[Special Report3] DDoS 공격, 대중화 시대로 접어들었다

3부. 2010년 DDoS 공격 동향과 전망
DDoS 공격, 대중화 시대로 접어들었다

DDoS 공격은 2010년에도 지속적으로 발생하였다. [그림 1]은 2010년 네트워크 보안 위협 및 공격 동향을 분석한 결과이다. DDoS 공격은 이 그래프에서 확인할 수 있듯이 매월 1, 2위를 다툴 정도로 여전히 심각한 보안 위협 요소로 작용하고 있다. 물론 최근에는 다양한 DDoS 공격 대응 제품이나 대응 기법들을 통해 많은 DDoS 공격을 방어하고는 있지만 DDoS 공격 역시 지속적으로 변화하고 있다. 결국 DDoS 공격 방어를 위해서는 DDoS 공격에 대한 대응과 더불어 DDoS 공격 예측이 매우 중요하다. 또한 DDoS 공격에 대해 예측하기 위해서는 최신의 공격 기법은 물론 공격 목적의 변화에 대한 인지가 반드시 선행되어야 한다.
따라서 이 글에서는 2010년의 DDoS 공격 특징을 ‘DDoS 공격 기법’과 ‘DDoS 공격 목적의 변화’라는 두 가지 관점에서 정리해 보고자 한다.

 

[그림 1] 2010년 네트워크 보안 위협 및 공격 동향                      출처: 안철수연구소 CERT
(▲ [그림 1]의 구체적인 숫자 등은 첨부한 엑셀 파일(2010년 CERT통계_전달용) 참조 가능)

DDoS 공격 기법의 진화

1. 소규모 정밀 타격형 DDoS 공격으로의 진화

기존의 DDoS 공격은 TCP/UDP/ICMP 등의 프로토콜(Protocol)을 이용하여 과도한 트래픽을 발송하는 것에 주력하였다. 이로써 DDoS 공격은 대역폭 초과, 또는 초당 패킷(Packet) 처리 능력 초과 등을 통해 서비스를 거부시키는 형태로 수행되었다.

그러나 최근의 공격 유형은 이전의 패킷을 과도하게 많이 발송시키는 유형에서 패킷을 소규모로 발송하는 기법으로 변화하였다. 즉, DDoS 공격 목적인 ‘서비스 거부’를 일으키기 위하여 소규모 트래픽만으로도 서비스 장애를 일으킬 수 있는 지능적인 기법으로 DDoS 공격이 진화한 것이다. 이를 위해 공격자는 단순히 네트워크 기반에서 장애를 일으키는 것에 그치지 않고 HTTP 웹 서비스 등 특정한 애플리케이션 프로토콜(Application Protocol)에 대한 DDoS 공격을 감행한다. 이로써 기존과 동일한 서비스 거부 현상을 유발하고 있다.

2. 전통적인 DDoS 공격 기법 대응의 우회

앞서 언급한 HTTP에 관련된 공격을 방어하기 위해 업계에서는 표준 HTTP 프로토콜에서 제공되는 ‘HTTP 302 리다이렉트(Redirect)’ 기능을 이용하여 해당 공격에 대한 방어 기능을 수행하였다. 특히 L4/L7 스위치(Switch)와 같은 애플리케이션 레이어(Application Layer)에 대한 프록시 역할을 수행하는 제품의 경우에는 이러한 302 리다이렉트 기능을 이용하여 정상 접근 사용자인지 아닌지를 판단할 수 있도록 기능을 제공해 왔다. 또는 이러한 기능을 하는 제품이 없을 경우에는 URL을 302 리다이렉트하여 정상 접근 사용자만 걸러주는 별도의 웹 서버(Web Server)를 구축함으로써 해당 DDoS 공격에 대한 방어 기능을 제공해왔다.

하지만 올해의 경우에는 이러한 전통적인 HTTP 공격 방어 기법인 ‘HTTP 302 리다이렉트(Redirect)’를 우회하는 기술을 이용한 사례를 볼 수 있었다. 특히 HTTP 공격 도구가 인터넷 익스플로러(IE) 브라우저 컴포넌트를 그대로 사용하는 형태로 개발됨에 따라 302 리다이렉트에 반응 하게 되어 전통적인 HTTP 공격 방어 기법을 우회하기 시작했다. 때문에 이로 인한 서비스 거부 사태가 초래되었다.

