.jpg)
씨디네트웍스, 2016년 상반기 디도스 공격 분석 보고서 발표
2016년 상반기 가장 높은 공격 트래픽 58G로 전년 동기 대비 2.8배 증가
[보안뉴스 김태형] 올해 디도스 공격은 점차 조직화·대형화되고 있으며 복잡하고 다양한 공격 유형을 보인 것으로 나타났다. 글로벌 콘텐츠 전송 서비스 기업 씨디네트웍스(대표이사 김종찬)가 최신 디도스 공격 동향을 분석한 ‘2016년 상반기 디도스 공격 분석 보고서’를 발표했다.
씨디네트웍스는 글로벌 고객사를 대상으로 대규모 네트워크 인프라와 트래픽 우회 기술을 기반으로 디도스 방어 서비스를 제공하면서 취합한 데이터를 분석해 이와 같은 내용의 보고서를 발표했다. 분석 기간은 2015년 1월부터 2016년 6월까지이며, 총 3개 구간으로 나누어 디도스 공격 추이 및 동향 정보를 담았다.
보고서에 따르면 2016년 상반기는 △분석 기간 내 가장 높은 공격 트래픽 기록 △GET Flooding 공격 증가 및 다양화 △TCP 프로토콜 기반 디도스 공격 증가 △복합 공격의 지속적인 발생 등으로 분석됐다.
가장 높은 공격 트래픽 기록
2016년 상반기에는 58.8Gbps에 이르는 디도스 공격이 관찰되어 분석 기간 내 최대 공격 트래픽을 기록했다. 전년 동기 최대 공격 트래픽인 21Gbps 대비해 공격 규모가 2.8배 증가했다. 또한 탐지와 대응이 어려운 소규모 GET flooding 공격의 증가로 전체 공격 건수 중, 20G 이상 공격 비율은 감소했으나, 50G를 초과하는 공격 비율은 지난해 같은 기간 0%에서 31%로 대폭 증가했다.
‘GET Flooding 공격’ 증가 및 다양화
디도스 공격 유형별 발생 빈도를 보면 UDP(User Datagram Protocol) Flooding 공격이 29%를 차지하여 2015년 이후 지속적으로 발생 빈도수가 가장 높은 공격 유형으로 나타났다. 반면, 2016년 상반기에 가장 주목해야 할 항목은 ‘GET Flooding’ 공격의 증가 추세다. 클라우드 서비스를 이용한 공격 증가가 원인으로 파악되며, 2015년 17%에서 2016년 상반기 27%로 가장 많이 증가한 공격 유형으로 기록됐다.
최근 나타나는 GET Flooding 공격은 데이터베이스의 자원을 고갈시키는 데이터베이스 쿼리 플루딩(Database Query Flooding)과 무작위 URI 주소를 무한으로 요청하여 웹 서버로 대규모 패킷을 보내 서버를 마비시키는 Random URI GET Flooding 공격, 작은 규모로 요청(request)하여 큰 응답 값을 발생시켜 네트워크망의 자원을 고갈시키는 응답 증폭 GET Flooding 공격이 대표적이다. 이러한 형태의 공격은 보안 장비를 우회하여 기존 디도스 장비로 대응이 불가능하다는 특징이 있다.
TCP 프로토콜 기반 디도스 공격 증가
대규모 공격에 활용된 프로토콜의 경우, TCP가 큰 폭으로 증가했다. 20G 이상 공격에 활용된 프로토콜 조사 결과에서 TCP는 2015년 하반기 10% 수준에 머물렀으나 2016년 상반기 69%를 차지해 UDP 및 멀티 프로토콜 대비 압도적으로 큰 비중을 차지하고 있다.
이처럼 TCP 기반 공격이 증가한 원인은 ISP(Internet Service Provider)에서 차단이 가능한 UDP 기반 공격과 달리 백본에서 공격을 차단할 수 없다는 TCP 기반 공격의 특성 때문에 네트워크 자원을 고갈시키는 효과적인 공격 방법으로 확산된 것으로 보인다. 또한 감염된 리눅스 서버를 이용한 XOR.DDoS 공격이 급증한 추세가 반영된 것으로 분석됐다.
복합 공격의 지속적인 발생
올해 상반기 디도스 공격 중, 복합 공격의 비율은 20%를 차지한다. 이는 전년 동기 19%, 이전 분기 22%와 유사한 수준이며, UDP Flooding과 GET Flooding 공격이 결합된 유형이 가장 많이 발생하는 것으로 확인됐다.
일반적으로 디도스 공격에 대응 시, 큰 트래픽 공격에 집중하게 되므로 소규모로 공격하는 GET flooding 공격을 정확히 인지하지 못하는 경우가 있다. 따라서 공격자가 이러한 약점을 이용하기 위해 대규모 트래픽에 GET Flooding을 숨겨 복합적으로 공격하는 사례가 나타나고 있다.
씨디네트웍스 보안서비스팀 최경철 이사는 “디도스 공격이 점차 조직화되고 지능적으로 진화하면서 기업 비즈니스 연속성에 큰 위협이 되고 있다”며 “누구나 표적이 될 수 있는 만큼 공격 발생 시 대응 가능한 시나리오를 수립하고 신속하고 능동적으로 대응할 수 있는 방안을 마련해야 한다”고 강조했다. 씨디네트웍스가 발표한 이번 보고서는 씨디네트웍스 웹사이트(www.cdnetworks.co.kr)에서 다운로드 할 수 있다.
