아닙니다. ARP table은 로컬 네트워크 통신을 위해 IP protocol address와 Ethernet hardware address를 연결하는 현재 관찰·학습 상태입니다. DHCP lease는 DHCP server가 client에게 IP 설정을 할당하고 임대 기간을 관리한 기록입니다.
둘 다 IP와 장비의 관계를 추론하는 단서가 될 수 있지만, 권한 있는 사용자나 현재 switch port를 인증하지는 않습니다. DHCP를 쓰지 않는 정적 IP 장비도 있을 수 있고 ARP mapping도 갱신될 수 있으므로 시간과 관찰 위치를 맞춰 추가 자료로 확인해야 합니다. 사례는 직접 만든 교육용입니다.
주소 변환표와 주소 임대 기록은 질문부터 다릅니다
ARP(Address Resolution Protocol)는 같은 링크 안에서 IP 같은 protocol address에 대응하는 Ethernet hardware address를 찾기 위한 절차입니다. RFC 826의 수신 알고리즘에서는 ARP packet의 sender protocol address와 sender hardware address가 translation table에 추가되거나 기존 항목을 갱신할 수 있습니다. 이 표는 프레임 전달을 위해 호스트가 학습한 주소 관계이며, 응답을 낸 장비가 그 IP를 사용할 권한이 있는지 확인하는 사용자 인증 목록이 아닙니다. 시간이 지나거나 새 패킷이 들어오면 항목이 바뀔 수도 있습니다.
DHCP는 client가 네트워크 설정을 요청하고 server가 주소, 기간 및 다른 설정 값을 할당하는 프로토콜입니다. 임대 기록은 서버의 assignment 상태와 갱신·release·expiry 흐름을 설명할 수 있습니다. DHCP Client Identifier 옵션이 있으면 그것은 하드웨어 주소와 항상 같은 값이라고 가정하면 안 됩니다. 또한 수동으로 설정한 static IP 단말은 DHCP lease table에 나타나지 않을 수 있습니다. 그러므로 ARP의 한 순간 mapping과 DHCP 서버의 임대기록은 서로 다른 시스템·시점에서 만든 증거입니다.
| 자료 | 관찰된 값 | 주로 설명하는 것 | 단독으로 증명하지 않는 것 |
|---|---|---|---|
| 라우터 ARP cache | 10.20.0.24 → 00:11:22:33:44:55, 관찰 시각 10:05 | 해당 라우터가 이 링크에서 학습한 protocol-to-hardware mapping | 사용자 신원, 승인된 자산 소유자, 정확한 물리 switch port |
| DHCP server lease | 10.20.0.24, client identifier DEV-7, 만료 14:00 | server가 client에 주소를 임대하고 lease 시각을 관리한 이력 | 현재 그 프레임을 송신한 장치의 MAC이나 포트가 동일하다는 보증 |
| 스위치 forwarding table | MAC 00:11:22:33:44:55, VLAN 20, port 7 | 스위치가 MAC을 관찰한 VLAN/port 관계 | 장비 사용자가 누구인지 또는 포트 인증이 계속 유효한지 |
같은 IP인데 ARP와 임대 기록이 다를 때 결론을 미룹니다
가상 사무실 망에서 DHCP server는 10.20.0.24를 client identifier DEV-7에 빌려줬고, 10:05에 라우터 ARP cache는 같은 IP를 00:11:22:33:44:55로 기록했다고 합시다. 두 값이 맞으면 DHCP를 요청한 장치와 현재 주소 응답에 등장한 MAC이 관련 있을 가능성을 뒷받침합니다. 하지만 이 값만으로 해당 장치가 조직 소유 자산인지, 그 순간의 물리 port가 어느 곳인지, 주소가 승인됐는지 확정할 수는 없습니다. Client Identifier와 MAC이 다르게 표현될 수 있고, lease·ARP 항목은 관찰 시각도 서로 다를 수 있습니다.
반대로 정적 IP 단말에서 ARP entry가 관찰됐지만 DHCP lease가 없다고 합시다. 이 불일치만으로 IP spoofing을 확정할 수 없습니다. 장비가 static configuration을 썼거나, 다른 DHCP server·VLAN·관찰 시각에 lease가 기록됐을 수 있습니다. ARP table도 장비별 cache 시간과 통신 흐름에 영향을 받습니다. 먼저 주소가 속한 VLAN과 subnet, 양쪽 기록의 시각, lease 상태와 DHCP server scope를 맞춰야 합니다. 공격 가능성은 추가 증거와 일치할 때 평가합니다.