한편, 흔히 HTTP Cache-Control 공격으로 표현되고 있는 HTTP CC 공격은 한때 큰 이슈가 되었으나 최근에 이 공격이 기존 HTTP 공격과 차이가 없는 것으로 확인되었다. 실제로 올해 한국인터넷진흥원(KISA)에서 실시한 테스트 결과에 따르면 일반적인 웹 서비스 환경의 경우에서는 HTTP 플러딩(Flooding)과 HTTP CC 공격, 이들 둘 간의 공격과 피해 측면에서 별 다른 차이가 없었다. 오히려 기존 공격보다 더 쉽게 차단할 수 있어 이 공격은 이제 더 이상 별 다른 효과를 볼 수 없다. 이러한 이유로 보안 업계에서는 HTTP CC 공격이라는 것을 일종의 해프닝으로 바라보고 있다.

3. 공격 목적지의 랜덤화

2010년에 발생한 DDoS 공격 가운데 해외에서 발생한 두 가지 사건을 주목해 볼 만하다. 첫 번째는 미얀마에서 DDoS 공격으로 인해 전체 인터넷 서비스에 장애가 발생한 사건이다. 두 번째는 위키리크스(Wikileaks)에 대한 DDoS 공격 발생이다.
글로벌 DDoS 대응 전문 업체가 분석한 바에 따르면 미얀마 DDoS 공격의 경우, 공격 목적지가 특정 ISP 대역의 불특정 목적지로 DDoS 공격이 발생한 것으로 파악하고 있다. 위키리크스 DDoS 공격의 경우 공격 대상의 서비스 포트(Destination Port)가 임의로(Random) 정해진 독특한 형태로 파악되고 있다.
이는 과거의 특정한 웹 서비스를 대상으로 공격하기 위해 웹 서버의 서비스를 응답하는 TCP 80 포트(Port)와 같이 정해진 목적지(Destination IP) 및 목적지 포트(Destination Port)를 공격하는 것이 아니라 인터넷 서비스의 장애를 위해 목적지를 무작위(Random)로 지정한 극단적인 사례라고 볼 수 있다. 따라서 앞으로 이러한 방식의 DDoS 공격이 국내에도 충분이 일어날 수 있음을 보안 담당자들은 인지해야만 한다.

4. 봇넷(BotNet)의 변화

DDoS 공격에는 대규모 좀비(Zombie) PC가 동원되어야 한다. 이러한 좀비 PC를 중앙에서 제어하기 위해 일반적으로 공격자는 봇넷(BotNet)을 통해 제어한다. 그런데 과거에는 봇넷이 제어 명령을 하는 C&C 서버(Command & Control Server)에 연결되었지만 최근에는 특정한 C&C 서버 이용이 아닌 다른 방식을 이용하고 있다.

첫 번째, 범용 DDoS 공격 툴이 명령을 받는 서버를 특정한 웹 사이트나 SNS 서비스를 통하여 DDoS 공격 명령을 하달 받을 수 있다. 앞서 언급한 위키리크스(Wikileaks) 사례의 경우에도 해당 DDoS 공격 도구 제작자의 동작 방식 설명 자료를 살펴보면 특정한 SNS 를 통하여 공격 명령이 업데이트 될 수 있음을 확인할 수 있다.

한편, 과거에는 좀비 PC의 실제 사용자가 자신이 원치 않았음에도 불구하고 악성코드 감염에 의해 타의적인 좀비 PC로 활용이 되었다. 그러나 올해에는 자발적인 좀비 PC로의 활용되었다는 것이 두 번째 변화양상이다. 전통적으로 3.1절/8.15 광복절과 같은 한일간의 사이버 대전에서 볼 수 있듯이 공격 참여자를 모집하고, 모집된 공격 참여자가 직접 DDoS 공격을 감행하는 경우가 있었다. 이러한 유사 사례로 2010년에는 이른바 6.9 성전이라고 불리는 사건이 발생했다. 이는 일부 중국인 공격자가 커뮤니티 사이트를 통해 공격 참여자를 모집하고, 모집된 공격 참여자에게 공격 도구를 배포하여 정해진 시간에 우리나라의 일부 사이트를 공격한 사례이다.

DDoS 공격 목적의 변화

1. 협박성 DDoS 공격 사례 감소

지난 2008년까지 국내에서는 공격자가 DDoS 공격을 수행하기 전 피해 대상 고객에게 전화, 이메일, 또는 메신저 등을 통해 돈을 요구하는 사례가 빈번하게 발생했다. 그러나 2010년의 경우에는 이러한 협박성 DDoS 공격 사례는 많이 줄어든 것으로 파악되고 있다.

