맹꽁이님의 블로그

Openstack Keystone 컴포넌트의 개념 총정리

맹꽁이+ — Wed, 13 May 2026 21:07:44 +0900

Keystone

Keystone은 당신은 누구(Authentication)고, 뭘 하러 왔는지 판단하고 권한을 파악(Authorization)하는 인증 서비스다.

사용자 인증, 권한 부여, API 접근 제어 등을 관리하는 서비스
주요 기능
- 인증 토큰 발급 및 관리
- 역할 기반 접근 제어(RBAC) 구현
- 서비스 카탈로그 제공
연계: OpenStack의 모든 서비스에 대해 인증 및 권한 관리 기능 제공

Keystone 개념 활용

아래에 설명하는 개념들은
개념으로 끝나지 않고 실제로 쓰이는 명칭이다.

OpenStack CLI 명령어

openstack domain list
openstack project list
openstack user list
openstack group list
openstack role list
openstack role assignment list
openstack token issue
openstack catalog list

API URL

v3

Keystone의 API 버전
원래 v2.0이 있었는데, deprecated돼서 지금은 v3만 사용함
업데이트 된 점
- v2.0: Project와 User가 전역으로 공개
- v3: Domain 개념이 추가되어 Project, User와 함께 전역으로 공개

/v3/domains
/v3/projects
/v3/users
/v3/groups
/v3/roles
/v3/auth/tokens

Keystone 세부 개념

Domain

여러 조직을 논리적으로 격리하는 최상위 단위이다.

이때 조직은 별개의 사용자 집단이다. 예를 들어 회가 Openstack 하나를 운영하고 두 팀에 제공한다고 하면, 팀 A와 팀 B가 Openstack을 쓰는 별개의 조직인 것이다.

초기 OpenStack은 프로젝트 사용자가 전역적으로 공개되어 조직 간 이름 충돌 문제가 있었는데, 이를 해결하기 위해 Domain이 도입됐다.

❌ 팀 A가 “dev”라는 프로젝트를 만듦
팀 B도 “dev라는 프로젝트를 만들고자 함
→ 조직 이름 충돌로 못 만듦!!

✅ 조직을 분리하는 Domain을 도입해서 별개로 격리시켜 해결함.
서로의 리소스는 볼 수 없음.

[Domain: 팀 A] | [Domain: 팀 B]
project: dev | project: dev
user: chaeun | user: chaeun

Domain은 여러 조직을 동시에 수용하기 위해 필요한 개념이기 때문에, 소규모 환경에선 보통 Default 도메인 하나만 사용한다. Kolla-ansible은 조직이 하나뿐일 때를 대비해서 Default 도메인을 자동으로 만들어주고, 그 안에 admin 같은 기본 계정들을 제공한다.

주의사항

1. 새 도메인을 만들면 기본 계정이 없다.

새로운 도메인을 만들면 기본 계정은 없다. Default 도메인에만 Kolla-Ansible이 자동으로 admin, nova, glance, neutron 등 서비스 계정들을 넣어주고, 새로 생성한 도메인은 비어있어 직접 구성해야 한다.

2. Default는 건드리지 말고 추가로 만들어야 한다.

만약 개발팀, 운영팀처럼 여러 조직에 도메인을 나눠주고 싶다면 Default는 건드리지 않고 도메인을 추가로 생성해야 한다.

OpenStack 서비스 계정들(nova, glance 등)이 전부 Default 도메인에 묶여 있기 때문에 이름을 바꾸거나 건드리면 서비스 인증이 꼬일 수 있다. default라는 이름도 코드 곳곳에 하드코딩되어 있는 경우가 있어서 바꾸면 예상치 못한 곳에서 오류가 발생할 수 있다.

Project

VM, 네트워크, 이미지 등 리소스를 그룹화하고 격리하는 단위이다. 초기에는 임차인을 뜻하는 Tenant라고 불렸지만 더 직관적인 project로 변경됐다.

리소스

OpenStack에서 관리 대상이 되는 모든 것
▪️ VM (인스턴스)
▪️ 네트워크
▪️ 서브넷
▪️ 이미지
▪️ 볼륨 (블록 스토리지)
▪️ 플로팅 IP
▪️ 보안 그룹
▪️ 키페어

리소스는 반드시 특정 프로젝트에 속한다.

OpenStack에서 VM을 만들면 그 VM은 반드시 어느 프로젝트의 소속이다. 만약 team-dev와 team-ops가 있을 때, team-dev의 VM은 team-ops에서 보이지 않는다.

프로젝트는 사용자를 직접 소유하지 않는다.

도메인이 사용자를 소유하고, Keystone의 Role Assignment를 통해 사용자가 특정 프로젝트에 대한 접근 권한을 갖게 된다. 만약 chaeun이라는 유저가 도메인 A에 들어있고, B, C라는 프로젝트 두 개가 있다고 하자. chaeun은 B에서는 member, C에서는 admin 역할을 가질 수 있는 것이다.

Actors (User and User Groups)

실제로 역할을 부여받는 주체다.

도메인을 설명할 때 도메인이 다르면 같은 이름의 유저가 존재할 수 있다고 했는데, 내부적으로는 UUID로 구분하기 때문에 충돌이 없다. v2.0에서도 UUID는 존재했지만, 개발자는 UUID로 이름을 찾지 않고 이름으로 찾기 때문에 문제가 생기는 것이다.

User

클라우드를 직접 사용하는 개인이다. OpenStack에 로그인하고 VM을 만들고 네트워크를 구성하는 실제 사람 또는 서비스 계정을 의미한다.

- 서비스 계정: OpenStack 서비스들끼리 서로 API 호출할 때 쓰는 계정이다.
예를 들어 VM을 만들 때 Nova는 이미지를 가져오려고 Glance API를 호출해야 한다. 이때 Nova가 Keystone한테 Nova인 것을 인증받아야 하는데, 그때 쓰는 계정이 서비스 계정이다.

- openstack user list 명령어: nova, glance, neutron, cinder, heat, placement와 같은 서비스 계정이 나온다.

Group

사용자들의 집합이다. 역할을 부여할 때 유저 한 명씩 설정하는 게 아니라 그룹 단위로 한 번에 처리할 수 있다.

Group: dev-team
└─ chaeun
└─ A
└─ B

dev-team 그룹에 member 역할 부여
→ chaeun, A,B 전원에게 자동 적용

만약 위 그룹(member 역할)에서 A에 admin 역할을 부여하면
그룹에서 A만 빠지지 않고,
그룹 내에서 A만 admin, chaeun과 B는 member인 채로 있는다.

C 유저가 그룹에 추가되면 그룹 자체는 member 역할이기 때문에 member를 부여받는다.

역할은 유저 생성부터 무조건 배정될까?

Horizon에서 만들면 역할 배정이 필수
CLI에서 만들면 역할 없이 생성 가능

Roles

권한 부여의 단위다.

Role은 이름표일 뿐이고, Keystone이 admin이라는 이름표를 붙여줬다고 해서 바로 권한이 생기는 게 아니다. 각 서비스가 policy.yaml을 보고 admin 이름표를 가진 사람이 할 수 있는 일을 알 수 있는 구조이다.

기본 제공 역할

admin 모든 걸 할 수 있는 최고 권한. 유저 생성, 프로젝트 삭제, 쿼터 수정 등 관리자 작업 전부 가능.
member 일반 사용자 역할. 본인 프로젝트 안에서 VM 생성, 네트워크 구성 등 실제 작업은 할 수 있지만 관리자 작업은 불가.
reader 읽기 전용. 조회만 가능하고 생성/수정/삭제는 불가

policy.yaml

Nova, Glance, Neutron 등 서비스마다 각자 policy.yaml을 가지고 있고, 거기서 역할별로 허용/거부를 정의한다.

