링크 : http://www.boannews.com/media/view.asp?idx=50773&kind=4
         http://www.boannews.com/media/view.asp?idx=50778&kind=4

오랜 역사 가지고 있는 공격, 오늘날에도 여전히 유효
IP 주소를 기반으로 한 생태계에서는 사전 차단 매우 어려워

▲ 디도스, 무슨 상록수도 아니고...

[보안뉴스 문가용] 1982년 오늘, 한국은 처음으로 인터넷 구축에 성공했다. 세계적으로 봐도 미국에 이어 두 번째로 인터넷 연결에 성공한 것으로, 기념비적인 일이라고 볼 수 있다. 그로부터 불과 약 10년 후인 90년대 초반, 디도스 공격이라는 것이 처음 등장했으니 디도스 공격의 역사도 짧다고 말할 수는 없다. 그럼에도 여전히 우리는 디도스 공격의 위협에 벌벌 떨고 있다.

디도스 공격의 방지, 탐지, 복구가 현재는 네트워크 보안팀에게 일임되어 있는 것이 보통인데 사실 이는 단순히 네트워크 보안 분야의 문제라고 볼 수만은 없다. 디도스 공격이 발생하면 피해 조직은 수시간에서 수일 동안 사실상 아무런 서비스를 할 수가 없고, 이는 조직 전체가 진행하고 있는 사업 자체에 대한 피해이므로 사업상의 문제라고 봐야 한다.

디도스 공격의 유형
또한 디도스 공격이라고 뭉뚱그려 말하기에는 그 종류도 매우 다양한 것이 사실이다. 이를 크게 분류해보면 다음과 같다.

1. 볼륨형 및 비접속형 공격 : 가장 흔한 디도스 공격 유형이다. 웹 사이트의 밴드위스가 제대로 작동하지 못하도록 트래픽을 가득가득 채워 넣는 것이다. 주로 감염된 시스템들로 구성된 봇넷을 사용해 표적이 된 네트워크에 필요 없는 트래픽을 흘려보낸다. 공격을 받은 네트워크는 느려지거나 마비가 된다.

2. TCP 고갈 공격 혹은 프로토콜 공격 : 웹 서버, 방화벽, 부하 분산 장치, 인프라 요소들을 표적으로 삼는 공격으로, 허용이 가능한 접속량보다 더 많은 연결 시도를 통해 서비스를 느려지게 하거나 마비시키는 것이 목적이다.

3. 애플리케이션 공격 혹은 레이어 7 공격 : 특정 애플리케이션에 있는 취약점을 익스플로잇 하는 공격으로 네트워크를 직접 타격하는 것과 상반되는 개념이다.

4. 제로데이 공격 : 공개되지 않았기 때문에 패치나 픽스도 없는 취약점을 표적 삼아 공격한다.

보안 전문업체인 베리사인(Verisign)이 낸 통계에 의하면 디도스 공격은 매년 85%의 증가율을 보이고 있으며 공격의 볼륨도 평균 6.88 Gpbs에 다다를 만큼 커지고 있다고 한다. 가장 큰 공격은 125 Gbps였고 최근 BBC에서 발생한 디도스 공격은 무려 602 Gbps로 사상 최대치를 기록하기도 했다.

디도스 공격이 성행하는 이유
이처럼 디도스 공격이 활발해지는 건 디도스 공격을 쉽게 해주는 툴들이 종류도 많고 구하기도 쉽기 때문이다. 디도스 공격에 활용할 봇넷을 구성하는 것도 비교적 간단한 편에 속한다. 심지어 봇넷을 대여해주는 서비스도 있을 정도다. 이런 서비스는 한 시간에 2달러 정도면 사용이 가능하고, 700달러만 내면 아예 구매도 가능하다.

그러다보니 디도스 공격을 하고자 하는 마음만 먹으면 아무런 지식이나 기술 없이도 ‘해코지’가 가능해졌다. 그렇다고 대단한 자금력을 가지고 있을 필요도 없다. 한 조사에 의하면 시간 당 40달러의 비용으로 누구나 디도스 공격을 할 수 있다.

