역사와 유래
DNS 반사 공격은 DNS(Domain Name System)의 특성을 이용해 원치 않는 트래픽이 대량으로 대상의 인프라를 압도하는 DDoS(분산 서비스 거부) 공격의 일종이다. 이 공격은 개방형 DNS 확인자를 활용하여 피해자를 향한 트래픽 양을 증폭시킵니다.
DNS 반사 공격에 대한 첫 번째 언급은 2006년 경으로 거슬러 올라갑니다. 초기 DDoS 공격에서 공격자는 주로 봇넷을 사용하여 대상에 트래픽을 직접 넘치게 했습니다. 그러나 이러한 공격에 대한 방어 능력이 향상되면서 사이버 범죄자들은 새로운 전술을 모색하게 되었습니다. 그들은 DNS 확인자를 열기 위해 위조된 소스 IP 주소로 DNS 쿼리를 보내 확인자가 피해자에게 더 큰 응답을 보내도록 유도하여 공격을 증폭시킬 수 있다는 것을 발견했습니다.
DNS 반사공격 상세정보
DNS 반사 공격은 일반적으로 다음 단계를 따릅니다.
-
스푸핑 소스 IP: 공격자는 DNS 쿼리 패킷에서 소스 IP 주소를 스푸핑하여 요청이 대상에서 오는 것처럼 보이게 합니다.
-
오픈 DNS 리졸버: 공격자는 이러한 위조된 DNS 쿼리를 보내 DNS 확인자를 엽니다. 이러한 확인자는 공개적으로 액세스할 수 있으며 모든 IP 주소의 쿼리에 응답하도록 잘못 구성되어 있습니다.
-
증폭 인자: 개방형 DNS 확인자는 위조된 쿼리를 수신하고 그것이 합법적인 요청이라고 믿고 대상의 IP 주소를 사용하여 대상에 응답을 보냅니다. 응답은 일반적으로 원래 쿼리보다 훨씬 커서 공격 트래픽이 증폭됩니다.
-
목표물을 압도하다: 현재 엄청난 양의 트래픽이 넘쳐나는 대상은 높은 요청률을 처리하는 데 어려움을 겪으며 서비스 저하 또는 완전한 사용 불가로 이어집니다.
DNS 반사 공격의 주요 특징
DNS 반사 공격은 특히 효과적인 몇 가지 주요 기능을 보여줍니다.
-
증폭 인자: 공격은 DNS 쿼리와 응답 간의 큰 크기 차이를 이용합니다. 이 증폭 요인은 50~100배일 수 있습니다. 즉, 작은 쿼리로 훨씬 더 큰 응답이 발생할 수 있습니다.
-
간편한 실행: 공격에는 공격자 측에서 최소한의 리소스가 필요하므로 초보 사이버 범죄자에게 매력적입니다. 인터넷에서 사용할 수 있는 공개 DNS 확인자의 수가 엄청나게 많기 때문에 공격 시작이 더욱 단순화됩니다.
-
분산된 자연: 다른 DDoS 공격과 마찬가지로 DNS 반사 공격도 분산되어 있습니다. 즉, 여러 소스가 대상을 침수시키는 데 관여하므로 완화하기가 더 어렵습니다.
-
UDP 프로토콜: 공격은 주로 TCP(전송 제어 프로토콜) 패킷과 같은 핸드셰이크가 필요하지 않은 UDP(사용자 데이터그램 프로토콜) 패킷을 사용하여 수행되므로 소스 추적이 더 어렵습니다.
DNS 반사 공격의 유형
DNS 반사 공격은 사용된 DNS 쿼리 유형과 응답 크기에 따라 분류될 수 있습니다. 가장 일반적인 유형은 다음과 같습니다.
| 공격 유형 | 형질 |
|---|---|
| 표준 쿼리 | 공격자는 일반적인 DNS 쿼리를 보냅니다. |
| 모든 쿼리 | 공격자는 모든 레코드에 대해 DNS 쿼리를 보냅니다. |
| 존재하지 않는 쿼리 | 공격자는 존재하지 않는 도메인 이름에 대한 쿼리를 보냅니다. |
| EDNS0 쿼리 | 공격자는 응답 크기를 늘리기 위해 DNS용 확장 메커니즘(EDNS0)을 사용합니다. |
DNS 반사 공격 활용 방법 및 해결방안
DNS 반사 공격은 다음과 같은 다양한 방식으로 오용되었습니다.
