DDoS

DDoS(디도스)는 수많은 기기를 동원해 한 서버에 요청을 한꺼번에 쏟아붓는 공격이에요. 그러면 진짜 손님이 들어오지 못해요. 작은 가게 입구에 가짜 손님 수천 명이 몰려와 문을 막아 버리는 장면을 떠올리면 돼요. 가게 물건을 훔치진 않지만, 그동안 장사는 멈춰요.

DoS와는 뭐가 달라요?

DDoS는 Distributed Denial of Service, 우리말로 "분산 서비스 거부"의 줄임말이에요. 서비스를 못 쓰게 만드는 공격(DoS) 앞에 "분산"이 붙은 거예요.

• DoS는 한 곳에서 대량의 요청을 보내 서버를 멈추게 해요.
• DDoS는 여러 곳의 기기가 함께 보내요. 흔히 봇넷을 써요.

봇넷에는 컴퓨터뿐 아니라 공유기, IP 카메라 같은 인터넷 기기도 섞여요. 출발지가 수천 곳으로 흩어져 있으니 주소 몇 개를 막는 것으로는 끝나지 않아요. 이게 DDoS가 까다로운 이유예요.

종류는 어떻게 나뉘나요?

미국 CISA·FBI 가 2024년에 낸 대응 가이드는 세 갈래로 나눠요. 가게 비유를 붙이면 이해가 쉬워요.

애플리케이션형은 요청 하나하나가 평범해 보여서 가려내기 어려워요. 검색이나 로그인처럼 서버가 힘을 많이 쓰는 기능이 표적이 되기 쉬워요.

당하면 어떤 증상이 있나요?

CISA 는 이런 증상을 꼽아요. 사이트가 눈에 띄게 느려지거나, 특정 사이트만 안 열리거나, 아예 어떤 사이트에도 접속이 안 되는 경우예요.

다만 같은 증상이 점검이나 평범한 장애에서도 나와요. 그래서 먼저 "평소와 얼마나 다른가"를 봐야 해요. CISA 는 공격이 다른 침입을 가리는 눈속임일 수도 있으니, 다른 시스템도 함께 살피라고 해요.

평소 값을 직접 재서 알아 두기

공격 흉내는 내지 않았어요. 대신 "평소에 얼마인지"를 재 두는 연습을 했어요. 2026년 10월 29일, 서울 사무실 PC에서 우리 사이트를 기준으로 쟀어요.

# ① 평소 응답 시간 — 5번 접속해 전체 시간 재기
curl -s -o NUL -w "%{time_total}\n" https://futureinfra.ai/
0.044 · 0.027 · 0.035 · 0.040 · 0.039 초   → 중간값 약 0.039초

# ② DNS 기록이 캐시에 머무는 시간(TTL)
$ns = (Resolve-DnsName futureinfra.ai -Type NS)[0].NameHost
Resolve-DnsName futureinfra.ai -Type A -Server $ns
futureinfra.ai  A  TTL 300

# ③ 이 PC의 연결 수 (서버라면 리눅스에서 ss -s 로 봐요)
(Get-NetTCPConnection -State Established).Count
437  → 얼마 뒤 다시 세니 334

세 숫자에 각각 쓸모가 있어요.

• 응답 시간이 평소 0.04초 안팎이라는 걸 알면, 어느 날 3초씩 걸릴 때 "이상하다"를 바로 알아챌 수 있어요.
• TTL 300은 다른 컴퓨터가 이 기록을 5분 동안 기억해 둔다는 뜻이에요. DNS 를 바꾸면 길어야 5분 뒤에는 새 정보를 받아 가요. 방어 서비스로 길을 돌릴 때 DNS 를 바꾸는 경우가 많아서 이 값이 중요해져요. TTL 이 하루라면 그만큼 늦게 퍼져요.
• 연결 수는 같은 PC에서도 437개, 334개로 오르내렸어요. 숫자 하나보다 평소의 폭을 알아 두는 게 쓸모 있어요.

