DDoS 공격이란 무엇일까요?

DDoS 공격의 종류는 매우 다양하고 공격자들은 공격 대상을 무너뜨리기 위해 보통 2가지 이상의 공격 종류를 사용합니다. 대표적인 3가지는 증폭, 프로토콜, 애플리케이션 레이어 공격입니다. 모든 공격의 목적은 정상 트래픽이 원하는 대상에 도달하는 것을 심각하게 늦추거나 차단하는 것입니다. 예를 들어, 사용자가 웹사이트에 접속하거나 제품이나 서비스를 구매하거나 비디오를 보거나 소셜 미디어에서 상호 작용하는 것을 차단할 수 있습니다. 또한 DDoS는 리소스를 사용할 수 없게 하거나 성능을 저하시키는 방식으로 비즈니스를 중단시킬 수 있습니다. 이로 인해 직원들이 이메일, 웹 애플리케이션에 접속하지 못하게 되거나 평소처럼 업무를 수행할 수 없게 됩니다.

DDoS 공격이 어떻게 진행되는지 자세히 알아보기 위해 공격자가 취할 수 있는 다양한 경로를 자세히 살펴보겠습니다. OSI(Open Systems Interconnection) 모델은 다양한 네트워킹 표준에 맞게 계층화된 프레임워크이며 7개의 서로 다른 레이어로 구성됩니다. OSI 모델의 각 계층은 각 층마다 업무 기능이 다른 사무실 건물처럼 독특한 목적을 가지고 있습니다. 공격자들이 마비시키려는 웹 또는 인터넷 기반 자산의 종류에 따라 표적으로 삼는 레이어가 달라집니다.

용량 기반 DDoS 공격의 목적은 피해 대상 리소스 대역폭을 포화 상태로 만들어 대량의 트래픽으로 네트워크를 압도하는 것입니다. 많은 양의 공격 트래픽은 정상 사용자가 애플리케이션 또는 서비스에 접속하지 못하도록 차단해 트래픽이 들어오고 나가는 것을 막습니다. 공격 대상에 따라 달라지지만, 정상 트래픽이 차단되면 다음과 같은 상황이 발생할 수 있습니다. 은행 고객이 제시간에 청구서를 지불할 수 없고 이커머스 쇼핑객이 온라인 거래를 완료할 수 없으며 병원 환자가 의료 기록을 확인하지 못하며 시민이 정부 기관에서 세금 기록을 볼 수 없게 됩니다. 기업에 관계없이 온라인에서 사용할 것으로 예상되는 서비스를 차단하는 것은 부정적인 영향을 미칩니다.

용량 공격에서는 멀웨어에 감염된 여러 시스템과 디바이스 군대를 통해 생성된 봇넷을 사용합니다. 공격자가 제어하는 봇은 모든 가용 대역폭을 포화 상태로 만드는 악성 트래픽을 생성해 공격 대상과 인터넷 사이에 혼잡을 일으킵니다.

예상치 못한 봇 트래픽 공격으로 인해 웹 리소스 또는 인터넷 기반 서비스에 대한 접속이 매우 느려지거나 차단될 수 있습니다. 봇은 대역폭을 크게 소진시키는 DDoS 공격을 증폭시키기 위해 정상 디바이스를 장악하는데 보통 사용자들은 이를 알지 못하기 때문에 피해 대상인 기업은 악성 트래픽을 탐지하기 어렵습니다.

공격자들은 다양한 증폭 DDoS 공격 기법 을 사용합니다. 많은 공격자들이 반사 및 증폭 공격 기술을 활용해 네트워크 또는 서비스를 마비시킵니다.

UDP Flood는 대규모 대역폭 DDoS 공격에 흔히 사용됩니다. 공격자는 무상태(stateless) UDP 프로토콜이 포함된 IP 패킷을 사용해 공격 대상인 호스트의 포트를 마비시키려고 합니다. 공격 대상인 호스트는 UDP 패킷과 연결된 애플리케이션을 찾고, 찾을 수 없는 경우에는 ‘목적지 도달 불가(Destination Unreachable)’를 전송자에게 회신합니다. IP 주소는 공격자의 익명 처리를 위해 스푸핑되는 경우가 많으며, 공격 대상인 호스트에 공격 트래픽이 급증하면 시스템이 응답 불가 상태가 되며 정상 사용자들이 사용할 수 없게 됩니다.

DNS(Domain Name System) 반사, 증폭 DDoS 공격이란?

