[POWER COMPANY] 진화하는 디도스 공격 패턴… 안랩이라면 `철통방어`

입력: 2024-11-25 09:00 유진아 기자

폰트

AhnLab
순간적으로 방대한 악성 트래픽 폭격
정부·금융기관 등 서비스 장애 잇달아
대행서비스까지 등장… 공격양상 변주
최근 하이브리드 방식의 방어체계 주목

# 2024년 6월, 인도네시아를 비하한 내용의 기사 보도를 접한 해커가 '인도사랑'을 비롯해 국내 공공 사이트 등 5개 사이트를 타깃으로 디도스 공격을 감행한 정황 포착.

# 2024년 6월, 대통령실, 산업부, 외교부, 경찰청, 국세청 등 정부부처와 기관·기업 등 총 22개 사이트를 노린 디도스 공격 정황 포착.

# 2024년 7월, 마이크로소프트(MS)를 노린 디도스 공격으로 인해 MS가 제공하는 마이크로소프트 365와 애저 서비스 등에서 약 9시간 동안 장애 발생.

# 2024년 11월, 친러 핵티비스트 집단이 국방부, 합동참모본부, 환경부, 행정안전부 산하 국가정보자원관리원, 국민의힘 등 홈페이지에 디도스 공격 자행.

최근 디도스(분산 서비스 거부 공격)로 인해 국내 주요 정부 기관과 기업이 서비스 장애를 겪는 등 피해가 연이어 발생하고 있다. 디도스 공격은 금융, 공공, IT 서비스 등 분야를 가리지 않고 발생하고 있으며, 그 방식도 점차 고도화되고 있어 기업과 기관의 대응을 위한 고심도 깊어지고 있다.

◇단순하지만 효과적… 기관·기업 괴롭히는 디도스 공격

디도스 공격은 공격자가 목표한 인터넷 서비스의 서버에 순간적으로 방대한 악성 트래픽이 몰리도록 공격해 서비스를 중단시키거나 지연시키는 사이버 공격의 한 유형이다. 대부분의 공격자들은 이 공격을 수행하기 위해 미리 악성코드에 감염시킨 이른바 '좀비 PC'인 '봇(Bot)'을 연결한 봇 네트워크(Bot Network), 일명 봇넷(Botnet)을 활용한다.

이러한 디도스 공격은 단순하면서도 효과적으로 서비스 장애를 발생시킬 수 있어, 공격자들은 점차 공격의 방식을 고도화하며 꾸준히 악용하고 있다.

◇대규모화·정교화·서비스화하는 디도스 공격

글로벌 시장조사기관 가트너는 2023년 발표한 'DDoS 완화 솔루션 시장 가이드' 보고서에서 최근 일어나는 디도스 공격의 동향을 분석했다. 이에 따르면 트래픽이 1.5TBps(초당 테라바이트) 수준이 넘는 대규모 공격도 발견되고 있으며, 공격 시간이 8시간 이상을 기록하는 경우도 있는 것으로 나타났다.

또한, 글로벌 커넥티비티 클라우드 기업 클라우드플레어가 발표한 '2024년 2분기 디도스 위협 보고서'에 따르면 올해 2분기에는 대규모 트래픽을 동반한 디도스 공격이 빈번하게 나타났다. 네트워크 계층을 노린 디도스 100건 중 1건은 초당 트래픽 요청이 100만 패킷(pps)을 넘었고, 100건 중 2건은 초당 500Gb(기가비트)를 넘었다. 대량의 HTTP 요청을 보내 서버를 마비시키는 'HTTP 디도스 공격' 중에서는 초당 요청이 100만 개를 넘는 공격이 1000건마다 4건씩 발견됐다.

황성환 클라우드플레어 이사는 "자사 자동 방어 시스템으로 2024년 1분기 동안 총 450만건의 DDoS 공격을 완화했다"며 "특히 디도스 공격의 횟수와 규모가 점차 증가하는 상황에서 클라우드플레어는 105조개의 HTTP 디도스 공격 요청 또는 네트워크 계층에서 59페타바이트(PB) 이상의 DDoS 공격 트래픽을 막았다"고 말했다.

