2021년 3분기 DDoS 공격 동향

2021년 3분기에는 유달리 많은 DDoS 공격 활동이 관찰되었습니다. Cloudflare는 기록적인 HTTP DDoS 공격, 테라비트급 네트워크 계층 공격, 역대 최대 규모의 봇넷(Meris) 배포 사례를 확인하고 완화한 바 있으며, 최근에는 전 세계 VoIP(Voice over IP) 서비스 공급자 및 해당 네트워크 인프라에 대한 랜섬 DDoS 공격이 있었습니다.

2021년 3분기에 관찰된 동향의 개요는 다음과 같습니다.

응용 프로그램 계층(L7) DDoS 공격 동향:

• 2021년에는 미국 기반 회사들이 2분기 연속으로 가장 많은 공격이 집중된 대상으로 집계되었습니다.

• 2021년에는 영국 기반 및 캐나다 기반 회사에 대한 공격이 급증하여 각각 두 번째와 세 번째로 가장 많이 표적이 된 국가에 처음으로 이름을 올렸습니다.

• 컴퓨터 소프트웨어, 게임/도박, IT, 인터넷 회사에 대한 공격은 전 분기 대비 평균 573%나 증가했습니다.

• 역대 가장 강력한 봇넷으로 꼽히는 Meris는 다양한 산업과 국가에서 DDoS 캠페인의 시발점 구실을 했습니다.

네트워크 계층(L3/4) DDoS 공격 동향:

• 전 세계적으로 DDoS 공격이 전 분기 대비 44%만큼 증가했습니다.

• 중동과 아프리카는 약 80%라는 가장 높은 평균 공격 증가율을 기록했습니다.

• 3분기에 모로코는 패킷 100개 중 3개가 DDoS 공격의 일부일 만큼 전 세계적으로 가장 높은 DDoS 활동을 보였습니다.

• 공격자들은 여전히 SYN 및 RST 공격 방식을 주로 사용했지만, Cloudflare는 DTLS 증폭 공격이 전분기 대비 3,549%만큼 급증한 것을 관찰했습니다.

• 공격자들은 SIP 인프라를 다운시키려는 의도로 VoIP 서비스 공급자를 표적으로 한 대규모 DDoS 공격 캠페인을 수행했습니다(올해 4분기까지도 계속 공격 중).

데이터 편향 방지와 관련한 참고 사항: 공격 동향을 분석할 때 계산하는 "DDoS 활동" 비율은 전체 트래픽(공격 트래픽 + 깨끗한 트래픽) 중 공격 트래픽의 비율을 말합니다. 이를 응용 프로그램/네트워크 계층 DDoS 공격 동향의 보고 시 활용하면 데이터 포인트를 정규화할 수 있고, 특정 데이터 센터(예를 들어 원래부터 처리하는 트래픽이 많고 따라서 다른 곳에 위치한 소규모 Cloudflare 데이터 센터와 비교 시 공격도 많을 수밖에 없는 대규모 Cloudflare 데이터 센터)로의 편향을 피할 수 있게 됩니다.

응용 프로그램 계층 DDoS 공격 중 특히 HTTP DDoS 공격은 주로 웹 서버가 합법적인 사용자 요청을 처리할 수 없도록 하여 웹 서버를 사용 불가능하게 만드는 것을 목표로 합니다. 서버가 처리할 수 있는 양보다 많은 요청이 쏟아질 경우, 해당 서버는 합법적인 요청의 처리를 중단하게 되고, 경우에 따라서는 충돌을 일으켜 성능이 저하되거나 합법적인 사용자의 서비스도 거부하게 됩니다.

2021년 3분기는 가장 강력한 봇넷으로 손꼽히며 역대 최대 규모의 HTTP DDoS 공격을 수행하기 위해 배포된 Meris가 장악했습니다.

Cloudflare는 지난 분기에 금융 서비스 업계의 고객을 표적으로 한 1,720만 rps(초당 요청 수)에 달하는 기록적인 규모의 HTTP 공격을 관찰했습니다. 지금까지 확인된 가장 강력한 봇넷 중 하나인 Meris가 이러한 공격의 시작 전에 배포된 것으로 알려져 있습니다.

