요약

  • Eric Kapitanski의 LightScope는 운영 서버에서 쓰지 않는 TCP 포트를 센서로 삼는다. 허니팟 모드에서는 일부 연결을 별도 장비로 넘긴다.
  • RIPE 93 발표는 스캐너가 실제 운영 호스트마다 다른 선택을 한다고 보여 줬다. 공식 논문 기록은 235개 배포 지점에서 두 달간 모은 데이터를 다룬다.

분석

빈 주소를 향한 스캔은 아무 서비스도 없는 문을 누가 두드렸는지 알려 준다. 운영 중인 서버에서는 질문이 달라진다. 스캐너는 어느 장비를 고르고, 첫 패킷 뒤에 무엇을 시도하는가? Eric Kapitanski의 LightScope는 이 다음 단계를 보기 위해 만들어졌다.

미사용 주소 공간은 오랫동안 인터넷 스캔을 관측하는 망원경 역할을 했다. 그러나 IPv4가 부족해지면서 빈 공간은 줄고 있다. 스캐너가 빈 주소 블록과 사용자에게 서비스를 제공하는 호스트를 똑같이 다룬다고 볼 수도 없다. LightScope는 관측점을 운영 서버로 옮기면서 그 서버의 실제 서비스 트래픽은 수집 대상에서 제외한다.

센서가 사용하는 것은 비어 있는 TCP 포트다. 수동 모드에서는 미사용 포트로 들어온 SYN을 기록한다. 선택형 허니팟 모드에서는 운영자가 포트를 골라—Kapitanski가 말한 일반적인 범위는 10~26개—연결을 원격 허니팟으로 전달한다. 운영 서버는 입구와 중계기 역할만 맡고, 유인 서비스는 별도 장비에서 실행된다.

이 분리는 실제 서비스를 이용하는 트래픽을 관측 경로에서 빼 둔다. 스캐너가 선택된 빈 포트로 더 들어오면 원격 허니팟이 로그인 시도나 명령을 기록한다. 운영 중인 서버 가까이에서 행동을 보면서도 실제 서비스 자체를 실험 대상으로 삼지 않는 구조다.

2026년 인터넷 측정 학회 논문의 공식 기록에는 LightScope 235개 배포 지점에서 두 달간 수집한 데이터가 적혀 있다. Kapitanski는 RIPE 93에서 같은 네트워크 안에서도 스캐너가 개별 운영 호스트마다 다르게 행동한 사례를 보여 줬다. 넓은 측정망이 스캐너를 포착해도 다음 단계에서 어느 서버를 선택했는지는 놓칠 수 있다.

센서가 놓인 장소도 측정의 일부다. 빈 주소는 스캔의 윤곽을 보여 주고, 실제 서버의 미사용 포트는 스캐너가 어느 장비를 택하는지 드러낸다. 원격 허니팟은 연결 뒤에 일어난 시도를 기록한다. SYN 개수와 로그인 시도는 서로 다른 단계를 측정한다.

Kapitanski는 배포망이 미국 교육 네트워크에 크게 치우쳤다고 말했다. 운영자와 지역 구성이 더 다양해지면 관측된 선택 패턴을 어디까지 일반화할 수 있는지도 달라진다. 발표가 밝힌 제한은 UDP와 백스캐터를 다루지 않는다는 점이다. TCP 관측만으로 모든 스캔 방식을 읽을 수는 없다.

운영자가 정해야 할 항목은 구체적이다. 어느 미사용 포트를 센서로 쓸지, 어떤 포트가 연결을 넘길지, 원격 기록을 누가 볼지, 시도된 자격 증명과 명령을 얼마나 보관할지다. 비어 있던 포트에 센서를 올리는 순간, 그 데이터의 책임자와 보존 기한도 필요해진다.

출처