[Product Issue] DDoS 공격 방어 장비의 비교를 거부한다

AhnLab TrusGuard DPX, 잇따른 DDoS 차단 핵심 기술 특허 획득

 

최근 DDoS 청부 공격이 사회적인 이슈로 세간의 주목을 받으면서 2011년 3월 대규모 DDoS 공격에 이어 또 다시 DDoS가 기업 보안의 화두가 되고 있다. 또한 다양한 DDoS 공격 방어 전용 장비들이 시중에 나와있지만 대동소이한 기능을 제공하고 있어 기업 입장에서는 DDoS 공격 방어 전용 장비 구입이 쉽지 않다. 이러한 가운데 안철수연구소 DDoS 공격 방어 전용 장비 AhnLab TrusGuard DPX(이하 ‘트러스가드 DPX’)는 잇따라 DDoS 차단 핵심 기술 특허를 획득하는 등 여타 DDoS 공격 방어 전용 솔루션들의 추격을 따돌리고 있다.

안철수연구소 DDoS 공격 방어 장비 트러스가드 DPX 제품이 연이어 핵심 기술의 특허를 획득해 화제다. 특히 이번에 특허를 획득한 핵심 기술은 기존 DDoS 공격 방어 제품과의 차별점이라 할 수 있는 ‘분산 서비스 거부 공격 차단 장치 및 방법’과 DDoS 공격 등의 해킹을 방지하기 위한 '스푸핑 방지 방법 및 장치' 기술로, 치열한 DDoS 공격 방어 솔루션 시장에서 트러스가드 DPX가 독보적인 자리매김을 하는 계기가 될 것으로 보인다.

 

▲ DDoS 공격 방어 전용 장비 AhnLab TrusGuard DPX

 

기존 DDoS 공격 방어 솔루션의 한계 극복

우선 ‘분산 서비스 거부 공격 차단 장치 및 방법’은, 불특정 다수의 좀비 PC로부터의 DDoS 공격을 효과적으로 차단하는 기술이다.

 

기존 DDoS 공격 방어 제품에서 이용된 방법은 대부분 특정 웹 서버로 요청되는 트래픽 양을 측정하여 이것이 기존에 설정된 임계치를 초과하면 일정 시간 동안 패킷을 차단하는 것이다. 그러나 이는 실제 공격 발생 시, 공격자의 IP 수가 많을 경우 공격 IP를 구분할 수 있는 임계치를 특정 지을 수 없다는 문제점이 있다.

 

이러한 문제점을 보완하기 위해 DDoS 공격 차단 정책 설정 시 정상 접근한 사용자를 자동으로 구분한 후, 실제 DDoS 공격 발생 시에 정상적으로 접근한 이력이 없는 사용자를 공격자로 간주해 트래픽을 차단하는 방법이 있다. 그러나, 이 방법은 불특정 다수가 인터넷 서비스에 접속하는 환경에서 정상 사용자를 정확히 구분하기 어렵다는 한계가 있다.
 

이에 반해 안철수연구소 트러스가드 DPX는 다수의 좀비 PC로부터 특정 웹 서버로의 접속 요청이 있는 경우, 실시간으로 해당 PC에 대한 인증을 하기 위해 실제 인터넷 주소 정보 대신 임의의 주소(리다이렉트 URL) 정보를 제공하여 다시 접속하도록 유도한다. 이후 임의의 주소 정보에 포함된 새로운 URL 주소로 정확히 웹 서버 접속 요청이 재차 수신되는지 여부를 검사하여 공격자로 판단된 PC의 접속은 차단한다. 이로써 불특정 다수의 PC로부터 DDoS 공격을 효과적으로 차단할 수 있다.

 

또한 해당 특허 기술을 기반으로 트러스가드 DPX는 인증에 성공한 PC를 실시간으로 관리할 수 있다. 이로써 공격자 수가 상대적으로 많아 블랙리스트를 별도로 관리하기 어려운 DDoS 공격에 더욱 효과적으로 대처하며, 실시간 인증 기반으로 정상 트래픽을 최대한 보장한다.

 

 

HTTP 노리는 신종 공격도 방어…국내외 유일

또한 트러스가드 DPX는 국내외 기술 중 유일하게 HTTP를 겨냥한 신종 공격 툴인 루디(RUDY) 등을 시그니처 없이도 방어할 수 있다. 루디 툴(RUDY Tool)의 동작 방식은 다음과 같다.

 

① HTTP 겟(Get)으로 웹 서버 페이지 호출
② 웹 서버는 호출된 페이지를 응답
③ 호출된 페이지에서 폼 필드(form-field) 추출
④ 폼 필드 중 하나를 지정하여 HTTP 포스트(Post) 공격 - 10초에 1번씩
⑤ 지속적인 세션 연결로 인해 웹 서버 부하 증가 → 서비스 거부 현상 초래

 

이러한 루디에 대해 트러스가드 DPX는 우선 루디가 첫 번째로 요청하는 HTTP 요청(Get)이 정상적인 요청인지 아닌지를 검증한다. 이때 트러스가드 DPX는 루디와 같이 기존의 HTTP 302 리디렉션(Redirect) 기법을 통과하는 HTTP 요청도 차단할 수 있는 특수한 기술을 사용하여 루디의 HTTP 요청 트래픽을 선 차단할 수 있다.