Meris(라트비아어로 전염병)는 최근 전 세계의 네트워크나 조직들을 대상으로 이루어진 DDoS 공격의 시발점으로 지목된 봇넷입니다. Meris 봇넷은 MikroTik라는 라트비아 기반의 회사에서 제조한 라우터 등의 네트워킹 장비를 감염시켰습니다. MikroTik의 블로그에 따르면 MikroTik RouterOS의 취약점(2018년에 확인된 후 패치됨)이 아직 패치가 이루어지지 않은 장치에서 악용되었고, 공격자는 이 지점을 노리고 봇넷을 구축하여 조직적인 DDoS 공격을 감행했습니다.

2016년의 Mirai 봇넷과 마찬가지로, Meris는 지금까지의 봇넷 중 가장 강력한 종류입니다. Mirai가 스마트 카메라와 같이 계산 능력이 낮은 IoT 장치를 감염시킨 반면, Meris는 IoT 장치보다 훨씬 높은 처리 능력과 데이터 전송 기능을 갖춘 네트워킹 인프라(예: 라우터 및 스위치)를 대단위로 감염시키고 있어 보다 큰 규모에서 더욱 심한 피해가 야기됩니다. 그럼에도 불구하고, Meris는 공격의 볼륨이 반드시 피해의 규모로 이어지지는 않음을 보여주는 예입니다. Meris는 강력하지만, 저희가 아는 한 심각한 영향이나 인터넷 중단을 일으키지는 못했습니다. 반면에 Mirai는 2016년에 DYN DNS 서비스를 전술적으로 공격함으로써 상당한 인터넷 혼란을 야기하는 데 성공했습니다.

2021년 3분기에 가장 많이 표적이 된 산업은 기술 및 게임 분야였습니다.

응용 프로그램 계층 공격 사례를 산업별로 분석해 보면 컴퓨터 소프트웨어 회사가 1위를 차지하고 있습니다. 마찬가지로 온라인 공격의 주된 표적으로 알려진 게임/도박 산업이 근소한 차이로 2위를 차지했으며, 인터넷과 IT 산업이 그 뒤를 이었습니다.

HTTP 공격의 출발 지점을 이해하려면 먼저 공격 HTTP 요청을 생성한 클라이언트가 가진 소스 IP 주소의 지리적 위치부터 살펴봐야 합니다. 소스 IP는 네트워크 계층 공격에서와는 달리 HTTP 공격 시 스푸핑이 어렵습니다. 특정 국가에서 DDoS 활동 비율이 높다는 것은 대개 봇넷이 내부에서 작동 중임을 의미합니다.

2021년 3분기에 있었던 대부분의 공격은 중국, 미국 및 인도의 장치/서버에서 비롯되었습니다. 중국이 여전히 1위를 유지하고는 있지만, 실제로는 중국 IP에서 시작된 공격 건수는 전 분기 대비 30%만큼 감소했습니다. 중국이 출처인 HTTP 요청 200건마다 거의 1건이 HTTP DDoS 공격의 일부였습니다.

또한 브라질과 독일이 출처인 공격은 전 분기 대비 38%만큼 감소했습니다. 미국과 말레이시아에서 비롯된 공격은 각각 40%와 45%만큼 감소했습니다.

L7 공격에 가장 많이 표적이 된 국가를 식별하려면 DDoS 활동을 Cloudflare 고객의 청구 국가별로 분류해보면 됩니다.

올해는 미국 내 조직들이 2분기 연속으로 L7 DDoS 공격에 가장 많이 표적이 되었고, 영국과 캐나다가 그 뒤를 이었습니다.

응용 프로그램 계층 공격이 최종 사용자가 액세스하려는 서비스를 구동하는 응용 프로그램(OSI 모델의 계층 7)을 대상으로 하는 반면, 네트워크 계층 공격은 네트워크 인프라(예: 인라인 라우터 및 서버)와 인터넷 링크 자체를 마비시키는 것을 목표로 합니다.

Mirai 변종 봇넷의 공격 위력은 1.2Tbps에 육박합니다.

