DDoS 방어에대한기업가이드 Arbor 백서
Arbor Networks 소개 Arbor Networks Inc. 는 NETSCOUT 의보안사업부문으로, 세계최대의기업및서비스공급자네트워크를 DDoS 공격및지능형위협으로부터보호하고있습니다. 인포네틱스리서치에따르면 Arbor 는기업, 이동통신사업자, 모바일시장에서 DDoS 방어에서는세계적으로선도하는기업입니다. Arbor 의지능형위협솔루션은패킷캡쳐및 NetFlow 기술의결합을통해완벽한네트워크가시성을제공하며악성코드와악의적인내부공격자의신속한탐지및완화를가능하게합니다. 또한 Arbor 는역동적인사건대응, 기록분석, 시각화및포렌식을위해시장을선도하는분석기능을제공합니다. Arbor 는네트워크및보안팀에전문가들을배치하여역량을배가시키기위해노력하고있습니다. Arbor 의목표는네트워크및보안상황에대해더욱풍부한자료를제공함으로써고객이더빨리문제를해결하고비즈니스위험을줄일수있도록하는것입니다. Arbor 제품및서비스에대한자세한내용은 arbornetworks.com 웹사이트를방문하시기바랍니다. 1
Arbor 백서 DDoS 방어에대한기업가이드 DDoS 상황, 들. DDoS(Distributed Denial of Service, ). 간단히말하면 DDoS 공격은이제공격유형이크기, 벡터및원하는결과에따라다른지능형위협동향의일부가되고있습니다. 많은보안제품은 DDoS 방어를제공한다고주장하지만효율성은어떻습니까? 이문서에서는 DDoS 공격문제를요약하고이러한위협으로부터네트워크를더효율적으로보호하기위해 DDoS 보호솔루션에필요한기능에대해설명합니다. 보안전문가로서지금어려운직무를수행하고있습니다. 아마도트리거, 프로필또는영향을이해하기어려운 ( 불가능하지않은경우 ) 끊임없이빠르게변화하는공격을처리하고있습니다. 이러한공격을성공적으로차단하지못한다면기밀정보가액세스되거나도난당할수있으며, 직원이나고객이중요한서비스를이용할수없으며, 수익이손실될수있으며, 회사브랜드가손상될수있습니다. DDoS 는얼마나일반적인가? Arbor 의 10 차연례전세계인프라보안보고서 (2015 년 1 월발행 ) 에따르면 3 분의 1 의응답자로부터수집된데이터에따르면가장빈번히관찰되는기업네트워크상위협은 DDoS 공격, 우발적인데이터손실및봇넷또는노출된호스트입니다. 모든공격의 65% 가대역폭잠식형입니다. 응답자의 90% 가애플리케이션계층공격을보고했습니다. 87% 가 HTTP 를대상으로하는애플리케이션계층공격을경험했습니다. 60% 가 HTTPS 및 DNS 에대한공격을경험했습니다. 42% 가다중벡터공격을보고했습니다. 42% 가매달 21 건이상의공격을보고했으며, 전년도대비 60% 가증가했습니다. 71% 가데이터센터에대한 DDoS 공격을관찰했습니다. 경험한가장심각한운영위협 Survey Respondents 70% 60% 50% 40% 30% 20% 10% 0% 64% DDoS Attacks Toward Customers 55% Infrastructure Outage (Partial or Complete) Due to Failures or Misconfiguration 46% DDoS Attacks Toward Infrastructure 44% DDoS Attacks on Services (DNS, Email) 44% Bandwidth Saturation (Streaming, Over-the-Top Services) 34% Botted/Compromised Hosts on Service Provider Network 6% Other Arbor Networks 전세계인프라보안보고서에따르면 DDoS 공격은 2014 년에심각한운영위협이었습니다. 출처 : Arbor Networks 10 차연례전세계인프라보안보고서 1
