DDoS 공격은 조직 피로와 후속 공격으로 이어져
AI 확산 따라 API, 섀도우 AI 등 악용한 DDoS 공격 표면 증가… 산업 불문 DDoS 공격 확대 추세
지정학적 갈등 속 리퍼섹 등 핵티비스트 그룹도 활동 강화
DDoS 대응 전문기업 집중 분석: 시큐와우, 넷스카우트

[보안뉴스 한세희 기자] 올해 2월 친무슬림 핵티비스트 그룹 ‘리퍼섹’(RipperSec)이 국내 금융 기업과 방산 기업을 겨냥해 잇달아 분산형 서비스 거부 공격(DDoS)을 가했다.

중동 지역 갈등이 고조되면서 우리나라에 “이스라엘과 무기 거래를 하지 말라”고 요구하며 공격에 나선 것이다. 이들은 우리나라 방위사업청과 HD현대, 다산, 풍산 등 방산 기업을 공격한데 이어 1주일 뒤엔 신한은행과 하나금융그룹을 공격했다. 2024년과 2025년에도 우리나라 숙박 사이트와 펜션 등 사이트나 한국인터넷진흥원(KISA), 국세청 등 일부 정부 사이트를 공격한 바 있다.


이들은 텔레그램이나 디스코드 등 메신저 채널에서 공격 지시를 내리고 홈페이지 접속 오류 화면 캡처를 공유하며 활동을 과시했다. 금융보안원은 국내 200여개 금융사에 DDoS 공격 주의보를 발령했다.

리퍼섹의 공격은 큰 성과를 내지는 못했다. 사이트 운영에 별다른 영향을 미치지 못하거나, 일시적 오류에 그친 것으로 보인다. 금전이나 실력 과시보다는 세간의 주목을 끌어 자신들의 메시지를 전파하려는 목적이 더 크다는 분석이다.

그렇다고 해프닝 정도로 치부하고 안심할 수만은 없다. 리퍼섹 사건은 지정학적 갈등이 세계로 번져 나가는 상황에서 앞으로 우리 주변에서 자주 일어날 사이버 공격들의 전조라는 해석도 나온다. 특히 우리나라 방위 산업이 세계 시장에서 점유율을 높여 가고, 반도체와 전력 기술 등 첨단 인공지능(AI) 인프라의 핵심 공급 기지로 자리잡음에 따라 우리나라를 겨냥한 공격 시도는 더 늘어날 전망이다.

DDoS, 여전히 주요 사이버 공격 유형
최근 DDoS 공격은 예전에 비하면 크게 주목 받지는 못하는 사이버 공격 유형으로 여겨지기도 한다. 하지만 여전히 DDoS 공격은 전체 사이버 공격 중 큰 비중을 차지한다.

과학기술정보통신부가 7월 발표한 ‘2026년 상반기 국내 사이버위협 동향’ 보고서에 따르면, 올해 상반기 KISA에 신고 및 접수된 침해 사고 중 DDoS 공격은 373건으로 전체의 30.2%를 차지했다. 39.4%를 차지한 ‘서버 해킹’에 이어 두번째로 많았다.

증가세도 가팔랐다. 작년 상반기 238건에 비해 56.7% 늘었다. 지난해 상반기 82건에 비해 76.8% 늘어난 랜섬웨어에 이어 두번째로 많이 늘어난 사고 유형이었다. 이에 따라 전체 침해 사고에서 DDoS 공격이 차지하는 비중도 2024년 상반기 17%, 하반기 13.4%에서 2025년 상하반기 각각 23%와 25.9%, 올해 상반기 30.2%로 계속 커지고 있다.


이 보고서를 작업한 과기정통부와 KISA가 국내외 정보보안 전문 기업 15개사는 ‘국제 핵티비스트의 국내 대상 DDoS 공격 증가와 서비스 가용성 위협’을 올해 상반기 5대 사이버 위협 동향의 하나로 꼽았다. 리퍼섹뿐 아니라 친러시아 계열 핵티비스트 ‘노네임057’(NoName057)도 우리나라 외교부 홈페이지를 겨냥한 DDoS 공격을 가해 접속 지연을 유발했다고 주장하기도 했다.

