 |
||
Ridding Networks of DDoS Attacks'넘보지마' DDos 공격 완벽 퇴치시스코 DDoS 방지 전략 단계적 예시 … '통합 솔루션'이 정답일반적으로 DDoS(Distributed Denial of Services) 공격은 기업 네트워크에 타격을 주는 것을 목적으로 한다고 여기기 쉽다. 이 공격은 일반적으로 봇넷(botnets)에 의해 생긴다. 봇넷은 다양한 종류의 패킷들이 갑자기 넘쳐나는 공격에 시달리는 개별 컴퓨터 네트워크를 의미한다. DDoS 공격은 오고 가는 커뮤니케이션에 사용되는 대역폭을 집중 공격하고, 합법적인 트래픽을 사용할 수 없게 만들면서, 라우터, 서버, 심지어 방화벽 기능도 마비시킨다. 이는 특정 애플리케이션이나 호스트로 접근하는 것을 막을 뿐 아니라, 소프트 스위치, 코어 라우터, DNS(Domain Name System) 서버 같은 네트워크 자원들을 공격하며, 직접 공격 받지 않은 일부 네트워크에도 2차적인 피해를 입힌다. 문제는 불법 패킷을 합법 패킷과 구분하는 게 쉽지 않기 때문에 DDoS 공격 발견이 힘들다는 점이다. IDS(Intrusion Detection Systems)에 의해 실행되는 일반 서명 패턴 매칭은 효력이 없다. 블랙홀링(blackholing)이나 라우터 필터링 같은 DDoS 공격을 처리하며 비즈니스 연속성을 보장하는 일반 기술 역시 완화 효력이 부족하다. 오버프로비저닝 (overprovisioning) 같은 전략 역시 규모가 큰 공격을 감당할 만한 보안 기능을 제공하지 못할 뿐 아니라, 너무 비싸 DDoS 예방을 실시하기 힘들다. 1단계 : 깨끗한 네트워크 DDoS 공격을 해결하려면 이를 감지하는 종합적인 보안 시스템이 필요하다. 보안 시스템을 시작하면서 오염된 트래픽 스트리밍이나 네트워크를 깨끗이 만든 다음, 적합한 트래픽을 네트워크로 되돌려 보내는 그런 시스템을 얘기한다. 현재 시스코는 이에 적합한 보안 성능을 갖춘 시스코 DDoS 방지 솔루션(Cisco DDoS Protection Solution) 시스템을 제공하고 있다. 통신서비스 사업자들의 경우 이 솔루션을 다음과 같은 용도로 구축할 수 있다.  라스트 마일(last mile)이나 네트워크 인프라 내부의 다운스트림 고객을 위해 네트워크 DDoS 방지 기능 관리관리 중인 호스팅 데이터 센터에서 웹 서비스와 e-커머스 애플리케이션 보호ISP를 다운스트림하는 링크를 DDoS 트래픽 집중 공격으로부터 보호이 솔루션을 통해 통신서비스 사업자들은 애그리게이션, 에지, 코어 라우터와 스위치, DNS 서버, 해외 링크 같이 중요한 네트워크 인프라 요소들을 방어할 수 있으며, 공격이 감지되는 즉시 그 효과를 볼 수 있다.