Arbor 백서 DDoS 방어에대한기업가이드 DDoS 공격의배후동기가진화했습니다. 이러한공격은더이상단순히단일공격자가세간의주목을끌기위해이름난사이트를중단시키려고시도하는것이아닙니다. 대신이러한공격중상당수가 " 핵티비스트 " 그룹에의해조직되어지정학적으로대상을삼거나경쟁적제거를목표로합니다. 대부분의보안전문가는보안문제가단일 " 획기적인 " 솔루션으로해결될수없음을알고있습니다. 하지만단일문제만처리하는복잡한기술또는변화하는보안요구에적응하지못하는제품은귀중한자원의낭비이며좌절감의원천이됩니다. 그러면 DDoS 공격으로부터기업을더잘보호하기위해필요한것은무엇입니까? Arbor 고객의피드백에따라보안, 더구체적으로서비스거부와관련하여다음 5 가지기업요구를정리했습니다. 어떤 DDoS 위협도처리하고싶지않습니다. 위협이도래하기전에서비스공급자가차단하기를원합니다. ISP 또는클라우드 DDoS 공급자의클린파이프서비스는 DDoS 공격을해결하는첫번째단계이며전체솔루션의일부여야합니다. 하지만클라우드기반스크러빙서비스에는해당특정가시성을제공하도록설계된사내망장치가없는한애플리케이션계층공격을감지할장비가없습니다. 이러한경우해당애플리케이션이 ' 낮고느린 ' 공격대상이되는기업은수동으로전화를통해모든주주들에게공격에대한논의가시작될수있을때까지서비스가중단되는고통을받을수있습니다. 상상할수있는것과같이공격은가장번잡한시간에발생합니다. 즉, 공격을당하고있는경우모든사람이다음단계를논의하고결정하기위해전화를받게될때까지추가적으로시간이걸립니다. 한개인이모든보안및라우팅결정권한을갖고공격중사용할수있는경우이수동프로세스가잘작동합니다. 이프로세스는 1 시간까지걸릴수있으며경우에따라더오래걸릴수있습니다. 실시간온 - 프래미스보호는애플리케이션계층 DDoS 공격을차단하기위해필요하지만경계기반보호는인터넷연결용량까지기존의대역폭잠식형 DDoS 공격만차단할수있습니다. 예를들어 10GE 네트워크에배포된경계솔루션은총트래픽이최대 10Gbps 인 DDoS 공격을차단하지만클라우드및클라우드기반솔루션은들어오는파이프의용량을초과하는공격을처리할수있습니다. DDoS 솔루션은대역폭잠식형공격에대한클라우드기반방어와애플리케이션계층 DDoS 공격에대한상시작동보호를통합해야합니다. 최근지능형및고도의대상지정 DDoS 공격은애플리케이션계층및대역폭잠식형공격을모두포함하고있습니다. 총트래픽이 50Gbps 이상인공격을클라우드기반방어는악성트래픽의 80% 이상을성공적으로차단했습니다. 하지만경계에서차단되어야하는 8Gbps 이상의공격트래픽이남아있습니다. 통합된클라우드기반및경계기반솔루션이있는기업은공격이최고조에이른경우에도온라인으로서비스를유지할수있었습니다. 끊임없는공격의압박에따라풀리지않는보안솔루션이필요합니다. 네트워크보안업계의숨기고싶은비밀은특정경계솔루션 ( 방화벽, IDS/IPS) 은실제로 DDoS 공격중오프라인으로될수있다는것입니다. 사실경계보안은 DDoS 공격의대상및네트워크장애의원천이될수있습니다. IPS 및방화벽과같은경계장치는기업의보안인프라기반구조에서고정위치를가집니다. 해당장치는알려진공격에대한방어및내부네트워크에대한액세스제어를제공합니다. 하지만방화벽및 IPS 장치는 " 상태기반 " 으로해당장치는합법적이며공격트래픽이아님을결정하기위해네트워크의특정속성을계속추적합니다. 세션상태를유지하는기능은이러한제품을중요하게만드는핵심기능입니다. 하지만 DDoS 공격중오프라인으로되는것이해당기능의취약점이기도합니다. 예를들어일부 DDoS 공격은 100Mbps 이하의잘못된 TCP 패킷을전송하여고성능 10GE 방화벽에장애를야기하는것으로알려져있습니다. 경계장치에장애가발생하면기업은동작을중지하고장애발생시특정요소를차단하거나적절한보안없이장애발생시특정요소를허용하는어려운결정에직면하게됩니다. 허용하는경우민감한시스템이노출되고중요데이터 가손실되는위험이발생합니다. DDoS 공격에대해효과적으로대응하기위해조직은그에맞게설계된솔루션이필요합니다. 방화벽및 IPS 장치는몇가지 DDoS 기능을제공할수있지만실행가능한솔루션이아닙니다. 2
