L7 DDoS 공격으로부터 Microsoft 앱 보호

Jay Kelley제품 마케팅 수석 매니저 | F5

최근 많은 분이 조직 차원에서뿐만 아니라 개인적으로도 일상생활이나 업무에 매일 사용하는 일부 핵심 애플리케이션에 접속하는 데 어려움을 겪었습니다. 6월 초 며칠에 걸쳐 차례로 많은 사용자가 Microsoft Outlook.com 웹 포털에 접속하는 데 문제를 겪었고, 이어서 OneDrive, 마지막으로 Microsoft Azure Portal에서도 접속 문제가 발생했습니다.

일각에서는 주요 Microsoft 애플리케이션에 접속할 수 없었던 원인이 잘못된 구성 때문일 수 있다고 추측했습니다. 다른 이들은 사이버 공격이었을 가능성을 제기했습니다. Microsoft는 핵심 애플리케이션으로 유입되는 트래픽 증가를 관리하고 분산했다고 밝혔습니다.

이후 6월 16일 금요일, Microsoft 보안 대응 센터(MSRC)가 게시한 블로그 글인 계층 7 분산 서비스 거부(DDoS) 공격에 대한 Microsoft의 대응에서는 6월 7일에 시작되어 6월 9일까지 이어진 Microsoft 애플리케이션 장애의 근본 원인을 설명했습니다.

해당 블로그는 Microsoft가 레이어 7(L7) DDoS 공격을 받아 일시적으로 해당 서비스에 액세스할 수 없었다고 확인했으며, 다른 매체에서는 해당 서비스를 Outlook.com, OneDrive 및 Microsoft Azure Portal로 지목했습니다.

해당 블로그 게시물에 따르면 Microsoft는 “일부 서비스를 대상으로 트래픽이 급증해 일시적으로 서비스 가용성에 영향을 미친 사실을 확인했다”고 밝혔습니다. 또한 Microsoft가 “즉시 조사에 착수하고 지속적인 DDoS 활동을 추적하기 시작했다”고 언급했습니다. MSRC 블로그는 이번 공격이 Microsoft가 추적 중이며 Anonymous Sudan으로도 알려진 Storm-1359라는 위협 행위자에 의해 자행되었다고 설명했습니다. 또한 고객 데이터가 무단으로 열람되거나 침해되었다는 증거는 발견되지 않았다고 강조했습니다. 이 DDoS 공격은 서비스를 방해하고 공격자인 Storm-1359, 즉 Anonymous Sudan에 대한 관심을 끌어 이들을 홍보하려는 목적이었습니다.

많은 DDoS 공격이 OSI(개방형 시스템 상호 연결) 모델의 계층 3(네트워크 계층) 또는 계층 4(전송 계층)를 표적으로 삼는 반면, L7(애플리케이션 계층) DDoS 공격은 완전히 다른 유형의 공격입니다. L7 DDoS 공격은 복잡하고 은밀하며 정상적인 웹 애플리케이션 트래픽과 구별하기 어려운 경향이 있어 L3 또는 L4 DDoS 공격보다 탐지하기가 훨씬 어렵습니다. 이러한 공격은 애플리케이션 서버의 특정 구성 요소를 표적으로 삼아 과부하가 걸리고 어떠한 트래픽에도 응답할 수 없게 될 때까지 요청을 쏟아붓습니다. 또한 공격 방식이 수시로, 때로는 무작위로 바뀌는 등 계속해서 변형됩니다.

Microsoft에 따르면, 자사 서비스를 겨냥한 L7 DDoS 공격에는 “봇넷과 도구 모음”이 활용되었으며, 공격자들은 가상 사설 서버, 클라우드 환경, 오픈 프록시, 구매하거나 확보한 DDoS 도구를 이용해 여러 클라우드 서비스와 “오픈 프록시 인프라”에서 공격을 감행할 수 있었습니다.

