DoS 공격의 유형과 서비스 가용성 방어 전략

가용성을 직접 겨냥하는 공격

서비스 거부 공격(DoS)은 시스템, 서버, 네트워크 리소스를 의도적으로 소진시켜 정상 사용자의 접근을 방해하는 공격이다. 목표는 기밀성이나 무결성이 아니라 서비스의 가용성(Availability)을 침해하는 데 있다.

대량 트래픽, 비정상 요청, 연결 및 처리 자원의 고갈이 대표적인 수단이다. 그 결과 응답이 늦어지고, 시스템이 중단되며, 비즈니스 중단과 경제적 손실로 이어질 수 있다.

단일 출처가 공격을 수행하면 DoS라 부른다. 반면 DDoS는 다수의 감염 시스템으로 구성된 봇넷을 사용해 더 큰 규모의 공격을 수행한다. 단일 출처 공격은 공격자의 IP 주소가 드러나 상대적으로 추적과 차단이 쉽지만, 분산 공격은 다수 출처의 트래픽으로 방어 체계를 우회하고 추적을 어렵게 할 수 있다.

대역폭·인프라·애플리케이션을 노리는 방식

볼륨 기반 공격은 대량 트래픽으로 네트워크 대역폭을 소진시킨다. UDP 플러드는 무작위 포트로 UDP 패킷을 대량 전송하고, ICMP 플러드는 ping 요청을 대량으로 보내 대역폭을 고갈시킨다. 증폭 공격은 DNS, NTP 등의 프로토콜을 악용해 적은 요청으로 많은 응답을 유도한다.

⤢✕

프로토콜 공격은 서버뿐 아니라 방화벽, 로드 밸런서 같은 인프라 장비의 자원을 고갈시키는 방식이다. SYN 플러드는 TCP 연결 과정의 3-way handshake 취약점을 이용한다. Fragmented Packet Attack은 분할 패킷의 재조립 과정에 부담을 주며, Ping of Death는 비정상적인 크기의 ICMP 패킷을 전송한다.

⤢✕

애플리케이션 계층 공격은 웹 서버, 애플리케이션, 데이터베이스의 처리 자원을 겨냥한다. HTTP 플러드는 GET/POST 요청을 대량 전송하고, Slowloris는 연결을 완료하지 않은 상태로 오래 유지한다. Apache Killer는 HTTP 헤더를 악용한 공격이다.

서비스 중단으로 남은 사례

2000년 야후는 당시 세계 최대 웹 포털이었으며, ICMP 플러드 공격으로 3시간 동안 서비스가 중단됐다. 피해액은 약 50만 달러로 추정됐다.

2007년 에스토니아에서는 국가 전체 네트워크 인프라를 대상으로 대규모 DoS 공격이 발생했다. 은행, 정부 기관, 언론사 웹사이트 등이 마비됐고, 세계 최초의 국가 대상 사이버 전쟁 사례로 기록됐다.

2018년 GitHub 공격은 당시 기록된 최대 규모의 DDoS 공격인 1.35Tbps에 이르렀다. Memcached 서버를 이용한 증폭 공격 기법이 사용됐으며, 10분 만에 공격 차단에 성공한 방어 사례로도 알려져 있다.

이상 징후를 조기에 포착하는 관측 지점

탐지는 단일 지표보다 네트워크와 시스템 상태를 함께 관측할 때 효과적이다. 정상 트래픽 패턴을 기준선(Baseline)으로 설정한 뒤 트래픽 급증을 임계값(Threshold)으로 모니터링하고, 비정상적인 프로토콜 사용 패턴도 분석한다.

시스템 측면에서는 CPU, 메모리, 디스크 I/O 사용량과 프로세스별 자원 사용량을 추적한다. 특히 TCP 연결 상태 테이블은 프로토콜 공격의 징후를 확인하는 데 중요하다.

