.jpg)
트래픽 양 폭발적으로 증가...주기적으로 끊겼다가 다시 나타났다가
공격 성공률 높고 봇넷 활용 효율 높아져...다수 표적 vs. 단일 표적 논란
[보안뉴스 문가용 기자] 위협 행위자들이 자주하는 디도스 공격이 최근 효율성을 높였다. 보통 디도스라고 하면 디도스 공격용 봇넷을 활용해 충분한 양의 트래픽을 단일 공격 대상에게 보내 기능을 최대한 오랫동안 마비시키는 것을 말한다. 그런데 최근 들어 다수의 공격대상에게 짧은 주기로 디도스 공격을 반복해 감행하는 현상이 발견됐다고 한다.
이러한 사실을 알려온 건 보안 업체인 임퍼바(Imperva)로, 이러한 새로운 디도스 공격 기법을 펄스 웨이브(Pulse Wave)라고 부르기 시작했다. 생애주기가 짧은 폭발적인 트래픽을 주기적으로 내보내는 것으로, “마치 시계장치처럼 규칙적으로 공격이 들어간다”고 임퍼바는 설명한다.
피해를 받는 입장에서 공격이 주기적으로 들어온다는 건, 공격이 주기적으로 끊긴다는 뜻도 된다. 그 공백의 시간 동안에 공격자들은 뭘 할까? 부지런히 다른 피해자에게 같은 공격을 퍼붓는다. 즉, 여러 대상을 한꺼번에 공격하기 위해 중간 중간 공격을 끊는 것이다. 이는 디도스 공격에 사용되는 자원을 최대한 활용하기 위한 전략으로 보인다.
펄스 웨이브 공격의 또 다른 흥미로운 점은 공격자들이 디도스 공격 트래픽을 짧은 시간에 폭발적으로 높인다는 것이다. 기존 디도스 공격이라면 트래픽을 높이는 데 시간이 어느 정도 걸린다. 물리적으로 여기 저기 흩어져 있는 봇들을 가동시키려면 어쩔 수 없는 일이다. 그렇기에 디도스 공격 트래픽은 서서히 높아졌다가 갑자기 뚝 떨어지거나 서서히 낮아지는 패턴을 보이는 게 보통이다.
이에 비해 펄스 웨이브는 트래픽이 갑자기 치솟아 짧은 시간 내에 최고치를 찍었다가 사라지고, 다시 나타나 또 짧은 시간 안에 높은 트래픽을 쏘는 식으로 작동한다. 이렇게 했을 때 디도스 방어 장치를 갖추고 있는 기업이라고 하더라도 번번이 대처하기가 힘들어진다. 임퍼바의 마케팅 책임자인 이갈 제이프만(Igal Zeifman)은 “디도스 발생 시 대체 작동할 시스템이 갖춰져 있다고 하더라도 이 시스템을 빠르게 반복적으로 가동시키는 데 한계가 있다”고 말한다.
“수초 만에 트래픽 양이 올라가면 네트워크가 금방 가득 찬 상태가 됩니다. 즉 방어 체제가 서로 신호를 수신하면서 가동될 시간을 주지 않는 것이죠. 방어 기제가 가동되는 데에도 시간이 필요한데, 공격이 빨라지면 빨라질수록 이 시간을 허락하지 않을 수 있다는 것이고, 펄스 웨이브가 그 점을 잘 노렸다는 겁니다.”
이 말은 디도스 방어를 전문으로 하는 기업들이 다시 한 번 연구에 돌입해야 한다는 뜻이다. “트래픽을 아예 처음부터 샘플링해야 합니다. 펄스 웨이브는 확실히 업그레이드 된 디도스 공격이에요. 공격 성공률도 높고, 그만큼 기존 솔루션으로는 대처가 안 된다는 겁니다.” 제이프만의 설명이다.
또 다른 보안 업체인 아카마이(Akamai)의 수석 보안 고문인 마틴 맥키(Martin McKeay) 역시 이러한 디도스 공격 패턴의 변화를 주목하고 있던 사람이다. 하지만 임퍼바의 주장과 달리 공격 표적을 빠르게 바꿔간다는 명확한 증거를 아직 발견하지 못했다고 말한다. “공격자들이 빠르게 치고 빠지는 이유에 대한 저희 추측은 ‘추적이나 탐지가 되지 않기 위해서’입니다. 공격이 무력화되는 것 또한 방지할 수 있고요.”
