# 트래픽 모니터링 (Traffic Monitoring)

## 1. 개요
트래픽 모니터링이란 네트워크 인터페이스를 통과하는 데이터 패킷의 흐름을 **실시간으로 관찰**, **수집** 및 **분석**하여 네트워크의 상태와 성능을 관리하는 기술적 프로세스를 의미한다.

현대 네트워크 환경에서 트래픽 모니터링은 단순히 연결 상태를 확인하는 것을 넘어, 가용성 확보, 성능 최적화, 보안 위협 탐지 및 용량 계획(Capacity Planning)을 수립하는 데 필수적인 역할을 한다. 이를 통해 관리자는 네트워크 병목 현상을 사전에 방지하고, 장애 발생 시 신속한 원인 분석(Root Cause Analysis)을 수행하여 서비스 다운타임을 최소화할 수 있다.

## 2. 주요 모니터링 지표
네트워크의 건강 상태를 평가하기 위해 측정하는 핵심 지표들은 다음과 같다.

| 지표명 | 정의 | 영향도 | 측정 단위 |
| :--- | :--- | :--- | :--- |
| **대역폭 사용량 (Bandwidth)** | 특정 시간 동안 전송 가능한 최대 데이터 전송률 대비 실제 사용량 | 과다 사용 시 네트워크 혼잡 및 속도 저하 유발 | bps, Mbps, Gbps |
| **패킷 손실 (Packet Loss)** | 송신측에서 보낸 패킷이 수신측에 도달하지 못하고 유실되는 비율 | 재전송 증가로 인한 처리 속도 저하 및 서비스 끊김 | % |
| **지연 시간 (Latency)** | 패킷이 출발지에서 목적지까지 도달하는 데 걸리는 시간 | 실시간 서비스(VoIP, 게임 등)의 응답성 저하 | ms (milliseconds) |
| **처리량 (Throughput)** | 단위 시간당 실제로 성공적으로 전송된 데이터의 양 | 실제 체감 성능을 결정하며 대역폭보다 낮은 수치를 보임 | bps, Mbps |
| **지터 (Jitter)** | 패킷 도착 시간 간격의 불규칙한 변동성 | 스트리밍 서비스의 버퍼링 및 음성 왜곡 발생 | ms |

## 3. 트래픽 수집 방식 및 기술
트래픽 수집은 분석 목적에 따라 전체 패킷을 캡처하는 방식과 요약된 통계 데이터를 수집하는 방식으로 나뉜다.

### 3.1 패킷 캡처 (Packet Capture)
네트워크 인터페이스를 통과하는 모든 패킷의 헤더와 페이로드(Payload, 실제 데이터 내용)를 그대로 복제하여 저장하는 방식이다. 매우 상세한 분석이 가능하지만, 트래픽 양이 많을 경우 저장 공간과 CPU 부하가 급격히 증가한다.

### 3.2 플로우 기반 수집 (Flow-based)
패킷의 세부 내용 대신 '누가, 언제, 어디로, 얼마나' 보냈는지에 대한 메타데이터(Flow)만을 수집하는 방식이다. 전체 패킷 캡처보다 부하가 훨씬 적어 대규모 네트워크 모니터링에 적합하다.

### 3.3 수집 기술 비교
| 구분 | SNMP | NetFlow / sFlow | Packet Mirroring (SPAN) |
| :--- | :--- | :--- | :--- |
| **원리** | 장비의 MIB 폴링 및 인터페이스 카운터(ifInOctets, ifOutOctets 등)를 통한 누적 데이터량 측정 | 패킷 헤더 기반의 플로우 요약 정보 전송 | 스위치 포트의 트래픽을 특정 포트로 복제 |
| **상세도** | 낮음 (인터페이스 통계 중심) | 중간 (IP, 포트, 프로토콜 중심) | 매우 높음 (전체 패킷 데이터) |
| **부하** | 매우 낮음 | 낮음 ~ 중간 | 높음 (스위치 및 분석 장비 부하) |
| **주용도** | 장비 상태 및 인터페이스 사용량 감시 | 트래픽 패턴 분석 및 경로 추적 | 보안 분석, 프로토콜 디버깅 |