소유나 위치를 답하기 전에 네 자료를 맞춥니다
- ARP entry의 수집 장비·VLAN·시각·해당 mapping이 생긴 packet 또는 관찰 내역을 확인합니다.
- DHCP lease의 만료·갱신·release 상태와 Client Identifier, 요청 네트워크를 확인합니다.
- 동일한 시간대의 switch MAC/VLAN/port 기록과 인증·접속 로그를 대조합니다.
- 자산 목록이나 담당자 관리 기록으로 승인된 장비·사용자 관계를 확인합니다.
- 각 자료가 뒷받침하는 주장을 구분하고 아직 모르는 정보는 미확인으로 남깁니다.
물리 port 정보가 필요한 경우 DHCP snooping이나 스위치 포트 보안 기능의 구현 자료를 별도로 확인해야 합니다. RFC 826과 RFC 2131은 각각 주소 해석과 동적 주소 설정·임대의 표준이지, 모든 스위치의 DHCP snooping table 필드나 사용자 인증을 규정하는 문서가 아닙니다. 이 글은 벤더별 binding table의 형식이나 동작을 보편화하지 않습니다. 실제 사고조사라면 승인된 네트워크 운영 자료를 읽고 타임스탬프, 데이터 수집 위치, 보존 범위를 함께 기록하세요.
불일치를 공격 확정이나 정적 주소 부재로 단정하지 않습니다
흔한 오답은 ARP cache를 ‘IP의 실제 주인 목록’으로 부르거나 DHCP lease table을 모든 단말의 현재 위치로 해석하는 것입니다. ARP는 패킷에서 배운 address mapping이고 DHCP는 주소를 요청·할당한 lease 상태입니다. 한 DHCP client identifier가 MAC 주소와 같다고 가정하거나, 고정 IP는 lease가 없으니 미승인이라고 결론내리는 것도 위험합니다. 서로 다른 데이터의 관찰 시각과 네트워크 범위를 먼저 맞춘 뒤 정합성 문제와 공격 증거를 구분합니다.
각 자료가 말할 수 있는 범위를 직접 설명합니다
회상 연습: ARP cache는 10.20.0.24를 MAC-A로 보지만 자산대장에는 Static-Printer가 해당 주소를 수동 설정으로 사용한다고 적혀 있고, DHCP lease에는 그 주소의 항목이 없다고 합시다. 어떤 사실을 말할 수 있고 무엇을 더 확인해야 할까요? ARP는 관찰된 링크의 IP–MAC 관계를, 자산대장은 수동 주소 설정을 관리하는 기록을 보여 줍니다. DHCP lease 부재는 이 사례의 수동 설정과 맞지만 장비 소유자나 현재 switch port를 증명하지 않습니다. 스위치 forwarding/authentication 기록과 자산 담당 자료를 같은 시각 기준으로 대조합니다. 이 사례는 직접 만든 교육자료이며 실제 시험 문항이나 집중 180제 카드라고 주장하지 않습니다. 상품 구성은 /decks/security#focus-180에서 확인하세요.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
ARP cache는 10.20.0.24를 MAC-A로 관찰했다. 자산대장에는 Static-Printer가 이 주소를 수동 설정으로 사용한다고 적혀 있지만 DHCP lease에는 해당 주소가 없다. 각 자료가 말하는 사실과 추가 확인할 증거를 나누세요.
정답과 해설 확인
ARP cache는 관찰 시각의 링크에서 IP–MAC mapping을 보여 줍니다. 자산대장은 Static-Printer의 수동 주소 설정을 기록하고 DHCP lease 부재는 그 가정과 일치합니다. 이 정보만으로 장비 소유자나 switch port, 승인 여부를 확정할 수 없으므로 switch forwarding/authentication 기록과 자산 담당 자료를 같은 시각 기준으로 확인합니다.RFC 826은 ARP mapping의 학습·갱신을, RFC 2131은 DHCP 주소 할당과 임대 흐름을 다룹니다. 수동 설정 장비는 DHCP lease에 나타나지 않을 수 있으며, 어느 표도 사용자 신원이나 물리 port 인증을 단독으로 제공하지 않습니다.