이들은 서비스 가용성을 떨어뜨려 사회 혼란을 유발하고, 소셜미디어를 통해 공격 참여를 유도하거나 성과를 과시하는 등 존재감을 과시하는 데 초점을 맞춘다. 대량 패킷을 발생시키는 네트워크 계층 공격과 HTTP 요청을 반복하는 애플리케이션 계층 공격을 결합하는 기법을 쓴다. 분산된 봇넷과 프록시를 사용해 단순 IP 차단만으로는 대응이 어렵다.

글로벌 시장을 놓고 보면 DDoS 공격은 핵티비스트만의 전유물이 아니다. 경제적 이득을 쫓아 DDoS 공격을 사용하는 해커 그룹 역시 늘어나고 있다. ‘서비스형 DDoS’(DDoS as a Service) 확산과 AI 보급으로 DDoS 공격의 진입 장벽이 낮아진 것도 한 이유다. 금융과 리테일 부문 등이 주요 목표물이다.


넷스카우트 아틀라스(ATLAS) 리포트에 따르면, 지난해 하반기 세계 203개 국가 및 지역에서 800만건 이상의 DDoS 공격이 관측됐다. 전체 공격 건수는 전반기와 비슷했지만, 최대 30Tbps·4Gpps 수준의 공격이 나타나는 등 공격 인프라의 처리 능력과 복잡성 증가한 점이 주목된다.

아카마이가 최근 발표한 ‘금융 서비스 위협 분석 보고서’(AI-Empowered Botnets and API Visibility Gaps: Attack Trends in Financial Services)에 따르면, 공격자들의 목적이 지명도 과시에서 경제적 타격과 금융 프로세스 마비로 옮겨가면서 금융 서비스 업종을 겨냥한 공격 강도가 거세지는 것으로 나타났다. 지난해 금융권을 겨냥한 L3 및 L4 공격 지속시간 중앙값도 전년보다 738% 급증했다.

2026년 3분기엔 ‘아이수루’(Aisuru) 봇넷을 악용, 29.7Tbps 규모의 역대 최고 수준 DDoS 공격이 벌어지기도 했다. UDP 융단 폭격 형태 공격으로 초당 평균 1만5000개의 대상 포트를 무작위로 공격했다. ‘킴울프’는 안드로이드 기반 스마트TV와 셋톱박스 등을 숙주로 사용한 점이 주목된다. 180만대의 기기를 감염시켜 작년 11월 단 3일 동안 17억건의 DDoS 공격 명령을 수행했다.

특히 DDoS 공격은 본격적 침해 공격 시도에 앞서 목표 시스템의 약점을 탐색하거나 방어자의 관심을 돌리게 하기 위한 수단으로 사용되기도 한다는 점에서 주의가 필요하다. 김재욱 넷스카우트 지사장은 “DDoS 공격 이후 공격자가 진짜 의도한 해킹 공격이 이어지는 경우가 많다”며 “DDoS 공격을 받았다면 다음 침투를 대비해야 한다”고 말했다.

DDoS 공격이란
DDoS 공격은 다수의 시스템 또는 네트워크 자원을 이용해 특정 대상에 대량 트래픽이나 요청을 집중시켜 대상 시스템의 네트워크·연산·연결 처리 자원 등을 고갈시키고 정상적 서비스 제공을 방해하는 공격 기법이다.

공격자는 다수의 감염된 단말기, 이른바 봇넷(Botnet)을 동원하거나 반사 및 증폭이 가능한 제3의 서버를 악용할 수 있다. 공격자는 취약한 서버를 공격해 악성코드를 배포하고, 유포지나 경유지 서버에서 악성코드를 내려받은 서버나 기기를 이용해 봇넷을 구축한다. 봇넷은 공격자의 명령을 받아 대규모 트래픽을 유발하거나 취약한 서버를 악용해 반사(DRDoS)공격을 수행한다.

DDoS는 공격이 작용하는 네트워크 계층에 따라 △L3 및 L4 네트워크·전송 계층 공격 △L7 애플리케이션 계층 공격 △반사 및 증폭(Reflection & Amplification) 공격으로 크게 나뉜다. 각 유형은 서로 중첩될 수 있다.

L3/L4 네트워크·전송 계층 공격은 네트워크 대역폭을 채우거나 방화벽, 서버 등 네트워크 장비의 연결 처리 용량을 한계치까지 과부하를 걸어 시스템을 마비시키는 방식이다. 전자상거래를 위한 웹페이지에서 결제 모듈만 L7 애플리케이션 계층 공격은 웹 서버나 데이터베이스 등 웹 애플리케이션의 특정 처리 로직을 겨냥해 최소한의 트래픽으로 CPU나 DB 연결 등 서버 자원을 빠르게 고갈시키는 공격이다.