어떻게 막나요?

• 망 단계에서는 회선을 가득 채우는 공격을 서버에 닿기 전에 걸러요. 통신사, CDN, 전문 방어 서비스처럼 큰 그물을 가진 곳이 맡아요.
• 서버 단계에서는 한 주소가 보낼 수 있는 요청 수를 제한하고, 자주 보는 페이지는 캐시로 가볍게 내보내요. 쓰지 않는 포트는 닫아요.
• 미리 준비도 해 둬요. 평소 값, 호스팅사·통신사 연락처, DNS TTL 을 정리해 두면 당일에 덜 헤매요.

작은 회사가 도움받을 곳은 있나요?

한국인터넷진흥원(KISA)이 DDoS 사이버대피소를 운영해요. 공격받는 웹사이트로 가는 트래픽을 대피소로 돌려 분석하고, 공격은 거르고 정상 접속만 원래 사이트로 보내요. KISA 는 이를 중소기업기본법상 중소기업을 위한 무료 지원 서비스로 안내해요.

적용은 보호할 웹사이트의 DNS 정보를 바꾸는 방식이에요. 미리 등록해 두면 서류 접수와 심사를 끝내 놓고 공격 때 바로 신청할 수 있어요. 등록하지 않았어도 공격 중 긴급 적용을 받을 수 있고, 서류는 나중에 내요. 방어가 끝나면 결과 보고서도 받아요.

자주 하는 오해

• "서버 방화벽이 막아 줘요." 회선이 먼저 꽉 차면 방화벽에 닿기도 전에 길이 막혀요. 방화벽과 WAF는 작은 규모나 웹 요청 단계에서 도움이 돼요.
• "큰 회사만 당해요." 작은 사이트는 오히려 막을 장비가 적어 더 쉽게 멈춰요. KISA 사이버대피소가 중소기업을 대상으로 하는 것도 그래서예요.
• "내 사이트에 시험 삼아 해 봐도 돼요." 남의 망을 거쳐 대량 데이터를 보내는 건 망 전체에 피해를 줘요. 정보통신망법 제48조 제3항은 대량의 신호·데이터로 망에 장애를 일으키는 행위를 금지해요. 부하 시험은 호스팅사 정책을 먼저 확인하고 내 서버 안에서 해요.

퓨쳐인프라에서는

퓨쳐인프라 가상서버의 기본 방화벽은 처음에 모든 포트가 닫혀 있어요. 웹이면 80·443만 열어서 공격받을 문을 줄일 수 있어요. 서버 한 대에 몰리지 않게 나눠 받고 싶으면 로드밸런서(월 25,000원)로 여러 서버를 묶을 수 있어요. 큰 규모의 공격에는 위의 KISA 사이버대피소처럼 망 단계 방어를 함께 알아 두세요.

자주 묻는 질문

DDoS인지 그냥 장애인지 어떻게 알아요?

평소 값과 비교해요. 접속 수나 트래픽이 갑자기 몇 배로 뛰고, 낯선 주소에서 같은 요청이 반복되면 공격일 가능성이 커요. 호스팅사에 먼저 물어보는 게 가장 빨라요.

공격받으면 어디에 연락하나요?

호스팅사나 통신사에 먼저 알리고, KISA 보호나라나 국번 없이 118 로 상담할 수 있어요. 중소기업이면 사이버대피소 긴급 적용도 문의해 보세요.

내 기기가 DDoS에 쓰일 수도 있나요?

네. 봇넷에 끌려가면 주인도 모르게 공격에 가담해요. 공유기·IP 카메라의 기본 비밀번호를 바꾸고, 펌웨어와 운영체제를 최신으로 두세요.

관련 용어

• 방화벽 · WAF · CDN · TTL
• 트래픽 · 대역폭 · 레이턴시 · 가용성