# 예시
"os_compute_api:servers:create": "role:member"  # member 이상만 VM 생성 가능
"os_compute_api:servers:delete": "role:admin"   # admin만 VM 삭제 가능

역할 생성이 가능하다.

openstack role create vm-only

# Nova policy.yaml
"os_compute_api:servers:create": "role:vm-only"  # vm-only 역할만 VM 생성 가능

Assignment

Keystone이 “누가, 어디서, 무슨 역할”을 가지는지 저장하는 단위가 Assignment다.
Actor+Target+Role 세 가지가 반드시 있어야 성립한다.

Targets: 역할이 유효한 범위로 Project와 Domain을 말한다.

chaeun(Actor) + project-dev(Target) + member(Role)
→ Assignment: chaeun은 project-dev에서 member다.

grant와 revoke

아래 코드는 Actor+Target+Role 세 가지로 grant와 revoke하는 코드이다.

# grant
openstack role add member --user chaeun --project project-dev

# revoke
openstack role remove member --user chaeun --project project-dev

revoke를 하면 chaeun은 project-dev에 접근 불가하다!!!!

Token

인증 성공 후 발급되는 인증토큰이다. OpenStack의 모든 API 요청은 이 토큰을 헤더에 담아서 보낸다.

토큰에 담긴 정보
사용자 정보 ← 누가 인증했는지
issued_at ← 언제 발급됐는지
expires_at ← 언제 만료되는지
프로젝트 정보 ← 어떤 프로젝트(타겟)에 유효한지
서비스 카탈로그 ← 각 서비스 URL 목록

생성 - Fernet Token 방식

현재 OpenStack이 사용하는 토큰 생성 및 검증 방식이다. Kilo 릴리즈에서 도입되어 Ocata 릴리즈부터 기본 토큰 방식으로 지정됐다.

암호화와 복호화에 동일한 키를 사용하는 대칭키 방식이다. 토큰 자체는 DB에 저장하지 않고 사용자에게 전달하고 끝이다. 나중에 그 토큰이 API 요청에 담겨오면 /etc/keystone/fernet-keys/에 저장된 키 파일로 복호화해서 유효한지 확인한다. 서버가 토큰을 저장하지 않는 Stateless 방식이다.

이전 방식인 UUID Token은 발급할 때마다 DB에 저장했기 때문에 토큰이 많아질수록 DB가 무거워지는 문제가 있었다.

인증 - Bearer Token 방식

토큰을 가진 사람이면 누구든 사용할 수 있는 인증 방식이다. 토큰을 탈취당하면 탈취한 사람도 그 토큰으로 API를 호출할 수 있다는 뜻이다. 그래서 토큰에 만료 시간이 있고, 기본값은 1시간이다.

Catalog

OpenStack 서비스들의 엔드포인트 목록이다. 토큰 발급 시 함께 반환되며, 클라이언트는 이걸 보고 각 서비스에 어디로 요청을 보낼지 결정한다.

카탈로그가 없으면 클라이언트는 Nova가 어디 있는지, Glance가 어디 있는지 알 수 없다. VM 생성 요청을 어디로 보낼지 모르는 거다.

엔드포인트 구분

각 서비스의 엔드포인트는 세 가지 URL로 나뉜다.

admin    → 관리자용. 관리자 작업에 사용
internal → 서비스끼리 내부 통신에 사용
public   → 외부 사용자가 접근하는 URL

Nova, Glance, Neutron 등 서비스마다 이 세 가지 URL이 카탈로그에 등록되어 있다.

openstack catalog list

OpenStack 주요 컴포넌트

맹꽁이+ — Thu, 16 Apr 2026 09:27:49 +0900

OpenStack 주요 컴포넌트

1. Nova (리소스)

IaaS 시스템으로, 컴퓨팅 자원을 배분하는 역할을 수행

VM 인스턴스의 생성, 삭제, 관리

실제 시스템의 하드웨어 속성과 구성을 가져와 프로비저닝

Nova-scheduler: VM 인스턴스를 어떤 호스트에서 실행할 것인지 결정
Nove-compute: Hypervisor API를 이용하여 VM 인스턴스 생성, 종료
Nova-conductor: Compute 상단의 레이어처럼 동작하여 데이터베이스를 관리
Nova-api: 최종 사용자의 Compute API에 대해 허용하고 응답

2. Neutron (네트워크)

네트워크 연결을 제공

3. Swift (스토리지)

Object 스토리지 서비스를 제공

4. Cinder (스토리지)

Block 스토리지 서비스를 제공

5. Glance (이미지)

VM Instance에 설치할 OS 이미지를 저장

6. Keystone (인증)

OpenStack 구성 요소에 대해 사용자 인증 및 권한 관리

7. Heat (오케스트레이션)

OpenStack 인프라 배포를 하기 위한 사전 템플릿 정의

8. Horizon (대시보드)

UI 기반 통한 제어 서비스

[정처기 실기] 공격 유형

맹꽁이+ — Fri, 10 Apr 2026 11:30:02 +0900

1. 트로이 목마

정상적인 프로그램으로 위장하여 시스템에 침투한 뒤, 정보 유출이나 원격 제어 등 악의적인 기능을 수행하는 악성 코드

2. 랜섬웨어

사용자의 파일을 암호화하여 접근을 차단한 후, 복구를 위해 몸값을 요구하는 악성 프로그램으로, 파일을 암호화하여 사용자가 접근할 수 없게 만든 후, 암호화 키를 제공하는 대가로 금전을 요구하는 것이 주요 특징인 악성 프로그램

3. syn flooding

3 way handshake의 취약점 이용하여 공격하는 방법
공격자가 클라이언트 역할로 수많은 SYN 패킷을 서버에 전송한 뒤 마지막 ACK를 고의로 보내지 않아 서버가 연결 대기 상태를 계속 유지 하는 공격 방법

4. Sniffing

네트워크 상을 지나다니는 암호화되지 않은 데이터 패킷을 몰래 엿보는 수동적 공격 행위

5. 레인보우 테이블 공격

패스워드별로 해시 값을 미리 생성해 놓은 거대한 테이블을 이용하여 패스워드를 해독하는 공격 기법

6. ping of death

ICMP 패킷의 최대 크기(65,535바이트)를 초과하는 매우 큰 패킷을 의도적으로 만들어 보내는 공격 방법

7. 세션 하이재킹

'세션을 가로채다'라는 의미로 정상적 연결을 RST 패킷을 통해 종료시킨 후 재연결 시 희생자가 아닌 공격자에게 연결
세션 관리 취약점을 이용한 공격 기법
3-way handshake가 완료된 후 공격자가 정상적인 세션을 가로채고 인증 없이 통신을 탈취하는 공격 기법

8. UDP flooding

다량의 UDP 패킷을 특정 포트로 무작위로 전송하는 공격
서버는 해당 포트에서 실행 중인 애플리케이션이 있는지 확인하고, 없으면 ICMP 'Destination Unreachable' 메시지를 응답함
이 과정이 반복되면서 서버의 리소스가 고갈되어 정상적인 요청을 처리할 수 없게 되는 공격 방법

9. ARP 스푸핑

특정 호스트의 MAC 주소를 자신의 MAC 주소로 변경, 희생자로부터 특정 호스트로 나가는 패킷을 공격자가 가로채는 공격기법

10. tear drop

데이터를 여러 개의 작은 조각으로 나누어 전송하는 과정에서 조각의 순서를 뒤섞거나 일부를 누락시켜 보내, 수신 시스템이 조각을 재조합하는 과정에서 과부하가 걸리거나 오류가 발생하여 다운되도록 만드는 공격 방법

11. 무차별 크래킹 (Brute-force Attack)

가능한 모든 문자 조합을 시도하여 암호를 해독하는 공격으로, 시간이 오래 걸리지만 가장 확실한 방법

12. DRDoS

출발지 IP 주소를 공격 대상의 IP 주소로 위조하여 다수의 반사체 서버(예: DNS, NTP 서버)에 요청을 보내고, 반사체 서버들이 공격 대상에게 응답을 보내도록 하여 공격을 증폭시키는 분산 반사 서비스 거부 공격 방법

13. 바이러스

사용자 컴퓨터(네트워크로 연결된 공유 컴퓨터 포함) 내의 프로그램이나 실행 가능한 부분을 변형하여 감염시키는 프로그램으로, 자신을 복사하거나 변형된 형태로 복사하며, 다른 네트워크의 다른 컴퓨터로 자율적으로 전파되지 않는 것이 가장 큰 특징이다.