" 의심의여지없이 DDoS 방어시장에대한가장큰동인은 공격그자체입니다. 공격생성및해당위협을배포하는창의성의혁신속도가낮아지는표시가없으므로보호솔루션도지속적으로진화해야합니다." 인포네틱스리서치, 2015 년 6 월 < 최신보안공격삽입 > 에대한해결이필요하며지금필요합니다! 기업네트워크에대한공격은지속적으로변경되고있습니다. 경우에따라해당공격은목표로하는조직에대해특별히설계된혼합된다른공격의형태입니다. 이러한공격의범위는첫번째라인경계방어를수행하도록설계된 DDoS 공격 ( 이전에서술함 ) 에서봇넷을구성하기위해호스트를모으도록설계된소셜엔지니어링스팸이메일까지일수있습니다. DDoS 공격은새인프라, 새보호및새데이터소스를이용하도록진화된다양한기술및방법으로진행됩니다. 비즈니스에는광범위한보호를제공하며최신공격에따라갈수있는솔루션이필요합니다. 애플리케이션들을이해하고어떻게운용할지에대한해답을찾을수있는지능형 DDoS 솔루션이필요합니다. 네트워크보안솔루션은네트워크를보호하도록설계되었습니다. 하지만, 애플리케이션이조직과조직의구성원사이의직면한문제라면, 애플리케이션동작을이해하는것은효과적인네트워크보안을위해필수적입니다. 지능형애플리케이션인식이없는네트워크보안도구는서비스가용성또는동작에더방해될수있습니다. 조직에는가용성위협공격으로부터애플리케이션을보호하기위해특별히설계된솔루션이필요합니다. 이러한기존의보안및네트워크도구에는몇가지 " 체크더박스 " 기능이있지만소수의 IPS 시그니처로 DDoS 를해결할수없습니다. DDoS 의특성상네트워크를확장할수있으며자체적으로 DDoS 위협을견딜수있는솔루션이필요합니다. 이러한이유로기업보안팀에서는전용 DDoS 보호어플라이언스를구축하고있습니다. 여러요소는기존의네트워크보안도구에서 DDoS 보호제품을구분합니다. DDoS 위협으로부터방어솔루션을선택할때 DDoS 방어를포함하는네트워크보안툴에서실제 DDoS 솔루션을구분하는다음중요한기능들을고려하십시오. 비즈니스운영에방해되는경우회사는보안솔루션구매를승인하지않습니다. 보안, 기업통제의모든형태와마찬가지로, 흥미로운역설입니다. 악성활동을차단함으로써보안솔루션은일부합법적인작업도차단할수있습니다. 일부조직에서는네트워크가방해받지않고실행되거나직원이작업을수행하는데필요한모든도구를다운로드할수있는경우기꺼이이위험을수용합니다. 경계는어디까지입니까? 조직에는비극적인데이터손실이나가동중단의위험이제한된 / 덜한보안제품을필요로하지만, 이러한보안솔루션또한비즈니스운영에따라조정되고, 지원되어야합니다. 3
DDoS 에대한보안벤더를비교하는방법 영향으로. " " 분.. DDoS 솔루션 하나의.. DDoS 합니다. 상태비보존형검사 방화벽이나 IPS 같은인라인경계장치는상태형검사를사용하여데이터의무결성이나기밀성을위협하는공격을차단합니다. 상태형검사가특정위협을식별하는데유용하지만해당검사를통해장치가공격과가동중단에노출됩니다. DDoS 공격은상태형검사를사용하는보안장치를이용하고해당 " 상태 " 를무력화하여쓸모없는상태로만듭니다. 그런다음공격자가첫번째방어라인을오프라인으로만들고해당프로세스에서네트워크기능을저해합니다. 애플리케이션계층공격에대한자동보호 네트워크의애플리케이션계층에는종종회사가고객과통신하는데사용하는주요인터페이스인웹서버가포함되어있습니다. 소매점, 금융기관또는온라인기업의경우이는수익의원천이기도합니다. 불행히도애플리케이션계층은조직화된공격자에게점점인기있는대상이되고있습니다. 