2021년 3분기는 악명 높은 Mirai가 활동을 재개한 시점이기도 합니다. Mirai 변종 봇넷은 1Tbps 이상의 피크를 여러 번 기록한 10여 건의 UDP 및 TCP 기반 DDoS 공격을 시작했으며, 그 최대치는 약 1.2Tbps에 달했습니다. 이러한 네트워크 계층 공격은 Magic Transit과 Spectrum 서비스를 이용하는 Cloudflare 고객을 대상으로 이루어졌습니다. 공격 목표 중 하나는 APAC을 기반으로 인터넷 서비스, 통신 및 호스팅을 공급하는 대기업이었고, 다른 하나는 게임 회사였습니다. 두 경우 모두 사람의 개입 없이 공격이 자동으로 감지되고 완화되었습니다.

9월에는 올해 들어 가장 많은 공격 활동이 기록되었습니다.

2021년 3분기에는 올 한 해 공격의 38% 이상이 집중되었습니다. 2021년 현재 가장 많은 공격 활동이 기록된 9월에는 한 달 동안 올해 전체 공격의 16퍼센트 이상이 쏟아졌습니다.

대부분의 공격은 '소규모'에 해당하지만, 대규모 공격의 건수는 계속해서 증가하고 있습니다.

L3/4 DDoS 공격의 규모를 측정하는 방법은 여러 가지입니다. 하나는 공격 트래픽의 양을 비트 전송률(초당 테라비트 또는 초당 기가비트 수)로 측정하는 방법입니다. 또 다른 방법은 총 패킷의 개수를 패킷 전송률(수백만 단위의 초당 패킷 수)로 측정하는 것입니다.

비트 전송률이 높은 공격은 인터넷 링크를 포화시킴으로써 서비스 거부 이벤트를 발생시키려는 시도이며, 패킷 전송률이 높은 공격은 서버, 라우터, 기타 인라인 장비를 마비시키려는 시도입니다. 네트워크 장비는 각각의 패킷을 처리하기 위해 일정량의 메모리와 연산 능력을 할당합니다. 따라서 장비에 많은 패킷을 퍼부으면 처리를 위한 리소스를 완전히 고갈시키는 것이 가능합니다. 이러한 경우에는 패킷의 "드롭(drop)", 즉 해당 장비가 패킷을 처리할 수 없는 상황이 발생합니다. 그 결과 사용자는 서비스 중단 및 서비스 거부를 경험하게 됩니다.

규모(비트 전송률 기준) 및 월별로 분류한 공격 분포가 아래에 나와 있습니다. 흥미롭게도, 400Gbps 이상의 공격은 전부 8월에 발생했으며, 여기에는 피크가 1Tbps 이상인 공격이 다수이고 최대 1.2Tbps에 육박한 지금까지 관찰된 최대 규모의 공격도 포함됩니다.

패킷 전송률이전 분기에서도 확인 가능하듯, 피크가 초당 5만 패킷(pps) 미만인 공격이 전체 공격의 거의 89%에 이르는 등, 2021년 3분기에 관찰된 공격의 대부분은 비교적 소규모였습니다. 대부분의 공격이 소규모였지만, 피크가 1천만 pps 이상인 공격이 전 분기 대비 142%만큼 증가하는 등, 상대적으로 대규모인 공격의 수가 이전 분기보다 증가하고 있음이 확인되었습니다.

패킷 전송률이 초당 1백만에서 1천만 패킷 사이인 공격은 이전 분기보다 196% 증가했습니다. 이는 Cloudflare가 지난 분기에 관찰한 내용과도 유사하며, 대규모 공격의 증가 추세를 시사하고 있습니다.

비트 전송률피크가 500Mbps 미만인 공격이 도합 95.4%에 달하는 등, 비트 전송률 측면에서도 유사한 추세가 관찰되었습니다.

분기 대비 데이터를 종합해보면, 규모가 500Mbps에서 10Gbps 사이인 공격의 건수가 전 분기에 비해 126%~289% 수준으로 크게 증가한 것으로 나타났습니다. 100Gbps가 넘는 공격은 14% 가까이 감소했습니다.

비트 전송률이 높은 공격의 건수는 전 분기에 비해 증가했습니다(100Gbps 이상의 공격만이 전 분기 대비 거의 14% 감소). 특히 규모가 500Mbps1Gbps인 공격이 전 분기 대비 289% 급증했고, 1Gbps100Gbps 규모의 공격은 126%만큼 급증했습니다.