또한 설사 루디로 인한 HTTP DDoS 공격이 진행이 되고 있는 중에 있다고 하더라도, 트러스가드 DPX는 자체적으로 보유하고 있는 또 다른 필터를 통해 정상적인 HTTP 요청 검증 과정이 없는 트래픽을 일괄적으로 차단한다. 이후 재접속 시도를 유도하여 비정상적인 HTTP 요청을 차단하여 방어한다.

이러한 안철수연구소만의 특허 기술로 트러스가드 DPX는 현재 별도의 시그니처 없이도 루디와 같은 신종 HTTP DDoS 공격을 방어할 수 있다.

 

 

DDoS에 이용되는 스푸핑 공격 원천 차단

이에 앞서 트러스가드 DPX는 DDoS 공격 등의 해킹을 방어하는 기술로 국내 특허를 획득하는 한편 PCT 국제 특허를 출원했다. ‘스푸핑 방지 방법 및 장치’가 그것이다.

스푸핑(Spoofing)이란 DDoS 공격 등의 해킹을 위해 사용되는 수단이다. 발신자의 하드웨어 주소와 IP 주소를 조작하는 ARP(Address Resolution Protocol, 주소 결정 프로토콜) 스푸핑과 공격자의 소스 IP를 변경해 정체를 감추거나 위장하는 IP 스푸핑이 있다.

공격자는 이러한 스푸핑 기술을 이용해 특정 컴퓨터를 공격하거나 망 내에서 돌아다니는 개인정보를 쉽게 도용할 수 있다. 즉, ARP 스푸핑을 이용해 내부 네트워크에 연결된 다른 컴퓨터의 IP 패킷을 훔쳐봄으로써 개인정보를 유출할 수 있다. 또한 특정 서버의 관리자 ID와 패스워드를 훔쳐봄으로써 서버 정보를 마음대로 조작할 수 있다.

특히 IP 스푸핑을 이용하면 외부 네트워크상에서 행해지는 온라인 작업을 훔쳐볼 수 있어 더 많은 시스템이 공격에 쉽게 노출된다. 무엇보다 스푸핑 공격으로 좀비 PC가 된 컴퓨터는 공격자의 명령에 따라 다른 컴퓨터를 DDoS 공격해 또 다른 문제가 된다.

이러한 스푸핑 공격을 막는 보안 장비가 나와 있지만 최신 네트워크 환경에서는 스푸핑 탐지가 거의 불가능하다. 설령 스푸핑을 탐지하여 해당 패킷을 차단하더라도 DDoS 공격으로 네트워크 대역폭이 낭비되는 것을 막을 수 없다. 또한 공격자의 실제 IP를 추적하기도 어렵다.

트러스가드 DPX는 바로 이러한 문제를 해결하기 위해 각 컴퓨터에 에이전트를 설치해 IP 주소가 변경되었는지를 주기적으로 검사하고 변경된 IP 주소를 알려준다. 또한 IP 주소를 조회해 공격자의 실제 IP 주소를 추적할 수 있다. 이 특허 기술을 이용해 네트워크 관리자는 보안 솔루션으로 ARP 스푸핑 공격을 차단하고, DDoS에 이용되는 좀비 PC를 탐지하여 치료하거나 네트워크 접속을 차단할 수 있다.

안철수연구소는 해당 특허 기술을 트러스가드 DPX뿐만 아니라 자사 고성능 네트워크 통합 보안 솔루션 AhnLab TrusGuard(이하 ‘트러스가드’)에도 적용할 계획이다. 트러스가드 제품군은 6000여 개의 IPS 시그니처를 보유하고 있으며 제로데이(Zero-day) 공격 등 긴급 대응이 필요한 공격을 효과적으로 방어한다.

 

 

다양한 신∙변종 DDoS 공격에 입체적인 대응

다수의 특허 기술을 보유한 트러스가드 DPX는 DDoS 공격을 신속하게 사전 차단하고 오탐 없이 정교하게 탐지하는 것이 강점이다. 특히 소스(Source) IP의 트래픽 양을 기준으로 방어하는 기존 제품이 다량의 트래픽을 유발하는 정상 IP까지 차단하는 문제를 획기적으로 개선했다. 아울러 크기가 매우 작은 패킷의 DDoS 공격까지 처리할 수 있다.

또한 안철수연구소의 특허 기술인 클라우드 컴퓨팅을 이용한 DDoS 공격 탐지/차단 기술을 활용해 DDoS 공격에 입체적인 대응이 가능하다. 즉, 발생 중인 DDoS 공격을 차단할 수 있도록 PC에서 탐지된 DDoS 공격 정보와 트러스가드 DPX의 DDoS 공격 탐지/차단 기능이 연동된다. 이로써 PC에서 DDoS 공격을 유발하는 악성코드를 제거하여 네트워크 게이트웨이뿐만 아니라 PC에서도 DDoS 공격을 효과적으로 탐지/차단할 수 있다.

 

이처럼 트러스가드 DPX의 차별점은 안철수연구소의 악성코드 분석 기술과 DDoS 제품의 구축/운영의 노하우가 집적돼 다양한 DDoS 공격에 입체적으로 대응한다는 점이다. 아울러 안철수연구소는 DDoS 사전 컨설팅 서비스, DDoS 모의 공격 대응 훈련 서비스, DDoS 보안관제 서비스로 DDoS 공격 방어를 위한 종합적인 프로세스를 제공한다.

 

이처럼 다수의 특허 기술과 독보적인 노하우가 적용된 트러스가드 DPX는 이미 국내 50여 개 기업/기관에 공급된 바 있다. 최근의 기술 특허 획득을 통해 DDoS 공격 방어 장비 시장을 주도할 것으로 전망된다.@