2단계 : 감지 기능 제공 불법 패킷이 합법 패킷과 같은 컨텐츠 및 헤더 특성을 지니고 있기 때문에 DDoS 감지 기능은 실행시키기 매우 힘들다. 게다가 많은 공격은 위조된 소스 어드레스를 사용한다. 때문에 얼마나 잘 지켜낼 수 있는가 여부는 좋은 트래픽과 나쁜 트래픽을 구분해낼 수 있는 능력에 달려있다. 시스코 DDoS 솔루션은 동적으로 베이스라인 트래픽(baseline treffic) 모델을 만들고, 플로우를 실시간 비교하는 두 가지 시스템을 사용한다. 특정 스레쉬홀드(threshold) 상에서 어떤 차이가 생기면 알람이 울린다. 사용자가 어떤 부분의 보안을 가장 신경 쓰는가에 따라, 두 시스템은 네트워크의 서로 다른 장소에 구축된다. 이때 시스코 트래픽 이상 감지기 XT(Cisco Traffic Anomaly Detector XT) 독립형 어플라이언스나 아보 네트웍스(Arbor Networks)의 아보 피크플로 SP(Arbo Peakfolw SP), 시스코 테크놀러지 디벨로퍼 프로그램 파트너(Cisco Technology Developer Program Partner)가 사용된다. 아보 피크플로 SP의 경우, 감지 기능을 실시할 때 시스코 IOS 소프트웨어의 넷플로우 기능과 함께 작동된다. 시스코 트래픽 이상 감지기 XT는 가장 고도의 감지 기능을 제공한다. 고객에게 전송되는 모든 트래픽 플로우 검사는 네트워크 고객 에지에 설치되어 있다. 이 감지기는 유선에서 반영된 트래픽을 모니터한다. 트래픽은 SPAN(Switched Port Analyzer), VLAN(virtual LAN), VACL(VPN Access Control List) 같은 포트 기반 특성이나 네트워크 분리에 의해 복사되고, 스트리밍은 감지 디바이스로 유입된다. 시스코 트래픽 이상 감지기 XT는 최신 행위 분석과 공격 인지 기술을 사용해 모든 유형의 DDoS 공격을 미리 감지하고 체크한다. 감지기가 특정 어드레스로 가는 트래픽이 폭주하거나 특정 트래픽 종류가 폭주하는 것 같은 이상 플로우를 감지해내는 즉시, 시스로그 (syslog)에서 이벤트를 동적으로 생성하거나, 안전한 SSH(Secure Shell) 커넥션을 통해 원격 시스코 가드(Cisco Guard)를 활성화시킨다. 아보 피크플로우 SP 디바이스는 아웃-오브-밴드(out-of-band) 네트워크에 구축돼 통신서비스 사업자 네트워크 내부 다양한 라우터에서 수집된 시스코 넷플로우 통계를 처리한다. 시스코 넷플로우에는 오늘날 사용 가능한 IP 네트워크 용 DDoS 확인 기술 및 네트워크 트래픽 플로우 분석 기술이 가장 널리 도입돼 있다. 시스코 넷플로우는 헤더에서 7개의 튜플 (tuple)을 조사하면서 패킷을 분류한다. 즉 진입 인터페이스, IP 프로토콜 타입, 타입-오브-서비스(type-of-service) 표시기, 소스 및 수신자 IP 어드레스, 소스 및 수신자 포트 상에서 정보를 분류하는 것이다. 이 정보는 전체 네트워크에서 일반 트래픽의 베이스라인 프로파일을 보여준다. 이를 통해 네트워크 관리자는 개발하는 곳 어디서나 이상 플로우를 관찰할 수 있다.
3단계 : 완화 전략 구사 시스코 DDoS 방지 솔루션 완화 기능은 기간 업무용 호스트를 노리는 악의적인 트래픽과 합법적인 트래픽을 정확히 구분하는 게 목표다. 악의적 트래픽은 거르고, 합법적 트래픽은 통과시키는 것이다. 완화 기능은 시스코 카탈리스트 6500 시리즈 스위치 및 시스코 7600 시리즈 라우터에 들어있는 독립형 시스코 가드 XT(Cisco Guard XT) 어플라이언스나 시스코 이상 가드 서비스 모듈(Cisco Anomaly Guard Service Module)에 의해 작동된다. 시스코 트래픽 이상 감지기 XT, 아보 피크플로우 SP 디바이스, 네트워크 관리 직원에 의한 매뉴얼 활성화를 통해 요청이 들어오면, 시스코 가드 XT는 이를 처리하기 위해 업스트림 라우터로 BGP(Border Gateway Protocol) 메시지를 보낸다. 업스트림 라우터는 존(zone)을 목표로 하는 오염된 트래픽의 방향을 바꿔 시스코 가드로 보낸 뒤 클리닝시킨다. 존(zone)은 DDoS 공격을 차단하는 시스코 가드에 의해 안전하게 보호되는 네트워크 요소다. 