안전한 DHCP 서버 구축

DHCP(Dynamic Host Configuration Protocol)는 한정된 IP주소를 효율적으로 관리하기 위해 정적 혹은 동적 방식으로 할당하여 일정 기간 동안 IP 주소를 임대해주는 통신 프로토콜이다. 하지만 DHCP 프로토콜의 구조상 보안이 취약하여 DHCP를 대상으로 한 공격을 받게 되면 IP주소가 고갈되거나 공격자가 임의로 구축한 DHCP 서버로 접속을 유도하여 사용자의 네트워크 트래픽을 가로채는 문제가 발생할 수 있다.

www.hanbit.co.kr

http://www.ktword.co.kr/test/view/view.php?m_temp1=2590

 

 

DHCP 해킹은 DHCP 서버 자체의 보안 문제점보다 DHCP 프로토콜 구조의 취약성 문제로 인해 발생한다. DHCP 공격을 받으면 DHCP 서버로 사용자 PC의 주소 발급이 불가하거나 공격자의 DHCP로 IP 주소를 재할당하여 공격자는 공격 대상의 트래픽을 스니핑하거나 변조할 수 있다.

 

 

DHCP 자원 고갈

DHCP 에서 할당 가능한 IP가 있는데, DHCP 자원 고갈 공격(Starvation Attack)은 공격자가 계속 IP 할당을 요청하여 최종적으로 할당 가능한 IP 주소가 고갈되어 IP가 할당되지 못하도록 하는 방법이다.

 

안전한 DCHP 서버 구축

vi /etc/dhcp/dhcpd.conf

# 입력

 

# 주석 삭제

# 주석을 삭제하고 수정 및 입력

 

 

DHCP 주소를 관리하기 위해 glass와 같은 오픈 소스 GUI 툴이 있으니 다수의 IP 주소를 관리할 때 참고한다.

https://github.com/Akkadisu/glass-isc-dhcp

 

 

 

DHCP를 안전하게 사용하려면 DHCP 서버뿐 아니라 DHCP 서비스를 주로 담당하는 네트워크 보안(네트워크 스위치 등)을 신경 써야 한다. 네트워크 스위치 장비는 CISCO사 장비 같은 포트 보안을 제공하는 네트워크 스위치를 사용해야 한다. 또한, 스위치 장비에서 사용할 수 있는 MAC주소를 동적 혹은 정적으로 설정해 임의의 공격 단말에서 발생하는 MAC 주소 변경을 통한 자원 고갈 공격을 방어할 수 있다.

 

DHCP 스푸핑을 방어하려면 네트워크 스위치 장비에서 DHCP Snooping trust를 설정해야 한다. 신뢰할 수 있는 DHCP 서버 외에 다른 DHCP 서버의 활동을 차단시켜 DHCP 기능을 더욱 안전하게 운용할 수 있다.