[Expert Column] DDoS 공격은 현재 진행 중? 현재 진화 중!

DDoS 공격 패러다임의 변화와 2013년 예측

 

2009년 7·7 DDoS 사흘 간 청와대, 백악관 등 23개 한국 및 미국 주요 사이트 공격 2011년 3·4 DDoS 이틀 간 관공서, 은행 등 40개 한국 내 주요 사이트 공격   전 세계적으로 유례가 없을 만큼 우리나라에서는 불과 3년 사이에 대규모 DDoS 공격이 두 차례나 발생했다. 반면 지난 2012년에는 APT라는 용어로 지칭되는 고도화된 지능형 타깃 공격이 보안의 화두였고, DDoS 공격에 관한 소식은 잠잠했다. 그러나 보이는 것이 전부가 아니듯, 비록 언론을 통해 떠들썩하게 보도되지는 않았지만 2012년에도 다수의 DDoS 공격이 발생했다. 오히려 과거에 비해 지능적인 DDoS 공격 유형이 발견됐으며, DDoS 공격 툴의 대중화로 공격 발생 빈도 또한 증가하고 있는 추세다. 2013년에는 더욱 지능화된 DDoS 공격이 나타날 수 있다고 전문가들은 경고하고 있다. 소리 없이 현재 진행 중이고, 앞으로 더욱 교묘해질 DDoS 공격의 실체와 대응 방안을 살펴본다.

DDoS(Distributed Denial of Service, 분산서비스거부) 공격은 우리나라에서는 대다수의 국민들이 한 번쯤은 들어봤을 만큼 이제는 매우 잘 알려진 사이버 위협이다. 두 차례의 대규모 DDoS 공격 사건 덕분(?)이기도 하지만 대다수의 사람들이 알 수 있을 만큼 DDoS 공격이 자주 발생하고 있기 때문이라고 할 수 있다.

최근에는 전문 해커가 아니라도 쉽게 사용할 수 있게 제작된 DDoS 공격 툴을 인터넷을 통해 손쉽게 구할 수 있게 되면서 중학생이 온 동네 PC방을 다운시키는 사건이 발생하는 등 일반인에 의한 DDoS 공격 사례도 종종 나타나고 있다. 또한 돈만 지불하면 DDoS 공격을 대신해주는 청부형 DDoS 공격도 증가하고 있는 추세다. 이처럼 지속적으로 발생하고 있는 크고 작은 DDoS 공격으로 인해 서버나 네트워크가 몇 시간씩 다운되는 것을 경험하면서 기업이나 일반 시민들도 DDoS 공격의 심각성을 충분히 인지하고 있다.

한편 초기의 DDoS 공격은 주로 네트워크 장비를 타깃으로 대량의 네트워크 패킷을 전송해 네트워크 장비를 마비시키는 형태였다. 그러나 최근에는 고성능의 발전된 네트워크 장비에 비해 상대적으로 가용성이 낮은 웹 서버(웹 데몬)나 저성능 서버를 겨냥하여 소량의 트래픽을 전송하는 형태의 DDoS 공격이 증가하고 있다.

 

2012년 DDoS 공격, 작지만 강해졌다

2012년에도 다수의 DDoS 공격이 국내외에서 지속적으로 발생했다([표 1], [표 2]). 공격자는 DDoS 공격 툴을 자신의 PC에 설치해 공격을 하는 경우도 있기는 하지만, 통상적으로 공격자는 다수의 좀비 PC를 확보한 후 이를 통해 DDoS 공격을 감행한다. 전 세계적으로 엄청난 수의 좀비 PC가 확산되어 있으며, 그 중에서도 중국에 가장 많은 좀비 PC가 존재하는 것으로 알려져 있다. 인터넷 네트워크 업체 아카마이(Akamai)가 지난해 발표한 ‘인터넷 현황 보고서’에 따르면 2011년 4분기에 이어 2012년 1분기에도 중국에서 발생한 공격 트래픽의 비중이 세계에서 가장 높았다([표 3]).

 

 

 

 

2012년 국내·외 DDoS 공격의 동향을 요약한다면, ‘작은 패킷으로 서버를 노리는 지능화된 공격의 증가’라고 할 수 있다. 지능화된 DDoS 공격이란, 기존 DDoS 방어 장비들이 임계치(Threshold) 기반으로 공격 패킷이나 공격지 IP를 차단한다는 점에 착안해 임계치 이하의 소량 패킷을 전송해 정상 패킷처럼 위장, 방어 장비의 탐지를 피하는 형태라 할 수 있다.

