팬데믹과 기술 변혁으로 ‘완전 온라인화’로 가고 있는 기업 환경을 디도스 공격자들이 노리고 있다. 공격 도구와 방법도 풍부해 공격자들로서는 자유롭게 전략을 바꿀 수 있다. 요즘은 ‘폭발성’ 디도스 공격이 유행 중이다.

[보안뉴스 문가용 기자] 2021년 상반기 동안 디도스 공격이 4배 증가했다는 보고서가 보안 업체 임퍼바(Imperva)로부터 나왔다. 또한 약 5600번의 공격 사건을 분석한 결과 공격의 강도는 높이되 공격 1회 소요 시간은 줄여가는 패턴도 발견됐다. 5600번 중 절반은 8분 이하 동안만 지속됐는데, 한 번 노렸던 업체를 지속적으로 공격하는 집요함이 눈에 띄었다고 한다.


[이미지 = utoimage]

이런 패턴을 한 마디로 정리하면 ‘대단히 세게 치고 빠르게 빠지기’이다. 즉 대응하는 입장에서 전에 없는 유연성이 요구되는 것이다. 임퍼바의 수석 제품 관리자인 데이비드 엘말레(David Elmaleh)는 “그래서 많은 기업들이 방어에 애를 먹고 있다”고 설명한다. “또한 모든 부분을 고르게 강화하는 것도 불가능합니다. 공격자들은 약한 부분을 노리고 빠르게 들어갔다가 빠르게 나오는데요, 이것이 방어를 더 까다롭게 만듭니다. 트래픽을 초당 몇 기가바이트까지 감당할 수 있느냐와는 또 다른 문제인 것입니다.”

공격자들이 발생시키는 양이 ‘역대급’ 기록을 매일처럼 경신하는 건 아니다. 임퍼바도 이것을 강조하고 있지 않다. “하지만 공격의 강도가 빠르게 높아져 최고 기록 수준까지 치고 올라가는 건 사실입니다. 디도스 공격 도구가 굉장히 발전했고, 공격자들이 이런 도구들에 접근하는 게 용이해졌거든요. 또한 팬데믹 때문에 디도스 공격이 기업들에 더 아프게 작용한다는 것도 중요한 요인입니다.”

현재 다크웹 시세를 봤을 때 기업의 클라우드 서비스를 중단시키는 데 드는 비용은 커피 한 잔 값이다. 100달러 정도를 쓰면 수시간 동안 중단시킬 수도 있다. “공격자들에게는 옵션이 활짝 열려 있습니다. 공격 방법이나 도구 등 자원은 너무나 풍부해요. 해킹 공격을 위한 진입 장벽이 지금처럼 낮아본 적이 없었습니다. 마음만 먹으면 되는 수준입니다. 게다가 수많은 조직들이 ‘완전 온라인화’를 진행하고 있지요. 공격 도구만이 아니라 잠재 피해자들도 엄청나게 많은 상황이라는 겁니다.”

임퍼바가 발표한 내용의 요지는 간단하다. 디도스 공격 관련 자원이 풍부하기 때문에 공격자들의 전략이 쉽게 바뀐다는 것이다. 이는 방어자들의 디도스 방어 능력 역시 갈수록 발전하고 있기 때문이기도 하다. 기존 디도스 공격으로는 어지간한 기업들에 위기 상황을 부여할 수 없다. “그렇기 때문에 짧게 강력하게 치고 빠져나오는 겁니다. 그리고 이걸 자주 반복하죠. 어쨌든 공격자들의 목적은 신기록을 세우는 게 아니래 사업 행위를 방해하고 귀찮게 하는 것이니까요. 디도스 때문에 수일 동안 기업 전체가 마비되는 건 아니라도, 잦은 ‘폭발성’ 공격 때문에 비슷한 효과를 유발할 수 있습니다.”

짧고 강렬한 ‘폭발성’ 공격의 장점은 최초 몇 번의 공격을 통해 피해 조직이 어떤 식으로 디도스에 대응하는지 살필 수 있다는 것이다. 그리고 이를 통해 가장 효과적인 공격 기법과 전략을 선택할 수 있게 된다. “공격자 입장에서는 매우 효율적인 방법입니다. 효과도 좋고요. 클라우드로의 백업이나 위험 완화책을 발동시키기 전에 시스템 과부하와 혼란을 야기할 수 있습니다.”

그 외에 전송 제어 규약(TCP)를 사용해 트래픽을 전송하는 방법이 공격자들 사이에서 다시 사용되기 시작했다는 흐름도 포착됐다. TCP를 이용해 디도스 공격을 실시하면 트래픽이 보다 더 정상적으로 보이기 때문에 탐지가 더 힘들어진다.

그럼에도 현재 시점에서 디도스 공격에 가장 널리 사용되고 있는 건 UDP라는 프로토콜이다. 모든 디도스 공격의 43%가 UDP와 관련된 것이었다. SYN 패킷을 활용한 디도스 공격도 21%를 차지하는 것으로 나타났다. 디도스 공격에 가장 많이 노출되어 있는 건 IT 분야였다. 기업 및 금융 분야가 그 다음이었다.

3줄 요약
1. 팬데믹은 디도스 공격자들에게 커다란 기회가 되고 있음.
2. 강렬하게 순간 터트리고 빨리 사라지는 걸 반복하는 패턴이 요즘 나타남.
3. UDP, TCP, SYN을 활용한 트래픽이 공격에 가장 많이 사용됨.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>