이는 일반적으로는 대부분의 공격이 소규모에 해당하지만 "대규모" 공격의 건수는 증가 추세임을 다시 한번 보여줍니다. 따라서 더 큰 공격을 수행하기 위해 더 많은 리소스를 확보하는 공격자가 늘어나고 있다고 볼 수 있습니다.

대부분의 공격은 지속 시간이 1시간 미만이므로, 자동화된 상시 가동 DDoS 완화 솔루션의 필요성이 다시 한번 강조됩니다.

Cloudflare는 시스템에서 공격이 처음으로 감지 및 확인된 시점과 해당 공격 서명이 관찰된 마지막 패킷 사이의 간격을 기록하여 공격의 지속 시간을 측정합니다. 이전 분기와 마찬가지로 대부분의 공격은 일시적입니다. 구체적으로는 전체 DDoS 공격의 94.4%가 1시간 미만이었습니다. 반면에 6시간 이상 지속된 공격은 2021년 3분기 전체에서 0.4% 미만을 차지했으며, 1~2시간 지속된 공격의 경우에는 전 분기 대비 165%만큼 증가했습니다. 하지만 공격 지속 시간이 길다고 해서 반드시 더 위험한 것은 아닙니다.

짧은 공격은 감지되지 않은 채 지나칠 수 있으며, 막대한 수의 패킷, 바이트 또는 요청을 몇 초 안에 집중시켜 대상을 공격하는 버스트 공격은 특히 감지가 어렵습니다. 이 경우, 보안 분석을 통한 수동 완화에 의존하는 DDoS 방어 서비스로는 적시에 공격을 완화할 방법이 없습니다. 단지 공격 후 분석에서 이를 확인한 다음 해당 공격 지문을 필터링하는 새로운 규칙을 배포하고 다음을 기약할 수 있을 뿐입니다. 마찬가지로, 보안팀이 공격 진행 도중에 트래픽을 DDoS 공급자에게 리디렉션하는 "주문형" 서비스도 해당 트래픽이 주문형 DDoS 공급자에게 라우팅되기 전에 이미 공격이 끝나버리기 때문에 비효율적입니다.

Cloudflare는 짧은 공격도 차단할 수 있을 만큼 빠르게 트래픽을 분석하여 실시간 지문까지 적용 가능한 자동화된 상시 가동 DDoS 방어 서비스를 사용할 것을 권장합니다. Cloudflare는 경로를 벗어난 트래픽을 분석하여 상시 가동 배포 모델에서도 DDoS 완화로 인한 합법적인 트래픽의 대기 시간 증가가 일어나지 않도록 합니다. 공격이 식별되면 Cloudflare의 자동화된 에지 DDoS 방어 시스템(dosd)이 실시간 서명을 이용하여 동적으로 정의된 규칙을 생성 및 적용합니다. 알려진 트래픽 패턴에 대한 허용/거부 목록으로 사전 구성된 방화벽 규칙은 즉시 효력을 발휘합니다.

공격자들이 SYN 폭주를 여전히 애용하고 있는 한편, DTLS를 이용한 공격이 전 분기 대비 3,549%만큼 급증했습니다.

공격 벡터는 공격자가 서비스 거부 이벤트를 유발하기 위해 동원하는 여러 방법을 설명하는 용어입니다.

이전 분기에서 관찰된 바와 같이 SYN 폭주를 활용한 공격은 가장 널리 사용되고 있는 방식입니다.

SYN 폭주 공격이란 TCP 프로토콜의 근간, 즉 3방향 TCP 핸드쉐이크의 일부인 클라이언트와 서버 간의 상태 저장(stateful) TCP 연결을 악용하는 방식의 DDoS 공격을 말합니다. 클라이언트는 TCP 핸드쉐이크의 일부로서 동기화 플래그(SYN)가 포함된 초기 연결 요청 패킷을 전송합니다. 그러면 서버가 동기화된 승인 플래그(SYN-ACK)가 포함된 패킷으로 응답합니다. 마지막으로 클라이언트는 승인(ACK) 패킷으로 응답합니다. 이 시점에서 연결이 이루어지며, 연결이 닫힐 때까지 데이터를 교환할 수 있게 됩니다. 공격자가 이러한 상태 저장 프로세스를 악용할 경우 서비스 거부 이벤트가 유발될 수 있습니다.

