SYN 플러드 공격이란 무엇인가요?

SYN 플러드(TCP SYN 플러드라고도 함)는 서버에 대량의 SYN 요청을 보내 미완료 연결을 폭증시킴으로써 서버를 과부하시키는 서비스 거부(DoS) 또는 분산 서비스 거부(DDoS) 공격의 일종입니다.

SYN 플러드란 무엇인가요?

SYN 플러드는 반개방 공격이라고도 하며, 해당 승인 응답에는 응답하지 않은 채 서버에 연결 요청을 대량으로 보내는 네트워크 계층 공격입니다. 이로 인해 다수의 TCP 연결이 열린 상태로 유지되면서 서버 리소스를 소모하고 정상적인 트래픽을 사실상 밀어냅니다. 그 결과 새로운 정상 연결을 설정할 수 없게 되며, 이미 연결된 권한 있는 사용자의 경우에도 서버를 정상적으로 이용하기 어렵거나 불가능해집니다.

SYN 플러드 완화가 중요한 이유는 무엇인가요?

대외 공개 웹사이트를 운영하는 거의 모든 조직은 이러한 유형의 공격에 취약합니다. SYN 플러드를 신속하게 탐지하고 대응하지 않으면 서버가 순식간에 과부하되어 응답 속도가 크게 느려지고 다른 모든 연결이 차단될 수 있습니다. 이로 인해 서버가 사실상 오프라인 상태가 되면서 정상적인 사용자가 서비스를 이용하지 못하고 애플리케이션과 데이터에 액세스할 수 없게 되거나 전자상거래가 중단됩니다. 그 결과 비즈니스 연속성 상실, 핵심 인프라 중단, 매출 손실 또는 평판 훼손이 발생할 수 있습니다. 의료 업계와 같은 일부 조직의 경우 데이터에 대한 액세스 중단으로 인한 피해가 생명을 위협할 수도 있습니다.

F5 Labs 연구에 따르면 SYN 플러드는 매년 가장 흔히 발생하는 대규모 트래픽 기반 DoS 공격 유형 중 하나입니다. SYN 플러드는 랜섬웨어 공격, 데이터 탈취 시도, 멀웨어 설치 등 다른 유형의 공격과 함께 사용되거나 이러한 공격을 은폐하기 위한 연막으로 사용될 수 있습니다.

SYN 플러딩은 어떻게 작동하나요?

모든 클라이언트-서버 통신은 표준화된 3방향 핸드셰이크로 시작됩니다. 클라이언트가 SYN 패킷을 보내면 서버가 SYN-ACK으로 응답하고 TCP 연결이 설정됩니다. SYN 플러드 공격에서는 클라이언트가 감당할 수 없을 정도로 많은 SYN 요청을 보내고 서버의 SYN-ACK 메시지에는 의도적으로 응답하지 않습니다.

이로 인해 서버에는 클라이언트의 추가 통신을 기다리는 연결이 열린 상태로 남게 됩니다. 각 연결은 서버의 TCP 연결 테이블에서 추적되며, 결국 테이블이 가득 차 모든 소스의 추가 연결 시도가 차단됩니다. 그 결과 비즈니스 연속성과 데이터 접근성이 저하됩니다.

SYN 플러드 공격은 공격을 식별하고 완화하기 어렵게 만들기 위해 위조된 IP 주소로 접속하는 봇에 의해 자주 수행됩니다. 봇넷은 SYN 플러드 공격을 분산 서비스 거부(DDoS) 공격의 형태로 실행할 수 있습니다.

F5는 SYN 플러드 공격을 어떻게 완화하나요?

F5 DDoS 방어 솔루션은 네트워크를 겨냥한 공격으로 인해 서버 및 애플리케이션 계층이 마비되거나, 더 심각하게는 중단되어 고객이 이탈하는 상황을 방지하는 데 도움이 됩니다. F5 솔루션은 SYN 플러드 공격 발생 가능성을 감지하고, 정상적인 연결은 보호된 네트워크에 액세스할 수 있도록 허용하면서 연결 테이블을 보호하기 위한 방어 조치를 취할 수 있습니다. 이러한 방어 방식을 사용하면 공격자의 SYN 요청에 응답하므로 공격자는 공격이 효과가 있다고 생각하지만, 유효한 연결 요청에만 연결 테이블의 슬롯이 유지되기 때문에 연결 테이블이 최대 용량에 도달하지 않습니다.