DDoS 공격이란 무엇일까요?

공격의 네 가지 주된 종류는 다음과 같습니다.

• 애플리케이션 레이어 공격
• 프로토콜 공격
• DNS 증폭/반사 공격 
• 증폭 공격

애플리케이션 레이어 DDoS 공격

애플리케이션 레이어 DDoS 공격(레이어 7 DDoS 공격)은 웹 애플리케이션의 특정 취약점을 겨냥하여 애플리케이션이 의도한 대로 작동하지 못하도록 합니다. 이러한 DDoS 공격은 인터넷을 통한 두 애플리케이션 간의 데이터 교환을 위한 통신 프로토콜을 대상으로 하는 경우가 많습니다. 일으키기 가장 쉬운 DDoS 공격 중 하나이지만 차단하고 방어하는 것은 어렵습니다.

• HTTP 플러드. HTTP 플러드는 웹 페이지를 로드하거나 인터넷을 통해 콘텐츠를 보내는 데 사용되는 HTTP 인터넷 프로토콜을 악용합니다. HTTP 플러드는 서버, 웹사이트나 웹 애플리케이션에 대량의 HTTP GET이나 POST 요청을 보내 속도가 느려지거나 충돌이 발생하게 만듭니다.
• 로우 앤 슬로우 공격. 로우 앤 슬로우 공격은 매우 느린 속도로 정상적인 것으로 보이는 트래픽과 HTTP 요청을 전송하여 탐지를 피하도록 설계된 일종의 DoS(Denial-of-Service) 공격입니다. 로우 앤 슬로우 공격은 대역폭이 거의 필요하지 않으며 단일 컴퓨터 또는 봇넷을 통해 시작될 수 있습니다. 로우 앤 슬로우 공격의 트래픽은 정상적인 레이어 7 트래픽으로 보이고 보안 알림을 트리거하는 속도로 전송되지 않기 때문에 탐지하기가 어렵습니다.
• Slowloris. Slowloris DDoS 공격은 표적 서버에 대한 여러 개의 HTTP 연결을 동시에 열고 유지하여 웹 서버를 제압하도록 설계되었습니다. Slowloris는 평소보다 느리지만 표준 트래픽인 것처럼 보이는 요청으로 서버 리소스를 고갈시킵니다. 공격자는 클라이언트가 GET 또는 POST 요청을 여러 패킷으로 분할하는 HTTP 프로토콜의 고유한 기능을 이용합니다. Slowloris 공격은 여러 연결을 최대한 오랫동안 열어둠으로써 표적으로 삼은 웹 서버를 감염시킵니다. 감염은 완료되지 않은 부분 HTTP 요청을 전송함으로써 이루어집니다.

프로토콜 DDoS 공격

프로토콜 공격은 OSI 모델의 레이어 3 및 레이어 4에서 인터넷 통신 프로토콜의 약점과 취약점을 대상으로 합니다. 이런 공격은 TCP(Transmission Control Protocol) 또는 ICMP(Internet Control Message Protocol) 프로토콜을 악용하는 악의적인 연결 요청을 보내 서버나 방화벽과 같은 다양한 네트워크 인프라 리소스의 컴퓨팅 용량을 소비하고 고갈시키는 것을 목적으로 합니다.

• SYN 플러드. 인터넷 애플리케이션에 접속하는 주요 방법 중 하나는 TCP를 사용하는 것입니다. 이 연결을 위해서는 웹 서버와 같은 TCP 서비스로부터 3방향 핸드셰이크가 필요합니다. 사용자가 서버에 연결된 위치에서 SYN(Synchronization) 패킷을 전송하면 SYN-ACK(Synchronization Acknowledgement) 패킷을 반환하고 최종 ACK(Acknowledgement) 통신을 통해 최종 대답해 TCP 핸드셰이크를 완료합니다. SYN 플러드 공격 도중악성 클라이언트는 많은 양의 SYN 패킷(일반적인 핸드셰이크 중 하나)을 전송하지만, 핸드셰이크를 완료하기 위한 ACK(acknowledgement)는 보내지 않습니다. 이렇게 하면 서버가 이런 반개방형 TCP 연결에 대한 응답을 기다리는 상태가 됩니다. 결국 서버는 연결 상태를 추적하는 서비스를 위해 새 연결을 수락할 수 있는 용량이 부족해집니다. 
  