이러한공격들은클라우드기반 DDoS 서비스의감시망의피할수있으며, 공격을위해과도한대역폭 10, 50 또는 100Gbps 의공격자원이필요하지않은이유입니다. 간단히말해전용 DDoS 솔루션이준 되어있지않으면단일해커가적은봇넷을가지고도높은성공률로이러한공격을감행할수있습니다. 클라우드스크러빙센터와공조하여상시방어 DDoS 공격은일반적으로일회성이벤트가아닙니다. 종종범위가모든서비스에영향을미치도록설계된볼륨기반공격에서경계애플리케이션에영향을미치도록설계된체계적저용량공격까지이르는다양한공격을통칭합니다. 이상적인 DDoS 방어솔루션은대상지정공격을식별하고차단하기위한사내망 DDoS 방어를제공할뿐만아니라조직이업스트림공급자와공조하기위한방법도포함해야합니다. 클라우드서비스는대용량공격을탐지하기위해설계되었으며작고느린애플리케이션계층공격을감지할수없습니다. 조직과공급자간의공조로인해중요한비즈니스애플리케이션을사용할수없게될수도있습니다. 하지만서비스중단을용납할수없는기업은대역폭잠식형공격을빠르게우회처리할수있는클라우드시그널링기능이필요합니다. 또한, 대형대역폭잠식형공격이발생한경우경계장치에서는클라우드 DDoS 방어공급자의개입을진행하는동안어느정도공격차단 / 완화를제공해야합니다. 웹크롤러의지능형식별 검색마케팅의지능형기술은보안전문가에게추가적인도전과제를안겨줬습니다. 주요검색엔진벤더는사용자지정웹크롤러를사용하여검색중이러한기업사이트를평가하거나배치하는데사용된정보나용어를위해기업웹사이트를탐색합니다. 하지만이러한웹크롤러의상당수가봇으로보이며봇과같이동작하여기존의보안제품에서일부혼란및가능한허위공격을야기합니다. 회사웹페이지가검색순위에서낮아지지않도록하기위해 DDoS 보호솔루션은합법적인검색엔진웹크롤러를쉽게식별하고정책상사이트에대한액세스를차단하지않도록할수있어야합니다. 4
패킷캡처및사용자지정정책생성 DDoS 는다양한형상을가집니다. 여러유형과크기로나타나며 익명의최근공격에서 DDoS 는특정네트워크를대상으로 수있습니다. 이러한경우사용자지정공격정책을만드는방법을알아낼시간이없습니다. 즉시공격을차단해야합니다. DDoS 보호가단순히네트워크보안제품의 기능인경우 이유형의방어는종종제품에추 가된 라기능이투박할수있고직관적이아닐수있습니다. 실제 DDoS 보호솔루션은악성패킷을쉽게식별하고캡처한다음즉시해당정보를사용하여네트워크를보호할사용자지정공격정책을만들고배포할수있습니다. 봇탐지및완화 경계에서중요하게되도록하려면보안장치는봇활동을감지할뿐만아니라봇이면의역학을이해해야합니다. 대부분의보안장치는봇활동을감지할수있지만봇동작방법을이해하기위한장치가없습니다. 따라서해당장치는비즈니스운영을의도치않게방해할수있는 " 블랭킷 " 보호를제공합니다. 봇동작이명령및제어를처리하는사람에따라변경될수있으므로최신보안공격및봇정보를최신상태로유지하는것이중요합니다. 실제 DDoS 보호솔루션은최신봇넷에서트래픽을감지하고차단하도록지속적으로업데이트되어야합니다. 비대칭트래픽 대부분의기업데이터센터는최소한 2 개의 ISP 에의존하고있습니다. 이러한사항및기타이중화에따라네트워크가장자리에배포된보안어플라이언스는단일연결의인바운드및아웃바운드트래픽을모두확인하는것을보장하지않습니다. 이러한이유로 DDoS 솔루션은비대칭네트워크를지원하여이러한환경에서공격을차단하는데효과적이어야합니다. CDN 및프록시인식 악성트래픽이식별되면악성패킷을단순히드랍하거나공격자의 IP 주소에서모든트래픽을일시적으로차단하여 DDoS 공격을빠른속도로차단할수있습니다. 하지만 CDN 또는프록시를통한네트워크를공격대상으로하는경우공격자의실제 IP 주소가숨겨질수있습니다. DDoS 솔루션이 CDN 의 IP 주소를블랙리스트에올리면 " 방어 " 는공격을증폭시키고모든합법적인트래픽을오프라인으로만듭니다. 