DDoS 공격 유형과 계층별 방어 체계
DDoS 공격의 대역폭·세션·웹 계층별 특성과 봇넷 구조, 스크러빙·분산 방어·행동 분석 기반 대응 전략을 정리한다.
2026-08-14 · 최초 발행 2025-05-27
분산된 요청이 서비스 경로를 막는 방식
DDoS(Distributed Denial of Service)는 여러 공격 지점이 대상 시스템으로 대량의 트래픽이나 요청을 보내 정상 서비스 제공을 어렵게 만드는 분산 서비스 거부 공격이다. IoT 기기의 증가와 공격 도구의 진화는 공격의 규모와 복잡성을 키웠다.
2023년 기준 평균 DDoS 공격 규모는 초당 400Gbps 수준까지 증가했으며, 최대 규모는 2.3Tbps를 기록했다. 금융, 온라인 게임, 정부 기관은 주요 표적이 될 수 있고, 공격은 경제적 손실과 사회적 혼란으로 이어질 수 있다.
공격자는 C&C(Command and Control) 서버를 통해 전 세계에 흩어진 봇넷을 제어한다. 감염된 호스트는 명령을 받은 뒤 같은 대상을 향해 동시에 트래픽을 발생시키며, 이 트래픽은 정상 요청과 섞여 탐지와 차단을 어렵게 만든다.
네트워크 대역폭을 먼저 소진시키는 공격
볼류메트릭 공격(Volumetric Attack)은 네트워크 대역폭을 채워 정상 트래픽이 지나갈 길을 막는 방식이다. UDP Flood는 무작위 포트로 대량의 UDP 패킷을 보내고, ICMP Flood는 ICMP Echo 요청 패킷을 대량 전송한다. DNS, NTP, SSDP 등의 프로토콜을 이용하는 증폭 공격도 이 범주에 속한다.
이 유형은 주로 L3/L4 레벨에서 발생하며 짧은 시간에 수백 Gbps 이상의 트래픽을 만들 수 있다. 증폭 공격에서는 요청보다 응답이 수십~수백 배 커질 수 있다.
2018년에는 GitHub를 대상으로 요청 대비 51,000배 증폭된 1.35Tbps 규모의 Memcached 증폭 공격이 발생했다.
대역폭 소진 공격에는 대용량 필터링 인프라를 이용한 트래픽 스크러빙, 특정 트래픽에 제한을 거는 속도 제한(Rate Limiting), 목적지 트래픽을 완전히 차단하는 블랙홀 라우팅을 적용할 수 있다. DNS 증폭 공격에는 UDP 소스 검증과 DNS 서버 보안 강화가 대응 수단이 된다.
연결 상태를 고갈시키는 프로토콜 공격
프로토콜 공격(Protocol Attack)은 서버나 방화벽 같은 네트워크 장비의 연결 상태 테이블을 소진시키는 데 초점을 둔다. SYN Flood는 TCP 3-way handshake의 첫 단계인 SYN 패킷만 대량으로 보내고, TCP Connection Flood는 완성된 TCP 연결을 많이 유지한다. Fragmentation 공격은 패킷을 조각내 재조립 자원을 소모시킨다.
대역폭 자체는 볼류메트릭 공격보다 적을 수 있지만, 메모리와 CPU 사용률을 급격히 올리고 새 연결을 처리하지 못하게 만들 수 있다.
2019년 AWS에서는 TCP SACK Panic 취약점 공격(CVE-2019-11477)이 발생했다.
SYN Cookies는 TCP 연결 상태를 유지하지 않고 SYN 요청을 처리하는 방식이다. 이와 함께 클라이언트별 최대 연결 수 제한, 미완성 연결의 타임아웃 단축, TCP 상태 테이블의 변화 추적과 이상 감지를 조합할 수 있다.
정상 요청처럼 보이는 웹 계층 공격
애플리케이션 계층 공격(Application Layer Attack)은 웹 서버가 요청을 처리하는 데 쓰는 자원을 겨냥한다. HTTP Flood는 GET/POST 요청을 대량 전송하고, Slowloris는 연결을 유지한 채 요청 완료를 매우 늦춘다. Apache Killer는 특정 Range 헤더로 웹 서버 자원을 고갈시키며, Cache-busting 공격은 무작위 파라미터로 캐시를 우회한다.