  이를 콜택시에 비유하면, 콜택시 회사에 수천 또는 수십만 건의 가짜 요청이 이루어지는 상황이라고 볼 수 있습니다. 택시는 승객이 탑승하여 이동을 시작하길 기다리지만 그러한 일은 절대 일어나지 않습니다. 결국 이용 가능한 택시가 모두 소진되고 정상적인 승객은 서비스를 이용할 수 없게 됩니다.

• 스머프(smurf) DDoS 공격. 이 DDoS 공격의 이름은 작고 파란 휴머노이드의 가상 군단과 같이 수많은 작은 공격자들이 훨씬 규모가 큰 상대를 순전히 용량으로 압도할 수 있다는 개념에 기반합니다. 스머프 DDoS 공격에서 공격 표적의 스푸핑된 소스 IP가 있는 대량의 ICMP 패킷은 IP 브로드캐스트 주소를 사용해 컴퓨터 네트워크로 브로드캐스팅됩니다. 기본적으로 네트워크에 있는 대부분의 디바이스는 소스 IP 주소로 회신을 보내 응답합니다. 네트워크의 시스템 수에 따라 피해자의 컴퓨터가 트래픽 폭주로 크롤링 속도가 늦춰질 수 있습니다.

DNS 증폭·반사 DDoS 공격

Domain Name System 또는 DNS 증폭·반사 공격은 증폭 DDoS 공격 기법의 한 종류로, 해커가 표적의 IP 주소를 스푸핑하여 오픈 DNS 서버로 대량의 요청을 보냅니다. 이에 대응해 DNS 서버는 스푸핑된 IP 주소의 악의적인 요청에 다시 응답해 DNS 회신을 통해 표적 대상에 대한 공격을 생성합니다. DNS 응답에서 생성되는 대량의 트래픽이 피해 기업의 서비스를 매우 빠른 속도로 마비시키고 서비스를 사용할 수 없게 만들며 정상 트래픽이 원하는 목적지에 도달하지 못하게 합니다.

이러한 종류의 공격을 콜택시에 비유하면, 피해자의 주소로 택시를 보내기 위해 수백 또는 수천 건의 콜택시 요청이 이뤄진 상황을 생각해 볼 수 있습니다. 이 콜택시들은 피해자의 집으로 이어지는 거리를 막아 정상적인 방문자가 피해자의 주소에 도달하지 못하게 합니다. 콜택시의 비유를 확장하면 다음 섹션의 증폭 DDoS 공격을 설명하는 것도 가능합니다. 

증폭 DDoS 공격

볼륨 기반의 DDoS 공격은 OSI 레이어 3과 4를 겨냥해 여러 소스에서 발생한 트래픽으로 표적을 제압하고 결국 표적의 가용 대역폭을 모두 소모하여 속도가 느려지거나 충돌하게 만듭니다. 증폭 공격은 종종 다른 종류의 DDoS 공격이나 더 위험한 사이버 공격으로부터 주의를 돌릴 목적으로 사용됩니다.

• UDP 플러드. UDP 플러드는대규모 대역폭 DDoS 공격에 자주 사용됩니다. 공격자는 무상태(stateless) UDP 프로토콜이 포함된 IP 패킷을 사용해 공격 대상인 호스트의 포트를 마비시키려고 합니다. 공격 대상인 호스트는 UDP 패킷과 연결된 애플리케이션을 찾고, 찾을 수 없는 경우에는 ‘목적지 도달 불가(Destination Unreachable)’를 전송자에게 회신합니다. IP 주소는 공격자의 익명 처리를 위해 스푸핑되는 경우가 많으며, 공격 대상인 호스트에 공격 트래픽이 급증하면 시스템이 응답 불가 상태가 되며 정상 사용자들이 사용할 수 없게 됩니다.
• ICMP 플러드. ICMP(Internet Control Message Protocol)는 주로 오류 메시지에 사용되며 일반적으로 시스템 사이에 데이터를 교환하지 않습니다. ICMP 패킷은 서버에 연결된 경우 애플리케이션 프로그램과 컴퓨팅 디바이스가 네트워크에서 메시지를 교환할 수 있도록 하는 TCP(Transmission Control Protocol) 패킷을 수반할 수 있습니다. ICMP 플러드는 ICMP 메시지를 사용해 표적 네트워크 대역폭의 과부하를 초래하는 레이어 3 인프라 DDoS 공격 방법입니다.

