2015년 4분기 디도스 공격 횟수 3600건 이상으로 전년 동기 대비 약 1.5배 늘어
집요하고 반복적인 공격이 빈번히 발생
게임 업계가 가장 많은 디도스 공격 받아

콘텐츠 전송 네트워크(CDN) 분야의 글로벌 리더 아카마이코리아는 3일 전세계서 발생한 사이버 공격과 위협을 분석한 ‘2015년 4분기 인터넷 현황 보안 보고서’를 발표했다. 이 보고서에 따르면 4분기 전세계 디도스(DDoS) 공격은 3600건 이상 발생해 전년 동기 대비 약 1.5배 증가하며 최고치를 경신했다.

2015년 3분기 전세계 디도스 발원 국가 6위였던 한국은 4분기 전세계 디도스 공격의 9%를 차지하며 4위에 올랐다. 중국이 28%로 1위, 터키가 22%를 기록하며 최초로 2위, 미국이 15%로 3위에 이름을 올렸다.

디도스 공격의 주 표적이 되어온 게임 업계는 4분기에도 전체 공격의 절반 이상을 차지하며 가장 큰 피해를 입었다. 소프트웨어·기술 업계가 23%, 금융서비스가 약 7%로 그 뒤를 이었다. 특히 4분기 최대 규모 공격을 당한 소프트웨어·기술 업계 어느 고객은 초당 최대 309Gbps· 202Mpps 공격을 받았다. 공격은 XOR와 빌게이츠 봇넷을 기반으로 한 SYN, UDP, NTP 공격의 특이한 조합으로 이뤄졌다.

아카마이 보안 담당 수석 부사장 겸 총괄매니저 스튜어트 스콜리(Stuart Scholly)는 “디도스와 웹 애플리케이션 공격이 매 분기 급증하고 있다. 2015년 4분기는 3분기 대비 웹 애플리케이션 공격이 무려 28%, 디도스 공격이 40% 늘어났다. 공격 기법도 더욱 악의적으로 진화하고 있다. 동일 대상을 반복해서 공격해 방어체계가 약해지는 순간을 노린다”고 설명했다.

디도스 공격

4분기에는 반복적인 디도스 공격이 빈번히 일어나며 공격의 일반적 형태로 자리잡았다. 3개 기업은 100회 이상의 디도스 공격을 받았으며 무려 188회 공격을 당한 곳도 있었다. 이는 하루 평균 2회 이상 디도스 공격을 받은 셈이다.

디도스 공격 대부분은 부스터(Booster)와 스트레서(Stresser) 기반 봇넷을 활용했다. 이는 디도스 공격 대행(DDoS-for-hire)의 형태로 반사기법을 사용해 트래픽을 증폭시킨다. 다중 공격 기법을 사용한 멀티벡터 공격의 증가도 주목할 만하다. 2014년 2분기에는 디도스 공격 중 멀티벡터가 42%를 차지한 반면, 2015년 4분기에는 56%로 늘어났다. 대부분의 멀티벡터 공격은 2개 벡터가 사용됐고(35%) 5~8개 벡터가 사용된 경우는 전체 공격의 3%로 나타났다.

4분기에는 인프라 공격(레이어 3, 4)이 위세를 떨치며 공격의 97%를 차지했다. 이는 전년 동기에 비해 168% 증가한 수치다. 3분기 대비 UDP 프래그먼트, NTP, DNS 공격이 대폭 증가했다.

웹 애플리케이션 공격

3분기 대비 4분기 웹 애플리케이션 공격 횟수는 28% 증가했으며, HTTP로 전송된 공격이 89%, HTTPS로 전송된 공격이 11%로 나타났다. 가장 많이 관찰된 공격 벡터로는 LFI(41%), SQLi(28%) PHPi(22%), XSS(5%), 쉘쇼크(2%) 순이었다.

웹 애플리케이션 공격 가운데 유통 업계 대상이 59%였고 미디어·엔터테인먼트 업계와 호텔·여행 업계가 각각 10%, 금융서비스가 7%로 나타났다.

웹 애플리케이션 공격의 주요 발원지(56%)와 가장 많은 공격을 받은 국가(77%) 모두 미국이었다. 두 번째는 브라질이 차지했는데 대규모 클라우드 서비스형인프라(IaaS) 제공업체가 신규 데이터 센터를 개소한 것이 그 원인으로 보인다.

스캐닝 및 탐색

공격자는 공격 전 미리 스캐닝과 탐색을 통해 정찰을 진행한다. 아카마이 인텔리전트 플랫폼에서 수집한 데이터를 분석한 결과 정찰에 가장 많이 사용된 포트는 Telnet(24%), NetBIOS(5%), MS-DS(7%), SSH(6%), SIP(4%) 순이었다.

ASN(Autonomous System Numbers)에 따르면 가장 자주 악용되는 네트워크 반사체는 중국을 비롯한 아시아 국가에 기반을 둔 것으로 파악됐다. 대부분의 SSDP 공격은 가정용 인터넷 연결 기기에서 비롯됐고 NTP, CHARGEN, QOTD는 해당 서비스가 실행되는 클라우드 호스팅 제공업체에서 시작됐다.

2015년 4분기 아카마이 인터넷 현황 보안 보고서는 웹사이트(http://www.stateoftheinternet.com/resources-cloud-security-2015-Q4-web-security-report.html)에서 확인 가능하며 무료로 다운받을 수 있다.