이는 네트워크 서버나 고객, 라우터, 네트워크 링크나 서브넷, 혹은 전체 네트워크, 개별 인터넷 유저나 인터넷을 사용해 업무를 진행하는 회사 등이다. 일단 존(zone) 보안에 연결되면, 가드는 전환 트래픽을 받아 이를 정책에 적용하기 시작한다. 실행에 옮기기 위해 가드 보안 시스템을 참조해 정책들이 지시를 내린다. 이는 트래픽을 떨어뜨리는 수상쩍은 트래픽 사용자를 신고하는 것부터 가드 안티 스푸핑(anti-spooring)이나 안티 좀비(anti-zombie) 방법에 이르기까지 다양하다. 좀비 정책은 측정된 트래픽이 스레쉬홀드를 방해할 때 반응한다. 보안 역할을 실행하는 가드에는 꼼꼼하게 걸러내는 다양한 필터들이 있다. 이러한 필터로 인해 가드와 사용자는 수상쩍거나 악의적인 트래픽을 걸러내는 동시에 합법적인 트래픽은 무사히 통과시킨다. 가드는 안티 스푸핑 방식으로 트래픽을 철저히 클리닝하는 보안 모듈도 갖추고 있다. 아무런 이상 현상도 감지되지 않으면, 트래픽은 분석 모듈을 통해 모니터 되지만 방해받지 않으면서 흘러갈 수 있다. 기본 모듈로는 트래픽을 인증하는 안티 스푸핑과 안티 좀비 방식이 있으며, 강력한 모듈(strong module)에서는 보다 엄격한 안티 스푸핑 방식이 실행된다. 드롭 모듈(drop module)은 악의적인 트래픽을 제외시키는 모듈이며, 비율 제한 모듈(rate limiting module)은 원하는 트래픽 플로우나 전체 구역 트래픽 비율을 제한하는 모듈이다. 그리고 인식 모듈(recognition module)은 시스코 가드 정책과 필터 시스템 사이를 조율하고 분석용 유출 트래픽을 시험한다. 가드 필터 시스템과 보안 모듈은 구역 트래픽 플로우를 통해 주기적인 모드로 실행된다. 공격이 진행되는 지역으로 예정된 트래픽의 방향을 수정한 후에, 시스코 가드는 트래픽을 존(zone) 뒤편에서 주입시킬 수 있다. 사용자가 구역 보안을 끝맺을 때까지 이런 상태는 계속된다. 유입 방식은 네트워크가 레이어 2 코어 토폴로지를 사용하는지, 레이어 3 코어 토폴로지를 사용하는지에 따라 달려있다. PBR(Policy Based Routing), VRF(Virtual Routing/Forwarding), GRE(Generic Routing Encapsulation) 같은 이러한 방식은 다운스트림 라우터와 시스코 가드 또는 가드 상에서만 즉시 설정된다. 이를 통해 아무리 깨끗한 트래픽이라 해도 시스코 가드로 루프백(loop lack) 하지는 못한다. DDoS 트래픽을 걸러내도록 만들어진 마지막 동적 필터가 제거되고, 설정 가능한 타임아웃이 통과되면, 시스코 가드의 완화 프로세스는 종결된다. 그런 다음, 이전에 공격이 진행됐던 존(zone)으로 향하는 트래픽 플로우는 가드(Guard)로 돌아가는 대신, 일반 데이터 경로를 다시 차지하게 된다. DDoS 완화용 존(zone)을 초기화시키려면, 시스코 가드 XT는 트래픽 이상 감지기 XT와 아보 피크플로우 SP처럼 '습득(learning)' 모드로 설정돼야 한다. 이 모드에서, 디바이스는 트래픽 패턴과 비율, 스레쉬홀드를 소극적으로 모니터한다. 이 때 스레쉬홀드는 일상적인 패턴을 이해하고, DDos 공격이 발생하면 악의적으로 변할 수 있는 존(zone) 트래픽과 이상 현상을 비교하는데 따른 기준을 세우기 위해 존(zone) 내부에 있는 자원으로 향한다. 시스코 네트워크 파운데이션 보안(NFP) 인터넷이 필수라는 것과 관련해 오늘날 경쟁력 있는 사업 트렌드를 살펴보면 네트워크 요소와 인프라가 무수한 리스크와 위협에 노출되어 있다는 사실을 알 수 있다. 보안이 강화된 환경에서 공격이 늘어나는 것을 감안해, 시스코는 인프라뿐만 아니라 네트워크 요소들을 위한 시스코 IOS 소프트웨어 기능을 강화하면서 어느 환경에서나 가용성이 보장되도록 돕고 있다.
|
 |
EDMUND LAM, 필자 에드먼드 램(EDMUND LAM)은 시스코 서비스 프로바이더 시스템 엔지니어링 그룹의 기술 팀장으로 보안 관리 시스템 디자인에 주력하고 있다. 이에 앞서 그는 통신서비스사업자용 VoIP 및 MPLS VPN을 위한 시스템 디자인 전문 기술 마케팅 엔지니어를 역임했다. |
| 추가자료 |
|---|
|
