[DDoS 기획] DDoS 대응 장비의 효과적인 운영/관리 가이드

작년 7•7 DDoS 대란 이후 많은 기업 및 기관에서 DDoS 대응장비를 도입하였거나 고려하고 있다. 하지만 DDoS 공격의 특성상 실제 공격이 발생하지 않는 경우에는 DDoS 대응장비에 대한 관심은 네트워크/보안관리자로부터 필연적으로 멀어질 수 밖에 없고 이에 대한 관리와 운영이 부실해질 수 밖에 없다.
이 글에서는 DDoS 대응장비의 한계를 인식하고 효과적으로 운영할 수 있는 가이드를 제공하고자 한다.

DDoS 대응 장비의 한계

작년 7•7 DDoS 대란에서도 경험했던 바와 같이 DDoS 대응 장비의 도입 및 운영 여부와는 별개로 많은 기업과 기관들이 7.7 DDoS 공격에 의해 많은 피해를 입었다.
이는 7.7 DDoS 와 같은 새로운 형태의 공격이 1차적 원인이라고 한다면 DDoS 대응 장비를 도입했던 기업/기관들의 경우 장비를 효율적으로 운영하지 못했던 것도 또 하나의 이유가 될 수 있다.
DDoS 대응 장비는 기존의 많은 벤더의 네트워크 보안제품이 추구하던 통합보안장비(ex, UTM)와는 달리 오직 DDoS 공격만을 탐지/차단하기 위한 장비이다.
하지만 제품의 특성상 하드웨어 및 소프트웨어적인 한계를 가질 수 밖에 없는데 이는 아래와 같다.

DDoS 대응장비도 하나의 시스템이기 때문에 오직 자신이 가지고 있는 자원의 한계 내에서만 정상적으로 동작한다.

예를 들어 1G DDoS 대응장비는 오직 1G(기가바이트) DDoS 공격까지만 방어가 가능하고 이를 넘어설 경우 공격을 차단한다는 것이 무의미해지게 된다. 따라서 이때는 더 상위의 장비를 도입하거나 ISP(인터넷서비스업체) 또는 안철수연구소와 같은 전문 보안 벤더의 도움을 받아야 한다.
 

현재 시장에 나와있는 DDoS 대응 장비는 모두 임계치(Threshold) 기반이다.

DDoS 공격의 목적은 일정시간 동안 특정공격지로 상상이 불가능할 정도로 많은 패킷이 전송됨으로써 시스템 및 네트워크의 자원을 고갈시키고 결과적으로 서비스 거부를 발생시키는 것이다. 많은 이들이 DDoS 대응 장비에서 공격에 이용된 패킷의 내용이나 특정 패턴을 분석하는 것이 중요하다고 생각한다. 하지만 이는 오해다. 실제로 DDoS 공격에서 가장 위협적인 것은 초당 패킷 개수다. 물론 CC-Attack과 같은 일부 패턴 매칭으로 대응 가능한 공격이 있으나 이는 매우 예외적인 사항이다. 실제로 CC-Attack과 같은 공격이 10G이상 발생한다고 했을 때는 단순한 패턴 매칭기법만으로는 대응이 불가능하다.

하지만 반대로 임계치 기반으로 공격을 탐지/차단함으로써 발생되는 태생적인 한계가 존재하는데 이는 임계치 이하의 공격에 대해서는 대응이 불가능하다는 것이다.

이를 극복하기 위한 방안은 여러 가지가 있는데 안철수연구소의 ACCESS 전략(참조 http://download.ahnlab.com/kr/site/brochure/TrsuGuardDPX_whitepaper_201004.pdf)이 대표적인 사례라 할 수 있다.

 

DDoS 대응 장비의 운영 및 관리

이제 본격적으로 DDoS 대응 장비를 효과적으로 운영 및 관리하는 방법을 알아보자. 이를 통해 기업의 네트워크 보안을 한 단계 더 업그레이드할 수 있는 방안을 모색해 보자.

첫째, DDoS 대응 장비의 한계 인식

앞에서도 이야기 했듯이 DDoS 대응 장비의 효율적인 운영/관리를 위해서는 장비 성능 한계를 명확하게 인지해야 한다. 따라서 장비 성능 이상의 공격에 대해서는 별도의 프로세스를 통해 대응할 수 있도록 적절한 대응체계를 별도로 수립해야 한다.

둘째, DDoS 대응 장비의 주기적인 학습 및 결과 분석

대부분의 DDoS 대응 장비는 학습이라는 기능을 제공하고 있다. 이 학습 기능은 DDoS 대응 장비가 익숙하지 않은 관리자에게 장비의 정책을 쉽게 수립할 수 있도록 도움을 주고 있다. 학습된 결과를 정책으로 수립하게 될 때 중요한 부분은 출발지 기반의 정책(=출발지 기준 임계치)이 아닌 목적지 기반의 정책(=목적지 기준 임계치)을 이해하는 것이 선행되어야 한다.

이 임계치는 DDoS 대응 장비가 보호해야 할 네트워크/시스템이 DDoS 공격 발생 시 지탱할 수 있는 트래픽량이 얼마인지를 관리자에게 간접적으로나마 알려주는 매우 중요한 데이터이기 때문이다. 만약 임계치 수치가 매우 낮다면 공격은 차단이 되겠지만, 정상사용자의 서비스에도 매우 많은 영향을 줄 것이다. 반대로 이 수치가 매우 높다면 공격이 발생하더라도 탐지가 되지 않아 어떤 문제가 발생하였는지 확인하고 대응하기까지 매우 많은 시간이 걸릴 것이다. 따라서 목적지 기반의 임계치뿐만 아니라 출발지 임계치에 대한 정확한 산출도 필요하다.

