분산 거부 서비스 공격

대역폭 소진 공격은 분산 거부 서비스 공격의 가장 기본적인 형태로, 표적이 되는 네트워크나 서버의 모든 사용 가능한 대역폭을 악의적인 트래픽으로 포화시켜 정상적인 트래픽의 흐름을 방해하는 것을 목표로 한다. 이 공격은 주로 OSI 모델의 3계층(네트워크 계층)과 4계층(전송 계층)을 대상으로 하며, 목표 시스템의 업링크를 마비시키는 데 중점을 둔다. 공격자는 수천 대에서 수백만 대에 이르는 좀비 PC나 IoT 기기로 구성된 봇넷을 이용해 동시에 엄청난 양의 데이터 패킷을 표적에게 집중적으로 전송한다.

공격의 주요 기법으로는 UDP 플러드와 ICMP 플러드가 있다. UDP 플러드는 연결 설정이 필요 없는 UDP 패킷을 무작위 포트 번호로 대량 전송하여 표적 시스템이 존재하지 않는 서비스에 대한 응답을 생성하도록 유도하고, 이 과정에서 시스템 자원과 네트워크 대역폭을 소모시킨다. ICMP 플러드(예: 핑 플러드)는 네트워크 진단용 ICMP 패킷(예: Echo Request)을 대량으로 보내 표적이 이에 대한 응답을 생성하게 만들어 대역폭을 고갈시킨다. 이 외에도 IP 패킷의 출발지 주소를 위조(IP 스푸핑)하여 공격 트래픽의 근원지를 감추는 기법이 일반적으로 함께 사용된다.

이러한 공격의 효과는 표적의 네트워크 용량에 비례한다. 공격 트래픽의 규모가 표적의 수용 가능한 대역폭을 초과하면 네트워크 경로상의 라우터나 스위치가 포화 상태에 이르러 정상적인 데이터 패킷의 손실이 발생하거나 심각한 지연이 생긴다. 결과적으로 합법적인 사용자는 웹사이트에 접속하거나 서비스를 이용하는 것이 사실상 불가능해진다. 대역폭 소진 공격은 비교적 단순한 구조지만, 충분히 큰 규모의 봇넷을 동원할 경우 방어가 매우 어려운 공격 방식으로 평가받는다.

자원 소진 공격은 서버나 네트워크 장비의 연결 상태, 메모리, CPU 처리 능력과 같은 한정된 시스템 자원을 고갈시켜 정상적인 서비스를 방해하는 DDoS 공격 유형이다. 대역폭을 포화시키는 대신, 표적 시스템 내부의 핵심 자원을 집중적으로 소모시키는 것이 특징이다. SYN 플러드 공격이 대표적인 예로, 공격자는 다량의 TCP 연결 요청(SYN 패킷)을 보내지만 연결을 완성하지 않아 서버가 대기 상태의 불완전한 연결을 유지하게 만든다. 이로 인해 서버의 연결 큐가 가득 차 더 이상 정상적인 연결 요청을 처리할 수 없게 된다.

이 유형의 공격은 상대적으로 적은 양의 트래픽으로도 큰 피해를 입힐 수 있어 효율성이 높다. 주요 공격 기법으로는 다음과 같은 것들이 있다.

애플리케이션 계층(OSI 7계층의 7계층)을 표적으로 하는 공격도 이 범주에 포함된다. Slowloris나 HTTP 플러드와 같은 공격은 웹 서버의 로그인 페이지나 검색 기능처럼 자원을 많이 소모하는 동작에 집중하여, 적은 수의 공격 장비로도 서버의 처리 능력을 마비시킨다. 이러한 공격 트래픽은 정상적인 사용자 트래픽과 구분하기 어려워 탐지와 차단이 더욱 복잡해진다.

방어를 위해서는 연결 수와 요청 빈도에 대한 임계값 설정, 비정상적인 연결 패턴 탐지, 웹 애플리케이션 방화벽(WAF) 도입 등의 조치가 필요하다. 또한, 서버의 핵심 자원 사용량을 지속적으로 모니터링하여 갑작스러운 소모 현상을 조기에 발견하는 것이 중요하다.

