긴 QNAME이나 NXDOMAIN 반복은 조사 단서일 수 있지만 DNS를 통한 정보 유출의 증거 그 자체는 아닙니다. 질의 이름·유형·응답·빈도·발신 클라이언트를 정상 기준과 비교하고, 단말 프로세스 및 네트워크 기록으로 보완해야 합니다.
BIND 9 query log는 설정과 버전에 따라 클라이언트, 질의 이름·class·type 등을 남길 수 있습니다. 로그에 보이는 값은 resolver가 관찰한 요청이며 질의를 만든 사용자나 실제 전송 데이터를 직접 보여 주지는 않습니다.
DNS 로그가 보여 주는 것과 보여 주지 않는 것
BIND 9 문서는 query logging 항목에서 질의를 보낸 클라이언트 주소·포트와 질의 이름·class·type을 관측 필드로 설명합니다. 실제 로그의 열과 수집 범위는 BIND 버전, 로그 채널, resolver 위치에 따라 달라집니다. 공용 DNS 재귀 resolver에서는 여러 사용자의 요청이 하나의 서버 주소로 모일 수 있습니다. 따라서 발신 IP를 특정 단말이나 사람으로 곧바로 해석하기 어렵고, DHCP·VPN·NAT 기록과 시각을 맞춰야 합니다.
NIST SP 800-81 Rev. 3은 DNS 모니터링에서 높은 질의량, 질의 패턴 변화, 특이한 QNAME 형태 등을 잠재 신호로 설명합니다. 이는 조사에 쓸 수 있는 탐지 지표이지 데이터 유출을 판정하는 단일 기준은 아닙니다. 암호화 DNS를 사용하거나 로그가 일부 수집되지 않으면 관측 범위도 달라질 수 있습니다. 문서는 2026년 3월 최종본이며 2026년 7월 errata 계획 안내가 있어, 여기서 errata 반영 여부를 추정하지 않습니다.
정상 구간과 조사 후보를 수치로 비교합니다
다음 표는 query 로그의 요청 정보와 별도로 확보한 응답 관측을 결합했다고 가정한 교육용 집계입니다. BIND queries 로그만으로 전체 응답 코드 분포가 제공된다고 가정하지 않습니다.
| 5분 관측 | 질의 요약 | 응답 | 클라이언트 관측 | 1차 판단 |
|---|---|---|---|---|
| 평소 업데이트 구간 | 12건, update.lab.example, 주로 A·AAAA | 11 NOERROR, 1 NXDOMAIN | 단말 192.0.2.21 한 대 | 기준선 후보. 정기 업데이트와 이름 변경 필요성 확인 |
| 조사 후보 구간 | 45건, 길이가 다른 고유 QNAME 38개, TXT 31건 | 38 NXDOMAIN, 7 NOERROR | resolver에는 192.0.2.53만 기록 | 빈도·이름·유형 변화는 조사 단서. 데이터 유출 판정은 아님 |
| 단말 보완 기록 | 09:10–09:15 실행 프로세스 로그 없음 | 수집기 상태 정상 여부 미확인 | DHCP 임대 갱신이 09:12에 발생 | 프로세스 부재를 결론 내리기 전 수집 범위·주소 귀속을 확인 |
조사 후보 구간은 평소보다 45÷12=3.75배 많은 요청을 보였고, 조사 구간의 전체 45건 중 TXT 질의는 31건이고, 고유 QNAME은 38개입니다. 이 계산은 관측창별 집계의 차이를 표현할 뿐, 전송된 바이트나 민감 데이터 존재를 말하지 않습니다. NXDOMAIN은 resolver가 이름을 찾지 못했거나 정책·차단 응답을 받은 경우 등 여러 맥락에서 나타날 수 있습니다. 재귀 resolver·보안 DNS의 응답 정책과 실제 authoritative 응답을 구분해야 합니다.
단서를 단말의 행위 증거로 좁히는 순서
- 관측 지점과 resolver, 시간대, 로그 버전·설정을 확인해 어떤 질의가 기록되는지 적습니다.
- 평소 구간과 같은 길이의 시간창을 골라 질의량, 고유 이름 수, QTYPE 분포, NXDOMAIN·NOERROR 응답을 비교합니다.
- 긴 이름의 반복·규칙성과 클라이언트별 분포를 살피되, QNAME 문자열을 실제 페이로드나 사용자 입력으로 단정하지 않습니다.
- resolver 주소를 DHCP·NAT·VPN 기록과 연결해 해당 시간에 질의를 보낸 단말 후보를 찾습니다.
- EDR·프로세스 감사·애플리케이션 로그에서 같은 시간의 resolver 연결과 프로세스 관계를 확인합니다. DNS 로그만으로 프로세스를 특정할 수 없다면 그 한계를 기록합니다.
- 수집 공백·암호화 DNS·정책 응답 여부를 확인하고, 독립 증거가 모이기 전에는 ‘이상 징후 후보’로 보고합니다.
질의 형태만으로는 누가 무엇을 보냈는지 알 수 없습니다
높은 엔트로피처럼 보이는 이름이나 반복되는 NXDOMAIN은 자동 생성 서비스, 오타, 잘못된 구성, 보안 차단, 정상 소프트웨어의 갱신 과정에서도 나타날 수 있습니다. 역으로 질의가 적다고 데이터가 오가지 않았다고 증명할 수도 없습니다. NIST 지침이 열거한 패턴은 모니터링 신호를 세우는 데 도움을 주지만, 요청된 데이터의 내용이나 행위자의 의도는 별도 증거가 필요합니다.
복습: 45건의 긴 질의가 확인되면?
문제: 평소 5분에 12건이던 질의가 45건으로 늘었고 TXT 질의 31건, NXDOMAIN 38건이 보입니다. 이 수치만으로 데이터 유출을 보고할 수 있나요?
정답: 유출 확정은 할 수 없습니다. 평소보다 3.75배 증가한 이상 후보로 기록하고, 주소를 실제 단말에 귀속한 뒤 동일 시간대의 프로세스·네트워크 증거와 resolver 정책 응답을 확인합니다.
정답을 가리고 확인해 보세요
이 글을 위해 만든 학습 예시이며 공식 기출문제나 판매 카드의 인용이 아닙니다.
가상 5분 집계에서 평소 12건, 조사 구간 45건의 DNS 질의가 발생했습니다. 조사 구간에는 38개 고유 이름과 TXT 31건, NXDOMAIN 38건이 있습니다. 배수와 가장 먼저 확인할 보완 증거를 답하세요.
정답과 해설 확인
45÷12=3.75배입니다. 먼저 관측 resolver와 DHCP·NAT 기록으로 실제 단말을 특정하고 같은 시각의 단말 프로세스·네트워크 연결 기록을 확인합니다. NXDOMAIN만으로 유출을 확정하지 않습니다.질의량과 이름·유형의 변화는 NIST가 설명하는 잠재 모니터링 지표와 맞지만, 요청 내용·행위자·전송 결과를 독립적으로 증명하지 않습니다.