동일 IP에서 과도한 요청이 발생하는지, 요청 패턴이 정상 범위를 벗어나는지, 지리적 위치별 트래픽이 어떻게 달라지는지도 함께 확인해야 한다. 이상 징후 감지 알림과 로그 분석 시스템을 구성해 공격 징후를 빠르게 확인할 수 있어야 한다.

차단 장치와 대응 체계를 함께 설계하기

예방 단계에서는 충분한 대역폭과 컴퓨팅 자원을 확보하고, 단일 장애점(SPOF)이 없도록 네트워크 아키텍처를 설계한다. 네트워크 토폴로지는 문서화하고 검토하며, 방화벽과 라우터 구성을 최적화한다. 불필요한 서비스와 포트를 비활성화하고 대역폭 관리 계획을 수립해야 한다. 시스템과 네트워크 장비의 보안 업데이트를 관리하고 CDN(Content Delivery Network)으로 서비스를 분산하는 방식도 포함된다.

기술적 대응에는 ACL(Access Control List), 레이트 리미팅(Rate Limiting), 블랙리스트와 화이트리스트 관리가 있다. 로드 밸런싱은 지리적 분산, 트래픽 부하 분산, 장애 조치(Failover) 구성으로 이어진다. 클라우드 기반 DDoS 방어 서비스, 전용 하드웨어 어플라이언스, 스크러빙 센터(Scrubbing Center)도 방어 수단으로 활용할 수 있다.

⤢✕

인시던트 대응 계획에는 역할과 책임, 대응 절차, 연락망이 포함돼야 한다. 비상 연락망·역할·책임을 명확히 하고, ISP와의 협력 관계를 구축하며 클라우드 기반 DDoS 방어 서비스를 검토한다. 백업 시스템과 복구 계획도 수립해야 한다. DoS 공격 시나리오를 기반으로 모의 훈련을 수행하고 대응 시간을 측정해 개선점을 찾는다. 공격 이후에는 패턴을 분석하고 방어 효과성을 평가하며 보안 정책을 보완한다.

클라우드에서 확보할 수 있는 방어 지점

클라우드 환경에서는 트래픽 증가에 따라 자원을 자동 할당하는 Auto Scaling, 사용자와 가까운 엣지에서 공격을 차단하는 Edge Security, 대규모 분산 인프라의 흡수 능력을 활용할 수 있다. AI 기반으로 비정상 트래픽을 식별하고 제한하는 Traffic Shaping도 방어 방식에 포함된다.

주요 클라우드 제공업체의 DoS 방어 서비스는 다음과 같다.

• AWS Shield
• Google Cloud Armor
• Azure DDoS Protection
• Cloudflare DDoS Protection

공격은 계속 진화하며 복잡하고 지능화되고 있다. 하나의 방어 기법만으로 충분한 보호를 제공하기는 어렵기 때문에 예방·탐지·대응을 연결한 다층 방어를 유지해야 한다. 정기적인 보안 평가와 모의 공격으로 취약점을 식별하고, 클라우드 기반 보안 서비스와 AI 기술을 활용한 선제적 대응을 준비해야 한다. 머신러닝을 활용한 지능형 DoS 공격, 보안이 취약한 IoT 장치를 이용한 대규모 봇넷, 더 빠른 연결 속도에 따른 5G 네트워크의 잠재적 위협에 맞춰 방어 체계와 운영 절차를 지속적으로 검토할 필요가 있다.

공격 이후에도 남겨야 할 법적·운영적 기록

DoS 공격은 대부분의 국가에서 사이버 범죄로 간주된다. 국내에서는 정보통신망법 제48조의 정보통신망 침해행위 금지와 형법 제314조의 업무방해죄가 관련된다. 국제적으로는 사이버범죄협약(부다페스트 협약)과 유엔 사이버범죄방지협약이 있다.

대응 과정에서는 로그 데이터, 네트워크 트래픽 캡처, 타임스탬프를 보존해야 한다. 기술적 차단만으로 끝내지 않고, 비즈니스 연속성 계획(BCP)과 재해 복구 계획(DRP)에 DoS 공격 시나리오를 포함해야 서비스 중단에 대비할 수 있다.