분산서비스거부공격 (Distributed Denial-of-Service Attack)
쉽게 풀면
한 사람이 매장 입구를 막아서는 것과, 수천 명이 동시에 몰려와 입구를 막아서는 것은 막아내기 어려운 정도가 완전히 다릅니다. 분산서비스거부공격은 공격자가 전 세계 곳곳에 흩어진 수많은 감염된 기기(흔히 봇넷이라 부릅니다)를 원격으로 조종하여, 한 대상에 동시에 대량의 트래픽을 퍼붓는 방식입니다. 공격 지점이 여러 곳에 분산되어 있어 특정 IP 주소 하나만 차단하는 식으로는 막기 어렵습니다.
왜 중요한가
분산서비스거부공격은 단일 발신지 공격보다 규모와 파급력이 훨씬 크고 방어가 까다로워, 대형 서비스 사업자와 국가 기반시설까지 위협할 수 있는 심각한 보안 문제로 다루어집니다. 정보보안학에서는 봇넷 탐지와 무력화, 트래픽 분산 처리를 통한 완화 기법(예: 클라우드 기반 스크러빙 센터) 등이 연구됩니다.
핵심 정리
- DDoS는 서비스거부공격의 한 형태로, 여러 곳에 분산된 다수의 기기가 동시에 대상의 자원을 소진시켜 정상 이용자가 서비스를 이용하지 못하게 만드는 공격입니다. 목표는 정보 탈취가 아니라 가용성 저하입니다.
- 공격 기기들은 흔히 악성코드에 감염된 PC·서버·IoT 기기의 집합인 봇넷입니다. 공격자는 명령을 내리는 쪽과 직접 트래픽을 보내는 쪽을 분리해 근원 추적을 어렵게 만듭니다.
- Mirkovic과 Reiher(2004)는 공격과 방어 메커니즘을 각각 분류 체계로 정리했습니다. 흔히 공격이 소진시키는 자원에 따라 대역폭을 채우는 유형, 프로토콜 처리 자원을 소진시키는 유형, 응용 계층 요청으로 서버를 소진시키는 유형으로 나눕니다.
- DNS나 NTP처럼 작은 요청에 큰 응답을 돌려주는 서버를 거쳐 트래픽을 증폭시키는 반사·증폭 기법이 연구에서 널리 다뤄집니다.
- 방어 연구는 탐지(트래픽 이상 징후), 출발지 주소 위조를 막는 입구 필터링(Ferguson & Senie, 2000), 트래픽을 여러 지점으로 분산해 흡수하는 CDN·클라우드 정제 등을 다룹니다(Zargar 등, 2013).
예시로 보기
공격 유형을 구분하는 기준은 “무엇이 먼저 바닥나는가”와 그에 맞는 측정 단위입니다(개념 정리이며 실제 사건은 여러 유형이 섞입니다).
| 유형 | 소진되는 자원 | 대표적으로 보는 측정 단위 |
|---|---|---|
| 볼륨형 | 회선 대역폭 | 초당 비트 수(bps) |
| 프로토콜형 | 방화벽·부하분산기·서버의 연결 상태 처리 용량 | 초당 패킷 수(pps) |
| 응용 계층형 | 웹 서버·데이터베이스의 요청 처리 용량 | 초당 요청 수(rps) |
역사적 사례 연구는 2000년 초 대형 웹사이트들을 겨냥한 공격, 2007년 에스토니아에 대한 공격, 2009년 7월 한국과 미국의 사이트를 대상으로 한 이른바 7·7 DDoS, 그리고 IoT 기기로 구성된 Mirai 봇넷의 2016년 공격을 자주 다룹니다(Antonakakis 등, 2017은 Mirai를 분석). 이 사례들은 어떤 자원이 표적이 되었는지, 봇넷의 구성이 어땠는지를 비교하는 자료로 쓰입니다.
자주 하는 오해
| 오해 | 바로잡기 |
|---|---|
| DDoS는 해킹으로 정보를 빼 가는 공격이다. | DDoS의 목적은 서비스 마비입니다. 정보 유출과는 다른 범주의 보안 사고입니다. 다만 다른 공격의 눈속임으로 쓰이기도 한다고 지적됩니다. |
| 트래픽이 많이 몰리면 모두 DDoS이다. | 이벤트로 인한 정상 접속 폭주(flash crowd)와 공격 트래픽을 구별하는 것이 탐지 연구의 핵심 과제입니다. |
| 공격 IP를 차단하면 막을 수 있다. | 출발지가 수천~수십만 곳으로 분산되고 주소가 위조될 수 있어 개별 IP 차단만으로는 한계가 있습니다. |
| 대역폭을 늘리면 해결된다. | 대역폭 소진형에는 도움이 되지만, 프로토콜·응용 계층형은 회선이 남아 있어도 서버 처리 자원이 먼저 바닥날 수 있습니다. |
| DDoS와 핵티비즘은 같은 말이다. | DDoS는 기법이고 핵티비즘은 정치적 동기로 해킹을 쓰는 활동입니다. 핵티비스트가 DDoS를 쓰기도 하지만 DDoS가 모두 핵티비즘은 아닙니다. |
논문에서는 이렇게 쓰입니다
실제 논문에서
이 용어를 직접 쓴 국내 논문 문장을 아직 수집하지 못했습니다. 수집되는 대로 출처와 함께 싣겠습니다.