반사 및 증폭 공격은 공격자가 직접 대량의 트래픽을 피해자에게 보내는 대신, 인터넷에 공개된 제의 서버나 서비스를 중간 경유지로 악용하는 방식이다. 공격자 IP를 목표 시스템의 IP로 위조해 인터넷에 공개된 DNS나 NTP 서버 등으로 요청을 보내 대량의 응답 패킷이 목표 서버로 전달되게 한다. 반사는 제3의 서버가 공격 트래픽을 피해자에게 전달하도록 만드는 것이고, 증폭은 공격자가 보낸 요청보다 큰 응답이 피해자에게 전달되도록 하는 것을 말한다.

DDoS 방어 기술은 트래픽이 몰리는 L3 및 L4 등 네트워크 계층과 정교한 요청이 들어오는 L7 애플리케이션 계층, 기반 인프라 등 여러 단계에 걸쳐 적용된다.


네트워크 대역폭을 쓰레기 트래픽으로 가득 채우는 대용량 트래픽 공격, 이른바 ‘볼류메트릭’(volumetric)을 분산하는 방법으로는 하나의 IP 주소를 세계 여러 데이터센터에 할당해 여러 에지 서버로 분산시키거나, 공격이 터졌을 때 목표 서버로 향하는 트래픽을 전문 차단 센터인 대피소로 돌려버리는 기법 등이 있다. 또 통신 프로토콜을 검증해 비정상적 패킷 유입량이 임계치를 넘으면 차단하거나, 정상적 HTTP 요청처럼 위장해 웹 서버 자원을 소모하는 L7 공격을 가려내는 기술 등이 쓰인다.

L7 공격, 암호화 트래픽 악용... DDoS 공격 진화
DDoS 공격은 주로 L3 및 L4 네트워크 영역에서 많이 이뤄졌으나 최근 L7 애플리케이션을 겨냥한 공격이 늘어나는 추세다. 네트워크에 대량의 트래픽을 쏟아 붓는 방식과 달리 사용자 접점에 있는 특정 서버나 애플리케이션, API을 겨냥해 공격한다. 네트워크에 특별한 문제를 일으키지 않은 채 서버 속도를 저하시키고 사용자 불편을 초래한다. 웹 서버의 CPU, 메모리, 애플리케이션 쓰레드 풀, 백엔드 데이터베이스 등 실제 서비스 처리에 필요한 시스템 연산 및 처리 자원을 고갈시킨다.

L7 계층에 대한 공격은 봇넷 등 공격 기기가 보내는 패킷이 일반 웹 브라우저나 앱에서 나오는 신호와 동일하기 때문에 IP나 원천 패킷을 걸러내는 전통적 방식이나 임계치 설정만으론 악성 트래픽을 구분하기 어렵다. 공격자가 목표 서버로 요청 한 줄을 전송하는 비용은 극히 낮지만, 방어자는 세션을 수립하고 스크립트를 분석 및 실행해 백엔드에서 가공해 반환하는 등 복잡한 절차를 거쳐야 한다. 이는 적은 트래픽이나 봇 단말만으로 목표 서버를 쉽게 침해할 수 있게 한다.

암호화돼 유입되는 악성 트래픽에 대한 방어도 과제다. 이젠 대부분 웹이나 API 서비스가 HTTPS로 통신하기 때문에 공격 역시 암호화된 세션 안에 유입돼 들어오는 경우가 많다. 악성 트래픽을 걸러내기 위해 전체 통신을 복호화하는 작업은 장비에 부하를 가중시켜 서비스 운영에 부담을 준다.

DDoS 공격은 가장 오래된 사이버 공격 방식 중 하나면서 지금도 꾸준히 모습을 바꿔가며 진화 발전하고 있는 것이다.


넷스카우트는 현재 DDoS 공격의 추세를 △대형화 △지능화 △다계층화 △단기화 등 4가지로 요약한다. 아이수루(Aisuru)와 터보미라이(TurboMirai) 같은 고성능 IoT 봇넷이 등장하면서 공격 규모는 수십 Tbps와 수십억 pps 수준으로 확대되고 있다. 단일 공격 벡터에 의존하지 않고 여러 공격을 조합하는 멀티 벡터 공격 보편화도 주목된다. UDP 플러드(flood) 공격으로 회선을 소진시키면서 TCP ACK/SYN 플러드로 방화벽 세션 자원을 고갈시키고, 동시에 HTTPS 요청으로 애플리케이션을 공격하는 식이다.

