네트워크 기반 공격기술의 이해 및 대응

서비스 거부(DoS), 분산 서비스 거부(DDoS) 공격

서비스 거부(DoS) 공격은 대량의 트래픽이나 비정상 패킷으로 시스템 자원을 고갈시켜 정상 서비스를 마비시키는 공격이다. 공격 지점이 하나이면 DoS이고, 다수의 분산된 지점을 이용하면 분산 서비스 거부(DDoS)이다. DDoS는 출발지가 여럿이므로 출발지별 차단이 어렵다. 대표 유형으로 Ping of Death는 허용 크기를 넘는 ICMP 패킷으로 재조립 과정에 오류를 일으키고, SYN 플러드는 SYN 패킷만 대량으로 보내 반열린(half-open) 연결을 쌓아 연결 자원을 고갈시킨다. DNS 증폭(반사) 공격은 출발지 IP를 피해자로 위조한 질의를 공개 DNS 서버에 보내, 큰 응답이 피해자에게 되돌아가게 한다. 대응은 출발지 IP가 위조된 패킷을 경계에서 차단하는 ingress 필터링, SYN 쿠키 적용, 임계치 기반 트래픽 제어가 기본이다. 공개 DNS 서버는 재귀 질의를 제한하여 반사 매개로 쓰이지 않도록 한다.