DDoS 완화란?

이제 비즈니스에 중요한 데이터와 애플리케이션을 포함해 DDoS 공격에 취약하여 위험한 부분이 무엇인지, DDoS 완화 솔루션 배포가 중요한 이유는 무엇인지 알 수 있습니다. 또한 DDoS 완화 유형을 검토하여 요구 사항에 가장 적합한 솔루션을 결정할 수 있습니다.

조직이 DDoS 공격의 위험을 줄이기 위해 구현할 수 있는 몇 가지 유형의 온프레미스 솔루션과 조치가 있습니다. 이 중 일부는 클라우드 기반 솔루션과 함께 사용하여 전반적인 방어 태세를 더욱 강력하게 구축할 수도 있습니다.

• 네트워크 인프라 강화: 이 솔루션에서는 DDoS 공격을 견딜 수 있도록 네트워크 인프라를 강화합니다. 여기에는 대역폭 증가, 중복 링크 추가, 네트워크 디바이스 업그레이드 등이 포함됩니다.
• 속도 제한 및 트래픽 셰이핑: 이 솔루션에서는 네트워크에 유입될 수 있는 트래픽 양의 제한합니다. 이 솔루션은 네트워크 디바이스에 대한 속도 제한을 설정하거나 트래픽 셰이핑 기술을 사용하여 트래픽 우선순위를 정하는 방식으로 구현할 수 있습니다.
• 방화벽 및 침입 방지 시스템(IPS): 이 솔루션에서는 방화벽과 IPS 디바이스를 사용하여 악성 트래픽을 필터링합니다. 방화벽은 IP 주소, 포트 및 프로토콜을 기반으로 트래픽을 차단할 수 있으며, IPS 디바이스는 서명을 기반으로 공격을 탐지하여 차단할 수 있습니다.

DDoS 완화 작업을 클라우드 또는 하이브리드 솔루션으로 이전하면 효율성, 확장성, 효과를 높일 수 있습니다. 일부 클라우드 기반 솔루션은 온프레미스 솔루션과 통합할 수 있습니다. 클라우드 기반 DDoS 완화 솔루션은 클라우드 딜리버리 네트워크 또는 CDN에서 작동합니다.

• Anycast 라우팅은 트래픽을 처리할 수 있는 가장 가까운 데이터 센터로 트래픽을 분산합니다. 동일한 네트워크를 네트워크의 다른 부분에 고지하여 해당 네트워크에 도달하는 네트워크 "이동 시간"을 줄이는 방식으로 작동합니다. CDN 네트워크에서 Anycast 라우팅을 사용하면 트래픽을 보다 전략적으로 분산하여 수신 네트워크의 표면적을 넓히고 대량의 트래픽을 더 많은 데이터 센터로 재라우팅하는 데 도움이 됩니다.
• 트래픽 스크러빙 센터는 정상 트래픽에서 악성 트래픽을 걸러내도록 설계된 데이터 센터로, 공격 트래픽을 필터링한 후 안전한 트래픽을 고객 서버로 전달하여 DDoS 공격을 완화하는 데 사용됩니다. DDoS 공격이 발생하면 트래픽은 스크러빙 센터를 통해 라우팅되며, 여기서 분석 및 필터링된 후 안전한 트래픽이 고객 서버로 전달됩니다.

DDoS 완화 작업을 하이브리드 솔루션으로 이전하면 퍼블릭 클라우드 보안 및 프라이빗 클라우드 또는 온프레미스 관리를 최대한 활용할 수 있습니다. 하이브리드 모델을 통해 기업은 고유한 데이터 요구 사항에 맞게 보안 태세를 더욱 조정할 수 있습니다.

포괄적인 DDoS 완화 전략에는 일반적으로 몇 가지 주요 구성 요소가 포함됩니다.