예시 문장
아래는 용어의 쓰임을 보여 주려고 만든 예시로, 실제 논문에서 가져온 문장이 아닙니다.
취약한 IoT 기기들이 공격에 동원된 실제 사례를 분석했다는 의미입니다.
공격이 진행되는 중에도 서비스를 계속 이용 가능하게 유지하는 방법을 다루었다는 뜻입니다.
조금 더 깊게 보면
분산서비스거부공격에 동원되는 좀비 기기들의 네트워크를 봇넷이라 부르며, 취약한 보안 설정을 가진 IoT 기기들이 흔한 표적이 됩니다. 방어 측에서는 콘텐츠 전송 네트워크(CDN)나 클라우드 기반 트래픽 정제 서비스를 이용해 대량의 공격 트래픽을 분산 흡수하는 방식이 널리 사용됩니다.
공격 트래픽을 증폭시키기 위해 DNS나 NTP처럼 작은 요청에 훨씬 큰 응답을 돌려주는 서버를 악용하는 반사·증폭 공격이 흔히 사용됩니다. 공격자는 피해자의 IP로 위조된 요청을 여러 반사 서버에 보내, 실제 자신이 보낸 트래픽보다 훨씬 큰 응답이 피해자에게 몰리도록 만듭니다.
공격 측은 DNS나 NTP처럼 작은 요청에 훨씬 큰 응답을 돌려주는 서버에 피해자 주소를 위조한 요청을 보내는 증폭 공격을 자주 활용하며, 방어 측은 콘텐츠전송네트워크나 클라우드 기반 트래픽 정제 서비스로 공격 트래픽을 여러 지점에서 분산 흡수하는 방식을 흔히 씁니다.
주의할 점
공격 발신지가 전 세계에 분산되어 있어 공격의 근원을 완전히 특정하고 원천 차단하기가 매우 어렵다는 한계가 있습니다.
클라우드 기반 완화 서비스를 이용하더라도 공격 규모가 계속 커지고 있어 완전한 방어를 보장하기 어렵고, 완화 과정에서 정상 트래픽의 지연이 함께 발생할 수 있습니다. 공격 발신지가 여러 단계로 분산되어 있어 공격의 근원을 완전히 특정하고 차단하기가 매우 어렵다는 특징이 있습니다.
헷갈리기 쉬운 용어
| 용어 | 무엇인가 | 구분 포인트 |
|---|---|---|
| 분산서비스거부공격(DDoS) | 다수의 기기가 동시에 대상을 공격 | 발신지가 분산되어 차단과 추적이 어려움 |
| 서비스거부공격(DoS) | 자원을 소진시켜 서비스를 방해하는 공격 전반 | DDoS는 그중 분산형 |
| 봇넷 | 감염된 기기들의 원격 제어 네트워크 | DDoS를 수행하는 수단이지 공격 자체는 아님 |
| 핵티비즘 | 정치적 동기의 해킹 활동 | DDoS는 이들이 쓰는 기법의 하나 |
참고 문헌
- Mirkovic, J., & Reiher, P. (2004). A taxonomy of DDoS attack and DDoS defense mechanisms. ACM SIGCOMM Computer Communication Review, 34(2), 39–53.
- Zargar, S. T., Joshi, J., & Tipper, D. (2013). A survey of defense mechanisms against distributed denial of service (DDoS) flooding attacks. IEEE Communications Surveys & Tutorials, 15(4), 2046–2069.
- Ferguson, P., & Senie, D. (2000). Network ingress filtering: Defeating denial of service attacks which employ IP source address spoofing (RFC 2827). Internet Engineering Task Force.
- Antonakakis, M., April, T., Bailey, M., Bernhard, M., Bursztein, E., Cochran, J., Durumeric, Z., Halderman, J. A., Invernizzi, L., Kallitsis, M., Kumar, D., Lever, C., Ma, Z., Mason, J., Menscher, D., Seaman, C., Sullivan, N., Thomas, K., & Zhou, Y. (2017). Understanding the Mirai botnet. In Proceedings of the 26th USENIX Security Symposium (pp. 1093–1110). USENIX Association.
표의 기준값은 위 문헌에 근거한 관례이며, 분야·학술지마다 다른 기준을 쓸 수 있습니다.