코로나 사태로 많은 사람들 외출 못해...그 기간 동안 DNS 트래픽 크게 늘어
단순 사용량 증가로 보기에는 지나치게 높아...디도스 공격 패턴과도 비슷한 점 있어

[보안뉴스 문가용 기자] 5개 산업 316개의 주요 사이트들로 전송되는 도메인 이름 시스템(DNS) 요청을 분석한 결과가 나왔다. 결과부터 말하자면 3월 마지막 주부터 트래픽 볼륨이 어마어마하게 증가했는데, 이는 마침 많은 국가들에서 외출 금지령을 시행한 시기와 맞물린다. 이 트래픽 고공 행진은 4월까지 이어졌다고 보안 업체 파사이트 시큐리티(Farsight Security)가 발표했다.


[이미지 = utoimage]

파사이트는 익명화 처리가 된 DNS 기록들을 수집해 분석하면서, 특히 요청된 주소가 도메인 이름 서버에 없는 경우를 집중적으로 조사했다고 한다. boannews.com과 같은 주소를 요청했을 때, 도메인 이름 서버에 없어서 오류가 나는 경우를 파헤쳤다는 것이다. 그런데 이런 종류의 오류가 3월 말과 4월 초 사이에 3~7배나 증가했다고 한다.

파사이트의 CEO인 폴 빅시(Paul Vixie)는 이에 대해 “미스터리한 현상”이라고 말한다. 왜 이 기간 동안 DNS 트래픽이 증가했고, 게다가 서버에 없는 주소를 요청하는 경우가 늘어났을까? 여기에는 몇 가지 가능성이 존재한다. “사람들의 근무 환경이 바뀌면서 인터넷 사용 패턴이나 설정이 변했을 가능성이 있습니다. 그러나 대부분은 디도스 공격과 관련이 있는 것으로 보입니다. 누군지는 모르겠지만, 일부 웹사이트들에 대한 접근을 방해하고 있는 것 같습니다.”

특히 다섯 개의 산업에서 이런 현상이 두드러지는 것으로 나타났다.
1) 뉴스
2) 스트리밍
3) 여행과 운송
4) 도소매
5) 교육

뉴스 사이트의 경우, 유명 매체인 포브스에 대한 DNS 요청은 4월 1일 이후 5배 이상 늘어났다. AP뉴스와 CNN, 폭스 뉴스 역시 비슷한 패턴을 보이고 있다고 한다. 그 외 위 다섯 개 산업의 주요 업체들도 유사한 상황을 겪는 중이다. “트래픽이 비정상적으로 늘어났고, 그 패턴을 분석하면 디도스 공격과 비슷합니다. 재택 근무자들이 이런 사이트들을 많이 방문한 것일 수 있지만, 그것만으로는 설명이 되지 않습니다.”

하지만 ‘설명이 되지 않는다’는 의혹으로만 일단 이번 조사는 일단락 됐다. 더 깊은 분석을 이어가지 않는다면 정확한 상황 파악이 힘들다는 것이다. “디도스라고만 볼 수도 없고, 사용자들의 온라인 활동 상이 변했다고만도 볼 수 없습니다. 두 가지가 섞여 있는 것으로 보입니다. 게다가 이 두 가지 외에 다른 요인들이 개입했을 가능성도 매우 높다고 생각합니다. 트래픽에 대한 가시성을 확보하지 않는 한 아무도 정확한 답은 모를 겁니다.” 빅시의 설명이다.

그렇다면 왜 이유가 명확히 밝혀지지 않은 현상에 대한 정보를 빅시는 발표했을까? “좀 더 분석해서 확실한 이유를 밝히는 게 여러 모로 좋았을 겁니다. 하지만 그러려면 시간이 오래 걸렸을 것이고, 저희 혼자서 트래픽의 모든 가시성을 확보하기가 어렵습니다. 이번에 이런 미완성 보고서를 발표하게 된 건, 누군가 비슷한 현상을 목격했을 것이 분명하고, 저희 발표 내용을 보고 연락을 해오지 않을까 해서입니다. 즉, 업계에 협업을 요청하기 위해 발표한 거라고 말할 수 있습니다.”

미완성이라고 말하지만 파사이트가 발표한 자료(https://info.farsightsecurity.com/pandemic-report)는 95페이지에 달한다. 이 안에는 파사이트가 분석한 모든 웹사이트에 대한 정보가 나와 있으며, 어떤 식으로 DNS 트래픽이 증가하고 있는지 보는 것도 가능하다.

빅시는 “외출 금지령이 내려진 기간 동안 일부 산업의 주요 웹사이트들에서 비정상적인 트래픽 패턴이 나타났다는 건 파헤쳐 볼 만한 일”이라며 “IT 업계에 있는 사람들이라면 이 내용을 보고 ‘우리 사이트는 어떨까?’ 조사해보길 권장한다”고 말한다. “모두가 지금 인터넷 공간에서 무슨 일이 일어나는지 같이 확인하고 조사해야 할 때입니다. 분명 코로나와 맞물려 뭔가 일어나고 있습니다.”

3줄 요약
1. 코로나 때문에 외출이 금지된 기간 동안 DNS 트래픽이 크게 증가함.
2. 집 안에 갇힌 사람들이 인터넷을 갑자기 많이 사용해서? 증가 패턴은 디도스와도 비슷.
3. 정확한 이유 알려면 광범위한 트래픽 가시성 확보와 분석이 필요함.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>