정찰 — 공격자는 무엇부터 보나

공격에는 순서가 있습니다. 영화처럼 곧바로 뚫고 들어오는 게 아니라, 가장 먼저 조용히 살펴봅니다. 어떤 문이 있고, 그 문 뒤에 무엇이 있는지. 이 단계를 정찰(reconnaissance)이라고 해요.

방어하는 우리가 정찰 도구를 배우는 이유는 하나입니다 — 공격자가 보는 것을 나도 봐야 무엇을 닫을지 알 수 있으니까요.

포트는 건물의 문입니다

서버는 IP 주소(건물 주소) 하나에 포트라는 문이 65535개 있습니다. 각 문 뒤에는 서로 다른 프로그램이 앉아 있어요.

• 22 — SSH (관리자가 원격 접속하는 문)
• 80 / 443 — 웹 (손님이 쇼핑하는 문, http / https)
• 3306 — MySQL (데이터베이스 — 절대 밖에 열면 안 되는 문)

포트 스캔은 이 문들을 하나씩 노크해 보고, 누가 대답하는지 적는 것입니다.

open · filtered · closed — 대답의 세 가지 방식

방화벽(3강)을 켜면 안 쓰는 포트가 closed 에서 filtered 로 바뀝니다. 공격자 입장에서는 "여기 서버가 있긴 한데 대답을 안 하네" 가 되어, 어디를 노려야 할지조차 알기 어려워져요.

같은 명령, 다른 자리

이 강의의 핵심 습관 하나 — 같은 스캔을 세 자리에서 해 보기입니다. 셀 오른쪽 위에서 관점을 바꿔 보세요.

• 🖥️ 서버 안(web1) — 방화벽을 지나지 않으므로 127.0.0.1 에만 붙은 것까지 다 보입니다
• 💻 손님(client) · 🥷 공격자(attacker) — 밖에서 실제로 보이는 것만 보입니다

정말 중요한 건 밖에서 어떻게 보이느냐입니다. 서버 안에서 아무리 포트가 많아도, 방화벽이 밖에서 다 막아 준다면 공격 표면은 좁은 거예요.