2016년 4분기 디도스(DDoS) 공격이 갈수록 교묘해지고, 봇넷에 악용되는 기기의 종류 또한 늘어나는 가운데, 설상가상으로 범죄 조직에서는 갈수록 큰 규모의 회사들을 표적으로 삼고 있는 것으로 나타났다.

카스퍼스키랩 디도스 인텔리전스 시스템에 따르면, 2016년 4분기 기준 악성 봇을 이용한 디도스 공격의 피해를 받은 나라는 전 세계 80개국에 달하는 것으로 나타났다. <그림1 ‘디도스 공격 Q4 2016-1(국가별 공격 횟수) ’ 참조>

▲ 그림1 ‘디도스 공격 Q4 2016-1(국가별 공격 횟수)’

3분기에는 67개국이었다는 점을 고려하면 그 숫자가 상당히 증가했다고 볼 수 있다.

디도스 공격을 가장 많이 받은 상위 10개국 순위도 다소 변동이 있었다. 작년 3분기에는 이탈리아와 네덜란드가 상위 10개국에 있었으나, 4분기에는 독일과 캐나다가 그 자리를 대신했다. <그림2 ‘디도스 공격Q4 2016-2(국가별 공격 대상) 참조>

▲ 그림2 ‘디도스 공격Q4 2016-2(국가별 공격 대상)’

호스팅되는 C&C 서버 수 부문에서는 네덜란드, 영국, 프랑스가 2분기 연속 10위권에 머물렀으며, 불가리아와 일본이 새롭게 진입했다.<그림3 ‘C&C Q4 2016 : C&C 서버 국가별 분포도’ 참조>

▲ 그림3 ‘C&C Q4 2016 : C&C 서버 국가별 분포도’

4분기에 가장 오래 지속된 디도스 공격은 292시간(12.2일) 동안 이어져 2016년 최장기 디도스 공격으로 기록됐다.

작년 11월 5일 하루에는 1915건의 디도스 공격이 보고됨에 따라, 2016년 일일 최다 디도스 공격 횟수를 기록하기도 했다.

종합하면 2016년 4분기에는 특히 주목해야 할 디도스 공격 양상이 나타났으며, Dyn’s Domain Name System, Deutsche Telekom, 러시아 내 여러 대형 은행 등 다양한 조직이 피해를 입었다.

이 회사들은 보안이 취약한 사물인터넷(IoT) 기기로 구성된 봇넷을 통해 전개되는 새로운 디도스 공격의 첫 번째 희생양이 된 것.

새로운 공격의 대표적인 예로는 Mirai를 들 수 있으며, Mirai 개발자가 사용한 방식을 기초로 IoT 기기를 악용한 다른 봇넷이 이어서 다수 만들어졌다.

IoT 기기를 통한 디도스 공격은 4분기에 관찰된 주요 트렌드 중 하나에 불과하다고 카스퍼스키랩은 밝혔다.

2016년 상반기에 널리 퍼졌었던 증폭 디도스 공격은 보안이 강화되고 공격에 악용할 수 있는 취약 서버가 줄어들면서 4분기에는 그 수가 눈에 띄게 감소했다.

하지만 ‘WordPress Pingback’ 공격과 같은 애플리케이션 계층 디도스 공격의 빈도수는 반대로 급증했다.

애플리케이션 계층 공격은 마치 실제 사용자 활동과 유사한 형태를 띠는 만큼 탐지가 어렵다.

이러한 공격 기법에서 암호화를 활용하는 빈도가 늘어나고 있기 때문에 위험성은 더욱 가중된다.

암호화는 디도스 공격의 위력을 증폭시키는 역할을 하며, 암호화된 정보를 복호화할 때 유효한 요청과 필요 없는 요청을 필터링하는 프로세스가 더욱 복잡해지기 때문이다.

카스퍼스키랩의 전문가들은 2017년에도 더욱 복잡한 형태의 디도스 공격이 증가할 것이며, IoT 봇넷의 수도 증가할 것으로 내다보고 있다.

이창훈 카스퍼스키랩 코리아 지사장(www.kaspersky.co.kr)은 “IoT 기기는 애플리케이션 계층 공격이나 암호화된 공격 등 여러 디도스 공격에 악용될 소지가 있다. IoT 봇넷의 위력이 상당한 것은 물론 보안이 취약한 IoT 기기가 갈수록 늘어가는 만큼, 앞으로 디도스 공격 빈도수와 위력, 복잡성은 더욱 증가할 것이다. 따라서 기업에서는 이에 맞는 예방 조치를 사전에 취해야 하며, 디도스 공격 방지 서비스의 도입을 신중하게 검토해야 할 것”이라고 말했다.

<김동기 기자>kdk@bikorea.net