DDoS 완화의 첫 번째 단계는 잠재적인 문제 또는 위험을 탐지하는 것입니다. 위협을 식별하고 경고하는 두 가지 주요 방법은 서명 기반 탐지와 이상 징후 기반 탐지입니다.

서명 기반 탐지는 사전 프로그래밍된 알려진 침해 지표(IOC) 목록을 사용하여 위협을 식별합니다. 이러한 IOC에는 악의적 네트워크 공격 행위, 이메일 제목 줄의 내용, 파일 해시, 알려진 바이트 순서 또는 악성 도메인 및 기타 문제가 포함될 수 있습니다. 서명 기반 탐지는 알려진 공격에 대한 처리 속도가 빠르고 오탐률이 낮지만 제로 데이 공격은 탐지할 수 없습니다.

반면에 이상 징후 기반 탐지는 알려지지 않은 의심스러운 행동에 대해 경고를 보낼 수 있습니다. 이상 징후 기반 탐지는 먼저 정규화된 기준선으로 시스템을 학습시킨 다음, 해당 기준선과 활동을 비교하여 비정상적인 상황이 감지되면 경보를 트리거합니다. 이상 징후 기반 탐지는 오탐률이 더 높을 수 있습니다.

DNS 리소스를 보호하는 것은 비즈니스에 매우 중요합니다. 두 가지 실시간 트래픽 우회 솔루션이 도움이 될 수 있습니다.

• DNS 리디렉션은 한 도메인 이름에서 다른 도메인 이름으로 DNS 쿼리를 리디렉션하는 것입니다. 이 솔루션은 웹사이트가 새로운 도메인 이름으로 이동했거나 기업이 한 도메인 이름에서 다른 도메인 이름으로 트래픽을 리디렉션하려는 경우에 유용합니다. DNS 리디렉션은 DNS 영역 파일의 CNAME 레코드를 사용하여 구현할 수 있습니다. 원래 도메인 이름에 대한 DNS 쿼리가 수신되면 DNS 서버는 새 도메인 이름을 가리키는 CNAME 레코드로 응답합니다. 그러면 클라이언트에서 새 도메인 이름에 대해 새로운 DNS 쿼리를 전송합니다.
• BGP Anycast는 인터넷상의 여러 위치에서 동일한 IP 주소를 통지하는 것입니다. BGP Anycast에서는 여러 위치에서 IP 주소를 통지하는 데 BGP(Border Gateway Protocol)가 사용됩니다. 클라이언트가 DNS 쿼리를 Anycast IP 주소로 보내면 쿼리는 해당 IP 주소를 통지하는 가장 가까운 위치로 라우팅됩니다. 이렇게 하면 지연 시간을 줄여 DNS 서비스의 성능과 가용성을 개선할 수 있습니다. BGP Anycast는 일반적으로 여러 지역에 여러 데이터 센터가 위치한 대규모 조직에서 사용됩니다.

조직의 요구 사항에 적합한 DDoS 완화 솔루션을 고려할 때는 비즈니스의 성장 궤적과 발생 가능한 위험을 염두에 두고 다음 요소를 심사숙고해야 합니다. 또한 클라우드 서비스를 고려하는 시기와 그 여부는 이제 프라이빗 클라우드 회사뿐만 아니라 여러 퍼블릭 클라우드(AWS, Google Cloud, Microsoft Azure, Alibaba Cloud) 중에서 선택할 수 있는 옵션이 제공됩니다.

포괄적인 DDoS 완화 솔루션은 실시간 사고 대응과 지속적인 테스트 및 검토를 통해 네트워크를 예방적으로 보호하여 최고의 성능을 보장합니다.

네트워크 아키텍처 설계: 제대로 설계된 네트워크 아키텍처는 네트워크의 복원력을 높이고 대량의 트래픽을 견딜 수 있도록 하여 DDoS 공격을 차단할 수 있습니다. 예를 들어 방화벽, 침입 탐지 시스템 및 기타 보안 조치를 포함한 여러 보안 레이어로 설계된 네트워크는 DDoS 공격이 네트워크에 침투하는 것을 막을 수 있습니다. 또한 네트워크 분할은 네트워크의 영향 받는 영역을 격리하여 공격의 영향을 제한하는 데 도움이 될 수 있습니다.