L7 공격 증가와 함께 TLS 핸드셰이크(Handshake)와 암호화된 세션을 악용해 서버·로드밸런서·방화벽의 CPU 및 세션 자원을 소진시키는 공격이 증가하는 것도 특징이다. 공격 내용이 암호화돼 있어 필요한 서비스만 선택적으로 복호화하고 내부 요청의 정상 여부까지 분석하는 기술이 필요하다. 짧은 시간 동안 강한 트래픽을 발생시키는 히트앤드런(Hit-and-run) 또는 융단폭격(Carpet-bombing) 공격이 증가하고 있다.

넷스카우트는 “최신 DDoS 방어 체계엔 전 계층 가시성, 글로벌 위협 인텔리전스, 자동화된 적응형 완화 및 하이브리드 방어가 함께 필요하다”고 밝혔다.

아카마이 역시 "단순 네트워크 관문 마비를 넘어, 애플리케이션·API L7 기반의 지능형 공격 중심으로 재편되고 있다”고 최근 DDoS 공격 트렌드를 진단했다. 2023-2025년 사이 L7 DDoS 공격은 104% 증가했으며, 일 평균 API 공격 건수가 전년 대비 113% 증가하는 등 API가 최우선 표적이 되고 있다.

정식 로그인 토큰 및 API 프로세스를 소지한 상태에서 자동화 스크립트로 비정상 호출을 감행하는 비정상 워크플로우 공격에 대한 주의도 필요하다. 아이수루나 미라이 계열 봇넷이 AI와 결합해 행태가 고도화되고, 이렇게 고도화된 DDoS 공격 도구를 서비스형 방식으로 쉽게 사용할 수 있게 된 것도 문제를 키우고 있다.

멀티벡터 공격, IoT 기반 고성능 봇넷, 확산과 더불어 섀도우 API(shadow API) 우회 침투 등 API에 대한 공격 증가도 클라우드 및 Ai 사용이 일반화되는 현재 조직 IT 환경에서 주요 위협으로 떠오르고 있다고 두 회사는 지목했다.

AI, DDoS 대응을 변화시키다
이와 함께 AI 기술의 비약적 발전도 DDoS 대응 태세에도 영향을 미치고 있다. 전문 지식이 없는 공격자라도 생성형 AI와 자동화 기술을 이용해 공격 도구와 스크립트를 만들 수 있다. 취약한 단말을 탐색해 공격 대상을 분석하고, 방어 태세를 관찰하며 빠르게 적응해 다변화된 공격을 가할 수 있다. 아이수루 같은 슈퍼 봇넷이 AI를 만나 사람의 행태를 정교하게 모방하는 능력이 향상됐다. 다크웹에서 거래되는 ‘어둠의 LLM’이 DDoS 공격을 실질적으로 운용하는 단계에 이르렀다는 평가가 나온다.

악의적 해커들만 문제가 되는 것은 아니다. AI의 도움을 받는 바이브 코딩이 늘어나는 반면 조직 내 검증은 미흡한 경우가 많아 미설정 오류나 섀도우 API가 증가해 보안 허점이 되고 있다. 자율형 AI 에이전트 확산도 섀도우 AI 발생에 따른 공격표면 확대로 이어질 수 있다.

반면, 방어자 역시 AI를 활용해 DDoS 대응 효율을 높일 수 있다. AI나 머신러닝 기반 트래픽 분석으로 기존 탐지하지 못한 새로운 공격을 식별하고 공격 특성과 영향을 분류해 최적 대응을 추전하고 적용할 수 있다. 복잡한 보안 운영을 단순화해 업무 부담을 줄이고 공격에 영향을 받은 영역을 실시간 격리할 수 있다.


진화한 DDoS 공격 대응하려면
DDoS 공격이 진화함에 따라 이에 대응해야 하는 기업 고민도 깊어지고 있다. 다양한 형태로 이뤄지는 공격을 빠르게 파악해 완화하는 것은 기본이고, 정상 트래픽을 공격으로 판단해 차단하는 오탐을 최소화하는 것도 관건이다. 쇼핑이나 금융 결제가 많이 이뤄지는 성수기에 차단 정책을 필요 이상 강화하면 정당한 고객 트래픽까지 차단돼 매출 손실로 이어질 수 있다.