## 4. 계층별(L2~L7) 모니터링 차이점
OSI 7계층 모델에 따라 모니터링의 대상과 분석 목적이 달라진다.

*   **L2 (데이터 링크 계층):** MAC 주소 기반의 통신, VLAN 태깅, 포트 에러, CRC 오류 등을 모니터링하여 물리적 연결성과 스위칭 효율성을 확인한다.
    *   *분석 사례:* 특정 스위치 포트에서 CRC 에러가 급증하는 경우, 물리적 케이블 불량이나 SFP 모듈 결함을 진단.
*   **L3 (네트워크 계층):** IP 주소 기반의 라우팅, ICMP 응답, 홉(Hop) 수, 패킷 단편화 등을 분석하여 네트워크 경로의 최적성과 도달 가능성을 확인한다.
    *   *분석 사례:* Traceroute 분석을 통해 특정 홉(Hop)에서 지연 시간이 급증하는 구간을 찾아 라우팅 경로 최적화 수행.
*   **L4 (전송 계층):** TCP/UDP 포트 번호, 세션 연결 상태(SYN/ACK), 윈도우 크기 등을 분석하여 애플리케이션 간의 연결 안정성을 확인한다.
    *   *분석 사례:* TCP SYN 패킷만 과도하게 유입되고 ACK 응답이 없는 경우, SYN Flooding DDoS 공격으로 판단.
*   **L7 (애플리케이션 계층):** HTTP URL, DNS 쿼리, API 응답 코드, SSL/TLS 인증서 상태 등을 분석하여 실제 서비스의 비즈니스 로직 성능과 사용자 경험을 확인한다.
    *   *분석 사례:* HTTP 5xx 에러 응답 비율이 상승하는 것을 감지하여 백엔드 서버의 애플리케이션 런타임 오류를 추적.

## 5. 모니터링 아키텍처 및 도구
일반적인 트래픽 모니터링 파이프라인은 **[데이터 수집 $\rightarrow$ 데이터 처리/저장 $\rightarrow$ 시각화/알림]**의 과정을 거친다.

### 5.1 대표적인 도구
*   **패킷 분석:** Wireshark, tcpdump
*   **인프라/상태 감시:** Zabbix, Nagios, PRTG Network Monitor
*   **시계열 메트릭/시각화:** Prometheus, Grafana
*   **로그 분석:** ELK Stack (Elasticsearch, Logstash, Kibana)

### 5.2 도구별 비교
| 도구 | 주요 수집 방식 | 강점 | 적합한 용도 |
| :--- | :--- | :--- | :--- |
| **Wireshark** | Packet Capture | 패킷 단위의 정밀 분석 | 장애 디버깅, 프로토콜 분석 |
| **Zabbix** | SNMP, Agent | 광범위한 장비 상태 감시 | 인프라 통합 모니터링 |
| **Prometheus** | Pull-based Metric | 고성능 시계열 데이터 처리 | 클라우드/K8s 환경 메트릭 감시 |
| **ELK Stack** | Log-based | 비정형 데이터 검색 및 분석 | 트래픽 로그 분석, 보안 감사 |

### 5.3 설정 예시
**TCPDump를 이용한 특정 포트 패킷 캡처 (CLI):**
```bash
# 80번 포트(HTTP)로 들어오는 트래픽을 캡처하여 파일로 저장
sudo tcpdump -i eth0 port 80 -w http_traffic.pcap
```

**Prometheus Alertmanager 설정 예시 (YAML):**
```yaml
groups:
- name: network_alerts
  rules:
  - alert: HighBandwidthUsage
    expr: node_network_transmit_bytes_total > 100000000 # 100MB/s 초과 시
    for: 5m
    labels:
      severity: warning
    annotations:
      summary: "네트워크 대역폭 사용량 급증"
      description: "인터페이스 {{ $labels.device }}의 사용량이 5분간 임계치를 초과했습니다."
```