14. 웜

인터넷이나 네트워크를 통해 컴퓨터에서 컴퓨터로 자율적으로 전파되는 악성 프로그램으로, 윈도우나 애플리케이션의 취약점을 이용하여 이메일, 공유 폴더, P2P 프로그램 등을 통해 전파되며, 자가 복제와 네트워크 연결을 통한 다른 컴퓨터로의 전파가 주요 특징이다.

15. 트로이 목마

정상적인 프로그램으로 위장하지만 숨겨진 악성 루틴을 포함하고 있어, 실행 시 악성 코드가 동작하는 프로그램으로, 자가 복제하지 않으며 다른 파일을 감염시키거나 변형시키지 않지만, 이를 포함한 프로그램이 실행되는 순간 시스템의 제어권을 공격자에게 넘겨준다.

16. DDoS

악성코드에 감염된 여러 컴퓨터(좀비 PC)를 제어하여 특정 목표 시스템을 동시에 공격하도록 지시하는 분산 서비스 거부 공격 방법

17. 스파이웨어

사용자의 동의 없이 설치되어 개인정보나 기밀 정보를 수집하여 제3자에게 전송하는 악성 프로그램으로, 사용자가 모르는 사이에 설치되어 키로거, 화면 캡처, 웹 브라우징 기록 수집 등을 통해 개인정보를 유출하는 것이 주요 특징인 악성 프로그램

18. DoS

시스템의 리소스를 과도하게 사용하여 정상적인 사용자가 서비스를 이용하지 못하도록 만드는 공격으로, 공격자 한 명이 대상 서버에 대량의 요청을 보내거나 시스템의 취약점을 이용하여 리소스를 고갈시키는 공격 방법

[정처기 실기] 네트워크 신기술

맹꽁이+ — Fri, 10 Apr 2026 10:49:34 +0900

1. Scrapy

Python 기반의 웹 크롤링(Web Crawling) 프레임워크

2. IoT (Internet of Things)

각종 사물에 컴퓨터 칩과 통신 기능을 내장하여 인터넷에 연결하는 기술

3. MQTT (Message Queuing Telemetry Transport)

저전력, 저대역폭 환경의 IoT 통신에 널리 사용되며, 발행-구독(Publish/Subscribe) 모델을 기반으로 동작하는 경량 메시징 프로토콜
사물 통신, 사물 인터넷과 같이 대역폭이 제한된 통신 환경에 최적화하여 개발된 푸시 기술 기반의 경량 메시지 전송 프로토콜
메시지 매개자(Broker)를 통해 송신자가 특정 메시지를 발행하고 수신자가 메시지를 구독하는 방식
IBM이 주도하여 개발

4. Hadoop

여러 컴퓨터를 연결하여 대용량 데이터를 분산 저장하고 병렬 처리하는 오픈 소스 프레임워크로, HDFS와 MapReduce를 핵심 구성 요소로 하는 기술
오픈 소스를 기반으로 한 분산 컴퓨팅 플랫폼이다.
일반 PC급 컴퓨터들로 가상화된 대형 스토리지를 형성한다.
다양한 소스를 통해 생성된 빅데이터를 효율적으로 저장하고 처리한다.

5. Sqoop

하둡과 관계형 데이터베이스 간에 대용량 데이터를 효율적으로 전송할 수 있도록 설계된 도구

6. Wi-SUN

스마트그리드 등 HAN/NAN (Home Area Network/Neighborhood Area Network) 활용을 위한 IEEE802.15.4g 표준 기반 900MHz 대역 근거리 무선 통신 기술이다.
넓은 커버리지와 더불어 빠른 속도를 지원해 원격 검침 등 스마트시티 핵심 서비스를 실현할 최적의 기술이다.

7. 디지털 트윈

현실 세계의 기계나 장비, 시스템을 가상 공간에 쌍둥이처럼 복제하여, 시뮬레이션을 통해 문제를 예측하고 해결하는 기술
물리적인 사물과 컴퓨터에 동일하게 표현되는 가상 모델로 실제 물리적인 자산 대신 소프트웨어로 가상화함으로써 실제 자산의 특성에 대한 정확한 정보를 얻을 수 있고, 자산 최적화, 돌발 사고 최소화, 생산성 증가 등 설계부터 제조, 서비스에 이르는 모든 과정의 효율성을 향상시킬 수 있는 모델

8. Data Mining

빅데이터 분석 기법 중에서 대용량 데이터를 분석하여 데이터에 내재된 변수들 간의 상관관계를 파악하고 특정 패턴을 찾아내는 기법

9. 하이퍼바이저

가상 머신(VM)을 생성하고 관리하는 소프트웨어로, 하드웨어 위에 직접 설치되는 Type 1과 호스트 OS 위에 설치되는 Type 2로 나뉘는 것

10. 서버리스 컴퓨팅

개발자가 서버 관리 없이 코드 실행에만 집중할 수 있도록 하는 클라우드 컴퓨팅 모델로, 이벤트 기반으로 동작하고 사용한 만큼만 비용을 지불하는 것

11. SDN (Software Defined Networking)

네트워크 장비의 펌웨어 업그레이드를 통해 사용자 데이터 전송 경로를 직접 관리할 수 있으며, 기존 네트워크에 영향을 주지 않고 특정 서비스의 전송 경로를 수정하여 인터넷에서 발생하는 문제를 해결할 수 있다.
네트워크를 제어부와 데이터부로 분리하여 네트워크 관리자가 네트워크를 더욱 효율적으로 제어하고 관리할 수 있게 하는 기술이다.
기존의 라우터, 스위치 등 하드웨어에 의존하는 네트워크 시스템에서 벗어나 안정성, 속도, 보안 등의 측면을 소프트웨어로 제어하고 관리하기 위해 개발되었다.
중앙 컨트롤러를 통해 네트워크를 프로그래밍 방식으로 관리하는 기술

12. Mashup

웹에서 제공하는 정보 및 서비스를 이용하여 새로운 소프트웨어나 서비스, 데이터베이스 등을 만드는 기술

13. Zing

기기를 키오스크에 갖다 대면 원하는 데이터를 바로 가져올 수 있는 기술로 10cm 이내 근접 거리에서 기가급 속도로 데이터 전송이 가능한 초고속 근접 무선 통신(NFC: Near Field Communication) 기술

14. AllJoyn

사물인터넷(IoT) 디바이스 간의 상호작용을 위한 퀄컴이 개발한 오픈소스 소프트웨어 프레임워크이다.
디바이스들이 서로 통신하고 협업할 수 있도록 하며, 이를 통해 서로 다른 제조업체의 기기들이 함께 작동할 수 있게 연결한다.