DNS(Domain Name System) 반사 공격은 공격자 또는 해커가 공격 대상의 IP 주소를 스푸핑하고 DNS 서버를 열기 위해 대량의 요청을 보내는 일반적인 공격 기법입니다. 이에 대응해 DNS 서버는 스푸핑된 IP 주소의 악의적인 요청에 다시 응답해 DNS 회신을 통해 표적 대상에 대한 공격을 생성합니다. DNS 응답에서 생성되는 대량의 트래픽이 피해 기업의 서비스를 매우 빠른 속도로 마비시키고 서비스를 사용할 수 없게 만들며 정상 트래픽이 원하는 목적지에 도달하지 못하게 합니다.

ICMP(Internet Control Message Protocol)는 주로 오류 메시지에 사용되며 일반적으로 시스템 사이에 데이터를 교환하지 않습니다. ICMP 패킷은 서버에 연결된 경우 애플리케이션 프로그램과 컴퓨팅 디바이스가 네트워크에서 메시지를 교환할 수 있도록 하는 TCP(Transmission Control Protocol) 패킷을 수반할 수 있습니다. ICMP Flood는 ICMP 메시지를 사용해 대상 네트워크의 대역폭의 과부하를 초래하는 레이어 3 인프라 DDoS 공격 방법입니다.

프로토콜 공격은 프로토콜 통신을 악용하는 악의적인 연결 요청을 통해 서버나 방화벽과 같은 다양한 네트워크 인프라 리소스의 컴퓨팅 용량을 소비하고 고갈시키려고 시도합니다. SYN(Synchronize) 플러드와 Smurf DDoS는 프로토콜 기반 DDoS 공격의 일반적인 2가지 종류입니다. 프로토콜 공격은 PPS(Packets Per Second)와 BPS(Bits Per Second)로 측정할 수 있습니다.

인터넷 애플리케이션에 접속하는 주요 방법 중 하나는 TCP(Transmission Control Protocol)를 사용하는 것입니다. 이 연결을 위해서는 웹 서버와 같은 TCP 서비스로부터 3방향 핸드셰이크가 필요합니다. 사용자가 서버에 연결된 위치에서 SYN(Synchronization) 패킷을 전송하면 SYN-ACK(Synchronization Acknowledgement) 패킷을 반환하고 최종 ACK(Acknowledgement) 통신을 통해 최종 대답해 TCP 핸드셰이크를 완료합니다.

SYN Flood 공격 도중 악성 클라이언트는 많은 양의 SYN 패킷(일반적인 핸드셰이크 중 하나)을 전송하지만 핸드셰이크를 완료하기 위한 ACK(acknowledgement)를 보내지 않습니다. 이로 인해 서버는 반쯤 열린 TCP 연결에 대한 응답을 기다리며 결국 연결 상태를 추적하는 서비스에 대한 새로운 연결을 수용할 수 있는 용량이 부족하게 됩니다. 

SYN Flood 공격은 규모가 매우 큰 고등학교의 전체 졸업반 학생들이 동시간대에 같은 피자집에 전화를 걸어 파이를 주문하는 끔찍한 장난과도 같습니다. 그런 다음 배송 직원이 포장한 피자들을 챙기려는 순간 이 많은 피자를 차에 싣기에는 공간이 부족하며 주문 내역에 주소가 없다는 것을 깨닫습니다. 결국 모든 배달이 중단됩니다.

이 DDoS 공격의 이름은 작고 파란 휴머노이드의 가상 군단과 같이 수많은 작은 공격자들이 훨씬 규모가 큰 상대를 순전히 용량으로 압도할 수 있다는 개념에 기반합니다.

스머프 분산 DDoS 공격에서 공격 표적의 스푸핑된 소스 Ip가 있는 대량의 ICMP(Internet Control Message Protocol) 패킷은 IP 브로드캐스트 주소를 사용해 컴퓨터 네트워크로 브로드캐스팅됩니다. 기본적으로 네트워크에 있는 대부분의 디바이스는 소스 IP 주소로 회신을 보내 응답합니다. 네트워크의 시스템 수에 따라 피해자의 컴퓨터가 트래픽 폭주로 크롤링 속도가 늦춰질 수 있습니다.

악성 요청으로 애플리케이션을 플러딩(flooding)하는 애플리케이션 레이어 공격은 RPS(초당 요청 수)로 측정됩니다. 레이어 7 DDoS 공격이라고도 불리는 이 공격은 전체 네트워크가 아닌 특정 웹 애플리케이션을 마비시키는 공격입니다. 비교적 일으키기 쉬운 DDoS 공격 중 하나이지만 차단하고 방어하는 것은 어렵습니다.