펄스 웨이브에 대한 맥키의 설명은 임퍼바의 그것과는 조금 다르다. “제가 보기에 이 공격의 진짜 표적은 서브넷입니다. 서브넷은 일부만 보호받는 게 보통이죠. 디도스 트래픽이 공격 표적을 바꿔가는 것처럼 보이는 건 이런 다양한 서브넷들을 노리기 때문인데, 사실 서브넷은 한 사람 혹은 한 단체가 다양하게 보유하고 있어서, 이걸 공격 표적을 바꾸기 위한 방법이라고 해석해도 되는지에 대해서는 의문이 남습니다.”
맥키는 펄스 웨이브가 시사하는 바는 “기존 디도스 공격 인프라에 대한 중대한 변경 없이 공격의 성공률을 높였다는 것”이라고 설명한다. “이는 공격자들이 머리를 잘 쓴다거나 재활용을 잘 한다는 맥락에서의 증거가 될 수도 있지만, 무엇보다 디도스 공격이 매우 흔하고 일상적인 사이버 공격 방법이 되어버렸다는 증거도 됩니다. 누구나 쉽게 떠올리고 실행할 수 있는 그런 종류의 공격이 된 것입니다.”
한편 보안 업체 아버 네트워크(Arbor Network)의 수석 엔지니어인 롤랜드 도빈스(Roland Dobbins)는 “현존하는 하이브리드형 디도스 방어 서비스로도 충분히 방어가 가능한 공격”이라고 펄스 웨이브에 대해 설명한다. “무접속 시그널링 프로토콜을 사용하는 디도스 방지 솔루션이라면 내부 네트워크가 아무리 빨리 채워져도 계속해서 기능할 수 있습니다.”
그러므로 솔루션들끼리 혹은 솔루션 내 요소들끼리의 트래픽이 막혀 디도스 방지 솔루션이 제대로 기능하지 않을 수 있다는 임퍼바의 주장에 반박한 것이다. “아마도 임퍼바 측은 클라우드를 기반으로 한 디도스 방지 솔루션을 말한 것 같습니다. 그렇다면 그 주장은 맞습니다. 하지만 현재 시장엔 온프레미스로 운영되는 솔루션도 있고, 클라우드와 함께 병행되는 하이브리드 시스템도 있습니다. 그런 솔루션들로는 펄스 웨이브를 막는 데 어려움이 없습니다.”
현재까지 목격된 바, 펄스 웨이브가 만든 트래픽의 최고 용량은 초당 350 기가바이트다. 또한 주요 공격 표적은 금융 기관과 게임 서비스 업체들이었다. 배후 공격자에 대해서는 아직 밝혀지지 않았지만, 임퍼바는 “기술과 실력이 모두 뛰어나고, 자원도 넉넉한 자들일 것”으로 추측하고 있다.
[국제부 문가용 기자(globoan@boannews.com)]
공격 성공률 높고 봇넷 활용 효율 높아져...다수 표적 vs. 단일 표적 논란
[이미지 = iclickart]
이러한 사실을 알려온 건 보안 업체인 임퍼바(Imperva)로, 이러한 새로운 디도스 공격 기법을 펄스 웨이브(Pulse Wave)라고 부르기 시작했다. 생애주기가 짧은 폭발적인 트래픽을 주기적으로 내보내는 것으로, “마치 시계장치처럼 규칙적으로 공격이 들어간다”고 임퍼바는 설명한다.
피해를 받는 입장에서 공격이 주기적으로 들어온다는 건, 공격이 주기적으로 끊긴다는 뜻도 된다. 그 공백의 시간 동안에 공격자들은 뭘 할까? 부지런히 다른 피해자에게 같은 공격을 퍼붓는다. 즉, 여러 대상을 한꺼번에 공격하기 위해 중간 중간 공격을 끊는 것이다. 이는 디도스 공격에 사용되는 자원을 최대한 활용하기 위한 전략으로 보인다.
펄스 웨이브 공격의 또 다른 흥미로운 점은 공격자들이 디도스 공격 트래픽을 짧은 시간에 폭발적으로 높인다는 것이다. 기존 디도스 공격이라면 트래픽을 높이는 데 시간이 어느 정도 걸린다. 물리적으로 여기 저기 흩어져 있는 봇들을 가동시키려면 어쩔 수 없는 일이다. 그렇기에 디도스 공격 트래픽은 서서히 높아졌다가 갑자기 뚝 떨어지거나 서서히 낮아지는 패턴을 보이는 게 보통이다.
이에 비해 펄스 웨이브는 트래픽이 갑자기 치솟아 짧은 시간 내에 최고치를 찍었다가 사라지고, 다시 나타나 또 짧은 시간 안에 높은 트래픽을 쏘는 식으로 작동한다. 이렇게 했을 때 디도스 방어 장치를 갖추고 있는 기업이라고 하더라도 번번이 대처하기가 힘들어진다. 임퍼바의 마케팅 책임자인 이갈 제이프만(Igal Zeifman)은 “디도스 발생 시 대체 작동할 시스템이 갖춰져 있다고 하더라도 이 시스템을 빠르게 반복적으로 가동시키는 데 한계가 있다”고 말한다.
