좋은진호의 여유만만 - DDoS공격 언론보도와 찾아본 사례들

« 2008/11 »
일	월	화	수	목	금	토
						1
2	3	4	5	6	7	8
9	10	11	12	13	14	15
16	17	18	19	20	21	22
23	24	25	26	27	28	29
30

2007/02/08 11:52

DDoS공격이 1월말부터 증가했고, J 모 채팅 사이트가 며칠째 서비스를 못한다는 얘기를 들었습니다.
작년부터 DDoS공격이 있었지만 최근에 공격이 보다 증가하고, 강도도 높아진걸로 보입니다.
이는 언론에서도 얘기하듯이
1) 기존의 돈요구 목적 외에
2) 31일에 중국에서 있었던 동계아시안게임때 우리팀 선수의 백두산 세리머니로 인해 중국해커들의 공격이 있는 걸로도 추측해볼 수 있을 것 같습니다.

최근 DDoS 공격에 대한 얘기들이 많이 나오고는 있지만 중국발 웹해킹(특히 윈도)에 대한 것도 빼놓을 수가 없겠죠. 커피닉스에 몇몇 웹해킹 관련 정보를 적어둔게 있으니 검 색해보시면 될겁니다. 이전에 적어둔 웹해킹 사례외에도 몇몇 사이트를 알고 있지만 친분상 알게된 정보라 따로 얘기하지 않겠습니다.

블로그, 신문기사와 호스팅사이트를 토대로 DDoS 공격을 당한 경우를 정리했습니다. 이외에 누구나 아는 대형 사이트 몇개가 있지만, 해당 업체관계자에게 직접 들은 정보가 아니어서 말씀드리지 않겠습니다. (몇 단계를 거치다 보면 정확하지 않은 정보가 전달되는 경우가 있으니깐요. ^^*)

1. 티스토리 서비스 장애관련 (2007.1.29 오전~)

http://notice.tistory.com/736

1월 29일 오전 10시경 부터 약 한시간여 동안 티스토리 서비스의 접속이 원할하지 못하였습니다. 외부의 서비스 방해 공격에 의해 네트웍에 과부하가 걸린 상태에서 일부 네트웍 장비가 장애를 일으켜 결과적으로 티스토리에 접속이 어려운 상태가 되었습니다. 티스토리 서버들은 정상적으로 운영되고 있었으며, 문제가 된 네트웍 장비에 대해 원인을 파악하여 해결하고 보안성을 강화하였습니다.

한시간여 동안이라고 쓰여있지만 실제로는 그 이상이였죠. 티스토리 장애건 워낙 많은 블로거들이 써서 따로 적지 않겠습니다.

2. 닷네임코리아 (2007.1.29)

http://www.dotname.co.kr/server_error2.html

http://blog.naver.com/anlichol?Redirect=Log&logNo=150014189101 (2007.2.5, 양선생님)
http://s2day.tistory.com/293 (2007.2.5, S2day님)

withpartner.co.kr 이라는 사이트가 공격을 당했다고 하는데, 이 사이트가 닷네임코리아에 할당된 IP입니다.
그래서 닷네임코리아의 일부 IP대역이 서비스가 안되었을 걸로 추측합니다. 아래는 with... IP를 whois한 결과입니다.

IPv4 주소    : 211.39.253.0-211.39.254.255
네트워크 이름    : DOTNAMEKOREA
연결 ISP명 : DREAMX
할당내역 등록일    : 20060315
할당정보공개여부 : Y

참고 : 중국발 해킹(DDoS) 최종 종착역은? (2007.2.5. withpartner.tistory.com )

3. 기타 사이트의 공지사항

http://www.mireene.com/bb.php?mode=read&no=150&page=1&bid=notice (2007.1)
http://ipix.esocom.com/dboard/main.php?url=./board_view&bseq=1&subseq=4&no=210 (2006.12)
http://www.happyjung.com/gnuboard/bbs/board.php?bo_table=notice&wr_id=236 (2006.12)

위의 내용은 IDC내의 다른

사이트가 공격을 당해 호스팅업체까지 영향을 받은것인지는 공지사항을 읽어보시고 판단을 하세요.