멀티벡터 공격 차단, HTTPS 및 TLS 기반 L7 공격 탐지와 차단, 온프레미스 장비 앞단에서 트래픽을 걸러주는 인프라 부하 경감, 온프레미스와 클라우드 통합 관리 등에 대한 수요가 커진다. 과거 대규모 트래픽 폭격을 막아내는 경계 방어에서 L7 계층과 API, 봇넷. 시스템 내 횡적 이동 등으로 위협이 다변화됐기 때문이다.

결국 기업이나 기관으로선 단순 악성 트래픽 방지를 넘어 비즈니스 및 서비스의 중단 없는 운영 연속성과 단순화가 필요한 상황이다.

넷스카우트는 “DDoS 대응은 단순히 대량 트래픽을 차단하는 것이 아니라 정상 사용자의 접근성을 유지하면서 전체 인프라의 가용성을 보장하는 것”이라고 밝혔다. 아카마이 역시 전체 디지털 비즈니스 연속성과 가용성을 보장을 위한 방어 포트폴리오에 초점을 맞춘다.

DDoS 대응 환경이 변화함에 따라 시장도 함께 성장할 전망이다. 시장조사회사 마켓앤드마켓은 글로벌 DDoS 대응 및 완화 시장이 지난해 약 58억달러에서 2030년 103억9000만달러 규모로 성장할 것으로 전망했다.

반면, 초기 투자 비용에 대한 부담, 전담 인력 부족, 정상 트래픽 오탐에 대한 우려 등은 기업들의 DDoS 대응 솔루션 도입을 망설이게 하는 요소로 꼽힌다. 실제 공격이 터지기 전엔 DDoS 방어 효과를 확인하기 어렵다는 점도 투자를 미루는 이유다.

하지만 DDoS는 상시적 보안 위협에 가까운 것이 현실이다. <보안뉴스>가 보안 분야 종사자들을 대상으로 실시한 설문에 따르면, 자신이 속한 조직에서 DDoS 공격 시도를 경험했다는 응답이 60% 이상으로 나타났다. 공격에 따른 서비스 중단은 매출과 평판, 규제 위협으로 이어질 수도 있다.

DDoS 대응 훈련하면 나아진다
수시로 벌어지는 DDoS 공격에 효과적으로 대응할 수 있도록 평소 훈련과 교육으로 준비 태세를 갖추는 것도 중요하다. 기업들은 평상시에 인터넷 서비스 제공 사업자(ISP), 클라우드 서비스 제공 사업자(CSP), 한국인터넷진흥원(KISA) 등과 비상 대응 절차를 협의하고 대응할 수 있는 체제를 갖춰야 한다.

통제된 환경에서 실제 공격 트래픽을 모의 발송, 조직의 방화벽이나 DDoS 방어 장비의 차단 성능, 네트워크 임계치, 사내 침해대응 절차를 점검하는 DDoS 모의 훈련을 통해서도 대응 역량을 높일 수 있다.

시큐와우는 “많은 조직이 방어 솔루션을 도입하고도 실제 공격 상황에서 솔루션 작동 여부나 내부 대응 절차 유효성 등을 검증하지 못하고 있다”며 “전체 네트워크 계층을 아우르는 한편, 탐지가 어려운 고난도 공격 시나리오도 제공해야 대응 체계를 제대로 보완할 수 있다”고 밝혔다.

KISA가 제공하는 ‘DDoS 사이버대피소’는 DDoS 공격을 받고 있거나 공격이 우려되는 중소기업을 위한 무료 방어 서비스이다. KISA 보호나라 웹사이트에서 사전 입주를 신청할 수 있다. 실제 공격을 받는 상황에선 118 KISA 상담센터 등에서 지원을 요청할 수 있다.

과학기술정보통신부가 매년 상하반기 민간 기업 보안 역량 강화를 위해 실시하는 ‘사이버 위기대응 모의훈련’을 활용할 수도 있다. 훈련 내용에 실제 상황을 가정한 10~20Gbps 규모 DDoS 공격 트래픽을 발송해 장비의 탐지 및 차단 성능, 대응 절차를 점검할 수 있게 한다.