-
서비스 중단: 공격자는 DNS 반사 공격을 사용하여 온라인 서비스를 중단시켜 비즈니스에 다운타임과 재정적 손실을 초래합니다.
-
소스 마스킹: 공격자는 소스 IP 주소를 스푸핑함으로써 공격 트래픽이 피해자의 IP에서 오는 것처럼 보이게 하여 사고 대응 시 혼란을 초래할 수 있습니다.
-
방어 조치 우회: DNS 반사 공격은 보안팀의 주의를 돌리는 우회 전술로 사용될 수 있으며, 동시에 다른 공격도 수행될 수 있습니다.
솔루션:
-
속도 제한: ISP(인터넷 서비스 공급자) 및 DNS 확인자 운영자는 속도 제한 정책을 구현하여 특정 IP 주소로 보내는 응답 수를 제한하여 증폭 요인을 줄일 수 있습니다.
-
소스 IP 검증: DNS 해석기는 소스 IP 검증을 구현하여 합법적인 요청자에게만 응답이 전송되도록 할 수 있습니다.
-
DNS 응답 크기 제한: 네트워크 관리자는 증폭을 방지하기 위해 응답 크기를 제한하도록 DNS 확인자를 구성할 수 있습니다.
-
개방형 해석기 필터링: ISP와 네트워크 관리자는 공개 DNS 확인자를 식별하고 필터링하여 공격에 오용되는 것을 방지할 수 있습니다.
주요 특징 및 비교
| 특성 | DNS 반사 공격 | DNS 증폭 공격 | DNS 플러딩 공격 |
|---|---|---|---|
| 공격방법 | 개방형 리졸버를 활용하여 트래픽 증폭 | 잘못 구성된 DNS 서버를 사용하여 트래픽 증폭 | 높은 요청률로 대상의 DNS 인프라를 압도 |
| 증폭 인자 | 높음(50-100x) | 높음(10-100x) | 낮은 |
| 실행의 어려움 | 비교적 쉬움 | 비교적 쉬움 | 더 많은 리소스 필요 |
| 추적성 | 추적이 더 어려워짐 | 추적이 더 어려워짐 | 추적이 더 어려워짐 |
관점과 미래 기술
인터넷이 계속 발전함에 따라 개방형 DNS 확인자의 고유한 취약점으로 인해 DNS 반사 공격이 지속될 수 있습니다. 그러나 DNSSEC(Domain Name System Security Extensions) 배포 및 보다 안전한 DNS 확인자 구성과 같은 네트워크 보안의 발전을 통해 이러한 공격의 영향을 크게 완화할 수 있습니다.
미래 기술은 개방형 확인자가 악용되는 것을 감지하고 방지하기 위해 DNS 확인자 수준에서 개선된 모니터링 및 필터링 메커니즘에 중점을 둘 수 있습니다. 또한 잘못된 구성을 사전에 해결하기 위한 ISP와 네트워크 관리자 간의 향상된 협업을 통해 DNS 반사 공격의 위험을 더욱 완화할 수 있습니다.
프록시 서버 및 DNS 반사 공격
프록시 서버가 개방형 DNS 확인자 역할을 하도록 잘못 구성되면 의도치 않게 DNS 반사 공격의 일부가 될 수 있습니다. 공격자는 이러한 잘못된 구성을 악용하여 공격 트래픽을 증폭시키고 이를 의도한 대상으로 보낼 수 있습니다. OneProxy와 같은 프록시 서버 제공업체는 서버가 이러한 공격에 사용되는 것을 방지하기 위해 엄격한 보안 조치를 구현해야 합니다.
관련된 링크들
DNS 반사 공격에 대한 자세한 내용은 다음 리소스를 참조하세요.
온라인 서비스의 무결성과 가용성을 보호하려면 사이버 위협에 대해 지속적으로 정보를 얻고 경계하는 것이 중요합니다.