2. 청부 DDoS 공격 유행

해외 동향을 살펴보면 단순히 공격자가 악성코드를 배포하고 자기 이득을 취하던 과거의 양상과는 달리 이제는 사업화를 통해 돈을 버는 수단으로 이용하고 있음을 알 수 있다. 대표적인 예가 제우스 봇(Zeus Bot)이다. DDoS의 경우에도 이와 다르지 않으며, DDoS 공격을 전문적으로 대행하는 사업자가 지속적으로 나타나 이를 통한 청부 DDoS 공격이 지속적으로 감행되고 있다. 특히 특정 대상에 DDoS 공격이 발생하게 되면 해당 피해 업체만 DDoS 공격을 받는 것이 아니라 동종 업계가 같이 DDoS 공격을 받는 현상이 특징적이라 할 수 있다.

3. 정치/문화적 이유의 DDoS 공격

앞서 살펴본 6.9 성전의 경우를 살펴보면 그 이면에는 문화적인 이유가 숨어있음을 알 수 있다. 중국에서 국내 모 아이돌 그룹에 대한 반감이 확산되어 반한 감정으로까지 이어지게 되었고, 이로 인하여 DDoS 공격까지 발생했던 것이다. 즉, 이제는 금전적인 목적뿐만 아니라 이러한 일상적인 이유로 인해서도 DDoS 공격이 발생할 수 있다는 것을 의미한다.

4. 개인적인 불만에 의한 DDoS 공격

올해 DDoS 공격이 빈번하게 발생되고 있는 분야 중 하나는 온라인 게임 업계다. 게임을 이용하던 사용자가 개인적인 불만에 의해 게임 업체를 상대로 DDoS 공격을 감행하고 있는 것도 특징적이다. 즉, 앞서 설명한 정치/문화적인 이유뿐만 아니라 개인의 불만에 의해서도 DDoS 공격이 발생하고 있는 것이다.

5. 핵티비즘(hacktivism)

최근 많은 화제가 되고 있는 위키리크스(Wikileaks)와 관련해서도 DDoS 공격 사례를 찾아볼 수 있다. 위키리크스의 설립자가 체포된 이후 위키리크스 지지자들의 사이버 공격이 지속적으로 발생하여 해외 여러 업체들이 DDoS 공격이 대상이 되고 있는 것이다. 이는 정치적, 또는 사회적 의사를 표출하기 위한 일종의 사이버 공간 상에서의 집단 행위로 볼 수 있으며, 앞에서 언급한 바와 같이 다양한 이유로 인하여 DDoS 공격이 발생됨을 다시 한 번 확인할 수 있다.

※ 핵티비즘(hacktivism)은 정치·사회적 목적으로 이루기 위해 해킹하거나 목표물인 서버컴퓨터를 무력화하고 이런 기술을 만드는 주의이다. 해커와 정치행동주의를 뜻하는 액티비즘(Activism)의 합성어로, 단순히 컴퓨터 보안장치를 풀고 침입하는 해커와는 차이가 있다. 최근 중국인권담당기관이 웹사이트를 개설하자 이에 침입, 공식자료를 지우고 비난 서명을 띄우는 등 투쟁상대를 조롱하기도 했다. <출처: 위키피디아(Wikipedia)>

지금까지 살펴본 바와 같이 DDoS 공격의 기법은 과거보다 진화되고 있음을 알 수 있다. 또한 이러한 DDoS 공격의 진화는 앞으로도 지속될 것으로 예측된다. 특히 DDoS 공격 목적 자체도 개인적이고 일상적인 불만에서 기인했던 올해 사례에서도 볼 수 있듯이 이제는 DDoS 공격이 완전히 대중화가 되었다고 단언할 수 있다. 따라서 변화되는 새로운 DDoS 공격에 대한 대응이 지속적으로 요구되며, 아울러 이미 DDoS 방어 체계를 구축하고 있다 할지라도 새로운 DDoS 공격 대응을 할 수 있는 대비 태세를 갖추어야 한다.

이와 관련해 안철수연구소는 자사의 악성 코드 탐지/분석/대응 기술과 함께 네트워크 기반의 DDoS 대응 제품인 TrusGuard DPX를 통해 새로운 DDoS 공격까지 방어할 수 있는 기능을 제공하고 있다. 아울러 지속적으로 발전할 향후의 DDoS 공격 유형에도 적극적인 대응 방법을 제공할 계획이다.@