공격자는 반복적으로 SYN 패킷을 전송함으로써 TCP 연결 상태를 추적하는 서버 또는 라우터의 연결 테이블을 마비시키려고 시도합니다. 해당 서버는 SYN-ACK 패킷으로 응답하고 각각의 연결마다 일정량의 메모리를 할당한 다음 클라이언트가 최종 ACK로 응답하기를 무한정 기다리게 됩니다. 서버의 메모리를 차지하는 연결이 충분히 많아지면, 해당 서버는 합법적인 클라이언트들에 대해 더 이상 메모리를 할당할 수 없으므로, 서버 정지 상태 또는 합법적인 클라이언트 연결을 처리하지 못하는 상태인 서비스 거부 이벤트로 이어지게 됩니다.

Cloudflare 네트워크 상에서 관찰된 모든 공격의 절반 이상이 SYN 폭주 공격이었으며, RST, ACK 및 UDP 폭주 공격이 그 뒤를 이었습니다.

전반적으로 SYN 및 RST 폭주 방식의 인기가 여전히 높지만, 공격자가 공격 시작 시 어떤 새로운 벡터를 배포하는지 이해하기 위해 최근 유행하는 공격 벡터를 살펴본 결과, DTLS 증폭 공격이 엄청나게 증가한 것이 확인되었습니다. DTLS 폭주는 전 분기 대비 3,549%만큼 급증했습니다.

Datagram Transport Layer Security (DTLS)는 메시지 위조와 도청 또는 변조를 방지하기 위해 무연결 데이터그램 기반 응용 프로그램에 유사한 형태의 보안을 보장할 수 있도록 설계된 전송 계층 보안(TLS)과 유사한 프로토콜입니다. 무연결 방식인 DTLS는 TCP 멜트다운을 걱정할 필요 없이 VPN 연결을 수행할 수 있어서 특히 유용합니다. 재정렬 및 기타 연결 속성은 응용 프로그램이 담당합니다.

대부분의 UDP 기반 프로토콜과 마찬가지로 DTLS는 스푸핑이 가능하므로, 공격자들은 이를 네트워크 게이트웨이를 마비시키는 반사 증폭 공격을 생성하는 용도로 활용합니다.

모로코가 네트워크 공격의 비율 측면에서 1위를 기록했지만, 2위인 아시아 국가들과의 차이는 근소합니다.

네트워크 계층 DDoS 공격을 분석할 때는 소스 IP의 위치가 아닌 트래픽이 유입되는 Cloudflare 에지 데이터 센터의 위치를 기준으로 트래픽을 구분합니다. 이는 공격자가 네트워크 계층 공격을 시작할 때 공격의 출발지를 숨기고 공격 속성에 무작위성을 부여하기 위해 소스 IP 주소를 스푸핑할 수 있기 때문이며, 이 경우 단순한 DDoS 방어 시스템으로는 공격을 차단하기가 어렵습니다. 따라서 스푸핑된 소스 IP를 기반으로 공격 출발 국가를 파악할 경우에는 결국 스푸핑된 국가를 지목하게 됩니다.

Cloudflare는 공격이 관찰된 Cloudflare 데이터 센터의 위치별로 공격 데이터를 표시함으로써 스푸핑된 IP 문제를 극복할 수 있습니다. Cloudflare는 전 세계 250개 이상의 도시에 데이터 센터를 확보하고 있기 때문에 보고서 작성 시 지리적 정확도가 보장됩니다.

세계 전체

모든 지역 및 국가를 보려면 Radar DDoS Report 대시보드의 대화형 지도를 이용하시기 바랍니다.

Cloudflare는 VoIP 서비스 공급자를 대상으로 때로는 랜섬 위협도 수반하여 이루어지고 있는 DDoS 공격의 급증 추세를 최근에 보고하고 업데이트를 제공한 바 있습니다. 이 공격 캠페인은 2021년 4분기 초인 지금도 여전히 현재 진행형입니다. Cloudflare는 계속해서 VoIP 서비스 공급자를 온보딩하여 해당 응용 프로그램과 네트워크를 보호하기 위해 노력 중입니다.

API 게이트웨이 및 공급자의 공식 웹 사이트를 노린 HTTP 공격이 VoIP 인프라를 표적으로 삼은 네트워크 계층 및 전송 계층 공격과 결합되었습니다.

