Shield NS53, NXDOMAIN 공격으로부터 오리진 DNS 인프라 보호

계속 증가하는 지속적인 DNS 공격에 대한 방어는 고객, 최종 사용자 및 직원에게 원활한 디지털 경험을 제공하려는 기업과 정부 기관에게 시급한 과제가 되었습니다.

DNS 리소스 고갈 공격은 NXDOMAIN 공격, PRSD(Pseudo-Random Subdomain) 공격, DNS 물 고문 공격, DNS 플러드 공격 등 여러 가지 이름으로 알려져 있습니다. 기술 및 대중 담론에서 언급되는 다양한 이름을 이해하기 위해 사이버 범죄자가 이러한 종류의 공격을 어떻게 설계하는지 개략적으로 살펴보기 전에 먼저 DNS의 일반적인 작동 방식부터 살펴보겠습니다.

그림 4: URL 표시줄에 웹 주소를 입력할 때 보이지 않는 곳에서 수행되는 단계.

공격자는 존재하지 않거나 거의 접속하지 않는 도메인 이름에 대해 DNS 쿼리를 만듭니다. 각 쿼리는 고유한 것으로 나타나도록 설계되어 있으므로 DNS 서버나 업스트림 리졸버는 이러한 쿼리를 본 적이 없습니다.

공격자는 탐지 및 방어를 피하기 위해 각각의 불법적인 DNS 요청이 이전 DNS 요청과 다르게 만듭니다. 그러면 업스트림 리졸버가 이전에 동일한 쿼리를 접하지 않았을 수 있으므로 요청과 응답을 캐싱하는 것을 방지할 수 있습니다.

공격자는 쿼리를 지속적으로 변경함으로써 업스트림 리졸버의 캐싱 메커니즘을 우회하는 것을 목표로 합니다. DNS 캐싱은 이전에 확인된 도메인 이름과 해당 IP 주소를 저장하여 후속 쿼리를 보다 빠르게 해결할 수 있도록 도와줍니다. 그러나 매번 고유한 쿼리일 경우 캐싱이 공격을 방어하는 효과가 떨어집니다.

NXDOMAIN 공격은 DNS 서버가 존재하지 않는 하위 도메인을 조회하기 위해 리소스를 사용하게 하기 때문에 이 공격은 네트워크 보안 리더들에게 중요한 과제입니다. 이 기술은 오리진 DNS 인프라의 부하를 증가시키고 네트워크 리소스를 소모하여 정상적인 서비스에 접속하려는 일반 사용자의 서비스 성능 저하 또는 다운타임을 초래할 수 있습니다.

Akamai Edge DNS는 Akamai Connected Cloud의 규모, 보안, 용량을 바탕으로 전 세계 수천 대의 서버에 DNS 영역을 분산시키는 포괄적이고 특정 목적에 맞는 클라우드 기반의 권한 있는 DNS 솔루션을 제공합니다. 

고객은 등록 기관에서 네임서버 레코드를 업데이트하고 Akamai에서 제공한 레코드를 사용하여 영역 권한을 Edge DNS에 위임합니다. Akamai Edge DNS는 고객의 DNS 성능, 신뢰성 및 가용성에 영향을 미치지 않으면서 초대형 DNS 공격도 방어할 수 있는 탁월한 공격표면과 선제적 보안 제어 기능을 제공합니다.

대부분의 경우, 기업은 온프레미스 DNS 인프라를 유지 관리하며, 다양한 종류의 DNS 공격을 차단하기 위해 권한 영역을 외부 클라우드 솔루션에 위임할 수 없습니다. 이러한 기본 설정의 이유는 컴플라이언스 문제에서부터 오리진 GSLB의 동적 구성, 오리진에서 권한 영역을 관리하려는 단순한 요구에 이르기까지 다양합니다.

이는 종종 회사가 이미 온프레미스 DNS 인프라 구축에 상당한 자본 투자를 했을 수 있다는 사실을 기반으로 한 비즈니스 결정이므로 클라우드에 영역을 위임하는 것은 적어도 단기적으로는 재정적으로 실행 가능한 옵션이 아닐 수 있습니다.

일부 하이브리드 시나리오에서, 권한있는 DNS 영역 중 일부를 Edge DNS에 위임하지만 온프레미스 오리진에서 나머지 영역을 지원하는 기업은 온프레미스 인프라가 DNS 리소스 고갈 공격에 취약해지게 됩니다.

그렇다면 이러한 시나리오에서 기업은 DNS 리소스 고갈 공격을 어떻게 차단할 수 있을까요? Akamai Shield NS53을사용해 보세요!

또한 Shield NS53은 캐시로부터의 정상적인 쿼리에 응답하고 필요한 경우에만 쿼리를 오리진 네임서버로 전달하여 온프레미스 DNS 인프라의 부하를 완화하는 데 도움이 됩니다. 또한 이 솔루션은 수천 대의 서버로 구축된 Akamai의 글로벌 NAMES 애니캐스트 네트워크에 접속하여 가장 가까운 네트워크 거점에서 사용자 쿼리에 응답함으로써 지연 시간을 줄이고 사용자 경험을 개선합니다.

이론적으로, 용량을 추가하여 리소스 고갈 공격으로부터 DNS를 보호할 수도 있습니다. 리소스가 많으면 이러한 리소스를 소진하는 데 더 크고 더 긴 공격이 필요합니다. 그러나 이러한 접근 방식은 재정적으로 실행 가능하지도 않고 확장 가능한 기술 솔루션도 아니라는 점은 분명합니다.

Shield NS53은 최신 리소스 고갈 공격에 대비하여 이미 배포된 솔루션을 강화함으로써 총 소유 비용을 낮추고 기존 DNS 인프라에 대한 투자 수익을 극대화함으로써 네임서버, GSLB, 방화벽을 비롯한 기존 DNS 인프라에 대한 재정적 투자를 보호하는 데 도움이 됩니다.

표: 특정 요구사항에 따라 보안 솔루션을 조정하는 방법

지금 우리는 디지털로 연결된 세상 속에 살고 있다고 해도 과언이 아닙니다. 일상 생활의 거의 모든 측면이 디지털 상호 작용을 통해 이루어집니다. 이러한 디지털 상호 작용의 초석 중 하나가 바로 이 모든 것을 가능하게 하는 기본 DNS 인프라입니다. 따라서 기업과 기관은 고객, 최종 사용자 및 직원에게 원활한 디지털 경험을 제공하기 위해 DNS 인프라를 보호해야 합니다.

Akamai Shield NS53은 Akamai Edge DNS, Akamai Prolexic, Akamai App & API Protector 를 완벽하게 보완하여 온라인 애플리케이션과 사용자 경험을 강화하기 위해 안정적인 디지털 인프라에 의존하는 기업과 기관을 위한 포괄적인 DDoS 방어 솔루션 포트폴리오를 구축하는 새로운 솔루션입니다.