로드 밸런싱: 로드 밸런싱은 여러 서버에 트래픽을 분산하여 한 서버에 과부하가 걸리는 것을 방지함으로써 DDoS 공격을 방지할 수 있습니다. 이를 통해 DDoS 공격 중에도 네트워크 가용성을 유지할 수 있습니다. 또한 로드 밸런서는 악성 트래픽을 탐지 및 차단하여 DDoS 공격이 성공하지 못하도록 하는 데 도움이 될 수 있습니다.

세부적인 공급업체 SLA: DDoS 공격 방어를 위해 제3자를 고려할 경우, 모든 DDoS 시나리오에서 공급업체의 역량을 파악하고 프로토콜, 조치 및 대응을 SLA에 통합하는 것이 중요합니다.

DDoS 사고 처리 단계: DDoS 사고에 신속하고 효과적으로 대응하는 데는 6가지 주요 단계가 있지만, 이러한 단계가 선형적인 방식으로 진행되는 것이 아니라 루프 형태로 진행된다는 점을 명시해야 합니다.

1. 준비: 담당자를 정하고, 절차를 정의하고, 공격 중 시간을 절약할 수 있는 도구를 수집합니다.
2. 탐지: 사고를 탐지하고 사고 범위를 정한 후 적절한 당사자를 참여시킵니다.
3. 분석: 공격 트래픽을 분석하여 공격의 특성을 파악하고 표적을 식별합니다.
   
4. 봉쇄: 트래픽을 필터링하고 악성 트래픽을 차단하여 공격을 봉쇄합니다.
   
5. 근절: 네트워크에서 악성 트래픽을 제거하여 공격을 근절합니다.
   
6. 복구: 서비스를 복원하고 사고를 검토하여 공격으로부터 복구합니다.
   

DDoS 사고 발생 시 완화 솔루션 제공업체와의 커뮤니케이션 프로토콜: 처음부터 기업과 완화 솔루션 제공업체가 엄격한 커뮤니케이션 프로토콜을 따르는 것이 중요합니다. 다음은 사고 발생 시 커뮤니케이션을 위한 권장 모범 사례입니다.

• 커뮤니케이션 계획 수립: 공격이 발생하기 전에 DDoS 완화 솔루션 제공업체와 커뮤니케이션 계획을 수립합니다. 이 계획에는 주요 담당자의 연락처 정보, 에스컬레이션 절차 및 커뮤니케이션 채널이 포함되어야 합니다.
• 상세 정보 제공: DDoS 완화 솔루션 제공업체에 공격 유형, 공격 목표 및 공격 기간을 포함하여 공격에 대한 상세 정보를 제공합니다. 이 정보는 제공업체가 효과적인 완화 전략을 개발하는 데 도움이 될 수 있습니다.
• 제공업체와 협력: DDoS 완화 솔루션 제공업체와 긴밀히 협력하여 조직의 요구 사항에 맞는 완화 전략을 개발합니다. 여기에는 트래픽 라우팅 조정, 트래픽 필터링 또는 악성 트래픽 차단이 포함될 수 있습니다.
  
• 상황 모니터링: 상황을 면밀히 모니터링하고 DDoS 완화 솔루션 제공업체에 정기적인 업데이트를 제공합니다. 이렇게 하면 필요에 따라 완화 전략을 조정하는 데 도움이 될 수 있습니다.
  
• 사고 검토: 공격이 완화되면 DDoS 완화 솔루션 제공업체와 함께 사고를 검토하여 개선이 필요한 부분을 파악하고 필요에 따라 사고 대응 계획을 업데이트합니다.