디도스 대처가 쉽지 않은 이유
오늘 날 네트워크는 매우 복잡하다. 시스템, 애플리케이션, 연결점, 프로토콜의 수가 방대하다. 여기에 최근 모바일 기기들도 폭발적으로 늘어나기 시작했다. 그러니 잠재적인 취약점들도 기하급수적으로 늘어났다. 보안 업무도 마찬가지로 첩첩산중으로 쌓여갔다. 이를 조금이라도 해소하려면 애초에 모든 시스템과 애플리케이션, 연결점들은 보안을 최우선으로 해서 설정되어야 하고, 위협거리는 최소화하는 방향으로 구성되어야 한다. 여기에 더해, 다양한 보안 툴과 장비, 문제 해결법을 적용해 보안 점검을 항시 실시해야 한다.

그럼에도 디도스 공격이 계속해서 우리를 위협하는 건 표준적인 보안 절차가 잘 통하지 않는다는 뜻이 된다. 일단 디도스 공격에 주로 활용되는 봇넷은 위치 추적을 매우 어렵게 한다. 공격의 근원을 파악하기가 힘들다는 뜻이다. 그렇다보니 애초에 트래픽을 차단하기가 어렵다. 짧게라도 공격이 최소 한 번은 성공할 수밖에 없다는 것이다. 결국 디도스 공격의 해결책은 ‘빠른 복구’가 될 수밖에 없다. 디도스 공격이 속도전이라고 불리는 이유다.

속도가 생명이다
카스퍼스키에서 디도스 공격과 관련해 2014년 발간한 보고서에 따르면 디도스 공격 한 번으로 한 조직이 입는 피해는 5만 2천 달러에서 44만 4천 달러에까지 다다른다고 한다. 이 계산법에는 고객의 신뢰나 브랜드 이름값이 떨어지는 건 들어가지 않았다. 디도스 공격을 당하는 순간 신뢰는 바닥을 향해 가기 시작한다. 이를 최소화하려면 재빨리 디도스 공격을 무마시키고 서비스를 원상 복구시키는 것이다. 1초가 중요해진다.

디도스의 자그마한 징후라도 재빨리 파악해 탐지하는 것이 열쇠다. 하지만 이는 수많은 대처 절차 중 첫 번째에 불과하다. 첫 단추를 잘 잠그는 것만큼 모든 단추를 제대로 잠그는 것이 중요하다. 그에 대한 이야기는 다음 편에서 계속할 예정이다.

디도스 공격 방어, 평소에는 환경설정 및 취약점 관리 통해
가장 중요한 수칙은 “평소 서비스 그대로 유지하는 것”

[보안뉴스 문가용] 오전에 게재된 디도스 관련 칼럼을 통해 “현재 네트워크 환경에서는 디도스를 완벽하게 차단할 수 없다”는 점을 밝혔다. 결국 보안이 집중해야 할 것은 최대한 디도스 공격이 걸리지 않도록 미리 조치를 취하는 것과 사후에 복구를 서두르는 것이다. 그에 대한 이야기를 이번 편에서 이야기 해보고자 한다.

▲ 백조처럼 물밑에선 바쁘게, 물위에선 우아하게

1. 보안에 특화된 환경설정
디도스 공격에 대해 “응, 알어, 트래픽 늘려서 사이트 다운시키는 거”라고만 단순히 알고 있는 건 일반인 수준이다. 보안 담당자라면 디도스 공격이 일어나는 다양한 기술적 배경들을 이해하고 있어야 하며, 그런 공격 기술들 중 가장 위협이 되는 것들을 순서대로 목록화해서 네트워크의 환경을 설정해야 한다. 여기서 말하는 네트워크의 환경이란 모든 시스템과 애플리케이션들을 말한다.

2. 패치와 업데이트 소식들도 빠릿빠릿하게
제로데이 취약점이 공개되면 해당 제조사 및 업체는 거의 모든 경우 만사를 제치고 업데이트부터 만들어 배포한다. 그러나 제조사가 아무리 빠릿빠릿하게 일을 해결해도 현실 속에서 제로데이 취약점들은 여전히 아프게 작용한다. 왜냐, 사용자들이 배포된 걸 사용하지 않기 때문이다. 즉 결국에 문제를 해결해야 하는 건 사용자 자신인데, 그걸 너무나 모르고 있다는 것이다. 이 점은 수년 째 개선 가능성이 제로에 가깝다는 게 증명되었다. 보안 담당자가 해줘야 한다.