4. 언론 보도

- "해킹 안당하려면 돈내" 중국 해커 공격 급증 ( 한계레, 2007.2.6 17:48 )
http://news.naver.com/news/read.php?mode=LSS2D&office_id=028&article_id=0000187055

- '중국발 해킹피해' 속수무책 (YTN, 2007.2.6 18:51, 사흘간 서비스 중단. 심하다. ^^* )
http://search.ytn.co.kr/ytn/view.php?s_mcd=0103&key=200702061851014569

- IP중국발 DDOS 해킹 사례 급증! ( 한국경제21, 2007.2.6 11:16 )
http://www.keconomy21.co.kr/board_view_info.php?idx=435&seq=3

- 국내 수천여 개 사이트, '인해전술' 해킹 당했다 ( SBS TV, 2007.2.7 )
http://news.naver.com/news/read.php?mode=LSS2D&office_id=055&article_id=0000090903

6일에 root DNS서버 공격을 당했다는 건 아시는 분들이 있을건데요,
root DNS서버의 response time을 확인해보고 어떤 root DNS서버인지 직접 찾아 볼겁니다.
데이터로 파악이 안되고, 보안업체에 문의해서 정보가 없다면 추가로 글은 안쓰겠습니다. ^^*

---------------------------------------------------------
5. 호스팅 업체들 (2007.2.14 추가 작성)

- 아이비호스팅 (2007.2.7(수) 00:30~??:??)
http://ivyro.net/ivyro/board/list.php?mode=read&number=157&board_name=iwebboard_notice

- 아이비호스팅 (2007.2.5(월) 11:??~12:30)
http://ivyro.net/ivyro/board/list.php?mode=read&number=153&board_name=iwebboard_notice

- 마루호스팅 (2007.2.5(월) 17:40~, 20:00~21:??, UDP, ICMP)
http://www.maru.net/bbs/view.php?id=notice&no=203
http://www.maru.net/bbs/data/notice/attacked_mrtg.jpg
http://sir.co.kr/bbs/board.php?bo_table=cm_free&wr_id=166879

- 마루호스팅 (2007.2.8(목) 18:34~20:32, 최대 840M)
http://www.maru.net/bbs/view.php?id=notice&no=203

- 이미지호스팅 - 링크파일 (2006.12.26(화) 20:00~20:12)
http://www.linkfile.co.kr/board.htm?w=v&bm_id=1&si_id=282

- 모임즈 커뮤니케이션 (2006.2.13(화))
http://networks.moimz.com/moimz/board/board.php?bid=host_notice&no=138

이올린에 북마크하기(0)

이올린에 추천하기(0)

'IT이야기' 카테고리의 다른 글

linux everywhere (Delta 항공의 기내) (1)	2007/02/11
어떤 root DNS서버가 공격당했나? (0)	2007/02/09
DDoS공격 언론보도와 찾아본 사례들 (4)	2007/02/08
싸이월드2 (C2) 리드유저 초대장이 받았다. (2)	2007/01/31
네이버 뉴스 됐다 안됐다... (1시 정상화, 내용 update) (0)	2007/01/24
해킹(DDoS 공격) 점점 노골적 (2)	2007/01/12

ddos, DOS, 보안, 해킹

Trackback7 : Comment4

Trackback Address :: http://truefeel.tistory.com/trackback/15

해킹(DDoS 공격) 점점 노골적

Tracked from 좋은진호의 여유만만 | 2007/02/08 12:28 | DEL

이데일리 2007.1.12(금)일자에 나온 기사의 일부이다.http://www.edaily.co.kr/news/stock/newsRead.asp?sub_cd=DB41&newsid=01902406582997064&clkcode=00203&DirCode=0030503&curtype=read최근 모 사이트 관리자는 메신저로 `xxx만원을 입금하지 않으면 사이트를 공격하겠다`는 메세지를 받았다. 그러나 별다른 대응 조치를 하지..

