FIELD NOTE · E2 · 씨앤토트 · 2020.08 – 2023.02
새벽 3시의 DDoS, 사람 없이 막다
이미 쌓이던 로그로 탐지부터 차단까지 자동화
탐지 → 차단 자동화 · 사람 개입 0
- 문제
-
공격은 대응 인력이 가장 적은 야간과 주말에 집중됐습니다. 사람이 알림을 보고, 접속해서, 공격 IP를 찾아, 차단 규칙을 넣는 동안 서비스가 흔들렸습니다.
- 판단
-
인력을 늘리거나 새 솔루션을 사는 대신, 이미 쌓이고 있던 로그를 쓰기로 했습니다. Azure의 DDoS 방어 기능이 공격 출발지 정보가 담긴 로그를 이미 남기고 있었습니다.
- 실행
-
비정상적으로 많은 TCP SYN 패킷을 보내는 출발지를 공격 후보로 정의했습니다. 주기적으로 조회해 뽑은 IP를 PowerShell 스크립트가 NSG(방화벽 규칙 묶음)의 차단 규칙에 자동으로 추가합니다.
- 결과
-
탐지부터 차단까지 사람의 개입 없이 이어져 야간·주말 대응 지연을 없앴습니다. 새 솔루션이나 인력은 필요하지 않았습니다.
- 배운 점
-
새 도구를 들이기 전에 이미 쌓이고 있는 로그로 무엇을 할 수 있는지 먼저 봅니다. 당장 막는 것과 함께, 같은 상황이 다시 와도 버틸 구조를 만듭니다.