15. MSA (Mrcroservice Architecture)

하나의 애플리케이션을 독립적인 기능 단위의 서비스로 나누어 개발하는 아키텍처로, 클라우드 네이티브 환경의 표준으로 자리 잡은 것

16. 애드 혹 네트워크(무전기)

네트워크의 구성 및 유지를 위해 기지국이나 액세스 포인트와 같은 기반 네트워크 장치를 필요로 하지 않는 네트워크
노드(Node)들에 의해 자율적으로 구성되는 구조
긴급 구조, 긴급회의, 전쟁터에서의 군사 네트워크로 활용
중앙 인프라 없이 단말기 간에 직접 통신하여 자율적으로 네트워크를 구성하는 방식으로, IoT, 메시 네트워크의 기반이 되는 기술

17. Beacon

블루투스4.0(BLE) 프로토콜 기반의 근거리 무선통신 장치로, 최대 70m 이내의 장치들과 교신할 수 있는 차세대 스마트폰 근거리 통신 기술이다.
저전력으로 모바일 결제 등을 가능하게 해주는 스마트폰 근거리 통신 기술이다.
NFC보다 가용거리가 길고 5~10cm 단위 구별이 가능해 정확성이 높다.

18. Smart Grid

전기 및 정보통신 기술을 활용하여 전력망을 지능화, 고도화함으로써 고품질의 전력 서비스를 제공하고 에너지 이용 효율을 극대화하는 전력망

19. 네트워크 슬라이싱

하나의 물리적 네트워크를 다수의 논리적 가상 네트워크로 분리하여, 각 서비스의 특성에 맞는 맞춤형 네트워크를 제공하는 5G의 핵심 기술

20. 마이데이터

정보 주체인 개인이 자신의 데이터에 대한 통제권을 가지고, 금융, 의료 등 여러 기관에 흩어진 개인 데이터를 직접 관리하고 활용하는 제도

21. NFV

라우터, 방화벽 등 전용 네트워크 장비의 기능을 가상화하여 범용 서버에서 실행하는 기술로, 비용 절감과 유연성 확보를 목적으로 하는 것

[정처기 실기] 화이트박스 테스트와 블랙박스 테스트

맹꽁이+ — Thu, 2 Apr 2026 16:33:35 +0900

테스트 기법

1. 화이트박스 테스트(White Box Test)

원시 코드의 논리적인 모든 경로를 테스트하여 테스트 케이스를 설계하는 방법

기초 경로 검사(Base Path Testing): 테스트 케이스 설계자가 절차적 설계의 논리적 복잡성을 측정할 수 있게 해주는 테스트 기법
제어 구조 검사(Control Structure Testing)
- 조건 검사(Condition Testing)
- 루프 검사(Loop Testing)
- 데이터 흐름 검사(Data Flow Testing)

화이트박스 테스트의 검증 기준

문장 검증 기준(Statement Coverage): 소스 코드의 모든 구문이 한 번 이상 수행되도록 테스트 케이스를 설계한다.
분기 검증 기준(Branch Coverage): 소스 코드의 모든 조건문에 대해 조건식의 결과가 True인 경우와 False인 경우가 한 번 이상 수행되도록 테스트 케이스를 설계한다.
조건 검증 기준(Condition Coverage): 소스 코드의 조건문에 포함된 개별 조건식의 결과가 True인 경우와 False인 경우가 한 번 이상 수행되도록 테스트 케이스를 설계한다.
분기/조건 기준(Branch/Condition Coverage): 분기 검증 기준과 조건 검증 기준을 모두 만족하는 설계로, 조건문이 True인 경우와 False인 경우에 따라 조건 검증 기준의 입력 데이터를 구분하는 테스트 케이스를 설계한다.

2. 블랙박스 테스트(Black Box Test)

각 기능이 완전히 작동되는 것을 입증하는 테스트

동치 분할 검사(Equivalence Partitioning Testing, 동치 클래스 분해)
- 프로그램의 입력 조건에 타당한 입력 자료와 타당하지 않은 입력 자료의 개수를 균등하게 하여 테스트 케이스를 정하고, 해당 입력 자료에 맞는 결과가 출력되는지 확인하는 기법
경계값 분석(Boundary Value Analysis)
- 입력 조건의 중간값보다 경계값에서 오류가 발생될 확률이 높다는 점을 이용하여 입력 조건의 경계값을 테스트 케이스로 선정하여 검사하는 기법
원인-효과 그래프 검사(Cause-Effect Graphing Testing)
- 입력 데이터 간의 관계와 출력에 영향을 미치는 상황을 체계적으로 분석한 다음 효용성이 높은 테스트 케이스를 선정하여 검사하는 기법
오류 예측 검사(Error Guessing)
- 과거의 경험이나 확인자의 감각으로 테스트하는 기법
비교 검사(Comparison Testing)
- 여러 버전의 프로그램에 동일한 테스트 자료를 제공하여 동일한 결과가 출력되는지 테스트하는 기법

[정처기 실기] 디자인 패턴 유형 정리

맹꽁이+ — Thu, 2 Apr 2026 15:33:38 +0900

디자인 패턴

디자인패턴은 모듈 간의 관계 및 인터페이스를 설계할 때 참조할 수 있는 전형적인 해결 방식 또는 예제를 의미함.
GOF의 디자인패턴은 생성패턴, 구조패턴, 행위패턴으로 구분됨.

생성 패턴(Creational Pattern) : 클래스나 객체의 생성과 참조 과정을 정의하는 패턴.
구조 패턴(Structural Pattern) : 구조가 복잡한 시스템을 개발하기 쉽도록 클래스나 객체들을 조합하여 더 큰 구조로 만드는 패턴
행위 패턴(Behavioral Pattern) : 클래스나 객체들이 서로 상호작용하는 방법이나 책임 분배 방법을 정의하는 패턴

생성 패턴	구조 패턴	행위 패턴
추상 팩토리 (Abstract Factory)	어댑터 (Adapter)	책임 연쇄 (Chain of Responsibility)
빌더 (Bulider)	브리지 (Bridge)	커맨드 (Command)
팩토리 메소드 (Factory Method)	컴포지트 (Composite)	인터프리터 (Interperter)
프로토타입 (Prototype)	데코레이터 (Decorator)	반복자 (Iterator)
싱글톤 (Singleton)	퍼싸드 (Facade)	중재자 (Mediator)
	플라이웨이트 (Flyweight)	옵서버 (Observer)
	프록시 (Proxy)	상태 (State)
		전략 (Strategy)
		템플릿 메소드 (Template Method)
		방문자 (Visitor)

1. 생성 패턴

추상 팩토리 (Abstract Factory): 구체적인 클래스에 의존하지 않고, 인터페이스를 통해 서로 연관·의존하는 객체들의 그룹으로 생성하여 추상적으로 표현함.
빌더 (Bulider): 작게 분리된 인스턴스를 건축하듯이 조합하여 객체를 생성함. 객체의 생성 과정과 표현 방법을 분리하고 있어, 동일한 객체 생성에서도 서로 다른 결과를 만들어 낼 수 있음.
팩토리 메소드 (Factory Method): 가상 생성자 패턴. 객체 생성을 서브 클래스에서 처리하도록 분리하여 캡슐화 한 패턴으로 상위 클래스에서 인터페이스만 정의하고 실제 생성은 서브 클래스가 담당함.
프로토타입(Prototype): 원본 객체를 복제하는 방법으로 객체를 생성하는 패턴으로 일반적인 방법으로 객체를 생성하며, 비용이 큰 경우 주로 이용함.
싱글톤(Singleton): 하나의 객체를 생성하면 생성된 객체를 어디서든 참조할 수 있지만, 여러 프로세스가 동시에 참조할 수는 없고, 클래스 내에서 인스턴스가 하나뿐임을 보장하며, 불필요한 메모리 낭비를 최소화 할 수 있음.