이러한이유로 DDoS 솔루션은먼저프록시와 CDN 을인식한다음합법적인트래픽에영향을주지않고필요한방어 ( 및가시성 ) 를제공해야합니다. Arbor Networks 전세계인프라보안보고서에따르면응답자의절반이상이 DDoS 공격으로인한인터넷연결정체 / 혼잡이회사네트워크에서경험한가장일반적으로관측되는위협이라고보고했습니다. 내부네트워크 Internal 보안 Network 위협 Security Threats Survey Respondents 60% 50% 40% 30% 20% 10% 0% 출처 : Arbor Source: Networks Arbor Networks, 10차연례 Inc. 전세계인프라보안보고서 55% Internet connectivity congestion due to DDoS attack 28% Botted or otherwise compromised hosts on your corporate network 28% Internet connectivity congestion due to genuine traffic growth/spike 26% Accidental major service outage 21% None of the above 13% Accidental data loss 10% Advanced Persistent Threat (APT) on corporate network 8% Malicious insider 7% Exposure of sensitive, but non-regulated data 6% Theft 5% Exposure of regulated data 5% Web defacement 4% Industrial espionage or data exfiltration 2% Other 5
Arbor 차이점 Arbor Networks APS DDoS. APS Cloud Signaling,. APS. Arbor 가용성보호시스템을통해네트워크를안전하게유지 APS 의토대는상태비보존형분석필터링엔진입니다. 이름에서알수있듯이필터링엔진은세션상태를추적하지않고대부분의 DDoS 공격을탐지해서완화시켜줍니다. 추적이요구되는경우필터링엔진은짧은시간동안최소한의정보만저장합니다. 따라서 APS 는다른제품을저해하고가용성을위협하는낮은대역폭잠식공격을견딜수있습니다. 또한, APS 는상태형검사의처리오버해드가없으므로더완화하거나분석할수있습니다. 상태비보존형분석필터링엔진은 APS 가비대칭트래픽식별을통해증가된가시성및향상된포렌식기능을가능하게합니다. 이필수패킷엔진은공격을나타내는패턴이나공격시그니처를감지합니다. 이러한정보를토대로 APS 는더좋은방어를위한정책을만들거나수정하기가쉽습니다. 글로벌위협인텔리전스의 DDoS 방어박차 보안위협은네트워크에더잘침투하도록빠른속도로변경될수있습니다. 보안전문가로서귀하의직업은전세계에존재하는모든공격이나위협에대한전문가가되는것이아니라비즈니스의무결성을보호하는것입니다. Arbor 고객은 Arbor 의 ASERT 에의존합니다. 이팀은공격분석, 보안연구및역설계의전문가로구성된전담보안연구그룹입니다. ASERT 는공격데이터를수집하기위해 Arbor 의 Active Threat Level Analysis System(ATLAS, 능동적위협수준분석시스템 ), 거의 330+ ISP 에배포된글로벌데이터네트워크및많은 Tier 1 서비스사업자에전략적으로배치한네트워크센서를능동적으로관리합니다. ASERT 는오늘날인터넷 DDoS 공격의대부분을차지하는봇넷을비롯하여광범위한보안위협에대한분석을제공합니다. ASERT 는매일 25,000 개이상의봇넷샘플을수집합니다. 새봇넷또는다른 DDoS 공격이발견되면 ASERT 는 ATLAS 인텔리전스피드를통해 APS 로배포되는대응책을만듭니다. 