Storm-1359(일명 Anonymous Sudan)은 Microsoft를 상대로 세 가지 유형의 L7 DDoS 공격을 감행했습니다:

• HTTP(S) 플러드 공격은 여러 지역과 원본 IP 주소에 걸쳐 다양한 디바이스에서 전송되는 SSL/TLS 핸드셰이크 및 HTTP(S) 요청을 비롯한 대량의 요청이 CPU와 메모리 같은 시스템 리소스에 과부하를 일으켜 애플리케이션 서버가 요청 처리를 중단하게 만드는 공격입니다.
• 캐시 우회 공격은 공격자가 생성하고 배포한 URL로 요청을 보내 애플리케이션이 모든 요청을 오리진 서버로 전달하도록 함으로써 콘텐츠 전송 네트워크(CDN)를 우회합니다.
• Slowloris는 단일 시스템을 사용하여 웹 서버 연결을 시작하고, 리소스 요청에 대한 수신 확인을 하지 않거나 요청 수락을 지연시켜 연결이 계속 열린 상태로 유지되도록 합니다.

Microsoft는 해당 블로그 게시물에서 DDoS 공격으로부터 고객을 더욱 효과적으로 보호하기 위해 “Azure WAF(웹 애플리케이션 방화벽) 조정을 포함한 7계층 보호 기능을 강화했다”고 밝혔습니다.

Microsoft는 이어서 L7(애플리케이션 계층) DDoS 공격으로부터 고객을 더욱 안전하게 보호하기 위해 다음과 같은 몇 가지 권장 사항을 제시했습니다:

• 웹 앱을 보호하기 위해 Azure WAF 또는 기타 L7 서비스 사용
• 악성 봇을 방어하기 위해 Azure WAF 또는 다른 서비스의 봇 보호 기능 사용
• 악성 IP 주소 및 범위를 식별하고 차단
• 정의된 지리적 영역 외부 또는 식별된 영역 내에서 유입되는 트래픽을 차단하거나, 속도 제한을 설정하거나, 리디렉션합니다.
• 알려진 공격 시그니처를 활용하여 악성 HTTP(S) 트래픽을 자동으로 차단하거나 속도를 제한하는 사용자 지정 WAF 정책 생성

F5 웹 앱 및 API 보안(WAAP)은 이미 많은 Microsoft 사용자와 고객이 복잡하고 탐지하기 어려운 L7 DDoS 공격으로부터 웹 애플리케이션을 보호할 수 있도록 지원하고 있습니다. F5 WAAP은 호평받는 탐지 및 모니터링 기능을 갖춘 F5 WAF 엔진을 기반으로 하므로 익숙하게 사용할 수 있습니다. F5 WAAP은 필요한 모든 제공 모델(하드웨어, SaaS, Microsoft Azure의 가상 에디션 소프트웨어)과 조합으로 이용할 수 있으며, 앱이 호스팅되는 어디에나 배포하여 상호 연동함으로써 L7 DDoS 공격을 포괄적으로 방어할 수 있습니다.

수상 경력에 빛나는 F5 Distributed Cloud Bot Defense도 이용할 수 있습니다. F5의 SaaS 기반 봇 완화 및 방어 솔루션으로, 세계 최대 규모의 은행, 소매업체 및 항공사를 보호합니다. Distributed Cloud Bot Defense는 자동화 활동을 식별하는 탁월한 디바이스 및 행동 신호 분석을 기반으로 악성 봇을 차단합니다.

F5 WAAP 및 DDoS 보호 솔루션과 봇 방어에 대한 자세한 내용:

• F5가 제공하는 다음 옵션에 대해 자세히 알아보세요: DDoS 공격 방어
• 자세히 알아보기: F5 웹 애플리케이션 및 API 보호
• 다음에 관한 블로그 게시물: L7 DDoS 공격을 막아낸 F5 Distributed Cloud Services
• 구매 및 배포: BIG-IP Advanced WAF, Distributed Cloud WAAP, NGINX App Protect — Azure Marketplace
• 무료 평가판을 신청하세요: BIG-IP Advanced WAF, Distributed Cloud, 또는 NGINX App Protect
• 실제로 작동하는 Distributed Cloud WAAP, Distributed Cloud Bot Defense, NGINX App Protect의 모습을 확인하세요
• Find out how NGINX App Protect DoS가 애플리케이션 수준의 DoS 공격을 차단하는 방법 알아보기
• 지금이 봇 대응책을 재평가해야 할 때인 이유 알아보기

작성자 소개

Jay Kelley제품 마케팅 수석 매니저 | F5

Jay Kelley의 다른 블로그 게시물