# libpcap

**libpcap**(Linux Packet Capture의 약자)은 네트워크 인터페이스를 통해 패킷을 캡처하고 분석하기 위한 C 라이브러리입니다. 이 라이브러리는 네트워크 모니터링, 데이터 분석, 보안 도구 개발 등 다양한 분야에서 핵심적인 역할을 수행하며, 특히 *Wireshark*, *tcpdump*, *Nmap*과 같은 널리 사용되는 네트워크 분석 도구들의 백엔드 엔진으로 동작합니다.

## 개요

libpcap은 운영 체제의 커널 수준에서 네트워크 트래픽을 실시간으로 캡처할 수 있는 인터페이스를 제공합니다. 주로 유선 네트워크(Ethernet)뿐만 아니라 무선 네트워크(Wi-Fi), 가상 네트워크 인터페이스, 그리고 다양한 프로토콜의 트래픽을 처리할 수 있습니다.

이 라이브러리의 가장 큰 특징은 **이식성(Portability)**입니다. 리눅스, 유닉스 계열 운영 체제뿐만 아니라 macOS, Windows 등 다양한 플랫폼에서 동일한 API를 통해 패킷 캡처 기능을 사용할 수 있도록 설계되었습니다. 초기에는 리눅스 환경에서 개발되었으나, 현재는 BSD 라이선스 하에 오픈 소스로 유지 관리되며 네트워크 공학 및 보안 연구의 표준 도구로 자리 잡았습니다.

## 주요 기능 및 아키텍처

libpcap은 복잡한 네트워크 스택을 추상화하여 개발자가 쉽게 패킷을 다룰 수 있도록 합니다. 주요 기능은 다음과 같습니다.

### 1. 패킷 캡처
libpcap은 네트워크 인터페이스 카드(NIC)가 수신하는 모든 프레임(프레임 단위) 또는 특정 조건에 맞는 패킷을 커널 버퍼에서 직접 읽어옵니다. 이를 통해 애플리케이션 레벨에서는 볼 수 없는 저수준의 네트워크 데이터를 접근할 수 있습니다.

### 2. 필터링 기능
네트워크 트래픽이 매우 많을 경우, 모든 패킷을 캡처하면 시스템 성능에 부담이 될 수 있습니다. libpcap은 **BPF**(Berkeley Packet Filter) 컴파일러를 내장하고 있어, 캡처 전에 필터링 규칙을 정의할 수 있습니다.
*   **포트 기반 필터링**: 특정 포트(예: 포트 80)의 트래픽만 캡처.
*   **프로토콜 기반 필터링**: TCP, UDP, ICMP 등 특정 프로토콜만 선택.
*   **IP 주소 기반 필터링**: 특정 소스 또는 목적지 IP의 트래픽만 캡처.

### 3. 패킷 디코딩
캡처된 바이너리 데이터에서 헤더 정보를 추출하고, 필요한 경우 페이로드 데이터를 해석할 수 있는 기능을 제공합니다. 개발자는 libpcap을 사용하여 TCP/IP 스택의 각 계층(데이터 링크 계층, 네트워크 계층, 전송 계층)의 헤더를 쉽게 파싱할 수 있습니다.

## 사용 예시

libpcap을 사용하여 네트워크 인터페이스에서 패킷을 캡처하는 기본적인 C 코드 구조는 다음과 같습니다.

```c
#include <pcap.h>
#include <stdio.h>
#include <stdlib.h>
#include <netinet/in.h>
#include <arpa/inet.h>

// 패킷 처리 콜백 함수
void packet_handler(u_char *args, const struct pcap_pkthdr *header, const u_char *packet) {
    printf("캡처된 패킷 길이: %d 바이트\n", header->len);
    // 여기서 패킷 데이터를 분석하는 로직을 구현합니다.
}

int main() {
    char errbuf[PCAP_ERRBUF_SIZE];
    pcap_t *handle;
    char device[] = "eth0"; // 캡처할 네트워크 인터페이스 이름

    // 네트워크 인터페이스 열기
    handle = pcap_open_live(device, BUFSIZ, 1, 1000, errbuf);
    if (handle == NULL) {
        fprintf(stderr, "pcap_open_live 실패: %s\n", errbuf);
        return 1;
    }

    // 무한 루프를 통해 패킷 캡처
    pcap_loop(handle, -1, packet_handler, NULL);

    // 리소스 정리
    pcap_close(handle);
    return 0;
}
```

위 코드에서 `pcap_open_live`는 실시간 캡처를 위한 핸들을 생성하며, `pcap_loop`는 지정된 콜백 함수를 통해 캡처된 패킷을 처리합니다.

## 주요 응용 도구

libpcap은 단독으로 사용되기보다는 다른 네트워크 도구들의 핵심 구성 요소로 널리 활용됩니다.

| 도구 이름 | 설명 | libpcap과의 관계 |
| :--- | :--- | :--- |
| **tcpdump** | 명령줄 기반의 강력한 패킷 캡처 도구 | libpcap을 사용하여 패킷을 캡처하고 텍스트 형식으로 출력 |
| **Wireshark** | 그래픽 사용자 인터페이스(GUI) 기반 네트워크 프로토콜 분석기 | libpcap을 백엔드로 사용하여 패킷을 실시간으로 캡처하고 시각화 |
| **Nmap** | 네트워크 탐색 및 보안 스캐닝 도구 | 일부 기능에서 libpcap을 사용하여 호스트 발견 및 포트 스캔 |
| **Zeek** | 네트워크 보안 모니터링 프레임워크 | libpcap을 통해 트래픽을 캡처하고 고수준의 프로토콜 분석 수행 |

## 설치 및 환경 설정

libpcap은 대부분의 리눅스 배포판과 유닉스 계열 OS에 기본 포함되어 있거나 패키지 매니저를 통해 쉽게 설치할 수 있습니다.

### 리눅스 (Debian/Ubuntu 기반)
```bash
sudo apt-get install libpcap-dev
```

### 리눅스 (RHEL/CentOS/Fedora 기반)
```bash
sudo yum install libpcap-devel
```

### macOS
macOS는 BSD 기반이므로 libpcap이 기본적으로 포함되어 있습니다. 개발을 위해서는 헤더 파일과 라이브러리 링크가 필요할 수 있으며, Homebrew를 통해 최신 버전을 설치할 수 있습니다.
```bash
brew install libpcap
```

### Windows
Windows 환경에서는 **WinPcap** 또는 후속 버전인 **Npcap**을 설치해야 합니다. Npcap은 WinPcap의 현대화된 버전으로, libpcap API와 호환되며 더 나은 성능과 기능을 제공합니다.

## 결론

libpcap은 네트워크 트래픽을 저수준에서 접근하고 분석할 수 있는 강력한 도구입니다. 네트워크 관리자, 보안 전문가, 그리고 네트워크 소프트웨어 개발자에게 필수적인 라이브러리로서, 정확한 패킷 캡처와 효율적인 필터링을 통해 복잡한 네트워크 문제를 진단하고 새로운 네트워크 프로토콜을 연구하는 데 기여하고 있습니다. 현대 네트워크 보안 및 모니터링 생태계에서 libpcap의 역할은 여전히 중심에 위치해 있습니다.

## 참고 자료

*   [libpcap 공식 문서](https://www.tcpdump.org/manpages/pcap.3pcap.html)
*   [Wireshark 공식 문서 - Capture Libraries](https://www.wireshark.org/docs/wsug_html/chap1.html)
*   [Nmap 프로젝트 - libpcap 사용법](https://nmap.org/book/man-pcap.html)