## 6. 이상 징후 탐지 및 알림 설정
정상 범위를 벗어난 트래픽 패턴을 감지하여 관리자에게 즉시 알리는 체계이다.

*   **정적 임계치 (Static Threshold):** 특정 수치(예: CPU 90%, 대역폭 80%)를 초과할 때 알림을 발생시키는 방식. 설정이 간단하나 환경 변화에 유연하지 않다.
*   **동적 임계치 (Dynamic Threshold):** 과거 데이터를 기반으로 머신러닝/통계적 모델을 적용하여 '평소와 다른' 패턴을 감지하는 방식(Anomaly Detection). 계절성(Seasonality)이 있는 트래픽 분석에 유리하다.
*   **알림 채널:** Email, Slack, PagerDuty, SMS 등을 통해 전송하며, 중요도(Critical, Warning, Info)에 따라 알림 경로를 차별화한다.

### 지표별 임계치 설정 가이드
| 지표 | 권장 경고(Warning) 기준 | 권장 심각(Critical) 기준 | 비고 |
| :--- | :--- | :--- | :--- |
| **대역폭 사용량** | 최대 용량의 70% 지속 | 최대 용량의 90% 지속 | 버스트(Burst) 트래픽 고려 필요 |
| **패킷 손실률** | 0.1% ~ 1% 발생 | 2% 이상 발생 | TCP 재전송률과 함께 분석 |
| **지연 시간** | 평소 평균 대비 50% 증가 | 서비스 허용 한계치 초과 | 서비스 특성(Real-time 여부)에 따라 상이 |
| **에러 패킷** | 분당 10개 이상 발생 | 분당 100개 이상 발생 | 케이블 불량 및 하드웨어 오류 의심 |

## 7. 활용 사례 및 분석 방법
*   **네트워크 병목 지점 파악:** 특정 구간의 대역폭 사용량이 지속적으로 높고 지연 시간이 증가하는 지점을 찾아 스위치 업그레이드나 경로 재설정을 수행한다.
*   **DDoS 공격 탐지:** 특정 IP 또는 포트로의 비정상적인 패킷 유입 급증(Traffic Spike)을 감지하여 ACL(Access Control List) 설정이나 블랙홀 라우팅으로 대응한다.
*   **QoS(Quality of Service) 최적화:** 중요 서비스(예: 화상회의)의 트래픽에 우선순위를 부여하고, 백업 트래픽 등 저순위 데이터의 대역폭을 제한하여 서비스 품질을 보장한다.

## 8. 고려 사항 및 한계
*   **모니터링 오버헤드 (Overhead):** 과도한 패킷 캡처나 빈번한 SNMP 폴링은 네트워크 장비의 CPU/Memory 부하를 유발하여 오히려 성능을 저하시킬 수 있다. 이를 방지하기 위해 샘플링(Sampling) 기법을 도입한다.
    *   **샘플링 예시:** 모든 패킷을 수집하는 대신 1,000개의 패킷 중 1개만 수집하는 '1:1000 샘플링' 방식을 사용한다. sFlow가 이러한 샘플링 기반 기술의 대표적인 예이다.
*   **데이터 암호화 (Encryption):** HTTPS, TLS, SSH 등 트래픽 암호화의 확산으로 인해 L7 페이로드 분석이 불가능해졌다.
    *   **해결 방안:** SSL 복호화 장비(SSL Visibility) 도입, 서버 측 로그 분석, 또는 암호화된 패킷의 크기와 타이밍을 분석하는 '암호화 트래픽 분석(ETA)' 기술 활용.
*   **데이터 저장 용량:** 고속 네트워크 환경에서 전체 패킷을 저장할 경우 스토리지 비용이 기하급수적으로 증가하므로, 보관 주기(Retention Period) 설정과 데이터 압축이 필수적이다.