2. 구조 패턴

어댑터(Adapter) : 호환성이 없는 클래스들의 인터페이스를 다른 클래스가 이용할 수 있도록 변환해주는 패턴으로, 기존의 클래스를 이용하고 싶지만 인터페이스가 일치하지 않을 때 이용함
브리지(Bridge) : 구현부에서 추상층을 분리하여, 서로가 독립적으로 확장할 수 있도록 구성한 패턴으로, 기능과 구현을 두 개의 별도 클래스로 구현함
컴포지트(Composite) : 여러 객체를 가진 복합 객체와 단일 객체를 구분 없이 다루고자 할 때 사용하는 패턴으로, 객체들을 트리 구조로 구성하여 디렉터리 안에 디렉터리가 있듯이 복합 객체 안에 복합 객체가 포함되는 구조를 구현할 수 있음
데코레이터(Decorator) : 객체 간의 결합을 통해 능동적으로 기능들을 확장할 수 있는 패턴으로, 임의의 객체에 부가적인 기능을 추가하기 위해 다른 객체들을 덧붙이는 방식으로 구현함
퍼싸드(Facade) : 복잡한 서브 클래스들을 피해 더 상위에 인터페이스를 구성함으로써 서브 클래스들의 기능을 간편하게 사용할 수 있도록 하는 패턴으로, 서브 클래스들 사이의 통합 인터페이스를 제공하는 Wrapper 객체가 필요함
플라이웨이트(Flyweight) : 인스턴스가 필요할 때마다 매번 생성하는 것이 아니고 가능한 한 공유해서 사용함으로써 메모리를 절약하는 패턴으로, 다수의 유사 객체를 생성하거나 조작할 때 유용하게 사용할 수 있음
프록시(Proxy) : 접근이 어려운 객체와 여기에 연결하려는 객체 사이에 인터페이스 역할을 수행하는 패턴으로, 네트워크 연결, 메모리의 대용량 객체로의 접근 등에 주로 이용함

3. 행위 패턴

책임 연쇄(Chain of Responsibility) : 요청을 처리할 수 있는 객체가 둘 이상 존재하여 한 객체가 처리하지 못하면 다음 객체로 넘어가는 형태의 패턴으로, 요청을 처리할 수 있는 각 객체들이 고리(Chain)로 묶여 있어 요청이 해결될 때까지 고리를 따라 책임이 넘어감
커맨드(Command) : 요청을 객체의 형태로 캡슐화하여 재이용하거나 취소할 수 있도록 요청에 필요한 정보를 저장하거나 로그에 남기는 패턴으로, 요청에 사용되는 각종 명령어들을 추상 클래스와 구체 클래스로 분리하여 단순화함
인터프리터(Interpreter) : 언어에 문법 표현을 정의하는 패턴으로, SQL이나 통신 프로토콜과 같은 것을 개발할 때 사용함
반복자(Iterator) : 자료 구조와 같이 접근이 잦은 객체에 대해 동일한 인터페이스를 사용하도록 하는 패턴으로, 내부 표현 방법의 노출 없이 순차적인 접근이 가능함
중재자(Mediator) : 수많은 객체들 간의 복잡한 상호작용(Interface)을 캡슐화하여 객체로 정의하는 패턴으로, 객체 사이의 의존성을 줄여 결합도를 감소시킬 수 있음
메멘토(Memento) : 특정 시점에서의 객체 내부 상태를 객체화함으로써 이후 요청에 따라 객체를 해당 시점의 상태로 돌릴 수 있는 기능을 제공하는 패턴으로, [Ctrl]+[Z]와 같은 되돌리기 기능을 개발할 때 주로 이용함
옵서버(Observer) : 한 객체의 상태가 변화하면 객체에 상속되어 있는 다른 객체들에게 변화된 상태를 전달하는 패턴으로, 일대다의 의존성을 정의함. 주로 분산된 시스템 간에 이벤트를 생성·발행(Publish)하고, 수신(Subscribe)해야 할 때 이용함
상태(State) : 객체의 상태에 따라 동일한 동작을 다르게 처리해야 할 때 사용하는 패턴으로, 객체 상태를 캡슐화하고 이를 참조하는 방식으로 처리함
전략(Strategy) : 동일한 계열의 알고리즘들을 개별적으로 캡슐화하여 상호 교환할 수 있게 정의하는 패턴으로, 클라이언트는 독립적으로 원하는 알고리즘을 선택하여 사용할 수 있으며, 클라이언트에 영향 없이 알고리즘의 변경이 가능함
템플릿 메소드(Template Method) : 상위 클래스에서 골격을 정의하고, 하위 클래스에서 세부 처리를 구체화하는 구조의 패턴으로, 유사한 서브 클래스를 묶어 공통된 내용을 상위 클래스에서 정의함으로써 코드의 양을 줄이고 유지보수를 용이하게 해줌
방문자(Visitor) : 각 클래스들의 데이터 구조에서 처리 기능을 분리하여 별도의 클래스로 구성하는 패턴으로, 분리된 처리 기능은 각 클래스를 방문(Visit)하여 수행함

[정처기 실기] 보안 솔루션(방화벽, SSH, OAuth 등) 유형 정리

맹꽁이+ — Thu, 2 Apr 2026 12:18:22 +0900

보안 솔루션

보안 솔루션이란 접근 통제, 침입 차단 및 탐지 등을 수행하여 외부로부터의 불법적인 침입을 막는 기술 및 시스템을 말함

주요 보안 솔루션

방화벽
침입 탐지 시스템(IDS)
침입 방지 시스템(IPS)
데이터 유출 방지(DLP)
웹 방화벽
VPN
NAC
SIEM
SSH
템퍼 프루핑
OAuth

1. 방화벽 (Firewall)

방화벽은 기업이나 조직 내부의 네트워크와 인터넷 간에 전송되는 정보를 선별하여 수용·거부·수정하는 기능을 가진 침입 차단 시스템
내부 네트워크에서 외부로 나가는 패킷은 그대로 통과시키고, 외부에서 내부 네트워크로 들어오는 패킷은 내용을 엄밀히 체크하여 인증된 패킷만 통과시키는 구조임
내부 스파이에 취약함

2. 침입 탐지 시스템(IDS, Instrusion Detection System)

침입 탐지 시스템은 컴퓨터 시스템의 비정상적인 사용, 오용, 남용 등을 실시간으로 탐지하는 시스템
오용 탐지(Misuse Detection): 미리 입력해 둔 공격 패턴이 감지되면 이를 알려줌
이상 탐지(Anomaly Detection): 평균적인 시스템의 상태를 기준으로 비정상적인 행위나 자원의 사용이 감지되면 이를 알려줌

3. 침입 방지 시스템(IPS, Instrusion Prevention System)

침입 방지 시스템은 비정상적인 트래픽을 능동적으로 차단하고 격리하는 등의 방어 조치를 취하는 보안 솔루션
침입 방지 시스템은 방화벽과 침입 탐지 시스템을 결합한 것
- 침입 탐지 기능으로 패킷을 하나씩 검사한 후 비정상적인 패킷이 탐지되면 방화벽 기능으로 해당 패킷을 차단함

4. 데이터 유출 방지(DLP, Data Leakage/Loss Prevention)

