DDoS 공격

왜 배우는가: DDoS는 가용성을 직접 무너뜨리는 대표 공격이라 정보보호 전 영역에서 반복 출제된다. 공격 유형이 볼륨·프로토콜·애플리케이션 계층으로 나뉘고 기법마다 대응이 달라, 유형을 구분해 답하는 능력이 점수를 가른다. 2·3·4교시가 모두 이 개념에서 파생되므로 기초 정의를 먼저 확실히 잡아야 한다.

출제 이력: 제125회 2교시 6번, 제114회 3교시 3번, 제111회 4교시 2번

1. 한 줄 정의와 핵심 키워드

DDoS는 봇넷을 이용해 다수의 발신지에서 표적에 과다 트래픽이나 요청을 보내 정상 서비스를 마비시키는 가용성 공격이다.

핵심 키워드

• 분산 서비스 거부(DDoS, Distributed Denial of Service): 여러 발신지에서 동시에 가하는 서비스 거부 공격
• 봇넷(Botnet): 악성코드에 감염되어 공격자가 원격 제어하는 단말의 집합
• C&C(Command & Control): 공격자가 봇넷에 명령을 내리는 제어 채널
• 볼륨 공격(Volumetric Attack): 대역폭을 포화시키는 공격
• 프로토콜 공격(Protocol Attack): 연결 상태 자원을 고갈시키는 공격
• 애플리케이션 공격(Application Attack): 웹 서버·DB의 처리 자원을 고갈시키는 공격
• 반사·증폭 공격(Reflection/Amplification): 제3자 서버를 경유해 트래픽을 증폭시키는 공격
• SYN 플러드(SYN Flood): 3-way Handshake의 ACK를 보내지 않아 Backlog를 채우는 공격

2. 개념 풀이

쉬운 말로 하면, 한 대의 공격자가 한 대의 서버를 두드리는 것이 DoS이고, 감염된 수많은 기기가 동시에 두드리는 것이 DDoS다. 정상 사용자가 서비스를 쓸 수 없게 만드는 것이 목적이므로 해킹으로 정보를 빼가는 공격과 목적이 다르다.

정식 정의는 다음과 같다. DDoS는 여러 발신지(봇넷)가 조정되어 표적 시스템이나 네트워크의 대역폭, 연결 자원, CPU, 메모리를 고갈시켜 합법적 사용자의 접근을 막는 공격이다. 단일 발신지에서 가해지면 DoS라고 부른다.

핵심 용어를 풀면 다음과 같다. 봇넷은 공격의 물리적 기반이다. 공격자는 봇 하나하나에 직접 명령하지 않고 C&C 서버를 통해 일괄 지시한다. 그래서 발신지 IP가 수천 개로 흩어져 단순 IP 차단으로는 막기 어렵다.

공격 방식은 세 계층으로 나뉜다. 볼륨 공격은 UDP·ICMP 플러드처럼 링크 대역폭을 채운다. 프로토콜 공격은 SYN 플러드처럼 TCP 연결 자원을 소모한다. 애플리케이션 공격은 HTTP 요청을 정상처럼 보이게 만들어 서버의 처리 능력을 소진한다. 공격 대상 계층이 올라갈수록 필요한 트래픽 양은 적지만 탐지는 어려워진다.

DDoS 정의의 핵심은 다수 발신지에 의한 동시 가용성 훼손이다.

3. 등장 배경과 필요성

DDoS가 등장한 배경은 인터넷 확산과 단말 보안의 약화다. 대부분의 PC와 IoT 기기는 백신이나 패치가 늦어 쉽게 감염되고, 감염된 기기가 봇넷으로 묶인다. 공격자 입장에서는 수만 대의 발신지를 확보하는 것이 비용 대비 효과가 크다.

초기 DoS는 단일 발신지에서 SYN 플러드나 Ping of Death처럼 취약점을 이용했다. 방어가 발전하자 공격자는 발신지를 분산하고, 반사·증폭 기법으로 공격 규모를 키우는 방향으로 진화했다. DRDoS는 IP를 스푸핑해 제3의 서버(반사체)에 요청을 보내고, 응답이 피해자에게 몰리게 하는 방식이다. 이 과정에서 응답 패킷이 요청보다 큰 증폭 효과가 발생한다.