이 공격은 적은 대역폭으로도 가능하고 정상 사용자 요청과 구별하기 어렵다. 웹 서버의 CPU, 메모리, DB 연결 자원이 함께 고갈될 수 있다.
2020년 AWS 클라우드 서비스를 대상으로 한 Layer 7 공격은 2.3Tbps를 기록했다.
웹 계층에서는 웹 애플리케이션 방화벽(WAF)으로 비정상 요청 패턴을 거르고, CAPTCHA 또는 Challenge로 봇 트래픽을 구분할 수 있다. 콘텐츠 캐싱은 반복 요청의 서버 부하를 줄이며, IP·세션별 요청 속도 제한과 사용자 행동 분석은 추가 방어층이 된다.
트래픽을 우회하고 걸러내는 방어 경로
트래픽 스크러빙 센터(Clean Pipe)는 의심스러운 트래픽을 전용 클렌징 인프라로 우회시킨 뒤, 필터링을 통과한 정상 트래픽만 보호 대상에 전달한다. BGP 라우팅 조작을 이용한 리디렉션, 대용량 분산 필터링 인프라, 다단계 필터링 엔진이 사용된다.
이 방식은 대규모 볼류메트릭 공격과 ISP 레벨 보호에 효과적이다. 반면 트래픽 우회에 따른 지연이 생길 수 있으며, 정교한 애플리케이션 공격에는 한계가 있다.
분산 방어 시스템은 전 세계에 배치된 네트워크가 공격을 흡수하고 분산하는 구조다. 엣지 노드가 가까운 위치에서 트래픽을 필터링하며, CDN(Content Delivery Network), Anycast 라우팅, 머신러닝 기반 실시간 트래픽 패턴 학습을 활용한다.
대역폭 공격에 강하고 지연을 최소화하면서 글로벌 방어를 제공할 수 있지만, 구축 비용이 높고 모든 트래픽이 방어 시스템을 거쳐야 한다.
정상 패턴을 기준으로 이상을 찾는 방법
행동 기반 분석(Behavioral Analysis)은 정상 트래픽 패턴을 학습해 기준점(베이스라인)을 만들고, 이상 패턴이 감지되면 자동으로 대응하는 방식이다. 통계적 이상 감지(Statistical Anomaly Detection), 머신러닝 기반 행동 프로파일링, 히스토리컬 데이터 분석과 패턴 인식이 여기에 사용된다.
행동 기반 분석은 제로데이 공격을 감지하고 정교한 공격에 대응할 수 있으며, 오탐지율을 낮출 수 있다. 초기 학습 기간이 필요하고 자원 소모가 크며, 정상 패턴이 바뀌면 오탐 가능성이 생긴다.
방어 체계에 포함할 운영 항목
DDoS 대응은 단일 장비나 기술로 끝나지 않는다. 네트워크·인프라·애플리케이션 레벨의 다층 방어를 구성하고, 온프레미스 보안과 클라우드 보안을 결합해야 한다.
공격 시나리오별 대응 절차를 문서화하고 주기적으로 모의 훈련을 수행해야 한다. 네트워크 모니터링 시스템으로 트래픽 이상 징후를 실시간 감지하고, 자동 스케일링·로드 밸런싱·리던던시를 포함한 서비스 확장성도 설계 대상이다. 클라우드 기반 DDoS 보호 서비스와 ISP 레벨 방어 서비스도 활용할 수 있다.
AI/ML 기반 실시간 위협 감지, 공격 감지 후 방어 규칙을 생성·적용하는 자동화, 클라우드 환경에 맞춘 확장성 있는 방어 시스템도 사용된다. 모든 트래픽을 검증하는 Zero Trust 접근, 정교한 봇넷 트래픽 식별, 5G 네트워크 환경의 대규모 DDoS 대응 역시 방어 기술의 흐름에 포함된다.