DDoS 공격의 구조와 다층 방어 체계

여러 감염 시스템이 서비스를 멈추게 하는 방식

DDoS(Distributed Denial of Service)는 다수의 감염 시스템이 한 서버나 네트워크 자원에 트래픽을 집중시켜 정상적인 서비스 제공을 어렵게 만드는 공격이다. 단일 출처에서 발생하는 공격과 달리 여러 위치에서 동시에 요청이 들어오므로 차단과 추적이 복잡하다.

IoT 기기와 클라우드 서비스가 늘면서 공격 규모와 형태도 복잡해지고 있다. 공격 목적은 금전, 정치적 동기, 경쟁사 견제 등으로 다양하다.

공격 구조에는 공격을 지휘하는 주체, 제어 서버, 감염된 시스템 집합, 그리고 대상 시스템이 포함된다. 공격자는 취약한 시스템을 찾아 악성코드로 감염시켜 봇넷을 만들고, C&C(Command and Control) 서버를 통해 이를 제어한다. 이후 봇넷이 대상에 대량 트래픽을 보내 서비스 자원을 소진시킨다.

⤢✕

자원을 겨냥하는 공격 경로

대역폭을 먼저 소진시키는 방식은 볼륨 기반 공격으로 분류한다. UDP 플러드는 대량의 UDP 패킷을 임의 포트로 보내고, ICMP 플러드는 과도한 ping 요청으로 대역폭을 소비시킨다. DNS, NTP, SSDP 등의 프로토콜을 악용하는 증폭 공격도 이 범주에 속한다.

프로토콜 공격은 서버가 처리해야 할 상태나 자원을 소진시키는 데 초점을 둔다. SYN 플러드는 TCP 3-way 핸드셰이크 과정의 취약점을 이용하며, 프래그먼트 공격은 패킷 재조립 과정에 부담을 준다.

애플리케이션 계층 공격은 서비스 자체를 대상으로 한다. HTTP 플러드는 정상적인 HTTP GET/POST 요청을 과도하게 발생시키고, 슬로우로리스는 불완전한 HTTP 요청을 계속 유지한다. 슬로우 포스트는 HTTP POST 요청을 매우 느린 속도로 전송한다.

공격 사례가 보여준 방어 지점

2016년 Mirai 봇넷 공격은 CCTV, 라우터, DVR 등의 IoT 기기를 감염시켜 만든 대규모 봇넷 공격이었다. 100만 대 이상의 IoT 장비가 감염됐고, DNS 서비스 제공업체 Dyn을 향해 1Tbps 규모의 트래픽이 발생했다. Twitter, Netflix, Spotify 등 주요 서비스가 일시 중단됐으며, 기본 비밀번호 변경을 포함한 IoT 기본 보안 설정의 필요성이 부각됐다.

2018년 GitHub 공격은 멤캐시드(Memcached) 서버를 이용한 증폭 공격이었다. 공격 트래픽은 1.35Tbps 규모였고 증폭률은 51,000배 이상으로 당시 최대 규모의 DDoS 공격이었다. Akamai의 DDoS 방어 서비스를 통해 8분 만에 공격이 완화됐으며, 개방형 리플렉터(reflector)의 보안 조치가 중요하다는 점을 드러냈다.

2023년에는 클라우드 서비스와 API를 겨냥한 정교한 공격이 증가했다. HTTP/HTTPS 기반 애플리케이션 계층 공격의 비중이 커졌고, 짧은 시간 동안 고강도로 발생하는 히트 앤드 런(Hit-and-Run) 전술도 활용됐다. 이는 기업의 클라우드 마이그레이션 지연과 보안 비용 증가로 이어질 수 있으며, 클라우드 네이티브 보안 솔루션과 API 보안의 필요성을 높인다.

방어는 설계와 운영에서 함께 작동해야 한다

네트워크 설계 단계에서는 예상 트래픽보다 많은 대역폭을 확보하는 과다 프로비저닝, 지리적으로 분산된 서버 구성, 동일 IP를 여러 지역에 분산하는 Anycast 네트워킹을 고려할 수 있다.

운영 단계에서는 블랙홀 라우팅으로 공격 트래픽을 null 인터페이스로 리다이렉트하고, ACL(Access Control List)로 특정 IP 또는 패턴을 필터링한다. BGP 플로우스펙(BGP Flowspec)은 세부적인 트래픽 제어 정책에 활용된다.

스크러빙 센터는 의심스러운 트래픽을 별도 시설로 우회시켜 분석하고, 정상 트래픽만 보호 대상 서버로 전달하는 방식이다. 대규모 공격에 대응하고 전문적인 분석을 수행할 수 있지만, 추가 지연과 비용 증가 가능성이 있다.

⤢✕

클라우드 기반 방어에서는 CDN(Content Delivery Network)으로 트래픽을 분산하고 캐싱을 활용할 수 있다. WAF(Web Application Firewall)는 애플리케이션 계층 공격 방어에 쓰이며, AWS Shield, Cloudflare, Akamai 등의 DDoS 완화 서비스도 선택지다.

행동 기반 분석은 정상 트래픽과 다른 패턴을 식별하는 데 초점을 둔다. 기계학습을 적용해 정상·비정상 트래픽을 구분하고, 알려지지 않은 공격 패턴을 식별하는 Zero-day 공격 대응 능력을 강화할 수 있다.

공격 발생 전에 정리할 대응 체계

대응 계획에는 주요 자산 식별과 취약점 분석, 공격 유형별 대응 시나리오, 대응 팀의 역할 분담이 포함돼야 한다. 정상 트래픽 패턴을 베이스라인으로 정하고 임계값과 알림을 구성하며, 24/7 모니터링 체계도 필요하다.

인시던트가 발생하면 초기 단계에서 이상 징후를 식별하고, 심각도에 맞춰 에스컬레이션해야 한다. 미리 정의한 절차를 실행한 뒤에는 공격 원인과 대응 효과성을 분석한다.

ISP와의 협력 체계, 전문 DDoS 방어 서비스 계약, 보안 커뮤니티를 통한 위협 정보 공유도 대응 범위를 넓힌다.

변화하는 공격 환경에 맞춘 준비

스마트 가전과 산업용 IoT 기기의 취약점을 이용하는 공격, 5G 환경에서 가능한 대규모 공격, AI를 활용한 지능형 공격 패턴이 계속 등장할 수 있다. 방어 측에서도 AI/ML 기반의 패턴 식별과 탐지부터 대응까지 이어지는 자동화가 요구된다. 분산 신원 관리와 인증을 위한 블록체인 활용도 보안 강화 방안으로 언급된다.

기술만으로는 대응이 끝나지 않는다. 국가 간 사이버 보안 공조, 사이버 공격 관련 법규와 처벌 규정 정비, IoT 등 취약 기기에 대한 보안 인증 제도도 함께 마련돼야 한다. DDoS 대응은 예방·탐지·대응·복구의 전체 사이클을 계획하고 훈련하는 문제이며, 클라우드·IoT·5G 환경 변화에 맞춰 방어 전략을 계속 갱신해야 한다.