DDoS(DDoS) 대응에 대한 보안인들 인식은?
<보안뉴스>는 DDoS 공격 및 대응에 대한 보안 현장의 인식을 파악하기 위해 최근 보안 분야 종사자를 대상으로 설문을 실시했다. 약 700명이 응답했고, 민간과 공공 부문 종사자 비율은 8:2 정도(82.6% 대 17.4%)였다.

DDoS 공격 경험에 대한 질문에 응답자의 31.9%는 “보안사고 경험이 있다”고 답했으며, “공격 시도는 있었으나 사고로 이어지지 않았다”는 응답도 31.9%로 나타났다. “사고 경험이 없다”는 응답은 36.2%였다. 경험한 DDoS 공격 방식으로는 SYN Flooding이 31.9%로 가장 많았고, HTTP Flooding(27.5%), UDP Flooding(18.8%), ICMP Flooding(18.8%) 등이 뒤를 이었다. 복구 시간은 ‘10분 이내’가 33.3%, ‘1시간 이내’가 27.5%로 절반 이상이 1시간 내 복구한 것으로 확인됐다.

조직의 DDoS 대응 관리는 “보안 또는 IT 담당부서에서 전담 관리한다”는 응답이 60.9%로 가장 높았다. “DDoS 특화 솔루션을 도입해 관리한다”는 응답은 24.6%, “기존 방화벽 등 보안솔루션을 통해서만 관리한다”는 응답은 23.2%로 나타났다.

DDoS 대응 솔루션 이용 현황을 보면, 응답자의 47.9%가 “현재 솔루션을 사용한다”고 답했으나, “사용하지 않는다”는 응답도 44.9%에 달했다. “사용하지 않지만 1년 내 도입 계획”이라는 응답은 7.2%였다.

솔루션 선택 기준으로 응답자들은 “도입 비용(30.4%)”과 “사내 IT 인프라 및 설비와의 호환성(27.5%)”, “다양한 구축사례 및 레퍼런스(23.2%)”를 주요하게 고려하는 것으로 집계됐다. 현재 사용 중인 솔루션 만족도에 대해서는 과반인 53.7%가 “보통”이라고 답했으며, “만족한다”는 34.7%, “매우 만족한다”는 10.2%였다. 불만족을 느낀 원인으로는 “DDoS 공격 탐지 차단 성능 문제(34.8%)”와 “해당 기업 전문인력 부족(27.5%)”이 꼽혔다.

DDoS 대응 업무 수행 시 가장 큰 애로사항으로는 “사내 보안 전담 부서 및 인력 부족(47.9%)”이 가장 높았으며, “솔루션 및 대응 체계 도입 필요성에 대한 경영진 인식 부족(26.1%)”, “진화된 DDoS 공격 기법(24.6%)”이 뒤를 이었다.

한편, 정기적인 DDoS 대응 훈련에 대해서는 “하지 않는다”는 응답이 37.7%로 가장 많아 대비책 마련이 필요한 것으로 나타났다. KISA의 사이버대피소 및 모의훈련 서비스에 대해서는 “알고 있지만 이용해본 적 없다”가 47.8%, “잘 모르지만 이용해볼 의향이 있다”가 29.0%였다. 향후 DDoS 대응 체계 강화를 위해 가장 우선 투자를 원하는 분야로는 과반인 50.7%가 “AI 기반 자동 탐지·대응”을 선택했다.


[DDoS 대응 솔루션 집중 분석-1 시큐와우]
시큐와우, DDoS 모의훈련 전문 서비스로 실전형 사이버 방어 역량 강화 앞장
실제 공격 시나리오 기반 모의훈련으로 조직의 DDoS 대응 체계 검증하고 빈틈 메운다

분산 서비스 거부(DDoS) 공격이 멀티벡터 복합 공격 등으로 고도화되는 가운데, 사이버보안 전문기업 시큐와우는 실제 공격 시나리오 기반 DDoS 모의훈련 서비스로 조직의 방어 역량을 선제적으로 점검·강화하는 데 앞장서고 있다. 모든 훈련은 고객사와의 사전 협의 및 계약을 통해 진행된다.

도입만으로는 부족하다, 검증이 핵심이다
많은 조직이 방어 솔루션을 도입하고도 실제 공격 상황에서 해당 솔루션이 제대로 작동하는지, 내부 대응 절차가 유효한지 검증하지 못한 채 운영하고 있다. 시큐와우는 방어 체계를 갖추는 것 못지않게, 실제와 유사한 환경에서 그 체계를 반복적으로 검증하고 단련하는 과정이 필수적이라는 철학 아래 맞춤형 모의훈련을 제공한다. 훈련 종료 후에는 단계별 대응 결과를 분석한 상세 리포트와 취약점 개선 가이드를 함께 제시한다.