비교하자면 말 떼를 깜짝 놀라게 해 한 쪽으로 몰기는 쉬우나 다시 통제하기란 거의 불가능합니다. 애플리케이션 레이어 공격이 이와 같습니다. 실행하기 쉽고, 속도를 늦추거나 멈추기는 어렵고, 특정 대상에 한정됩니다.

강력한 DDoS 방어 전략과 런북을 갖춘 기업은 DDoS 공격을 방어하고 공격의 피해 규모를 줄일 수 있습니다. 클라우드 기반 솔루션의 대용량, 고성능, 상시 DDoS 방어 기능은 악성 트래픽이 웹 사이트에 도달하거나 웹 API 통신을 방해하는 것을 방지할 수 있습니다. 클라우드 기반의 DDoS 스크러빙 서비스는 네트워크 인프라와 같은 웹 이외의 자산을 노리는 공격을 신속히 차단합니다.

끊임없이 진화하는 공격 환경에서 심층적인 방어 접근 방식을 사용하는 보안 서비스 제공업체와 협력하면 DDoS를 방어하고 기업과 사용자를 안전하게 보호할 수 있습니다. DDoS 방어 서비스는 공격 트래픽이 방어 서비스 제공업체의 스크러빙 센터에 도달하는 시간으로부터 0초 또는 몇 초 안에 최대한 빨리 DDoS 공격을 탐지하고 차단합니다. 공격 기법은 계속 변화하고 있으며 공격 규모는 점점 더 커지고 있습니다. 벤더사는 탁월한 DDoS 방어 체계를 갖추기 위해 지속적으로 방어 역량에 투자해야 합니다. 복잡한 대규모 공격에 대응하려면 악성 트래픽을 탐지하고 강력한 방어 대책을 마련하며 공격을 신속하게 방어할 수 있는 적합한 기술이 필요합니다.

DDoS 방어 서비스 제공업체는 악성 트래픽을 필터링해 공격 대상인 자산에 도달하지 못하도록 합니다. 공격 트래픽은 DDoS 스크러빙 서비스, 클라우드 기반 DNS 서비스, CDN 기반 웹 보안 서비스에 의해 차단됩니다. 클라우드 기반 방어 기능은 공격 트래픽이 공격 대상에 도달하기 전에 이를 제거합니다.

DDoS 스크러빙은 공격 중에도 온라인 서비스나 비즈니스를 계속 유지할 수 있습니다. CDN 기반의 방어와 달리 DDoS 스크러빙 서비스는 웹 및 IP 기반 서비스를 포함해 데이터센터의 모든 포트, 프로토콜, 애플리케이션을 보호할 수 있습니다. 

기업은 BGP(Border Gateway Protocol) 경로 알림 변경 또는 DNS 리디렉션(레코드 또는 CNAME)을 통해 보안 서비스 벤더사의 스크러빙 인프라에 네트워크 트래픽을 전달합니다. 악성 활동을 찾아내기 위해 트래픽을 모니터링 및 검사하고 DDoS 공격이 발견될 경우 방어 조치를 적용합니다. 일반적으로 이 서비스는 기업의 기본 보안 포스처에 따라 온디맨드와 상시 가동형으로 사용할 수 있습니다. 하지만 가장 빠르게 공격을 방어하기 위해 상시 가동 배포 모델로 전환하는 기업들이 그 어느 때보다 증가하고 있습니다.

제대로 설정된 고급 CDN(콘텐츠 전송 네트워크)은 DDoS 공격을 방어하는 데 도움이 됩니다. 웹사이트 보안 서비스 제공업체가 CDN을 사용해 HTTP 및 HTTPS 프로토콜을 사용하는 트래픽을 특별히 가속하면 해당 URL을 대상으로 하는 모든 DDoS 공격을 네트워크 엣지에서 차단할 수 있습니다. 

즉, 레이어 3 및 레이어 4 DDoS 공격은 웹 포트 80 및 443을 대상으로 하지 않기 때문에 즉시 방어할 수 있습니다. 네트워크는 클라우드 기반 프록시로서 고객의 IT 인프라 전면에서 사용자들이 웹 사이트 및 애플리케이션에 접속할 수 있도록 트래픽을 전달합니다. 이러한 솔루션은 인라인 방식으로 작동하기 때문에 사람의 개입 없이 네트워크 레이어 DDoS 공격으로부터 웹 기반 자산을 항상 보호할 수 있습니다. 