데이터 유출 방지는 내부 정보의 외부 유출을 방지하는 보안 솔루션
사내 직원이 사용하는 PC와 네트워크상의 모든 정보를 검색하고 메일, 메신저, 웹하드, 네트워크 프린터 등의 사용자 행위를 탐지·통제해 외부로의 유출을 사전에 막음

5. 웹 방화벽(Web Firewall)

웹 방화벽은 일반 방화벽이 탐지하지 못하는 SQL 삽입 공격, Cross-Site Scripting(XSS) 등의 웹 기반 공격을 방어할 목적으로 만들어진 웹 서버에 특화된 방화벽
웹 관련 공격을 감시하고 공격이 웹 서버에 도달하기 전에 이를 차단해 줌

6. VPN(Virtual Private Network, 가상 사설 통신망)

VPN은 인터넷 등 통신 사업자의 공중 네트워크와 암호화 기술을 이용하여 사용자가 마치 자신의 전용 회선을 사용하는 것처럼 해주는 보안 솔루션
SSL VPN: PC에 VPN Client 프로그램을 설치하여 VPN 서버에 접속하는 방식으로, 암호화를 위해 SSL 프로토콜을 사용함
IPSec VPN: VPN 서버가 설치된 각각의 네트워크를 서로 연결하는 방식으로, 암호화를 위해 IPSec 프로토콜을 사용함

7. NAC(Network Access Control)

NAC은 네트워크에 접속하는 내부 PC의 MAC 주소를 IP 관리 시스템에 등록한 후 일관된 보안 관리 기능을 제공하는 보안 솔루션
내부 PC의 소프트웨어 사용 현황을 관리하여 불법적인 소프트웨어 설치를 방지함

8. SIEM(Security Information and Event Management)

SIM(Security Information Management) + SEM(Security Event Management)

SIEM은 다양한 장비에서 발생하는 로그 및 보안 이벤트를 통합하여 관리하는 빅 데이터 기반의 보안 솔루션
방화벽, IDS, IPS, 웹 방화벽, VPN 등에서 발생한 로그 및 보안 이벤트를 통합하여 관리함으로써 비용 및 자원을 절약할 수 있음.
장기간의 로그 및 보안 이벤트를 수집 및 검색할 수 있는 빅데이터 기반의 통합 로그 수집 시스템.

※ ESM(Enterprise Security Management)

SIEM과 기능은 동일하지만 짧은 기간의 로그 및 보안 이벤트를 관리하는 보안 솔루션을 ESM(Enterprise Security Management)이라고 함.

9. SSH(Secure SHell)

SSH는 다른 컴퓨터에 로그인, 원격 명령 실행, 파일 복사 등을 수행할 수 있도록 다양한 기능을 지원하는 프로토콜 또는 이를 이용한 응용 프로그램.
데이터 암호화와 강력한 인증 방법으로 보안성이 낮은 네트워크에서도 안전하게 통신할 수 있음.
키(key)를 통한 인증 방법을 사용하려면 사전에 클라이언트의 공개키를 서버에 등록해야 함.
기본적으로는 22번 포트를 사용함.

TCP 접속에 사용되는 서비스별 포트 번호(Port Number)

FTP : 21 (다른번호로 변경 가능)
DNS : 53
TELNET : 23
HTTP : 80
SMTP : 25

10. 템퍼 프루핑 (Tamper Proofing)

템퍼 프루핑은 소프트웨어의 위·변조가 발생할 경우 소프트웨어를 오작동하게 만들어 악용을 방지하는 기술.
템퍼 프루핑은 해시 함수(Hash Function), 핑거 프린트(Fingerprint), 워터마킹(Watermark) 등의 보안 요소를 생성하여 소프트웨어에 삽입하고, 실행 코드를 난독화하며, 실행 시 원본 비교 및 데이터 확인을 수행함으로써 소프트웨어를 보호함.

11. OAuth (Open Authorization)

인터넷 애플리케이션에서 사용자 인증에 사용되는 공개 API(OpenAPI)로 구현된 표준 인증 방법.
인터넷 사용자들이 비밀번호를 제공하지 않고 다른 웹사이트 상의 자신들의 정보에 대해 웹사이트나 애플리케이션의 접근 권한을 부여할 수 있음.
2010년 ETF에서 1.0이 공식 표준안으로 발표되었음.

[정처기 실기] 서비스 공격(DoS, Denial of Service) 유형 정리

맹꽁이+ — Wed, 1 Apr 2026 17:36:41 +0900

서비스 공격(DoS, Denial of Service) 유형

서비스 거부 공격이란 표적이 되는 서버의 자원을 고갈시킬 목적으로 다수의 공격자 또는 시스템에서 대량의 데이터를 한 곳의 서버에 집중적으로 전송함으로써, 표적이되는 서버의 정상적인 기능을 방해하는 것
주요 서비스 거부 공격의 유형

종류

Ping of Death
SMURFING
SYN Flooding
TearDrop
LAND Attack
DDoS 공격

1. Ping of Death(죽음의 핑)

Ping of Death는 Ping 명령을 전송할 때 패킷의 크기를 인터넷 프로토콜 허용 범위 이상으로 전송하여 공격 대상의 네트워크를 마비시키는 서비스 거부 공격 방법
공격에 사용되는 큰 패킷은 수백 개의 패킷으로 분할되어 전송되는데, 공격 대상은 분할된 대량의 패킷을 수신함으로써 분할되어 전송된 패킷을 재조립 해야 하는 부담과 분할되어 전송된 각각의 패킷들의 ICMP Ping 메시지에 대한 응답을 처리하느라 시스템이 다운되게 됨

2. SMURFING(스머핑)

SMURFING은 IP나 ICMP의 특성을 악용하여 엄청난 양의 데이터를 한 사이트에 집중적으로 보냄으로써 네트워크를 불능 상태로 만드는 공격 방법
공격자는 송신 주소를 공격 대상지의 IP 주소로 위장하고 해당 네트워크 라우터의 브로드캐스트 주소를 수신지로 하여 패킷을 전송하면, 라우터의 브로드캐스트 주소로 수신된 패킷은 해당 네트워크 내의 모든 컴퓨터로 전송됨
해당 네트워크 내의 모든 컴퓨터는 수신된 패킷에 대한 응답 메시지를 송신 주소인 공격 대상지로 집중적으로 전송(답장)하게 되는데, 이로 인해 공격 대상지는 네트워크 과부하로 인해 정상적인 서비스를 수행할 수 없게 됨
SMURFING 공격을 무력화하는 방법 중 하나는 각 네트워크 라우터에서 브로드캐스트 주소를 사용할 수 없게 미리 설정해 놓는 것

3. SYN Flooding

정상적인 3-way-handshake

TCP(Transmission Control Protocol)는 신뢰성 있는 전송을 위해 3-way-handshake를 거친 후에 데이터를 전송하게 되는데, SYN Flooding은 공격자가 가상의 클라이언트로 위장하여 3-way-handshake 과정을 의도적으로 중단시킴으로써 공격 대상지인 서버가 대기 상태에 놓여 정상적인 서비스를 수행하지 못하게 하는 공격 방법
SYN Flooding에 대비하기 위해 수신지의 'SYN' 수신 대기 시간을 줄이거나 침입 차단 시스템을 활용함

SYN Flooding

4. TearDrop

데이터의 송·수신 과정에서 패킷의 크기가 커 여러 개로 분할되어 전송될 때 분할 순서를 알 수 있도록 Fragment Offset 값을 함께 전송하는데, TearDrop은 이 Offset 값을 변경시켜 수신 측에서 패킷을 재조립할 때 오류로 인한 과부하를 발생시킴으로써 시스템이 다운되도록 하는 공격 방법
TearDrop에 대비하기 위해 Fragment Offset이 잘못된 경우 해당 패킷을 폐기하도록 설정함