애플리케이션 계층 공격(OSI 모델의 7계층)은 표적 서버의 실제 애플리케이션 또는 서비스(예: 웹 서버, DNS 서버, 이메일 서버)를 표적으로 하는 정교한 공격 방식이다. 이 공격은 상대적으로 적은 양의 트래픽으로도 서버의 핵심 애플리케이션 자원(예: 데이터베이스 연결, CPU, 메모리)을 고갈시켜 정상 사용자의 서비스 이용을 방해한다. 따라서 대역폭을 포화시키는 볼류메트릭 공격과 구별되며, 탐지가 더 어려운 경우가 많다.

주요 공격 유형으로는 HTTP GET Flood와 HTTP POST Flood가 있다. HTTP GET Flood는 웹 페이지나 대용량 파일을 반복적으로 요청하는 공격이며, HTTP POST Flood는 로그인이나 검색과 같이 서버 측에서 처리 부하가 큰 요청을 지속적으로 보낸다. 또한, Slowloris 공격은 불완전한 HTTP 요청을 매우 느리게 전송하여 서버의 연결 풀을 점유하고, 정상 연결을 차단하는 기법이다.

이러한 공격을 효과적으로 탐지하고 완화하기 위해서는 일반적인 트래픽 볼륨 분석만으로는 부족하다. 대신, 사용자 세션의 행동 패턴, 초당 요청 수(RPS), 특정 URL에 대한 집중 접속, 비정상적인 지리적 위치에서의 접속 등을 분석해야 한다. 방어 측은 웹 애플리케이션 방화벽(WAF)을 배치하여 악성 HTTP 요청을 필터링하거나, 의심스러운 IP 주소에 대해 요청 속도를 제한(레이트 리미팅)하는 방법을 사용한다.

봇넷은 악성 소프트웨어에 감염되어 공격자의 통제를 받는 다수의 컴퓨터, 서버, IoT 기기 등으로 구성된 네트워크이다. 이 감염된 각 기기를 좀비 PC 또는 봇이라고 부른다. 공격자는 이 봇넷을 이용해 대규모의 분산 거부 서비스 공격을 동시에 실행하여 표적 시스템에 엄청난 양의 트래픽을 집중시킨다. 봇넷의 규모는 수백 대에서 수백만 대에 이르며, 규모가 클수록 공격의 파괴력이 증가한다.

봇넷의 생성과 운영에는 C&C 서버가 핵심 역할을 한다. C&C는 '명령 및 제어'를 의미하며, 공격자가 봇넷에 속한 모든 좀비 PC에게 명령을 내리고 통제하는 중앙 서버를 가리킨다. 공격자는 C&C 서버를 통해 공격 시작 시간, 표적 IP 주소, 사용할 공격 기법 등의 명령을 배포한다. C&C 서버와 봇들 간의 통신은 은닉을 위해 IRC, HTTP, 또는 P2P 네트워크와 같은 합법적으로 보이는 프로토콜을 이용하기도 한다.

C&C 서버의 구조는 중앙집중형에서 분산형까지 진화해왔다. 초기에는 단일 C&C 서버를 사용했으나, 이는 차단되면 전체 봇넷이 무용지물이 되는 단점이 있었다. 이를 극복하기 위해 다중 C&C 서버, 도메인 생성 알고리즘, 또는 완전한 P2P 구조를 채택하여 탄력성과 생존성을 높인다. 최근에는 합법적인 클라우드 서비스나 소셜 미디어 플랫폼을 C&C 채널로 악용하는 사례도 나타난다[2].

반사 및 증폭 공격은 공격자가 상대적으로 적은 양의 요청을 보내 목표 서버에 대량의 응답 트래픽이 집중되도록 유도하는 DDoS 기법이다. 이 공격은 공격자가 자신의 IP 주소를 위장(스푸핑)하여 다수의 중간 서버(반사체)에 요청 패킷을 보내는 방식으로 작동한다. 반사체 서버는 요청을 받으면 정상적인 응답 패킷을 생성하지만, 패킷의 출발지 주소가 공격자에 의해 위조된 목표 서버의 주소이기 때문에 응답이 공격 대상으로 향하게 된다. 이 과정에서 응답 패랫의 크기가 요청 패킷보다 훨씬 크다면 트래픽이 증폭되는 효과가 발생한다.

주요 반사 및 증폭 공격에는 DNS 증폭 공격, NTP 증폭 공격, SNMP 증폭 공격, CLDAP 증폭 공격 등이 있다. 이들은 모두 특정 프로토콜의 설상상 취약점이나 정상적인 기능을 악용한다. 예를 들어, DNS 증폭 공격은 작은 크기의 DNS 질의 패킷에 대해 매우 큰 DNS 응답 레코드(예: TXT 레코드)를 반환하도록 유도하여 증폭률을 극대화한다. 각 공격 유형의 특징은 아래 표와 같다.