 

최근에는 대량 패킷 사이에 소량의 웹 서버나 DB 서버 공격용 DDoS 패킷을 숨긴 교묘한 공격도 나타나고 있다. 대표적인 사례가 지난 2012년 10월에 발생한 영국 HSBC 은행에 대한 DDoS 공격이다. 당시 대량 패킷에 의한 공격과 웹 서버 및 DB 서버를 타킷으로 하는 소량의 애플리케이션 공격 패킷이 혼합된 멀티벡터 형태의 DDoS 공격으로 무려 10시간 동안이나 이 은행의 서비스가 마비됐다. 

 
[그림 1] DDoS 공격 방식의 변화

 

2013년 DDoS 공격, 멀티벡터 방식 등을 이용해 더욱 진화할 것

한국인터넷진흥원(KISA)은 지난 1월 발표한 '2013년 인터넷 및 정보보호 10대 이슈'를 통해 “공격 패턴 다양화부터 방어체계 우회까지, DDoS 공격이 진화할 것”으로 전망했다. 최근 몇년 간의 DDoS 공격 동향을 미루어 볼 때 2013년에도 DDoS 공격은 지속적으로 진화할 것이다.

특히 지난 2012년의 영국 HSBC 은행 공격 사례와 같이 소량의 패킷으로 정상적인 패킷처럼 위장하면서 웹 서버나 DB 서버를 공격하는 시도가 계속 늘어날 것으로 보인다. 이처럼 교묘한 DDoS 공격은 수백 혹은 수천 만 대의 좀비 PC를 이용한 기존의 공격과 달리 몇 대의 PC나 서버만 이용해도 공격이 가능하기 때문에 더욱 심각한 위협이다.

또한 클라우드 서비스가 증가함에 따라 클라우드 서버를 통한 공격도 증가할 것으로 전망돼 DDoS 공격 방어에 어려움이 예상된다. 주요 공격 발생지인 중국 IP 전체를 차단하더라도 한국 내에 있는 VPN, 또는 아마존(Amazon) 등 미국이나 그 밖의 국가에 위치한 클라우드 서버를 이용하여 공격할 수 있다. 따라서 전통적인 방식인 IP 기반으로 DDoS 공격을 차단하는 것에는 한계가 있다. 이 같은 공격을 방어하기 위해서는 패킷을 전송한 IP(source IP)가 공격 툴을 통해 패킷을 생성한 것인지, 실제로 정상적인 패킷이 전송된 것인지를 확인하고 인증하는 방법이 필요하다.

한편 전 세계적으로 급격히 늘어난 스마트폰을 악용한 공격도 많이 출현할 것으로 예측된다. 아울러 인터넷을 통해 유통되고 있는 DDoS 공격 툴이 지속적으로 지능화되고 있을 뿐만 아니라 더욱 사용하기 쉽도록 사용자 환경, 화면, 기능 등이 나날이 개선되고 있어 DDoS 공격의 대중화가 가속화될 전망이다. 따라서 이제 기업의 규모와 상관 없이 DDoS 공격 방어는 선택이 아니라 필수 검토 사항이 되어야 할 것이다.

 

DDoS 공격 패러다임의 변화, 더욱 정교한 방어 장비가 답

네트워크가 아니라 애플리케이션을 타깃(Target)으로 하는 지능화된 DDoS 공격에 대응하기 위해서는 정상적인 것처럼 위장한 패킷까지 철저하게 분석하여 방어할 수 있는 기술이 필요하다. 동시에 DDoS 공격 방어 장비가 정상적인 패킷을 잘못 차단하여 되레 서비스 장애를 유발하는 일이 발생해서는 안 된다. 즉, 오탐을 최소화할 수 있는 정교한 분석 기술만이 나날이 지능화되는 DDoS 공격을 효과적으로 방어할 수 있다.

안랩 트러스가드 DPX(AhnLab TrusGuard DPX)는 탁월한 ‘패킷 전송자 인증 기술’을 통해 정상과 공격 패킷을 구분하는 한편, 정상 패킷의 오탐으로 인한 서비스 장애를 방지한다. 이로써 웹 서버를 공격하는 웹 패킷 등 지속적으로 증가하는 애플리케이션에 대한 DDoS 공격을 효과적으로 방어할 수 있다. 특히 트러스가드 DPX 10000은 최근 변화하는 네트워크 환경의 대용량 트래픽을 무리 없이 처리하는 동시에 전통적인 대량의 패킷을 이용하는 공격이나 멀티벡터를 이용한 최신 공격까지 방어할 수 있는 최고 수준의 성능을 제공한다. 안랩 트러스가드 DPX는 변화하는 네트워크 환경과 나날이 진화하는 DDoS 공격 방어를 위한 최고의 선택이 될 것으로 보인다.@