5. LAND Attack (Local Area Network Denial Attack)

LAND Attack은 패킷을 전송할 때 송신 IP 주소와 수신 IP 주소를 모두 공격 대상의 IP 주소로 하여 공격 대상에게 전송하는 것으로, 이 패킷을 받은 공격 대상은 송신 IP 주소가 자신이므로 자신에게 응답을 수행하게 되는데, 이러한 패킷이 계속해서 전송될 경우 자신에 대해 무한히 응답하게 하는 공격
LAND Attack에 대비하기 위해 송신 IP 주소와 수신 IP 주소의 적절성을 검사함

6. DDoS 공격

DDoS 공격은 여러 곳에 분산된 공격 지점에서 한 곳의 서버에 대해 분산 서비스 공격을 수행하는 것
네트워크에서 취약점이 있는 호스트들을 탐색한 후 이들 호스트들에 분산 서비스 공격용 툴을 설치하여 에이전트(Agent)로 만든 후 DDoS 공격에 이용함
분산 서비스 공격용 툴 : 에이전트(Agent)의 역할을 수행하도록 설계된 프로그램으로 데몬(Daemon)이라고 부르며, 다음과 같은 종류가 있음

종류	내용
Trim00	가장 초기 형태의 데몬으로, 주로 UDP Flooding 공격을 수행함
TFN (Tribe Flood Network)	UDP Flooding 뿐만 아니라 TCP SYN Flood 공격, ICMP 응답 요청, 스머핑 공격 등을 수행함
TFN2K	TFN의 확장판
Stacheldraht	- 이전 툴들의 기능을 유지하면서, 공격자, 마스터, 에이전트가 쉽게 노출되지 않도록 암호화된 통신을 수행함 - 툴이 자동으로 업데이트됨

온프레미스 / 클라우드 / 하이브리드 - 면접 키워드 공부 Day 1

맹꽁이+ — Wed, 1 Apr 2026 11:14:01 +0900

2026.04.01 수요일

1. 정의

온프레미스(On-premise)

기업이 자체 데이터센터에 서버, 네트워크 장비, 스토리지를 직접 구매하고 설치해서 운영하는 방식이다. 모든 인프라가 물리적으로 자사 건물 안에 있고, 설치, 유지보수, 보안까지 직접 한다.

특징

초기 투자 비용이 높음
한 번 구축하면 확장이 느리고 비쌈
데이터가 외부로 나가지 않아 보안에 좋음
금융권, 공공기관, 국방처럼 데이터를 외부에 절대 못 내보내는 곳에서 사용

클라우드

AWS, GCP, Azure 같은 외부 제공자가 보유한 데이터센터의 인프라를 인터넷을 통해 빌려 쓰는 방식이다. 서버를 직접 사지 않고 빌리고, 쓴 만큼 비용을 내는 구독형 모델이다.

특징

초기 비용이 없고 운영 비용이 발생함
오토스케일링: 필요할 때 즉시 확장, 축소가 가능함
인프라 관리를 외부 제공자가 해줘서 운영 부담이 낮음
IaaS/PaaS/SaaS 형태로 제공됨

하이브리드

온프레미스와 클라우드를 혼합해서 운영하는 방식이다. 보안이 중요한 데이터나 레거시 시스템은 온프레미스에 두고, 트래픽이 몰리거나 빠른 확장이 필요한 서비스는 클라우드로 처리한다.

특징

민감 데이터(개인 정보, 금융 정보)는 온프레미스 유지
나머지 서비스는 클라우드로 유연하게 운영
온프레미스와 클라우드 간 네트워크 연결이 필요함(Direct connect, VPN)

2. 핵심 차이점

항목	온프레미스	클라우드	하이브리드
초기 비용	높음(직접 구매)	낮음	중간
확장성	느림(장비 추가 필요)	빠름	중간
관리 주체	자사 IT팀	클라우드 제공자	혼합
보안/데이터 통제	완전 통제 가능	제공자 정책 의존	민감 데이터만 자사 관리
장애 대응	직접 처리	제공자가 일부 담당	혼합
주요 사용처	금융, 공공, 국방	스타트업, IT 기업	대기업

3. AWS에서 온프레미스를 지원하는 방법

AWS는 온프레미스 환경과 연결하거나, AWS 서비스를 쓰면서 온프레미스처럼 활용하는 서비스를 제공한다.

서비스	설명	사용 목적
AWS Outposts	AWS 랙을 자사 데이터 센터에 직접 설치해줌. 물리적으로 온프레미스지만 AWS 콘솔로 관리 가능	데이터를 외부로 못 보내지만 AWS 서비스는 쓰고 싶을 때
AWS Direct Connect	온프레미스와 AWS 간 전용 물리 회선 연결	인터넷 VPN보다 안정적이고 빠른 연결이 필요할 때
AWS VPN	온프레미스와 AWS VPN 간 암호화된 터널 연결	Direct Connect보다 저렴하게 연결할 때
AWS Storage Gateway	온프레미스 스토리지를 S3/EBS/Glacier와 연결	온프레미스 데이터를 클라우드로 백업할 때
AWS Local Zones	AWS 인프라를 특정 도시 가까이 배치해 저지연 제공	지연 시간이 중요한 서비스일 때

4. 언제 무엇을 선택할까?

온프레미스 → 금융/공공기관처럼 데이터를 외부에 절대 못 내보내는 경우
클라우드 → 스타트업, 트래픽 변동이 큰 서비스, 빠른 배포가 필요한 경우
하이브리드 → 개인정보/금융 데이터는 온프레미스, 나머지는 클라우드로 처리하는 대기업

[AWS SAA-C03] 4단원 Networking and Content Delivery

맹꽁이+ — Thu, 26 Mar 2026 17:49:42 +0900

이전 게시물 - 3단원 Database
https://rb-cloud.tistory.com/40

[AWS SAA-C03] 3단원 Database

이전 게시물 - 2단원 Storagehttps://rb-cloud.tistory.com/39 [AWS SAA-C03] 2단원 StorageAWS SAA-C03 2단원 StorageStorage1. Storage 유형파일 스토리지데이터를 파일 단위로 저장하고 관리파일 시스템을 통해 접근하고,

rb-cloud.tistory.com

[AWS SAA-C03] 4단원 Networking and Content Delivery

https://www.youtube.com/watch?v=zBwikdaBqGA&t=7959s

Basic Network Concepts

1. IP

IP 주소 = 네트워크상 각 장치에 부여된 고유 번호
IPv4 주소 고갈 문제로 IPv6 등장 (아직 보편화 안 됨)
IPv4 구조: 0~255 숫자 4개를 점으로 구분
총 2³² = 약 43억 개 주소 가능

https://www.youtube.com/watch?v=zBwikdaBqGA&t=10686s

2. CIDR

IP 주소와 네트워크 범위를 함께 표기하는 방법
/16 = 앞 16비트가 네트워크, 나머지 16 비트가 Host(장치)
사용 가능한 IP 수: 2¹⁶ - 2 = 65,534개
- -2 하는 이유: Network 주소(Host 전부 0) + Broadcast 주소(Host 전부 1) 제외