[김태형 기자(boan@boannews.com)]
2016년 상반기 가장 높은 공격 트래픽 58G로 전년 동기 대비 2.8배 증가
[보안뉴스 김태형] 올해 디도스 공격은 점차 조직화·대형화되고 있으며 복잡하고 다양한 공격 유형을 보인 것으로 나타났다. 글로벌 콘텐츠 전송 서비스 기업 씨디네트웍스(대표이사 김종찬)가 최신 디도스 공격 동향을 분석한 ‘2016년 상반기 디도스 공격 분석 보고서’를 발표했다.
▲ 반기별 공격 트래픽 규모 분석
씨디네트웍스는 글로벌 고객사를 대상으로 대규모 네트워크 인프라와 트래픽 우회 기술을 기반으로 디도스 방어 서비스를 제공하면서 취합한 데이터를 분석해 이와 같은 내용의 보고서를 발표했다. 분석 기간은 2015년 1월부터 2016년 6월까지이며, 총 3개 구간으로 나누어 디도스 공격 추이 및 동향 정보를 담았다.
보고서에 따르면 2016년 상반기는 △분석 기간 내 가장 높은 공격 트래픽 기록 △GET Flooding 공격 증가 및 다양화 △TCP 프로토콜 기반 디도스 공격 증가 △복합 공격의 지속적인 발생 등으로 분석됐다.
가장 높은 공격 트래픽 기록
2016년 상반기에는 58.8Gbps에 이르는 디도스 공격이 관찰되어 분석 기간 내 최대 공격 트래픽을 기록했다. 전년 동기 최대 공격 트래픽인 21Gbps 대비해 공격 규모가 2.8배 증가했다. 또한 탐지와 대응이 어려운 소규모 GET flooding 공격의 증가로 전체 공격 건수 중, 20G 이상 공격 비율은 감소했으나, 50G를 초과하는 공격 비율은 지난해 같은 기간 0%에서 31%로 대폭 증가했다.
‘GET Flooding 공격’ 증가 및 다양화
디도스 공격 유형별 발생 빈도를 보면 UDP(User Datagram Protocol) Flooding 공격이 29%를 차지하여 2015년 이후 지속적으로 발생 빈도수가 가장 높은 공격 유형으로 나타났다. 반면, 2016년 상반기에 가장 주목해야 할 항목은 ‘GET Flooding’ 공격의 증가 추세다. 클라우드 서비스를 이용한 공격 증가가 원인으로 파악되며, 2015년 17%에서 2016년 상반기 27%로 가장 많이 증가한 공격 유형으로 기록됐다.
최근 나타나는 GET Flooding 공격은 데이터베이스의 자원을 고갈시키는 데이터베이스 쿼리 플루딩(Database Query Flooding)과 무작위 URI 주소를 무한으로 요청하여 웹 서버로 대규모 패킷을 보내 서버를 마비시키는 Random URI GET Flooding 공격, 작은 규모로 요청(request)하여 큰 응답 값을 발생시켜 네트워크망의 자원을 고갈시키는 응답 증폭 GET Flooding 공격이 대표적이다. 이러한 형태의 공격은 보안 장비를 우회하여 기존 디도스 장비로 대응이 불가능하다는 특징이 있다.
TCP 프로토콜 기반 디도스 공격 증가
대규모 공격에 활용된 프로토콜의 경우, TCP가 큰 폭으로 증가했다. 20G 이상 공격에 활용된 프로토콜 조사 결과에서 TCP는 2015년 하반기 10% 수준에 머물렀으나 2016년 상반기 69%를 차지해 UDP 및 멀티 프로토콜 대비 압도적으로 큰 비중을 차지하고 있다.
이처럼 TCP 기반 공격이 증가한 원인은 ISP(Internet Service Provider)에서 차단이 가능한 UDP 기반 공격과 달리 백본에서 공격을 차단할 수 없다는 TCP 기반 공격의 특성 때문에 네트워크 자원을 고갈시키는 효과적인 공격 방법으로 확산된 것으로 보인다. 또한 감염된 리눅스 서버를 이용한 XOR.DDoS 공격이 급증한 추세가 반영된 것으로 분석됐다.
▲ 2016년 상반기 주요 DDoS 공격 이슈
복합 공격의 지속적인 발생
올해 상반기 디도스 공격 중, 복합 공격의 비율은 20%를 차지한다. 이는 전년 동기 19%, 이전 분기 22%와 유사한 수준이며, UDP Flooding과 GET Flooding 공격이 결합된 유형이 가장 많이 발생하는 것으로 확인됐다.
일반적으로 디도스 공격에 대응 시, 큰 트래픽 공격에 집중하게 되므로 소규모로 공격하는 GET flooding 공격을 정확히 인지하지 못하는 경우가 있다. 따라서 공격자가 이러한 약점을 이용하기 위해 대규모 트래픽에 GET Flooding을 숨겨 복합적으로 공격하는 사례가 나타나고 있다.
씨디네트웍스 보안서비스팀 최경철 이사는 “디도스 공격이 점차 조직화되고 지능적으로 진화하면서 기업 비즈니스 연속성에 큰 위협이 되고 있다”며 “누구나 표적이 될 수 있는 만큼 공격 발생 시 대응 가능한 시나리오를 수립하고 신속하고 능동적으로 대응할 수 있는 방안을 마련해야 한다”고 강조했다. 씨디네트웍스가 발표한 이번 보고서는 씨디네트웍스 웹사이트(www.cdnetworks.co.kr)에서 다운로드 할 수 있다.
[김태형 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김태형기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