셋째, 엄격한 출발지기준의 정책(=출발지 기반의 임계치) 수립

7.7 DDoS 공격 이전에는 학습기반의 정책만으로도 충분히 DDoS 공격에 대해서 대응이 가능했다. 하지만 이후의 공격들은 학습만으로는 DDoS 공격에 효과적으로 대응이 불가능한 사례들이 발생하고 있다. 7.7 DDoS 공격을 포함하여 이후의 공격들에 대해서 효과적으로 대응하기 위해서 앞서 언급한 출발지 기반의 정책 수립이 매우 중요해졌다.

잠깐 7.7 DDoS 공격에 대해서 설명하자면 공격의 규모는 물론 공격의 방법도 이전과는 매우 많은 차이가 존재했다. 특히 출발지 기준으로의 트래픽량을 살펴보면(아래 그림 참조) 실제 좀비(Zombie) PC 1대에서 발생되는 공격량은 얼마 되지 않는다. 하지만 Zombie PC의 수가 많아지면 많아질수록 어마어마한 공격으로 증가된다는 것을 알 수 있다.

 

 

[그림 1] 7.7 DDoS 대란 시 공격 트래픽 분석

또한 공격 트래픽 자체도 특별한 트래픽이 아닌 일반 PC가 웹에 접속할 때와 거의 동일하게 패킷을 발생시키기 때문에 일반적인 DDoS 대응 장비의 정상 사용자를 확인하는 알고리즘(ex, TCP Syn-Cookie 방식)으로는 공격에 대해서 효과적으로 대응하는 것이 불가능하다.

이때는 출발지 기준으로 TCP Flag 패킷별(ex, TCP/SYN , TCP/Fin, TCP/ACK, TCP/Syn-Ack 등) 임계치를 매우 엄격히 제한할 때에만 대응이 가능해질 것이다. 물론 예외적인 경우로 국내 인터넷 환경 특성상 PAT라는 이슈도 존재하기 때문에 이를 우회하기 위한 정책 설정가능 여부도 DDoS 대응 장비에서 반드시 체크하고 넘어가야 할 부분이다.

 

[그림 2] 학습된 각 타깃/서비스별 Source IP 임계치를 차등 적용하는 AhnLab TrusGuard DPX

넷째, DDoS 공격 탐지 및 차단용 시그니처

최근의 공격 트렌드를 살펴보면, 저대역폭(100MB 이하)수준에서 수많은 좀비 PC를 동원한 공격들이 나타나고 있다. 특히, 슬로우로리스(Slowloris) 공격이 대표적인 사례인데 이러한 공격들은 앞서 언급한 임계치 기반의 정책만으로는 효과적인 탐지/차단이 불가능하다.

이를 보완하는 대표적인 방법으로는 시그니처를 이용하는 것이 있다. 현재 출시된 DDoS 대응 장비들은 대부분 시그니처 또는 이와 비슷한 기능을 구현하고 있다. 가장 대표적인 장비가 안철수연구소의 TrusGuard DPX 제품이다.

 

 
시그니처 방식을 이용한 DDoS 대응 기법은 일반 IPS와 동일한데 만약 DDoS 대응 장비에서 이러한 기능을 제공하지 않는 경우에는 별도의 IPS/웹방화벽 등의 보안장비를 통해 새로운 형태의 공격을 제거할 수 있는 방안을 마련해두어야 할 것이다.

 
다섯째, 불필요한 트래픽 제거

우선 불필요한 트래픽이란 자사의 네트워크에서 서비스하지 않거나 외부에서 자사의 네트워크로 유입될 필요가 없는 Garbage 트래픽을 의미한다. 일반적으로 자사 네트워크의 백본에 적용하거나, ISP에서 처음부터 제어하는 2가지 경우가 있다. 물론 후자가 더 효과적인 대응 방법이다.

[그림 3] Cisco Switch기반 Access-list

 

예를 들어 지금 관리하고 있는 네트워크에서는 오직 웹서버만 존재하며 이외의 다른 어떤 트래픽도 필요가 없다고 가정할 때, UDP와 ICMP / Fragment 패킷들은 처음부터 자사 네트워크로 유입되지 않도록 사전에 ACL기반으로 정책을 수립해두는 것이다.

최근에 7.7 DDoS 공격이 재발할 가능성에 대해서 많은 언론들이 기사화하고 있으며, 조그마한 보안사고가 발생해도 많은 기관과 언론들이 매우 민감하게 반응하고 있다. 또한 DDoS 대응 장비의 무용론도 나돌고 있다. 하지만 지금까지 여러 보안 장비를 구축하고 운영을 해본 결과 보안의 영역에서 불필요한 장비는 없다. 다만 우리의 시스템 및 네트워크에 취약한 영역에 대해서 적절한 보안 장비와 그에 맞는 운영 정책을 확립했을 때 가장 큰 효과를 볼 수 있다. DDoS 대응장비도 이와 마찬가지로 앞에서 기술한 정책들을 적용했을 때 7.7DDoS 대란과 같은 공격에서도 효과적으로 자사의 네트워크를 보호할 수 있을 것이다.@