3. 엔드유저 훈련시키기
디도스 공격으로부터 기업의 네트워크를 보호하기 위한 노력을 하는 것도 중요하지만, 요즘 네트워크 환경에서는 침입 경로가 너무 많아 그런 노력들만으로는 제대로 된 결과가 나오기를 바라기 힘들다. 특히 네트워크 끝에 대롱대롱 위태롭게 달려 있는 기기들과 그 사용자들이 표적이 되기 일쑤다. 이른바 엔드포인트가 취약하다는 건데, 이에 대해서는 아직까지 이렇다 할 해결책이 나오지 않은 상태다. 주요 공격 방식을 사용자들에게 자주 알려주고 교육을 시키는 것이 유일한 답이다.

4. 네트워크의 흐름 관찰하기
네트워크 흐름은 네트워크 내에서 벌어지는 통신들에 대한 가장 최신의 소식을 담고 있는 정보다. 여기에는 누가 어떤 정보를 누구에게 얼마나 보내는지와 어떤 방식으로 언제 보냈는지도 명확히 포함되어 있고, IP 주소와 포트, 프로토콜, 엑스포트시 사용한 기기들에 대한 정보도 있다. 이 정보는 라우터, 스위치, 방화벽, 부하 분산 장치, 하이퍼바이저, 호스트에 설치된 소프트웨어에 잘 보관되어 있다. 네트워크 상태를 한 눈에 볼 수 있게 해주는 중요한 정보로, 이상한 행동이나 스파이 행위, 봇넷의 활동, 디도스 공격 등이 금방 눈에 띈다. 그래서 네트워크 흐름 분석이라는 개념이 보안 전략에 빠르게 편입되고 있기도 하다.

5. 디도스 솔루션들에 대해서
이런 작업들을 쉽게 할 수 있도록 사용자들을 돕는 솔루션들은 이미 시중에 파다하다. 그래서 소비자들 입장에서는 혼란스러울 수밖에 없다. 하지만 이 솔루션들은 크게 두 가지로 구분이 가능하다. 바로 ‘탐지용’과 ‘복구용’이다.

탐지 : 디도스 공격의 가능성 자체를 최소화하려면 네트워크 내에 있는 모든 시스템, 방화벽, IDS/IPS 등을 최대한 안전하게 설정해야 한다. 사실 디도스를 미리 탐지한다는 솔루션은 성립 자체가 매우 어렵다. 최근 발생하는 디도스 공격의 트래픽은 시그니처나 출처를 가지고 악성인지 아닌지 판단하기가 불가능에 가깝기 때문이다. 그렇다고 디도스가 일어나고 나서야 ‘아, 디도스 맞네’하는 것도 우습다. 그래서 네트워크의 흐름을 분석해야 한다는 것이다. 네트워크의 흐름을 다루는 탐지 솔루션은 검토할만 하다.

복구 : 대부분 디도스 관련 솔루션들은 ‘자동 복구’ 기능을 자랑한다. 혹은 공격에 사용되는 트래픽을 딴 곳으로 우회시키거나 하는 기능을 가지고 있을 것이다. 하지만 디도스 공격에 대처할 때 지켜야할 가장 중요한 수칙은 ‘다른 서비스나 사업 운영에 방해가 되지 않도록 해야 한다’는 것이다. 그러므로 디도스 복구 툴이라고 한다면 나쁜 트래픽은 걸러내고 필요한 트래픽은 통과시키는 기능을 가지고 있어야 한다. 사업을 평상시처럼 유지시키면서 뒤에서 디도스 트래픽을 해소시켜야 한다는 것이다.

역사가 깊은 만큼 디도스 공격은 당분간은 계속해서 벌어질 우리의 현실이며 미래다. 심지어 이전보다 더 거세질 전망이다. 디도스 공격으로부터 네트워크를 보호하려면 1) 평소엔 알려진 취약점을 최소화시키고 2) 공격의 징조가 조금이라도 보일 때 즉각 대처할 수 있도록 해주는 ‘무기’를 가지고 있어야 한다. 무엇보다 기존의 서비스 및 사업이 조금도 방해받지 않도록 지켜주어야 ‘보안’이 제대로 가치를 발하게 된다는 걸 기억해야겠다.

글 : 빈센트 버크(Vincent Berk)
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]