전 계층·7개 공격 벡터 망라, 시큐와우 모의훈련의 특장점.
시큐와우 DDoS 모의훈련의 가장 큰 강점은 네트워크 레이어(L3/L4)부터 응용계층(L7)까지 전 계층을 단일 훈련으로 커버한다는 점이다. TCP Syn Flooding·UDP Flooding·ICMP Flooding·TCP Random Flag Flooding 등 통신량 한계 초과 공격 4종과, TCP Connection Flooding·HTTP Get Flooding·Slowloris Attack 등 응용계층 공격 3종으로 구성된 총 7개 벡터를 통해 실제 공격자가 활용하는 주요 수법을 빠짐없이 점검할 수 있다.

특히 TCP Connection Flooding·HTTP Get Flooding·Slowloris Attack은 정상적인 TCP 세션과 핸드셰이킹을 활용하는 방식으로, 단순 임계치 기반 방어 솔루션으로는 탐지가 어려운 고난도 공격에 해당한다. 이처럼 탐지 우회형 공격을 훈련 시나리오에 포함시킴으로써, 조직은 방어 솔루션의 실질적 탐지 한계를 사전에 파악하고 대응 체계를 보완할 수 있다. 또한 각 공격 유형을 개별적으로 구사하는 것은 물론, 복수의 벡터를 동시에 혼합한 멀티벡터 복합 공격으로도 훈련을 진행할 수 있어 실전 공격 상황에 가장 근접한 환경을 구현한다. 


[DDoS 대응 솔루션 집중 분석-2 넷스카우트]
‘보이지 않는 칼날’ HTTPS L7 DDoS, 금융권을 정조준하다
부제: 지능화되는 금융권 L7 및 TLS/HTTPS DDoS 공격 대응 전략

비대면 금융 서비스가 보편적인 서비스로 자리 잡으면서, 이를 노리는 사이버 위협 또한 전례 없는 수준으로 진화하고 있다. 특히 오픈뱅킹, 마이데이터, 금융 슈퍼앱 등으로 금융 서비스 아키텍처가 MSA(Micro Service Architecture) 중심으로 재편됨에 따라, 최근 금융권을 겨냥한 분산 서비스 거부(DDoS, 디도스) 공격은 과거의 단순 대용량 트래픽 폭주 형태에서 완전히 벗어나고 있다. 이제 공격자들은 정상 트래픽을 완벽하게 가장한 ┖애플리케이션 계층(L7) 공격┖과 ┖암호화 트래픽 기반 공격(TLS Attack)┖을 주무기로 삼아 금융 서비스의 핵심 관문인 API 게이트웨이(API Gateway)를 비롯한 L7 서비스 전반의 아킬레스건을 정조준하고 있다.

지능형 봇넷과 HTTPS 암호화의 딜레마
넷스카우트(NETSCOUT)의 글로벌 위협 인텔리전스 리포트(Threat Intelligence Report)에 따르면, 전 세계 웹 DDoS 공격 중 85% 이상이 HTTPS 프로토콜 내에 악성 요청을 은닉하는 방식을 취하고 있다. 금융 데이터 보호를 위한 필수 장치인 TLS/HTTPS 암호화 기술이 역설적이게도 공격자들에게 강력한 은신처를 제공하고 있는 셈이다. 이러한 공격은 소량의 패킷만으로도 웹 서버 및 API 엔드포인트, API Gateway는 물론 API Gateway의 백엔드 서비스의 연산 자원과 데이터베이스 커넥션을 고갈시키는 강력한 파괴력을 지닌다.

전통적인 방화벽이나 인라인 가속 장비들은 인입되는 HTTPS 트래픽의 유해성을 검증하기 위해 복호화(Decryption) 연산을 수행해야 한다. 공격자들은 바로 이 점을 파고든다. 대량의 악성 암호화 패킷을 지속해서 유입시켜 보안 장비가 이를 해독하는 과정에서 가용 자원을 모두 소모하게 만드는 이른바 복호화 부하 집중(Decryption Overhead)┖ 공격을 감행하는 것이다. 이로 인해 후선의 웹 애플리케이션 방화벽(WAF)이나 WAS(Web Application Server)가 연쇄적으로 마비되는 심각한 장애로 이어질 수 있다.