기업은 강력한 DDoS 전략, 탁월한 DDoS 방어 서비스, 고급 사이버 보안 제어 기능을 통해 DDoS 공격을 방어하고 중단을 방지할 수 있습니다.

클라우드 기반 솔루션은 악성 트래픽이 웹 사이트에 도달하거나 웹 API 통신을 방해하지 못하도록 고용량, 고성능, 상시가동형 DDoS 방어 기능을 제공하여 공격의 영향을 제한하고 비즈니스에 필요한 정상적인 트래픽이 전달되도록 합니다.

DDoS 방어 서비스

끊임없이 진화하는 공격 환경에서 심층적인 방어 접근 방식을 사용하는 보안 서비스 제공업체와 협력하면 DDoS를 방어하고 기업과 사용자를 안전하게 보호할 수 있습니다. DDoS 방어 서비스는 공격 트래픽이 방어 서비스 제공업체의 스크러빙 센터에 도달하는 시간으로부터 0초 또는 몇 초 안에 최대한 빨리 DDoS 공격을 탐지하고 차단합니다. 공격 기법은 계속 변화하고 있으며 공격 규모는 점점 더 커지고 있습니다. 벤더사는 탁월한 DDoS 방어 체계를 갖추기 위해 지속적으로 방어 역량에 투자해야 합니다. 복잡한 대규모 공격에 대응하려면 악성 트래픽을 탐지하고 강력한 방어 대책을 마련하며 공격을 신속하게 방어할 수 있는 적합한 기술이 필요합니다.

DDoS 방어 서비스 공급업체는 공격 트래픽을 필터링해 공격 대상인 자산에 도달하지 못하도록 합니다. CDN 기반의 웹 보호 서비스, DDoS 스크러빙 서비스 또는 클라우드 기반의 DNS 서비스가 공격 트래픽을 차단합니다.