공격방식 또한 점차 정교해지고 고도화되는 추세다. 대규모화되는 추세에 역행하는 1Gbps(초당 기가비트) 미만의 '마이크로 플러드' 공격으로 디도스 완화 솔루션의 기본인 '임계치 대응'의 우회를 시도해 기업의 대응에 혼란을 주는 공격 방식이 꾸준히 등장하는 한편, 디도스 공격을 미리 잠깐 보여주고 추후 공격을 빌미로 금전을 요구하는 '랜섬 디도스' 방식도 성행하고 있다. 또한, 가트너의 'DDoS 완화 솔루션 시장 가이드' 보고서에 따르면, 네트워크 계층 디도스 공격뿐만 아니라 사용자와 직접 상호작용하는 '애플리케이션 계층'을 노린 디도스 공격의 유형도 기존의 3배 이상 증가하는 등 디도스 공격의 양상이 더욱 다양해지고 있다.

일종의 디도스 공격 대행 서비스라 할 수 있는 'DaaS(서비스형 디도스 공격)'도 등장했다. 공격자들은 봇넷을 처음부터 구축하기보다 다크웹 등에 수많은 서비스형 디도스 플랫폼을 이용한다. 더 많은 비용을 지불할수록 더욱 큰 규모로 오랜 시간 동안 공격을 하는 방식이다.

박태환 안랩 사이버시큐리티센터(ASCS)본부장은 "최근의 디도스 공격은 우리가 잘 알고 있는 2009년 '7.7디도스' 사태 당시와는 비교할 수 없을 정도"라며 "디도스 공격은 대응 솔루션을 우회하려는 '저용량 정밀타격'부터 협박과 결합한 방식, 직접 봇넷을 구성할 필요조차 없는 '서비스형 디도스' 공격까지 진화를 거듭하고 있다"고 말했다.

◇공격 고도화에 발맞춰 진화하는 디도스 대응 방식

디도스 공격의 고도화에 맞춰 방어 기법도 함께 진화하고 있다. 디도스 방어를 위한 방식은 크게 소규모와 중규모 디도스 공격 대응을 위한 '디도스 완화 솔루션'과 초대규모 디도스 방어를 위한 '스크러빙 센터', 이 두 방식을 결합한 하이브리드 방식으로 구분할 수 있다.

디도스 완화 솔루션은 크게 '임계치 기반 규칙 방어'와 '인증 기반 대응' 등의 방법을 제공한다. 임계치 기반 규칙 방어는 패킷 구성 요소를 계산해 기준치 이상의 트래픽이 발생할 경우 디도스 공격으로 탐지해 대응하는 기법으로 가장 기본적인 방법이다. 인증 기반 대응은 임계치 기반 규칙을 우회 시도하는 공격에 대응하며, 주로 봇 기반의 자동화된 공격을 방어할 수 있다.

초대용량 디도스 공격 방어를 위한 대응 방안으로는 스크러빙 센터가 있다. 스크러빙 센터는 공격을 받고 있는 고객사의 트래픽을 센터로 우회시켜 악성 트래픽을 차단하고, 정상 트래픽을 다시 고객사로 전송하는 데이터 통제센터를 의미한다. 이 둘을 연계한 하이브리드 방식도 주목받고 있다.

김창희 안랩 제품서비스기획실장은 "일상적·저용량 디도스 공격에 대해서는 디도스 완화 솔루션으로 대응하고, 초대용량 디도스 공격에 대해서는 스크러빙 센터로 대응하는 하이브리드 방식의 디도스 방어체계가 주목받고 있다"며 "기업의 환경과 방어하려는 시스템의 중요도를 파악해 적절한 대응 방안을 구축하는 것이 핵심"이라고 설명했다. 유진아기자 gnyu4@dt.co.kr