이러한 공격은 공격자에게 몇 가지 이점을 제공한다. 첫째, 공격 트래픽의 출처가 실제로는 합법적인 공용 서버들이기 때문에 공격 근원지를 추적하기 어렵다. 둘째, 적은 양의 대역폭으로도 막대한 양의 공격 트래픽을 생성할 수 있어 공격 효율이 매우 높다. 따라서 방어 측면에서는 반사체가 될 수 있는 공용 서비스의 불필요한 UDP 포트를 차단하거나, 스푸핑된 IP 주소로부터의 패킷을 네트워크 경계에서 차단(BCP38[3])하는 것이 기본적인 대응책이다.

트래픽 분석 기반 탐지는 네트워크 트래픽의 통계적 특성이나 패턴을 실시간으로 모니터링하여 비정상을 감지하는 방법이다. 이 방식은 일반적으로 정상 상태의 트래픽 기준선을 설정하고, 이를 벗어나는 변칙을 탐지하는 원리를 사용한다. 분석 대상은 주로 패킷 전송률, 대역폭 사용량, 특정 프로토콜의 비율, 출발지 IP 주소의 다양성 등이다.

탐지 방법은 크게 두 가지로 구분된다. 첫째는 임계값 기반 탐지로, 사전에 정의된 특정 수치를 초과하는 트래픽을 공격으로 판단한다. 예를 들어, 초당 패킷 수나 초당 비트 수가 평소의 10배를 넘어서면 경보를 발생시킨다. 둘째는 통계적 프로파일링 기반 탐지로, 장기간의 트래픽 데이터를 학습하여 정상적인 트래픽의 통계적 모델을 만들고, 이 모델과 현저히 다른 트래픽을 이상 징후로 식별한다.

분석은 네트워크의 다양한 지점에서 수행될 수 있다. 일반적으로 라우터나 스위치와 같은 네트워크 장비, 또는 전용 침입 탐지 시스템에서 트래픽을 샘플링하여 분석한다. 효과적인 탐지를 위해 다음과 같은 주요 지표를 종합적으로 고려한다.

이 방법의 장점은 비교적 구현이 간단하고 알려진 공격 패턴에 대해 빠르게 대응할 수 있다는 점이다. 그러나 지능적이고 분산된 공격은 정상 트래픽을 모방하거나 점진적으로 트래픽을 증가시켜 기준선을 교란할 수 있어 탐지가 어려울 수 있다. 따라서 트래픽 분석 기반 탐지는 종종 행동 기반 탐지와 같은 다른 기법과 결합하여 사용된다.

행동 기반 탐지는 정상적인 사용자나 시스템의 일반적인 행동 패턴을 기준으로 설정하고, 이 기준에서 벗어나는 이상 행위를 탐지하는 방식이다. 이 방법은 특정 공격 서명을 찾는 트래픽 분석 기반 탐지와 달리, 공격의 패턴이 지속적으로 진화하거나 새로운 형태로 등장하는 경우에도 효과적일 수 있다.

기본 원리는 정상 상태를 정의하는 것이다. 예를 들어, 특정 서버에 대한 일반적인 시간당 접속 횟수, 사용자 세션의 평균 지속 시간, 특정 API 엔드포인트에 대한 요청 빈도 등을 장기간 모니터링하여 기준선을 설정한다. 이후 실시간 트래픽을 모니터링하며 이 기준선에서 통계적으로 유의미하게 벗어나는 변칙을 탐지한다. 변칙의 예로는 특정 IP 주소에서의 극단적으로 높은 요청률, 비정상적인 패킷 크기 분포, 평소와 다른 지리적 위치에서의 접속 폭증 등이 포함된다.

이 기법은 기계 학습 알고리즘을 활용하여 구현되는 경우가 많다. 시스템은 정상 트래픽 데이터를 학습하여 모델을 구축하고, 새로운 트래픽이 이 모델과 얼마나 일치하는지 평가한다. 이상 징후가 감지되면 관리자에게 경고를 생성하거나, 사전 정의된 정책에 따라 자동으로 차단 조치를 취할 수 있다. 행동 기반 탐지는 알려지지 않은 제로데이 DDoS 공격을 식별하는 데 강점을 보이지만, 정상 행동의 기준을 정확히 설정하는 것과 높은 오탐지 가능성이라는 과제를 안고 있다.

