[Focus In-Depth] 보안 관리자가 알아야 할 DDoS 방어법
|
2부 : 보안 관리자가 알아야 할 DDoS 방어법 |
최신 DDoS 동향을 통해 DDoS 공격이 점차 감소하고 있는 것을 볼 수 있었다. 하지만 그럼에도 불구하고 DDoS 공격은 여전히 기업 보안에 치명적인 위험을 가할 수 있는 공격 기법 중 하나이다. 그렇다면 기업 차원에서 DDoS 공격을 효과적으로 방어하기 위해서는 어떻게 해야 할까?
1. DDoS 장비의 설정 및 배치
DDoS 공격을 정확하게 탐지하는 것이 중요하다. DDoS 장비에 의한 탐지 외에도, 평상시와 비교해서 트래픽, 패킷, 세션 등에 이상 증상이 발견되면 좀 더 세밀하게 탐지할 필요가 있다.
이 때 단일 장비(DDoS, IDS/IPS, FW)에 DDoS 공격의 탐지를 의존하는 것은 여러 가지 경우의 수 중에 한 가지만 보는 것과 같다. 따라서 각각의 장비가 탐지할 수 있는 범위와 기능을 정확히 이해하고, 각 장비 별 탐지 조화(Correlation)를 이용해서 정확한 탐지가 이루어지도록 설정하는 것이 중요하다. DDoS 장비의 학습 기능, DDoS 전문 시그니처, IDS/IPS장비의 패킷에 대한 분석 기능과 정교한 탐지 시그니처, 그리고 F/W에서의 트래픽, 패킷, 세션에 대한 모니터링 정보 등을 잘 조합하는 것이 필요하다.
[표 1]은 DDoS 공격시 탐지되는 트래픽, 패킷, 세션의 변화에 대한 분석표이다.
[표 1] DDoS 공격시 탐지되는 트래픽, 패킷, 세션의 변화에 대한 분석표
[표 1]과 같이 각각의 공격 상에서의 변화를 각종 보안 장비를 통해서 수집 가능하다. 수집된 정보는 이전 정보와 비교해서 급락과 급등을 확인하여 공격 여부를 판단할 수 있다. 또한 수집된 정보를 누적시켜서 보안 장비에 자체적인 학습을 시킬 수도 있다. 학습된 정보를 바탕으로 서비스 별 추세 분석을 통해 미세한 트래픽 변화를 감지하여 저대역의 공격 또한 탐지해 낼 수 있다.
[그림 1] 안랩의 트래픽 모니터링 시스템
[그림 1]은 현재 안랩에서 사용 중인 트래픽 모니터링 시스템의 일부분이다. 1분단위의 트래픽(SNMP에서 보내주는 모든 정보 가능)에 대해서 학습한 뒤 자동으로 임계치를 설정한 화면이다. 이러한 학습 기능을 통해서 이전과는 다른 트래픽(패킷, 세션, CPU, 메모리등등) 변화량의 탐지가 가능하다.
2. 전사적인 협업 체계
보안은 결코 보안 팀만의 일이 아니며, 단순히 보안 장비를 도입한다고 해결되는 문제도 아니다. DDoS 공격의 방어 역시 마찬가지다. 보안 팀, 네트워크 팀, 서버 팀, 서비스 팀 등 유관부서 간의 전사적인 협업과 DDoS 장비의 적절한 설정과 배치가 필요하다.
또한 기업체 단독으로 DDoS공격 유형을 파악하여 탐지하고 적절한 수준의 방어 전략을 세우기란 쉽지 않다. 따라서, DDoS를 전문적으로 탐지∙방어하는 전문 보안관제 업체, 백본 네트워크를 유지∙보수하는 네트워크 업체와의 협업이 반드시 필요하다.
이렇게 여러 기업과 전사 조직간의 업무 협업은 어떻게 이루어 져야 하며, 어떠한 R&R(Role & Responsibility)을 가져야 할까? [표 2]는 7.7 DDoS 공격시 모 기업체의 개별 부서들의 세부 R&R이다.
[표 2] 7.7 DDoS 공격 시 A사의 부서별 세부 R&R
[표 2]에서는 IT관련 부서만의 협업으로 R&R이 이루어져 있지만, 좀 더 적극적으로 대처하기 위해서는 비IT부서와의 협업(총무팀, 인사팀 등등)도 필요하다.
위에서 살펴본 바와 같이 DDoS 공격을 적극적으로 방어하기 위해서는 다음과 같은 사항들이 필요하다.
1. 보안 장비의 특성과 역할에 맞는 설정 및 배치
2. 장비의 성능을 극대화하여 운영할 수 있는 전문 보안 관제 업체의 모니터링
3. DDoS 공격 발생시 대응할 수 있는 협력 업체 및 전사 조직간의 명확한 R&R 프로세스
위의 3가지는 DDoS공격 뿐만 아니라, 현재 이슈가 되고 있는 APT 공격에 대응하기 위해서도 반드시 수립되어야 한다.@
- AhnLabCERT팀 곽희선 책임