이피드는정기적으로업데이트되며 DDoS 에대해정확하고효과적인방어를제공하며비즈니스애플리케이션의중요한가용성을유지합니다. 오늘날지능형위협을차단하는위협업데이트 ATLAS 는전세계에서실시간으로발생하는실제공격활동을수집합니다. 이데이터에는공격이발생한장소및공격양태와같은상세정보가포함되어있습니다. ASERT 팀은이정보를사용하여맬웨어, 봇넷및 DDoS 공격과같은광범위한공격위협으로부터기업을보호하는공격대응책과봇넷프로파일을만듭니다. 비즈니스중요트래픽의대다수가매체로인터넷을사용하므로합법적인트래픽이차단되지않도록하기위해정확도가중요합니다. ATLAS 에서실제공격데이터를사용하여 ATLAS 인텔리전스피드봇넷보호및정책을만들기때문에이러한대응책이업계에서가장정확합니다. 또한 ATLAS 인텔리전스피드에는검색엔진웹크롤러의 " 화이트리스트 " 도포함되어있으므로봇으로분류되지않습니다. 이수준의정확도는보안을향상할뿐만아니라조직이검색결과에서중요한순위를잃지않도록합니다. 6
Cloud Signaling 은경계 / 인입에서클라우드까지계층적보안제공 DDoS 공격기술이발전하고이에대한이면에감춰진동기가진보함에따라데이터센터운영자는네트워크보호를향상하는새로운방법을찾아야합니다. APS 는조직에가용성공격에대한온 - 프래미스, 상시작동보호를제공합니다. 하지만이러한조직은클라우드시그널링연합을통한지정된클라우드스크러빙센터와함께방어를강화할수있습니다. 클라우드시그널링으로, 공격을당하고있는기업은업스트림보호를위해해당공격의중요한상세정보를패키지로만들어해당서비스또는클라우드공급자에전송할수있습니다. 비즈니스에초점을둔 DDoS 방어 DDoS 에대해효과적인방어를제공하는것에부가하여, APS 는실시간으로자세한공격보고서도제공하고, 상위관리자에게어플라이언스에서수행한작업을이해하기쉽게보고할수있도록합니다. 감사로그에이러한작업을기록하는것외에도, APS 는차단된호스트, 공격이시작된국가및과거추세등이상세히기술된포렌식보고서를제공합니다. 규정준수를위해또는서비스가용성에대한위협과이에대한대처단계에대한관리를교육하기위해이러한이해하기쉬운보고서를사용할수있습니다. Arbor 는서비스공급자에게 DDoS 공격에대한경고를보내는프로세스를기업조직이구축할수있도록하는유일한보안벤더입니다. 업스트림공급자와공격정보를공유하기위해프로세스를실행하면, 공격트래픽이조직의네트워크경계에도달하기전에공격을차단하는지능형계층적대응을만들수있 습니다. 결론 DDoS. DDoS. Arbor Networks 는 15 년이상 DDoS 방어를전문으로하고있습니다. 당사의전문연구팀은이유형의공격방법에대한뛰어난관점을보유하고있으며, 이데이터를네트워크에대한실제 DDoS 보호에통합, 사용하고있습니다. 자세한내용은 www.arbornetworks.com 에서확인하십시오. 7
8
9
본사 76 Blanchard Road Burlington, MA 01803 USA 무료전화 ( 미국 ) +1 866 212 7267 전화 +1 781 362 4300 북미영업소 무료전화 +1 855 773 9200 유럽 전화 +44 207 127 8147 아시아태평양 전화 +65 68096226 www.arbornetworks.com 2015 Arbor Networks, Inc. All rights reserved. Arbor Networks, Arbor Networks Logo, Peakflow, ArbOS, Pravail, Cloud Signaling, Arbor Cloud, ATLAS, We see things others can t. 및 Arbor Networks. Smart. Available. Secure 는 Arbor Networks, Inc. 의상표입니다. 다른모든브랜드이름은해당소유주의상표일수있습니다. WP/PROTECTENT/EN/0915-LETTER