네트워크 인프라 방어는 분산 거부 서비스 공격의 직접적인 영향을 받는 네트워크 경계에서 이루어지는 1차 방어선이다. 이는 공격 트래픽이 내부 시스템에 도달하기 전에 차단하거나 걸러내는 것을 목표로 한다. 주요 전략으로는 인그레스 필터링과 이그레스 필터링을 통해 출발지 IP 주소가 위조된 패킷을 차단하는 것이 포함된다. 또한, 라우터와 스위치에서 액세스 제어 목록을 구성하여 의심스러운 트래픽을 차단하거나 속도를 제한할 수 있다.

네트워크 아키텍처 설계 단계에서의 대비도 중요하다. 서버와 중요 자원을 여러 데이터 센터에 분산시키고, 로드 밸런서를 활용하여 트래픽을 여러 서버에 나누는 방식은 단일 지점의 과부하를 방지한다. 네트워크 대역폭을 여유 있게 확보하는 것도 기본적인 완화 조치이다. 이를 통해 소규모의 대역폭 소진 공격을 흡수할 수 있는 용량을 갖출 수 있다.

보다 진화된 기술적 방어 수단도 활용된다. BGP 흐름 명세나 리모트 트리거 블랙홀 같은 기법을 사용하면, 공격 트래픽을 식별한 후 네트워크 경로 상에서 차단 지점을 설정하여 목표 시스템에 도달하지 못하도록 할 수 있다. 다음 표는 주요 네트워크 인프라 방어 기법을 정리한 것이다.

이러한 인프라 수준의 방어는 공격의 초기 충격을 줄이는 데 필수적이지만, 대규모이거나 복잡한 공격에는 한계가 있을 수 있다. 따라서 클라우드 기반 완화 서비스나 전문 보안 운영 센터의 모니터링과 연동된 다층 방어 전략이 필요하다.

클라우드 기반 완화 서비스는 분산 거부 서비스 공격의 대규모 트래픽을 온프레미스 인프라에 도달하기 전에 클라우드 네트워크 상에서 차단하거나 걸러내는 서비스이다. 이 서비스는 공급업체가 운영하는 전 세계에 분산된 대용량 스크러빙 센터를 통해 작동한다. 고객은 자신의 트래픽을 이 센터로 유도하기 위해 DNS 레코드를 변경하거나 BGP 라우팅을 재구성한다. 악성 트래픽은 센터에서 식별 및 제거된 후, 정상 트래픽만 고객의 원본 서버로 전달된다[4].

이 접근 방식의 주요 장점은 무한에 가까운 대역폭과 탄력적인 확장성을 제공한다는 점이다. 공격 규모가 갑자기 증가하더라도 클라우드 공급자의 거대한 네트워크 용량을 활용하여 공격을 흡수할 수 있다. 또한, 하드웨어 장비 구입 및 유지보수 비용 없이 서비스형으로 제공되므로, 중소기업도 비교적 낮은 진입 장벽으로 전문적인 방어를 도입할 수 있다.

주요 서비스 유형은 다음과 같다.

이러한 서비스는 복잡한 애플리케이션 계층 공격을 방어하기 위해 웹 애플리케이션 방화벽 기능을 통합하는 경우가 많다. 그러나 클라우드 서비스에 대한 의존도가 높아지고, 모든 트래픽이 제3자를 경유함에 따른 레이턴시 증가 및 데이터 프라이버시 고려사항이 주요 논의 대상이 된다.

분산 거부 서비스 공격이 발생했을 때, 체계적인 사고 대응 절차를 따르는 것은 피해를 최소화하고 서비스를 신속하게 복구하는 데 필수적이다. 일반적인 사고 대응 절차는 준비, 탐지 및 분석, 봉쇄 및 제거, 복구, 사후 분석의 단계로 구성된다.

첫 단계는 공격 발생 전의 준비 단계이다. 이 단계에서는 명확한 대응 계획을 수립하고, 담당자와 의사소통 채널을 지정하며, 네트워크 트래픽 기준선을 설정한다. 또한 클라우드 기반 완화 서비스 업체와의 계약을 사전에 체결하거나, 내부 방어 장비의 설정을 점검한다. 정기적인 훈련과 모의 훈련을 통해 대응 절차를 숙달하는 것도 중요하다.