애플리케이션 레이어 방어의 경우 OSI 모델의 레이어 7 애플리케이션 프로세스 중단이 목적인 HTTP 요청, HTTP GET 및 HTTP POST 플러드와 같은 특정 DDoS 공격을 포함한 고등 공격에 맞서기 위해 웹 애플리케이션 방화벽 배포를 고려해야 합니다.

기업은 DDoS 전용 사이버 보안 제어를 배포해 공격표면을 줄이고 비즈니스에 영향을 미치는 다운타임과 운영 중단 리스크를 줄일 수 있습니다. 이러한 방어는 정상 방문자가 평소처럼 기업 웹사이트에 접속할 수 있도록 허용하면서 공격을 차단할 수 있습니다. DDoS 방어 기능은 악성 트래픽이 공격 대상에 도달하지 못하도록 막고, 공격의 영향을 제한하며, 정상적인 트래픽이 평소처럼 기업에 도달할 수 있도록 합니다.

DDoS 방어 서비스 제공업체는 공격 방어 과정에서 DDoS 공격의 영향을 차단하거나 완화하기 위한 대응책을 배포합니다. 최신 공격이 점점 교묘해지면서 클라우드 기반의 DDoS 방어 보안은 확장성 있는 심층 보안 기능을 제공해 백엔드 인프라와 인터넷 기반 서비스를 항상 사용할 수 있도록 하며 최적의 방식으로 성능을 유지할 수 있도록 지원합니다.

DDoS 공격 방어 서비스를 통해 기업은 다음과 같은 장점을 얻을 수 있습니다.

• DDoS 공격과 관련된 비즈니스 리스크 및 공격표면을 줄입니다.
• 비즈니스에 영향을 미치는 다운타임을 방지합니다.
• 웹 페이지가 오프라인으로 전환되지 않도록 보호
• DDoS 이벤트에 대한 대응 속도를 높이고 인시던트 대응 리소스를 최적화합니다.
• 서비스 중단을 파악하고 조사하는 데 걸리는 시간을 단축합니다.
• 직원의 생산성 손실을 방지합니다.
• DDoS 공격을 방어하기 위한 대책을 보다 신속하게 배포합니다.
• 브랜드 평판 저하나 수익성 악화를 차단합니다.
• 디지털 자산의 애플리케이션 업타임과 성능을 유지합니다.
• 웹 보안 관련 비용을 최소화합니다.
• 갈취, 랜섬웨어 및 기타 새로운 진화하는 위협으로부터 보호

Akamai는 전용 엣지, 분산형 DNS, 클라우드 스크러빙 방어로 구성된 투명한 메시를 통해 심층적인 DDoS 방어를 제공합니다. 특별히 설계된 클라우드 서비스는 DDoS 보안 포스처를 강화하는 동시에 공격표면을 줄이고, 방어 품질을 개선하고, 오탐률을 줄이고, 가장 크고 복잡한 공격에 대한 안정성을 높이도록 설계되었습니다.

또한, 웹 애플리케이션이나 인터넷 기반 서비스의 개별 요구사항에 맞춰 솔루션을 세밀하게 조정할 수 있습니다.

Akamai는 전 세계에 가장 대규모로 분산된 엣지 및 클라우드 플랫폼을 포트 80과 443을 통해 들어오는 트래픽만 허용하는 리버스 프록시로 설계했습니다. 모든 네트워크 레이어 DDoS 공격은 0초 SLA를 통해 엣지에서 즉시 차단됩니다. 즉, 네트워크 레이어 DDoS 공격을 일으키는 공격자는 어떤 기회도 잡을 수 없습니다.

API를 통해 시작된 DDoS 공격을 비롯한 애플리케이션 레이어 DDoS 공격의 경우 Kona Site Defender가 공격을 탐지 및 방어하는 동시에 정상 사용자에게 접속 권한을 부여합니다.

Akamai의 권한 DNS 서비스인 Edge DNS도 엣지에서 트래픽을 필터링합니다. Akamai가 특별히 설계한 Edge DNS는 다른 DNS 솔루션과 달리 DDoS 공격이 발생해도 가용성과 안정성을 유지하도록 특별히 설계되었습니다. Edge DNS는 네임 서버, PoP(Point of Presence), 네트워크, 분리된 IP Anycast 클라우드 등 여러 단계에서 아키텍처 이중화를 지원하고 뛰어난 성능을 전송합니다.