“수초 만에 트래픽 양이 올라가면 네트워크가 금방 가득 찬 상태가 됩니다. 즉 방어 체제가 서로 신호를 수신하면서 가동될 시간을 주지 않는 것이죠. 방어 기제가 가동되는 데에도 시간이 필요한데, 공격이 빨라지면 빨라질수록 이 시간을 허락하지 않을 수 있다는 것이고, 펄스 웨이브가 그 점을 잘 노렸다는 겁니다.”
이 말은 디도스 방어를 전문으로 하는 기업들이 다시 한 번 연구에 돌입해야 한다는 뜻이다. “트래픽을 아예 처음부터 샘플링해야 합니다. 펄스 웨이브는 확실히 업그레이드 된 디도스 공격이에요. 공격 성공률도 높고, 그만큼 기존 솔루션으로는 대처가 안 된다는 겁니다.” 제이프만의 설명이다.
또 다른 보안 업체인 아카마이(Akamai)의 수석 보안 고문인 마틴 맥키(Martin McKeay) 역시 이러한 디도스 공격 패턴의 변화를 주목하고 있던 사람이다. 하지만 임퍼바의 주장과 달리 공격 표적을 빠르게 바꿔간다는 명확한 증거를 아직 발견하지 못했다고 말한다. “공격자들이 빠르게 치고 빠지는 이유에 대한 저희 추측은 ‘추적이나 탐지가 되지 않기 위해서’입니다. 공격이 무력화되는 것 또한 방지할 수 있고요.”
펄스 웨이브에 대한 맥키의 설명은 임퍼바의 그것과는 조금 다르다. “제가 보기에 이 공격의 진짜 표적은 서브넷입니다. 서브넷은 일부만 보호받는 게 보통이죠. 디도스 트래픽이 공격 표적을 바꿔가는 것처럼 보이는 건 이런 다양한 서브넷들을 노리기 때문인데, 사실 서브넷은 한 사람 혹은 한 단체가 다양하게 보유하고 있어서, 이걸 공격 표적을 바꾸기 위한 방법이라고 해석해도 되는지에 대해서는 의문이 남습니다.”
맥키는 펄스 웨이브가 시사하는 바는 “기존 디도스 공격 인프라에 대한 중대한 변경 없이 공격의 성공률을 높였다는 것”이라고 설명한다. “이는 공격자들이 머리를 잘 쓴다거나 재활용을 잘 한다는 맥락에서의 증거가 될 수도 있지만, 무엇보다 디도스 공격이 매우 흔하고 일상적인 사이버 공격 방법이 되어버렸다는 증거도 됩니다. 누구나 쉽게 떠올리고 실행할 수 있는 그런 종류의 공격이 된 것입니다.”
한편 보안 업체 아버 네트워크(Arbor Network)의 수석 엔지니어인 롤랜드 도빈스(Roland Dobbins)는 “현존하는 하이브리드형 디도스 방어 서비스로도 충분히 방어가 가능한 공격”이라고 펄스 웨이브에 대해 설명한다. “무접속 시그널링 프로토콜을 사용하는 디도스 방지 솔루션이라면 내부 네트워크가 아무리 빨리 채워져도 계속해서 기능할 수 있습니다.”
그러므로 솔루션들끼리 혹은 솔루션 내 요소들끼리의 트래픽이 막혀 디도스 방지 솔루션이 제대로 기능하지 않을 수 있다는 임퍼바의 주장에 반박한 것이다. “아마도 임퍼바 측은 클라우드를 기반으로 한 디도스 방지 솔루션을 말한 것 같습니다. 그렇다면 그 주장은 맞습니다. 하지만 현재 시장엔 온프레미스로 운영되는 솔루션도 있고, 클라우드와 함께 병행되는 하이브리드 시스템도 있습니다. 그런 솔루션들로는 펄스 웨이브를 막는 데 어려움이 없습니다.”
현재까지 목격된 바, 펄스 웨이브가 만든 트래픽의 최고 용량은 초당 350 기가바이트다. 또한 주요 공격 표적은 금융 기관과 게임 서비스 업체들이었다. 배후 공격자에 대해서는 아직 밝혀지지 않았지만, 임퍼바는 “기술과 실력이 모두 뛰어나고, 자원도 넉넉한 자들일 것”으로 추측하고 있다.
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