공격이 감지되면 즉시 분석 단계에 돌입한다. 공격의 유형(대역폭 소진 공격, 애플리케이션 계층 공격 등), 규모, 공격 소스, 대상 시스템을 신속히 파악한다. 이 정보는 이후의 대응 결정에 근거가 된다. 분석과 동시에 봉쇄 단계를 진행하여 피해 확산을 막는다. 주요 조치로는 공격 트래픽을 C&C 서버나 반사체로 차단하거나, 트래픽을 스크러빙 센터로 우회시키는 것이 포함된다.

공격이 종료되면 복구 단계에서 시스템을 정상 상태로 되돌린다. 차단 정책을 점진적으로 해제하고, 시스템 무결성을 확인하며, 강화된 모니터링을 유지한다. 마지막 사후 분석 단계에서는 공격의 원인, 대응 과정의 효과성, 개선점을 문서화한다. 이 보고서는 향후 대응 계획과 방어 전략을 업데이트하는 데 활용된다.

사물인터넷 기기의 급격한 증가와 이들 기기의 보안 취약점은 DDoS 공격의 규모와 빈도를 변화시켰다. 전통적인 봇넷이 주로 개인용 컴퓨터로 구성되었다면, 최근 공격자들은 보안이 취약한 IoT 기기(예: IP 카메라, 스마트 홈 장치, 라우터, 디지털 비디오 레코더)를 대규모로 감염시켜 공격 인프라로 활용한다. 이러한 기기들은 종종 기본 비밀번호를 변경하지 않거나, 업데이트가 불가능한 펌웨어를 사용하여 쉽게 악성 코드에 감염된다.

이러한 IoT 봇넷은 미라이 봇넷과 같은 사례에서 볼 수 있듯이, 수십만 대의 기기를 동원하여 초당 1 테라비트 이상의 트래픽을 발생시키는 초대규모 공격을 가능하게 한다. IoT 기기는 일반적으로 항상 전원이 켜져 있고 고대역폭 네트워크에 연결되어 있어, 공격자에게 매우 효율적인 공격 도구가 된다.

IoT 기기를 활용한 공격의 대응은 기존 방식보다 복잡하다. 피해 기기의 소유자는 자신의 장치가 공격에 활용되고 있는지 인지하지 못하는 경우가 많으며, 기기 제조사는 보안 패치를 제공하지 않거나 사용자가 적용하기 어려운 경우가 많다. 이에 따라 규제 기관들은 IoT 기기에 대한 최소한의 보안 기준(예: 기본 비밀번호 변경 강제, 보안 업데이트 메커니즘)을 마련하는 방안을 모색하고 있다.

인공지능과 머신러닝 기술의 발전은 분산 거부 서비스 공격의 진화와 방어 양측에 모두 영향을 미치고 있다. 공격자들은 AI를 활용하여 더욱 정교하고 적응형인 공격을 자동화한다. 예를 들어, 머신러닝 알고리즘을 사용해 방어 시스템의 패턴을 학습하고, 탐지를 회피하기 위해 공격 트래픽의 특징을 실시간으로 변화시킬 수 있다. 또한, AI는 취약한 IoT 기기를 효율적으로 탐색하고 감염시켜 대규모 봇넷을 구성하는 데 활용되기도 한다.

방어 측면에서는 AI와 머신러닝이 공격 탐지 및 완화의 핵심 기술로 자리 잡았다. 기존의 시그니처 기반 탐지는 새로운 공격 벡터에 대응하기 어려운 반면, AI 기반 시스템은 정상 트래픽과 비정상 트래픽을 구분하는 행동 분석 모델을 지속적으로 학습한다. 이 시스템들은 네트워크 트래픽의 실시간 흐름을 분석하여 미세한 이상 징후를 조기에 발견하고, 공격 트래픽을 자동으로 차단 또는 격리한다.

AI를 활용한 공격과 방어는 일종의 군비 경쟁 구도를 형성하고 있다. 공격자와 방어자 모두 지속적으로 알고리즘을 개선하고 전략을 발전시킨다. 이에 따라 향후 DDoS 공격 방어는 단순한 트래픽 필터링을 넘어, 예측 분석과 사전 대응을 포함한 지능형 사이버 방어 체계로 전환될 전망이다.