Arbor Edge Defense (AED) 와 Adaptive DDoS Protection (ADP)의 결합: 네트워크 경계면에서의 무상태 및 머신러닝 기반 미지의 위협 차단
성공적인 L7 및 암호화 DDoS 방어의 핵심은 공격 트래픽이 서비스 자원에 도달하기 전 경계면에서 먼저 걸러내는 것이다. 넷스카우트의 에지 방어 솔루션인 Arber Edge Defense (AED)는 ┖무상태(Stateless)┖ 기반의 독보적인 아키텍처를 통해 이 문제를 정면으로 해결한다. 패킷 자체의 구조적 무결성과 TCP 규격 준수 여부를 초당 수백만 개 단위로 검증하기 때문에, 자원 고갈 없이 지능형 L7 봇넷을 에지 단에서 차단한다. 특히, ┖선별적 복호화(Selective Decryption)┖ 기술을 통해 TLS 서비스에 대하여 암호화된 위협만을 정밀하게 식별해 낸다. 이를 통해 방어 체계의 부하를 최소화하고 금융 서비스를 중단 없이 완벽하게 보호한다.

이와 동시에 적용되는 넷스카우트의 차세대 ADP(Adaptive DDoS Protection) 기술은 방어 전선을 완전히 새로운 차원으로 끌어올린다. ADP는 탑재된 전용 머신러닝(Machine Learning) 엔진을 기반으로 작동한다. 이는 기존 시그니처나 알려진 공격 유형에 의존하지 않고, 유입되는 트래픽의 다차원적 특성을 실시간 학습하여 패턴을 분석한다. 이를 통해 정상 사용자로 정교하게 위장하여 침투하는 알려지지 않은 변칙 공격 패턴(Unknown Pattern DDoS), 임계치 미만의 공격, 정상과 비정상의 경계에 있는 트래픽 등을 탐지하고, 지능형 방어 정책을 즉시 수립·적용해 차단하는 혁신적인 방어력을 제공한다.

넷스카우트의 ATLAS 위협 인텔리전스(ATLAS Intelligence Feed)는 전 세계 글로벌 인터넷 트래픽의 50% 이상을 실시간 모니터링하여 축적된 정교한 AI 데이터를 기반으로 작동하는 AED(Arbor Edge Defense)는 ADP와 결합하여 지능형 IoT 봇넷의 활동이나 C2(명령제어) 서버의 IP 정보를 실시간 공급받아, 공격이 시작되기도 전에 알려진 유해 소스를 선제 차단(Proactive Mitigation)함으로써 내부 보안 인프라가 부담해야 할 복호화 총량을 획기적으로 낮춰준다.

국내 주요 금융그룹의 실제 구축 사례로 입증된 AI/ML 기반 지능형 DDoS 방어
실제 국내 금융권에서도 이러한 다층 방어(Defense in Depth) 체계의 효용성이 속속 입증되고 있다. 최근 국내의 주요 금융 그룹과 기관들이 넷스카우트 AED 를 도입해 차세대 DDoS 방어 아키텍처를 구축했다. 이들 기관은 지능형 애플리케이션 공격 및 초정밀 L7 위협에 노출되던 API 관문을 보호함으로써 대고객 서비스의 중단 없는 연속성을 확보하는 성과를 거두었다.

디지털 금융 환경에서의 보안은 이제 단순 임계치 기반의 DDoS 방어로는 진화하는 AI를 활용한 신종 공격, NoName057(친러시아 해커그룹), RipperSec(친이슬람 해커그룹)의 봇넷 공격을 방어하는데 한계에 이르렀다. 최신 공격에 효과적으로 대응하기 위해서 넷스카우트 인라인 DDoS 방어 솔루션인 AED(Arbor Edge Defense)는 위협의 가시성을 확보하고 봇넷 정보 등의 위협 인텔리전스, 정교한 어플리케이션 방어 정책, TLS 공격을 방어하기 위한 TLS Full 복호화 기능, 장비 스스로 공격 패턴을 파악하고 방어하는 머신러닝 기반의 지능형 방어 기술들이 유기적으로 연동하여 다계층으로 세밀하게 방어 체계를 구축하므로써 고도화된 신종 금융권 디도스 공격으로부터 서비스를 안전하게 수호할 수 있을 것이다.

[한세희 기자(hahn@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>