https://www.youtube.com/watch?v=zBwikdaBqGA&t=10686s

3. DNS

도메인 이름 → IP 주소로 변환해주는 시스템
인터넷의 전화번호부 역할

4. Firewall - 방화벽

들어오고 나가는 네트워크 트래픽을 모니터링/제어
보안 규칙으로 허가된 요청만 통과

5. Router

네트워크 간 데이터 패킷을 전달하는 장치
라우팅 테이블을 보고 출발지에서 목적지까지 최적 경로 결정

Home Network → Router → Internet → Site's Server

6. Routing Table

라우터 안에 있는 목적지별 경로 목록 테이블

https://www.youtube.com/watch?v=zBwikdaBqGA&t=10686s

7. Load Balancer

여러 서버에 트래픽을 균등하게 분산
한 서버에 과부하 걸리는 것 방지
앱의 가용성과 안정성 향상

/ Instance 1
사용자 요청 → Load Balancer - Instance 2
\ Instance 3

Basic Network Services

https://www.youtube.com/watch?v=zBwikdaBqGA&t=7959s

1. Region & Availability Zone

AWS는 전 세계 33개 리전 운영
각 리전은 여러 AZ로 구성
AZ는 물리적으로 다른 위치에 있어 대규모 장애 시에도 서비스 지속 가능

2. VPC (Virtual Private Cloud)

리전 또는 계정 단위로 생성하는 가상 사설 네트워크
IP 범위는 CIDR 방식으로 지정
- 10.0.0.0/8
- 172.16.0.0/12
- 192.168.0.0/16
계정당 리전별 최대 5개 VPC 생성 가능

3. Subnet

특정 리전의 AZ 내에서 가용영역 수준에서 생성되는 분할 네트워

VPC를 AZ 단위로 쪼갠 네트워크 구역
IP 범위는 VPC CIDR 내에서 지정, 겹치면 안 됨
서브넷마다 IP 5개는 예약되어 사용 불가
- 192.168.10.0 = Network 주소
- 192.168.10.1 = 라우터용
- 192.168.10.2 = DNS용
- 192.168.10.3 = 미래 예약
- 192.168.10.255 = Broadcast 주소
Public subnet = 외부 인터넷 접근 가능
Private subnet = 외부 인터넷 접근 불가

4. IGW(Internet Gateway)

VPC가 인터넷과 통신하려면 반드시 IGW를 VPC에 연결해야 함
Public subnet의 라우팅 테이블에 IGW 경로 추가 필요
Private subnet은 IGW 경로 없음 → 인터넷 접근 불가

https://www.youtube.com/watch?v=zBwikdaBqGA&t=10686s

5. NAT Gateway

Private subnet의 EC2는 기본적으로 인터넷 통신 불가
하지만 업데이트 등 외부로 나가는 요청이 필요할 때 NAT Gateway 사용
NAT Gateway는 Public subnet에 위치
Private EC2가 인터넷에 나갈 수는 있지만, 인터넷에서 Private EC2로 들어오는 건 불가능
- 인스턴스의 private ip는 비공개 - 보안 유지

Private subnet EC2 → NAT Gateway (Public subnet) → Internet Gateway → 인터넷

https://www.youtube.com/watch?v=zBwikdaBqGA&t=10686s

Network Security

1. Security Group

인스턴스/ENI 단위의 Stateful 방화벽
Allow 규칙만 존재 → Deny 규칙 없음
기본 설정
- Inbound: 모든 트래픽 차단
- Outbount: 모든 트래픽 허용
Stateful=Inbound 허용하면 Outbound 자동 허용

2. NACL

서브넷 단위의 Stateless 방화벽
Allow+Deny 둘 다 설정 가능
규칙 번호 오름차순으로 평가, 첫 번째 매칭 규칙 적용
Stateless=Inbound 허용해도 Outbound 별도 설정 필요

3. EIP / ENI
1️⃣EIP (Elastic IP)

2️⃣ENI (Elastic Network Interface)

4. AWS WAF

HTTP(S) 요청 모니터링 + 방화벽 기능
SQL Injection, XSS 공격 방어
Web ACL 규칙으로 웹 요청 허용/차단
웹 애플리케이션 전용 방화벽

5. AWS Shield

네트워크 흐름 지속 모니터링
트래픽 시그니처+이상탐지 알고리즘으로 분석
DDoS 공격 방어 전용 서비스
2가지 티어
- AWS Shield = 기본(무료)
- AWS Shield Advanced = 고급(유료, 더 강력한 보호)

Load Balancer

1. ELB
여러 EC2 인스턴스에 트래픽을 균등 분산 + 헬스체크 + TLS 종료

1️⃣ALB (Application Load Balancer)

HTTP/HTTPS 지원
Layer7(URL 경로 기반 분산)

2️⃣NLB (Network Load Balancer)

TCP/UDP/SSL/TLS 지원
Layer 4 (IP/포트 기반 분산)

2. VPC Peering

VPC 간 1:1 연결 → CIDR 겹치면 안 됨
다른 리전/계정 간 Peering 가능하지만 VPC 많으면 비추천
비전이적(Non-transitive) - A↔B, B↔C 연결돼도 A↔C는 직접 연결 필요

3. AWS Direct Connect

온프레미스 ↔ AWS 전용 물리 회선 연결
통신사 또는 AWS 파트너 서비스를 통해 전용선 설치
DX Location = AWS가 제공하는 전용선 거점
VIF(Vitual Interface) 3종류:
- Public VIF = S3, DynamoDB 등 퍼블릭 서비스 연결
- Private VIF = VPC 연결
- Transit VIF = Transit Gateway 연결

4. AWS Transit Gateway

온프레미스 + VPC들을 중앙에서 한 번에 연결하는 허브
최대 5000개 VPC 동시 연결 가능
VPC+VPN+Direct Connect 동시 연결 지원
VPC Peering의 복잡한 1:1 연결 문제 해결

5. VPC Endpoint
EC2에서 AWS 네트워크를 벗어나지 않고 외부 AWS 서비스에 접근
1️⃣Gateway Endpoint (무료)

S3, DynamoDB 전용
라우팅 테이블에 Gateway 추가

2️⃣Interface Endpoint (유료)

S3, CloudWatch, SNS, Kinesis, KMS, ELB 등
ENI + Private IP로 접근

6. VPN

온프레미스 ↔ AWS 간 가상 사설 회선
Site-to-Site VPN = 거점 (사무실) 간 연결
Client VPN = 특정 디바이스 임시 연결
인터넷 회선 사용 → 속도가 회선 상태에 따라 변동
Direct Connect보다 저렴
Direct Connect 장애 시 백업(이중화) 용도로 활용

DNS

1. Amazon Route53

AWS의 DNS 서비스 + 리전 수준 장애 허용 + 헬스체크

1️⃣Simple Routing

DNS 레코드 기반으로 단일 IP로 트래픽 라우팅

2️⃣Weighted Routing

지정한 가중치 비율로 트래픽 분산

3️⃣Geolocation Routing

사용자의 위치(국가/지역) 기반으로 라우팅

4️⃣Latency Based Routing

응답 속도가 가장 빠른 리전으로 라우팅

5️⃣Failover Routing

Active-Passive 장애 복구 방식

6️⃣Multi-Value Answer Routing

여러 IP를 랜덤으로 반환해서 부하 분산
헬스체크 실패한 서버는 자동 제외
ELB처럼 동작하지만 DNS 레벨에서 분산

Content Delivery

1. Amazon CloudFront

AWS의 CDN 서비스 - 전 세계 400개 이상의 엣지 로케이션에서 캐싱
정적 리소스 제공에 최적화
보안: AWS Shield(DDoS) + WAF(인젝션 공격) 내장
지역 제한 가능 (특정 국가 접근 차단)
캐시 무효화 방법: TTL 만료, 헤더, 객체 이름 변경, 명시적 무효화

2. AWS Global Accelerator

AWS 전용 고속 네트워크를 활용해 지연시간 감소
고정 IP 제공 → 글로벌 트래픽 관리 쉬움