서비스 거부와 DDoS

서비스 거부(DoS) 공격은 트래픽으로 시스템이나 네트워크 자원을 과부하시키거나 서비스를 중단시키는 취약점을 악용하여 정상 사용자가 해당 자원을 사용할 수 없게 만들려고 합니다.

DoS는 하나의 출처에서 발생합니다. DDoS(분산 DoS)는 감염된 장치 수천 대 또는 수백만 대(봇넷)를 사용하거나 증폭 기법을 이용해 공격 트래픽을 생성합니다. DDoS는 출처가 전 세계에 분산되어 있으므로 차단하기가 훨씬 어렵습니다.

대역폭 소진형 공격은 원시 트래픽으로 대상의 대역폭을 가득 채웁니다.

• UDP 플러드 — 스푸핑된 UDP 패킷으로 대역폭을 포화시킴
• ICMP 플러드 — 핑 패킷으로 대상을 과부하시킴
• DNS 증폭 — 작은 DNS 질의가 피해자에게 큰 응답을 반환하게 함

단위는 Gbps이며, 일부 공격은 1Tbps를 초과합니다.

프로토콜 공격은 네트워크 프로토콜의 약점을 악용합니다.

• SYN 플러드 — 수천 개의 TCP SYN 패킷을 보내 서버 연결 테이블을 소진시킴
• Ping of Death — 취약한 시스템을 중단시키는 과도하게 큰 ICMP 패킷을 보냄
• Smurf 공격 — 스푸핑된 ICMP를 네트워크 브로드캐스트로 보내 모든 호스트가 피해자에게 응답하게 함

애플리케이션 계층(계층 7) 공격은 정상적인 요청처럼 보이는 요청으로 특정 애플리케이션 기능을 공격합니다.

• HTTP 플러드 — 수백만 개의 GET/POST 요청을 보냄
• Slowloris — 불완전한 HTTP 헤더를 느리게 보내 모든 서버 연결을 점유함
• SSL 소진 — TLS 핸드셰이크에 필요한 CPU 비용을 악용함

증폭 공격은 요청된 것보다 훨씬 많은 데이터를 반환하는 프로토콜을 악용합니다.

• DNS 증폭: 60배 증폭 계수
• NTP 증폭: 556배 증폭 계수
• Memcached 증폭: 51,000배 증폭 계수(2018년: 1.7Tbps 공격)

공격자는 피해자의 IP를 출발지로 스푸핑하고, 반사 서버는 피해자에게 거대한 응답을 보냅니다.

스크러빙 센터는 DDoS 트래픽을 흡수하고 필터링하여 대상에 도달하기 전에 제거하는 특수 인프라입니다. 주요 제공업체(Cloudflare, Akamai, AWS Shield)는 수백 Tbps 규모의 스크러빙 처리 용량을 보유하고 있습니다.

애플리케이션 수준의 방어:

• IP/사용자별 속도 제한
• 의심스러운 트래픽 패턴에 대한 CAPTCHA 문제
• 연결 속도 제한
• IP 평판 기반 차단(알려진 봇넷 IP)

애니캐스트는 여러 글로벌 데이터 센터에 공격 트래픽을 분산합니다. 하나의 대상이 모든 트래픽을 흡수하는 대신 부하가 분산됩니다. Cloudflare와 다른 CDN은 애니캐스트를 사용하여 대규모 대역폭 소진형 공격을 처리합니다.

DDoS는 사이버전 도구로 흔히 사용됩니다. 주요 사례는 다음과 같습니다.

• 2007년 에스토니아 — 정치적 위기 중 정부 및 은행 사이트가 오프라인 상태가 됨
• 2022년 우크라이나 — 러시아의 침공 중 우크라이나 정부 사이트가 공격 대상이 됨
• 정치적 성명을 위해 DDoS를 사용하는 핵티비스트

조직은 승인을 받은 부하 시험 도구로 복원력을 시험할 수 있습니다.

• siege — HTTP 부하 시험
• ab (Apache Bench) — 간단한 HTTP 성능 측정
• 상용 부하 시험 서비스(승인 필요)

소유하지 않았거나 서면 허가를 받지 않은 시스템은 절대 시험하지 마세요.

어떤 공격 유형이 불완전한 HTTP 헤더를 매우 느리게 보내 사용 가능한 모든 서버 연결을 점유하나요?

DoS/DDoS 공격은 트래픽으로 대상을 과부하시키거나 프로토콜의 약점을 악용하여 서비스를 거부합니다. 공격 유형에는 대역폭 소진형(UDP/DNS 플러드), 프로토콜(SYN 플러드), 애플리케이션 계층(Slowloris, HTTP 플러드)이 있습니다. 방어 방법으로는 스크러빙 센터, 애니캐스트, 속도 제한, CAPTCHA가 있습니다. 증폭 공격은 반사 서버를 악용하여 공격력을 배가합니다.