사이버 공격 유형 정리 :: 가용성 공격형 · 금전 갈취형 (DDoS, 랜섬웨어)
디도스(DDoS, Distributed Denial of Service)
기본 개념
서비스 거부 공격의 일종. 다수의 시스템에서 동시에 트래픽을 퍼부어서 서버나 네트워크가 정상 요청을 처리하지 못하게 마비시키는 공격
DoS(단일 출발지)와 다르게 DDoS는 여러 대(보통 봇넷)에서 분산 공격하기 때문에 IP 하나 차단으로는 막기 어려움
봇넷: 악성코드에 감염된 다수의 좀비 PC나 IoT 기기들을 공격자가 원격으로 조종하는 네트워크
공격자가 명령을 내리면 봇넷에 속한 수천에서 수백만 대의 기기가 동시에 특정 대상으로 트래픽을 쏨
대표 공격 유형
1. 볼륨 기반 공격
대량의 트래픽으로 네트워크 대역폭 자체를 포화시킴
UDP Flood는 UDP 패킷을 대량으로 보내서 대역폭을 소진시키고, ICMP Flood(Ping Flood)는 ping 요청을 대량으로 보냄
2. 프로토콜 공격
서버나 네트워크 장비의 연결 처리 자원을 소진시킴
SYN Flood는 TCP 3-way handshake 중 SYN만 대량으로 보내고 마지막 ACK는 안 보내서, 서버가 응답 대기 상태(반쯤 열린 연결)를 쌓아두다가 자원이 고갈되는 방식
Ping of Death는 비정상적으로 큰 패킷을 보내 시스템 처리 오류를 유발
3. 애플리케이션 계층 공격
겉보기엔 정상 요청처럼 보이지만 서버 리소스를 소모시키는 방식
HTTP Flood는 정상적인 GET/POST 요청을 대량으로 반복 전송해서 웹서버 처리 능력을 소진시키고, Slowloris는 연결을 아주 느리게 유지하면서 서버의 동시 접속 슬롯을 오래 점유
증폭 공격
공격자가 적은 트래픽으로 훨씬 큰 트래픽을 만들어내는 기법
DNS나 NTP처럼 작은 요청에 큰 응답을 주는 프로토콜을 악용, 응답 주소를 피해자 IP로 위조(스푸핑)해서 증폭된 응답이 피해자에게 몰리게 만듦
방어 방법
CDN, 클라우드 기반 DDoS 방어 서비스로 트래픽 분산 및 필터링
Rate Limiting으로 특정 IP나 세션의 요청 수 제한
방화벽, WAF에서 비정상 트래픽 패턴 탐지 및 차단
Anycast 네트워크로 트래픽을 여러 지점에 분산시켜 단일 지점 과부하 방지
용량 여유(오버프로비저닝)를 둬서 일정 수준의 트래픽 급증을 흡수
랜섬웨어(Ransomware)
기본 개념
시스템이나 파일을 암호화해서 사용 불가능하게 만든 뒤, 복호화를 대가로 금전(주로 암호화폐)을 요구하는 악성코드
개인 PC부터 병원, 기업, 인프라까지 광범위하게 피해를 일으켜서 최근 몇 년간 가장 심각한 보안 위협 중 하나로 꼽힘
감염 경로
피싱 이메일의 악성 첨부파일이나 링크
소프트웨어 취약점을 이용한 자동 침투(패치 안 된 서버, RDP 노출 등)
악성 광고나 조작된 웹사이트를 통한 드라이브 바이 다운로드
이미 침투한 공격자가 내부망을 돌아다니다가(래터럴 무브먼트) 랜섬웨어를 마지막 단계로 배포
동작 과정
감염 후 시스템 내 파일들을 대칭키(빠른 속도)로 암호화하고, 그 대칭키는 다시 공격자의 공개키로 암호화해서 공격자만 복호화 가능하게 만듦(비대칭키 암호화 활용)
암호화 완료 후 파일 확장자를 바꾸거나 바탕화면에 협박 메시지(랜섬노트)를 띄워서 금전 요구
최근에는 이중 갈취 방식도 흔함: 암호화 전에 데이터를 먼저 빼돌린 다음, 돈을 안 내면 암호화뿐 아니라 유출까지 하겠다고 협박
대표 사례로 알려진 방식
워너크라이 같은 사례는 SMB 프로토콜 취약점(EternalBlue)을 이용해 패치 안 된 시스템 사이에서 자동으로 퍼져나가는 웜 형태로 확산됨
방어 방법
정기 백업, 특히 오프라인/에어갭 백업(네트워크로 접근 불가능한 별도 저장소)으로 감염돼도 복구 가능하게 준비
OS와 소프트웨어 정기 패치로 알려진 취약점 차단
이메일 필터링과 피싱 교육으로 초기 감염 경로 차단
EDR로 파일 암호화 같은 비정상 행위 실시간 탐지 및 차단
네트워크 분할로 감염 시 확산 범위 최소화
최소 권한 원칙 적용해서 감염된 계정의 피해 범위 제한
감염됐을 때 원칙
몸값을 지불해도 복구 보장이 없고, 지불이 추가 공격을 유발할 수 있어서 일반적으로 지불을 권장하지 않음
감염 즉시 네트워크에서 격리해서 확산 방지, 이후 침해사고 대응 절차(탐지→분석→격리→제거→복구)를 따름