그 예는 다음과 같습니다.

1. 상태 저장 방화벽을 노린 TCP 폭주: "시행 착오" 유형의 공격에 사용되는 방식입니다. 전화 통신 인프라에는 그다지 효과적이지 않지만(대부분 UDP이기 때문에) 상태 저장 방화벽을 마비시키는 데는 매우 효과적입니다.

2. SIP 인프라를 노린 UDP 폭주: 잘 알려진 지문이 없고 중요한 VoIP 서비스를 겨냥하는 UDP 트래픽의 폭주입니다. 이처럼 일반적인 형태의 폭주는 정교하지 않은 필터링 시스템에서는 합법적인 트래픽처럼 보일 수 있습니다.

3. SIP 인프라를 노린 UDP 반사: SIP 또는 RTP 서비스를 대상으로 삼는 이러한 방식은 세션 경계 컨트롤러(SBC) 및 기타 전화 통신 인프라를 간단히 마비시킬 수 있습니다. 공격자가 이러한 서비스를 높은 정밀도로 공격할 수 있으려면 표적의 인프라에 대한 충분한 학습이 필요한 것으로 보입니다.

4. SIP 프로토콜별 공격: 응용 프로그램 계층에서의 공격은 네트워크 장치 상에서 필터링하는 것보다 응용 프로그램 오류 생성 시의 리소스 비용이 더 높기 때문에 특히 문제가 됩니다.

공격하겠다고 위협하며 비트코인을 요구하는 랜섬 노트를 수신하는 경우도 여전히 많습니다. 랜섬웨어 및 랜섬 DDoS 공격은 4분기 연속으로 전 세계의 조직들이 피부로 느끼는 위협이 되고 있습니다.

Cloudflare 제품은 랜섬웨어 감염 및 랜섬 DDoS 공격으로 이어질 수 있는 몇몇 위협 벡터들을 다음과 같이 차단할 수 있습니다.

• Cloudflare DNS 필터링은 안전하지 않은 웹 사이트를 차단해줍니다.

• Cloudflare 브라우저 격리는 드라이브 바이 다운로드 및 기타 브라우저 기반 공격을 방지합니다.

• Zero Trust 아키텍처는 랜섬웨어가 네트워크 내부에서 확산되는 것을 방지할 수 있습니다.

• Magic Transit은 BGP 경로 재분배를 사용하여 대기 시간에 영향을 주지 않으면서도 조직의 네트워크를 DDoS 공격으로부터 보호해줍니다.

Cloudflare는 더 나은 인터넷을 구축하는 데 도움이 되겠다는 사명하에 설립되었으며, 여기에는 DDoS 공격으로부터 완전히 자유로운 환경을 구축하는 일도 포함됩니다. 지난 10년 동안 고객의 인터넷 자산을 규모와 종류를 막론한 모든 DDoS 공격으로부터 보호하고자 하는 Cloudflare의 노력에는 흔들림이 없었습니다. 2017년에는 모든 조직이 보호받고 가용성을 유지할 수 있도록 Free 요금제를 비롯한 모든 Cloudflare 서비스 및 요금제에 무제한 DDoS 방어를 무료로 포함시켰습니다. 지난 몇 년 동안 웹 사이트, 응용 프로그램 및 네트워크가 DDoS 공격으로부터 안전하면서도 빠르고 안정적인 상태를 유지하기를 바라는 크고 작은 수많은 조직이 Cloudflare와 함께했습니다.

그러나 사이버 공격의 형태는 DDoS 공격에 국한되지 않고 다양합니다. 오늘날 규모와 상관없이 전 세계의 조직을 계속해서 괴롭히고 있는 공격의 종류에는 악의적인 봇, 랜섬웨어 공격, 이메일 피싱, VPN/원격 액세스 해킹 등도 있습니다. 이러한 공격은 모든 온라인 비즈니스의 생명줄에 해당하는 웹 사이트, API, 응용 프로그램 및 전체 네트워크를 표적으로 삼습니다. 그래서 Cloudflare 보안 포트폴리오는 인터넷에 연결된 모든 것과 모든 사람을 염두에 두고 설계되었습니다.

Cloudflare DDoS 또는 네트워크 서비스에 대해 자세히 알아보려면 계정을 생성하거나 직접 문의하여 주십시오.