·브루트·봇·레이트 이상을 명시적 규칙으로 차단.
- srct 휴리스틱 탐지 정찰 스캐너·admin 브루트·봇 UA·4xx 홍수·JA3 다양성·TCP 단발스캔 규칙 히트.
JA3 지문
TLS 클라이언트 지문(JA3) 분석 — 지문 회전·봇넷·자동화 탐지.
- JA3 로테이션/봇넷 동일 출발지가 다수의 JA3 지문을 회전시키며 TLS 접속.
내 서버의 버전을 직접 추적하세요
InfraGuard 는 모든 서버에 설치된 소프트웨어 버전을 수집하고, 알려진 취약점이 있는 버전을 알려 줍니다. 자체 호스팅이라 데이터가 내 네트워크를 벗어나지 않습니다.