• CDN 기반의 DDoS 방어. 제대로 설정된 고급 CDN(콘텐츠 전송 네트워크)은 DDoS 공격을 방어하는 데 도움이 됩니다. 웹사이트 보안 서비스 제공업체가 CDN을 사용해 HTTP 및 HTTPS 프로토콜을 사용하는 트래픽을 특별히 가속하면 해당 URL을 대상으로 하는 모든 DDoS 공격을 네트워크 엣지에서 차단할 수 있습니다. 즉, 레이어 3 및 레이어 4 DDoS 공격은 웹 포트 80 및 443을 대상으로 하지 않기 때문에 즉시 방어할 수 있습니다. 네트워크는 클라우드 기반 프록시로서 고객의 IT 인프라 전면에서 사용자들이 웹 사이트 및 애플리케이션에 접속할 수 있도록 트래픽을 전달합니다. 이러한 솔루션은 인라인 방식으로 작동하기 때문에 사람의 개입 없이 네트워크 레이어 DDoS 공격으로부터 웹 기반 자산을 항상 보호할 수 있습니다.
• DDoS 클라우드 스크러빙. DDoS 스크러빙은 공격 중에도 온라인 서비스나 비즈니스를 계속 유지할 수 있습니다. 클라우드 기반의 DDoS 스크러빙 서비스는 네트워크 인프라와 같은 웹 이외의 자산을 노리는 공격을 신속히 차단합니다. CDN 기반의 방어와 달리 DDoS 스크러빙 서비스는 웹 및 IP 기반 서비스를 포함해 데이터 센터의 모든 포트, 프로토콜, 애플리케이션을 보호할 수 있습니다. 기업은 BGP(Border Gateway Protocol) 경로 알림 변경 또는 DNS 리디렉션(레코드 또는 CNAME)을 통해 보안 서비스 공급업체의 스크러빙 인프라에 네트워크 트래픽을 전달합니다. 악성 활동을 찾아내기 위해 트래픽을 모니터링 및 검사하고 DDoS 공격이 발견될 경우 방어 조치를 적용합니다. 일반적으로 이 서비스는 기업의 기본 보안 체계에 따라 온디맨드와 상시가동형으로 사용할 수 있습니다. 하지만 가장 빠르게 공격을 방어하기 위해 상시가동 배포 모델로 전환하는 기업들이 그 어느 때보다 증가하고 있습니다.
• 웹 애플리케이션 방화벽. 애플리케이션 레이어를 집중적으로 방어하고자 하는 기업은 WAF(웹 애플리케이션 방화벽)를 배포하여 OSI 모델의 레이어 7 애플리케이션 프로세스 중단이 목적인 http 요청, HTTP GET 및 HTTP POST 플러드와 같은 특정 DDoS 공격을 포함한 고급 공격에 맞서야 합니다.
• 온프레미스 DDoS 방어. 온프레미스 또는 온네트워크 DDoS 방어는 기업의 데이터 센터에 상주하고 엣지 라우터와 통합되어 네트워크 엣지에서 악성 DDoS 공격을 차단하는 물리적 또는 가상화된 어플라이언스를 포함합니다. 이는 사이버 범죄자들이 탐지를 피하기 위해 설계된 ‘낮고 느린’ 또는 ‘작고 빠른’ 공격을 활용할 때 특히 유용합니다. 온프레미스 DDoS 방어 기능은 또한 증폭 공격의 대상이 아닌 클라우드 스크러빙 센터로 트래픽을 재라우팅하는 과정으로 인해 운영 비용이 발생하는 것을 방지합니다. 온프레미스 DDoS 방어 기능은 네트워크 트래픽에 대한 지연 시간이 매우 짧아야 하는 기업에도 유용합니다. 이러한 사용 사례의 예로는 음성 및 화상 회의 플랫폼, 멀티미디어 서비스 및 게임 플랫폼을 제공하는 회사 또는 거의 실시간에 가까운 지연 시간을 요구하는 기타 서비스를 제공하는 회사 등이 있습니다. 
• 하이브리드 DDoS 방어. 하이브리드 DDoS 방어 솔루션은 온프레미스와 클라우드 DDoS 방어의 기능과 장점을 결합한 것입니다. 하이브리드 DDoS 솔루션은 온프레미스 또는 온네트워크 어플라이언스를 통해 대다수의 소규모 공격으로부터 고객의 네트워크 인프라를 보호하지만, 클라우드 스크러빙 센터의 규모와 용량을 증폭 공격에 대한 백업으로 활용합니다.
• 클라우드 시그널링. 클라우드 시그널링은 DDoS 공격으로부터 고객의 네트워크 자산과 인프라를 최적으로 보호하기 위해 리디렉션이 필요한 경우 온프레미스 어플라이언스가 공격 풋프린트, 시그니처, 기타 관련 정보를 클라우드 스크러빙 센터에 자동으로 전송하는 것을 나타내는 업계 용어입니다.

DDoS 방어 서비스의 이점

DDoS 방어 서비스 공급업체는 공격 방어 과정에서 DDoS 공격의 영향을 차단하거나 완화하기 위한 대응책을 배포합니다. 최신 공격이 점점 발전함에 따라 클라우드 기반 DDoS 방어 기능은 심층적이고 확장성 있는 보안을 제공하여백엔드 인프라 및 인터넷 기반 서비스를 최적의 방식으로 활용할 수 있도록 지원합니다.

DDoS 공격 방어 서비스를 통해 기업은 다음과 같은 장점을 얻을 수 있습니다.

• DDoS 공격과 관련된 비즈니스 리스크 및 공격표면을 줄입니다.
• 비즈니스에 영향을 미치는 다운타임을 방지합니다.
• 웹 페이지가 오프라인으로 전환되지 않도록 보호
• DDoS 이벤트에 대한 대응 속도를 높이고 인시던트 대응 리소스를 최적화합니다.
• 서비스 중단을 파악하고 조사하는 데 걸리는 시간을 단축합니다.
• 직원의 생산성 손실을 방지합니다.
• DDoS 공격을 방어하기 위한 대책을 보다 신속하게 배포합니다.
• 브랜드 평판 저하나 수익성 악화를 차단합니다.
• 디지털 자산의 애플리케이션 업타임과 성능을 유지합니다.
• 웹 보안 관련 비용을 최소화합니다.
• 협박, 랜섬웨어및 기타 진화하는 새로운 위협으로부터 보호

