RDDoS (Reflected Distributed Denial of Service) 공격이란?

RDDoS(Reflected Distributed Denial of Service) 공격은 출발지를 공격 대상의 IP로 위조한 요청 정보를 전송하여 다량의 응답을 받아 서비스 거부 상태를 유발하는 DDoS(분산 서비스 거부) 공격의 한 형태입니다. 공격자는 다수의 오픈 리플렉터(reflector) 서버를 이용해 작은 요청을 전송한 뒤, 공격 대상에게 과부하를 유발하는 대량의 응답이 돌아오도록 만듭니다.

RDDoS 공격은 일반적인 DDoS 공격보다 더 강력한 증폭 효과를 유발할 수 있으며, 공격 대상 네트워크에 치명적인 피해를 줄 수 있습니다. 주요 목표는 웹사이트, 서버, 네트워크 장비의 정상적인 서비스 운영을 방해하는 것입니다.

Table of Contents

RDDoS 공격 방식

IP 스푸핑(IP Spoofing)
- 공격자는 패킷의 출발지 IP 주소를 실제 IP가 아닌 공격 대상의 IP로 위조합니다.
- 이를 통해 리플렉터 서버가 공격 대상에게 직접 응답을 보내도록 유도합니다.
리플렉터 서버 활용
- DNS, NTP, SSDP, SNMP 등 대중적으로 사용되는 네트워크 서비스가 RDDoS 공격의 주요 리플렉터 역할을 합니다.
- 리플렉터 서버는 공격자의 요청에 대한 응답을 공격 대상에게 전송하여 트래픽을 증폭시킵니다.
증폭(Amplification) 효과
- RDDoS 공격에서 사용되는 리플렉터 서버는 작은 요청에 비해 훨씬 큰 크기의 응답을 생성하는 특징이 있습니다.
- 이로 인해 공격자는 적은 리소스로도 대규모 트래픽을 발생시켜 서비스 거부 상태를 유도할 수 있습니다.
서비스 마비
- 공격 대상은 대량의 응답 패킷을 수신하게 되며, 네트워크 대역폭이 소진되거나 시스템 자원이 고갈되어 정상적인 서비스 운영이 불가능해집니다.

대표적인 RDDoS 공격 유형

DNS 증폭 공격
- 공격자가 공격 대상의 IP를 출발지 주소로 위조하여 DNS 서버에 ANY 질의를 포함한 요청을 보냅니다.
- DNS 서버는 작은 요청에 비해 큰 응답을 반환하며, 공격 대상은 대량의 응답 트래픽을 수신하게 됩니다.
NTP 증폭 공격
- 네트워크 타임 프로토콜(NTP) 서버의 monlist 기능을 악용하여 공격 대상에게 대량의 트래픽을 보냅니다.
- monlist는 NTP 서버가 최근 접속한 클라이언트 목록을 반환하는 기능으로, 작은 요청에도 수백 배의 응답을 생성할 수 있습니다.
SSDP 증폭 공격
- UPnP(Simple Service Discovery Protocol)를 지원하는 네트워크 장비를 이용해 공격 대상에게 다량의 응답을 전달하는 공격 방식입니다.
- 공격자는 장비를 탐색한 후 SSDP 요청을 전송하여 공격 대상의 네트워크를 마비시킵니다.
SNMP 증폭 공격
- SNMP(Simple Network Management Protocol)를 악용하여 공격 대상에게 많은 양의 응답을 보내는 방법입니다.
- SNMP 응답은 요청보다 크기가 크므로, 공격자가 네트워크 트래픽을 급격히 증가시킬 수 있습니다.

RDDoS 공격의 예방 방법

IP 스푸핑 방지
- BCP 38(출발지 주소 검증) 적용하여 위조된 IP 패킷이 네트워크를 통과하지 못하도록 설정합니다.
- 네트워크 엣지 라우터에서 허용되지 않은 IP 주소를 필터링하여 차단합니다.
리플렉터 서버 보호
- DNS, NTP, SSDP 등의 서비스에서 불필요한 오픈 리소스를 제한합니다.
- 최신 보안 패치를 적용하고, 잘 알려진 취약점을 제거합니다.
네트워크 방화벽 및 IPS/IDS 활용
- 비정상적인 트래픽 패턴을 탐지하고, 악성 요청을 차단합니다.
- DPI(Deep Packet Inspection) 기반 솔루션을 통해 악성 트래픽을 분석합니다.
트래픽 모니터링
- 이상 트래픽 감지 시스템을 도입하여 공격 징후를 실시간으로 탐지합니다.
- 대역폭 초과 시 알림 기능을 활용하여 조기에 대응합니다.
CDN 및 클라우드 기반 DDoS 방어 솔루션 도입
- 대규모 트래픽을 분산 처리하여 피해를 최소화합니다.
- 주요 서비스 제공업체의 DDoS 방어 서비스를 활용합니다.

RDDoS 공격 대응 방법

트래픽 필터링 및 차단
- 공격 발생 시 네트워크 장비에서 특정 포트나 IP를 차단합니다.
- ACL(Access Control List) 또는 방화벽 설정을 통해 악성 트래픽을 차단합니다.
공격 트래픽 우회
- 클라우드 기반 DDoS 방어 서비스를 통해 정상적인 요청과 공격 트래픽을 분리합니다.
- CDN(Content Delivery Network)을 활용하여 공격을 완화합니다.
ISP 및 보안 업체 협조
- 인터넷 서비스 제공업체(ISP)와 협력하여 공격 원점을 차단합니다.
- 보안 업체의 DDoS 대응 솔루션을 활용하여 실시간 대응합니다.
서버 및 네트워크 리소스 강화
- 대역폭 확장 및 로드 밸런싱을 적용하여 공격을 견딜 수 있는 인프라를 구축합니다.
- 분산 서버 환경을 구축하여 특정 서버에 과부하가 집중되는 것을 방지합니다.
긴급 대응 계획 수립
- DDoS 공격 발생 시 즉각적인 대응을 위한 프로세스를 마련합니다.
- 모의 훈련을 통해 대응 절차를 점검하고 개선합니다.

RDDoS 공격은 단순한 DDoS 공격보다 증폭된 트래픽을 유발하여 큰 피해를 줄 수 있는 위험한 공격 방식입니다. 따라서 사전 예방 조치를 철저히 하고, 효과적인 대응 전략을 마련하는 것이 중요합니다. 철저한 보안 정책과 지속적인 모니터링을 통해 RDDoS 공격으로부터 서비스를 안전하게 보호해야 합니다.

CSMA/CA 패킷 충돌을 피하는 무선 통신 기술