PE Notes · 보안
DDoS 공격과 대응
대역폭을 채우는 볼류메트릭, 반연결을 쌓는 SYN, 정상처럼 보이는 L7을 가르고, 스크러빙·SYN 쿠키·Anycast를 계층에 맞춥니다.
한 대의 거부는 IP 하나로 끊을 수 있습니다. 는 감염된 기기 무리가 동시에 밀어, 차단 목록이 따라가지 못하게 합니다. IoT 이 테라비트까지 키운 뒤로는, 유형을 고르고 클라우드 용량으로 걸러 내는 쪽이 기본 전략입니다.
세 계층의 공격
볼류메트릭은 회선을 채우고, 프로토콜은 상태 테이블을 채우며, 애플리케이션은 비싼 요청으로 앱을 지웁니다. 증폭은 작은 질의로 큰 응답을 피해 주소에 반사합니다.
| 층 | 대표 | 노리는 것 |
|---|---|---|
| 볼류메트릭 | UDP·ICMP 홍수, DNS·NTP 증폭 | 대역폭 |
| 프로토콜 | , ACK 홍수 | 반연결·소켓 테이블 |
| L7 | HTTP Flood, Slowloris, 느린 POST | 워커·연결 수 |
| 비교축 | DoS | DDoS |
|---|---|---|
| 출처 | 한 호스트 | 수천~수백만 봇 |
| 차단 | 단일 IP | 분산이라 어렵다 |
| 규모 | Mbps~Gbps | 수백 Gbps~Tbps |
SYN Flood는 SYN만 보내고 ACK를 안 보내 서버를 SYN_RCVD에 가둡니다. Slowloris는 헤더를 천천히 보내 연결을 붙들고 있습니다. 모델 DoS 토픽이 추론 쿼리로 자원을 말린다면, 여기서는 네트워크와 앱 연결이 대상입니다.
탐지와 인프라
임계값, 기준선 이상, 시그니처, 학습 기반이 겹칩니다. 인프라는 봇 마스터–봇–증폭기–표적입니다. PPS·BPS·동시 연결이 규모 지표입니다.
| 기법 | 강점 | 약점 |
|---|---|---|
| 임계값 | 단순 | 오탐 |
| 이상 탐지 | 처음 보는 패턴 | 기준선 필요 |
| 시그니처 | 빠르다 | 신규에 약하다 |
| 학습 기반 | 정밀 | 구축 비용 |
배율은 DNS에서 수십 배, 잘못된 NTP 명령에서 수백 배까지 갑니다. 반사체를 줄이는 것이 인터넷 공용 위생입니다.
완화
회선이 이미 가득이면 온프레미스 방화벽만으로는 부족합니다. 상류 필터, 스크러빙, Anycast로 양을 나누고, 상태 공격에는 쿠키와 타임아웃을, L7에는 챌린지와 WAF를 둡니다.
| 비교축 | 블랙홀 | 스크러빙 | SYN Cookie | WAF·CDN |
|---|---|---|---|---|
| 층 | L3/L4 | L3~L7 | L4 | L7 |
| 장점 | 즉시 격리 | 정상 트래픽 유지 | 반연결 없이 처리 | 패턴 정밀 |
| 대가 | 서비스도 끊김 | 지연·비용 | CPU | 우회 HTTP |
는 트래픽을 우회해 씻은 뒤 보냅니다. 는 테이블 없이 핸드셰이크 상태를 쿠키에 넣습니다. 국내에서는 상류 ISP와 대피 우회가 중소 사업자의 용량 공백을 메웁니다. CTEM은 증폭에 쓰일 오픈 서비스를 노출면에서 먼저 지웁니다.