Akamai는 전용 엣지, 분산형 DNS, 클라우드 스크러빙 방어로 구성된 투명한 메시를 통해 심층적인 DDoS 방어 서비스를 제공합니다. 특별히 설계된 클라우드 서비스는 DDoS 및 네트워크 보안 체계를 강화하는 동시에 공격표면을 줄이고, 방어 품질을 개선하고, 오탐률을 줄이고, 가장 크고 복잡한 공격에 대한 안정성을 높이도록 설계되었습니다. 또한, 웹 애플리케이션이나 인터넷 기반 서비스의 개별 요구사항에 맞춰 솔루션을 세밀하게 조정할 수 있습니다.

• App & API Protector를 사용한 엣지 보안. Akamai App & API Protector는 웹 애플리케이션 방화벽, 봇 방어, API 보안, 레이어 7 DDoS 방어 기능을 하나의 솔루션으로 통합합니다. 가장 복잡한 분산 아키텍처에서도 취약점을 빠르게 탐지하고 전체 웹 및 API 자산 전체에서 위협을 방어합니다. 업계 최고의 공격 탐지 솔루션으로 인정받은 App & API Protector는 구축과 사용이 간편합니다. 보안 보호 기능이 자동으로 업데이트되며, 트래픽 및 공격에 대한 종합적인 가시성도 제공합니다.
• Edge DNS를 사용한 DNS 방어. Akamai의 권한 DNS 서비스인 Edge DNS도엣지에서 트래픽을 필터링합니다. Akamai가 특별히 설계한 Edge DNS는 다른 DNS 솔루션과 달리 DDoS 공격이 발생해도 가용성과 안정성을 유지하도록 특별히 설계되었습니다. Edge DNS는 네임 서버, PoP(Point of Presence), 네트워크, 분리된 IP Anycast 클라우드 등 여러 단계에서 아키텍처 이중화를 지원하고 뛰어난 성능을 전송합니다.
• Prolexic을 통한 포괄적인 DDoS 방어. Akamai Prolexic은 온프레미스, 클라우드, 하이브리드의 세 가지 옵션으로 제공되며 모든 포트와 프로토콜에서 고객의 데이터 센터와 하이브리드 인프라에 포괄적인 DDoS 방어 기능을 제공합니다. 독립 실행형 솔루션 또는 Prolexic 온프레미스에 대한 하이브리드 백업으로 제공되는 Prolexic 클라우드 DDoS 방어는 32곳의 글로벌 대도시 센터에 위치한 36개 이상의 클라우드 스크러빙 센터를 통해 20Tbps 이상의 전용 DDoS 방어 기능을 제공합니다. 이 용량은 인터넷 기반 자산을 항상 사용할 수 있도록 설계되어 있으며, 이는 모든 정보 보안 프로그램의 토대입니다. 완전한 매니지드 서비스인 Prolexic은 포지티브 및 네거티브 보안 모델을 구축할 수 있습니다. 255명 이상의 최전방 SOCC 대응 인력으로 구성된 Akamai 글로벌 팀의 전문적인 방어와 자동 방어 기능을 결합한 서비스를 제공합니다. Prolexic은 또한 데이터센터 인프라 및 인터넷 기반 서비스를 보호하고 가용성을 높인 선제적 방어 제어를 통해 업계 최고의 0초 방어 SLA를 제공합니다.

• DoS 방어란 무엇일까요?
• ICMP 플러드 공격이란 무엇일까요?
• 멤캐시드 DDoS 공격이란 무엇일까요?
• SYN 플러드 DDoS 공격이란 무엇일까요?
• Slowloris DDoS 공격이란 무엇일까요?
• UDP 플러드 DDoS 공격이란 무엇일까요?
• 애플리케이션 레이어 DDoS 공격이란 무엇일까요?
• DNS 증폭 공격이란 무엇일까요?
• SSDP DDoS 공격이란 무엇일까요?
• CLDAP 반사 DDoS 공격이란 무엇일까요?