2016년 10월, 서비스 제공업체인 Dyn을 겨냥한 DDoS 공격이 발생하면서 미국 동부 전역의 인터넷 접속이 마비되는 사태가 벌어졌습니다. 당시 Dyn의 서버는 감당하기 어려운 수준의 데이터 트래픽에 시달렸고, 초당 2Tbps에 달하는 데이터 전송 속도가 기록되었습니다. 당시 기술로는 도달하기 어려운 충격적인 수치였습니다.
그런데 지난주에는 초당 1.7Tbps의 전송률을 기록하는 한층 발전된 DDoS 공격이 포착되었습니다. 이 공격의 파괴력은 이전 Dyn 공격보다 약 50% 더 강력한 수준입니다. 인터넷 사용자 68만 명이 보유한 모든 자원을 동원해 동시에 하나의 웹사이트에 접속하는 것과 맞먹는 트래픽으로, 어떤 웹사이트든 순식간에 다운시킬 수 있는 규모입니다.
DDoS 공격은 어떻게 여기까지 진화했을까?
해커들은 웹페이지 로딩 속도를 높이기 위해 개발된 소프트웨어인 Memcached를 악용하는 방법을 찾아냈습니다. Memcached는 사용자가 다시 요청할 가능성이 있는 대량의 데이터를 캐싱하는 역할을 하며, 일반적으로 원격 서버에서 운영됩니다.
보안 전문가들에 따르면 Memcached는 인터넷에 연결된 상태에서 보호 장치 없이 방치해서는 안 됩니다. 그러나 Rapid7의 Project Sonar 웹 스캐너 조사 결과, 외부에 취약하게 노출된 Memcached 장비가 14만 대를 넘는 것으로 확인되었습니다.
공격자들은 Memcached를 악용해 대상에 대한 서비스 거부 공격을 증폭시켰습니다. 구체적으로는 소량의 임의 데이터를 Memcached에 전송하면, Memcached가 대상 서버를 대규모 데이터로 범람시키는 원리입니다. 해커는 Memcached를 활용할 경우 공격 효과를 최대 51,000배까지 확대할 수 있습니다.
첨단 DDoS 공격, 어떻게 막을 수 있을까?
현재 수많은 사이버보안 전문가들이 첨단 DDoS 공격 차단 방안을 연구하고 있습니다. 미국 국토안보부(DHS)의 보안 전문가들은 강력한 DDoS 공격으로부터 미국 시민을 보호할 효과적인 대응책을 모색 중이며, Akamai와 Alphabet 같은 글로벌 기업들도 이 위협과의 싸움에 동참했습니다.
실제로 GitHub은 최근 대규모 Memcached 기반 DDoS 공격을 성공적으로 버텨내며 방어 기술의 눈에 띄는 발전을 증명했습니다. GitHub은 단 5분간의 다운타임만 겪었을 뿐, 곧바로 정상 운영을 재개했습니다.
당시 공격자들은 가짜 UDP 프로토콜 패킷을 Memcached 서버로 전송했고, 그 결과 대상 웹사이트로 UDP 패킷이 폭발적으로 쏟아지게 되었습니다. 이에 보안 회사 Corero는 "flush all" 명령어를 통해 공격 서버에 데이터 플러시(flush)를 지시하는 킬 스위치(kill switch)를 선보였습니다. 이 방식은 공격 서버의 모든 데이터 패킷을 비워내 데이터 폭주를 억제합니다. 이 해결책은 실제 서버 환경에서 테스트를 거쳤으며, Memcached 공격 차단에 100% 효과적인 것으로 입증되었습니다.
다만 Memcached 1.5.5 버전은 네트워크 메시지 볼륨에 대한 제어 기능이 부족해 해커에게 악용될 소지가 있는 것으로 밝혀졌습니다. 이에 따라 UDP 프로토콜을 기본적으로 비활성화하는 새로운 업데이트가 출시되었으며, 이제는 UDP를 사용하려면 명시적으로 활성화해야 합니다. 보안 취약점을 해소하려면 반드시 해당 업데이트를 설치해야 합니다.
그러나 GitHub처럼 스스로를 방어할 역량을 갖춘 조직은 세계적으로 많지 않다는 것이 현실입니다. 이 정도의 공격 화력을 앞에 두면 공격자들은 상당한 다운타임을 유발하고, 조직에 막대한 재정적 피해를 안길 수 있습니다.