DoS/DDos 공격 종류 및 작동 방식

DoS

대상이 수용할 수 있는 이상의 데이터 전송을 통해 해당 대상이 제 기능을 못하도록 하는 공격

 

 

DoS 공격의 3가지 형식

 

물리적 파괴 공격

-디스크, 데이터, 시스템 파괴

 

시스템 자원 고갈 공격

-CPU,메모리,디스크의 자원 고갈

 

네트워크 자원 고갈 공격

-네트워크의 대역폭 고갈

 

 

DoS 공격의 종류 및 방법

 

Ping of Death

-ping을 이용해 ICMP패킷을 보내는데 고의적으로 패킷을 최대한 길게(65535Byte)보낸다. 이때 패킷이 네트워크를 통해 라우팅되어 공격 네트워크에 도달하는 동안 네트워크 특성상 패킷이 잘게 나누어지고, 그 잘게 나누어진 패킷들을 수신측에서 재집합하는 과정에서 Buffer overflow가 발생하고 공격 네트워크에선 예측불가의 반응을 보인다

 

SYN Flooding

-TCP/IP 프로토콜 통신의 3way handshaking 을 악용한 방법으로, 클라이언트에서 서버와의 연결을 위해 SYN 패킷을 보내면, 서버에선 사용자를 받기위해 공간을 할당해두고 SYN/ ACK 패킷을 클라이언트에게 보내게되는데 여기서 클라이언트에서 ACK 패킷을 보내지않고 SYN 패킷만을 보내며 서버의 과부하를 유도한다

 

Land Attack

-패킷의 Source IP Address와 Destination IP Address를 동일하게 설정해서 공격 대상에게 보낸다. 출발지와 목적지 IP가 같은 패킷을 받은 공격 대상은 내부에서 SYN패킷이 계속 Loop하여 자원 고갈로 인한 서비스 장애가 발생한다

 

Smurf

-ICMP 패킷의 Request/Reply를 악용한 방법으로 Smurfing주소를 출발지 주소로 설정해 ICMP Request 패킷을 네트워크상에 BroadCast 하여 출발지 주소로 설정당한 공격 대상은 해당 네트워크상 모든 호스트들로부터 ICMP Reply 패킷을 받게되고 그 결과, 시스템 과부하 상태가 된다

 

Boink, Bonk, Teardrop

-TCP 패킷 내에는 각 패킷이 어느 부분을 포함하는지 구분하기위한 Sequence 넘버가 부여되는데 시스템의 패킷 재전송과 재조합에 과부하가 걸리도록 Sequence 넘버를 속이는 공격

 

 

DDoS

 

-DoS의 업그레이드 형태로 인터넷 상 다수의 시스템이 공격을 시도함으로 피해가 상당히 심각할뿐더러, 공격자의 위치와 구체적인 발원지를 파악하는 일이 어려워 대응이 어려움

 

-공격자가 명령을 내리면 여러 시스템에서 또 다른 여러 시스템에게 명령을 내리는(마치 점조직 형태) 공격자가 누군지 파악하기 힘든 악랄한 공격이다

 

구분	정의
Attacker	공격을 주도하는 해커의 컴퓨터
Master	공격자의 직접 명령을 받는 시스템으로 여러 대의 Agent를 관리
Handler	마스터 시스템의 역할을 수행하는 프로그램
Agent	공격 대상에 직접 공격을 가하는 시스템
Daemon	Agent 시스템 역할을 수행하는 프로그램

 

 

DDoS 공격 순서

 

1. 계정을 불법으로 획득하여 Sniffing 이나 Berffer Overflow 등의 공격으로 설치 권한이나 루트 권한을 획득

 

2. 공격 대상을 파악하기위해 네트워크 블록별로 스캐닝을 실시하고 취약한 서버를 파악

 

3. 취약한 시스템 목록을 확인한 후 실제 공격을 위한 Exploit을 작성(반복 작업을 핗기 위해 작성한 자동화 된 Script, Program을 Exploit이라 함)

 

4. 권한을 획득한 시스템에 침투하여 Exploit을 컴파일하여설치

 

5. 설치한 Exploit으로 공격 시작

 

 

DDoS 공격 대응책

 

1. 침입 차단 시스템의 설치와 운영

• IDS를 통한 능동적 대응 및 새로운 패턴 인식을 위해 지속적인 업그레이드 및 관리 필요
• 탐지된 공격의 출발지 주소에 대한 방화벽이나 라우터에서 영구적인 접근 금지 설정 필요

 

2. 시스템 패치

• 패치의 적극적인 적용
• 단, 사전에 확실하게 검증을 거치고 진행해야 함. 사전에 백업 필수

 

3. 스캐닝

• 시스템 분석을 통해 사전 통제 필요

 

4. 서비스별 대역폭 제한

• 특정 서비스 공격이 있더라도 나머지 서비스에 영향을 최소화할 수 있도록 대역폭 제한 설정