최근 해킹의 동향과 심각성

Tracked from {달룡이네집} | 2007/02/11 21:17 | DEL

요즘 해킹이 심각해지고 있다는 뉴스를 매일 접하게 된다.최근 해킹의 목적은 중국발 해킹이며, 대부분 SQL injection을 이용하여 웹사이트에서 악성코드를 배포하여 보안 패치 결함을 이용한 사용자 정보 유출등의 목적이 대부분이었다. 최근 들어 해킹의 동향은 또다시 바뀌고 있으며, DDOS 패턴이 대부분이다.DDOS 란 Distributed Denial of Service이며, 분산 서비스 거부 공격을 의미 한다.DDOS 공격에 대한 문서는 아래..

티스토리 서버장애.

Tracked from 日常茶飯事 | 2007/02/12 00:54 | DEL

보안공격때문이라고 한다. 이해할 수 있다. DoS공격은 아무리 막으려고 해도 막기에 쉽지 않으니까. 이전에 발생했던 접속불량 문제는 아르님의 글을 참조하면 대략 14시간 정도의 장애가 발생한거다. 물론 2시간의 작업시간을 고려해도 한나절이다. 그리고 이번 일도 몇 시간 가량 아무런 에러메시지 없이 404에러를 맞이해야했다. 좀 심각하다. 티스토리는 예전에 몇 명이서 뚝딱이며 개발하던 프로그램이나 서비스가 아니라, 클로우즈인지 오픈인지는 모르겠지만 여..

개떼 러쉬는 아무도 못당해! 당신도 개떼중 하나?

Tracked from 개발로그 - devLog | 2007/03/03 01:34 | DEL

'일명 500만원 DDOS 공격 괴담'이라는 이야기를 들어보았을 것이다. (모른다면, '500만원 DDOS 공격 괴담' 등으로 검색!!)이 이야기의 기술적 관점(?) DDOS 공격 현실적으로 막을 방법이 없는것인가요?DDOS 공격 방어의 한계여기에서 이해안되는 부분 중 하나. 좀비PC 의 수가 엄청나다는 것이다. 스파이웨어, 트로이목마, 바이러스 어떤 형태인지 모르겠지만, 보안에 노출된 PC 를 감염시켜 좀비PC 로 만들어 공격자원으로 사용한다.보안..

DDoS공격 언론보도와 찾아본 사례들

Tracked from :: Prologue Ver 0.5 | 2007/03/06 18:38 | DEL

2007/02/08 11:52 DDoS공격이 1월말부터 증가했고, J 모 채팅 사이트가 며칠째 서비스를 못한다는 얘기를 들었습니다.작년부터 DDoS공격이 있었지만 최근에 공격이 보다 증가하고, 강도도 높아진걸로 보입니다.이는 언론에서도 얘기하듯이1) 기존의 돈요구 목적 외에2) 31일에 중국에서 있었던 동계아시안게임때 우리팀 선수의 백두산 세리머니로 인해 중국해커들의 공격이 있는 걸로도 추측해볼 수 있을 것 같습니다.최근 DDoS 공격에 대한 얘기들..

계속되는 DNSEver의 서비스 중단. 대체 DNS 서버를 갖춰 봅시다!

Tracked from Blog of JWC | 2007/05/09 20:36 | DEL

한국에서 가장 유명하고 많은 분들이 사용중인 DNSEver가 불특정 다수에게서 DDoS 공격을 받고 최근 여러번 죽었다 살아났다하는 굉장히 불안정한 모습을 보여주고 있습니다.관례를 보면 한번 공격 받기 시작한 ip는 앞으로도 계속 공격을 받을것이고 따라서 DNSEver의 서비스 중단 사태가 앞으로 없으리라는 보장이 있을수가 없죠.그럼 앞으로 어떻게 해야되냐?도메인의 DNS레코드는 Primary DNS, Secondary DNS, 그리고 2개의 대체..

DDoS 공격에 대한 방어 방법은 없는가?

Tracked from 엔시스의 정보보호따라잡기 | 2007/10/25 10:24 | DEL

1. 서비스거부 공격 (Dos) 공격 우리가 흔히 말하는 도스공격입니다. 서비스 거부 공격이라고 말합니다. 말그대로 서비스 거부하는 공격인데 실제 DOS공격시에는 상당한 트래픽을 몰고 Attack 이 이루어지고 있습니다. 2. 서비스 거부 공격의 징후 하나의 VLAN이 있으면 해당 네트워크는 살아 있으나 실제 서비스가 되고 있지 않습니다. 다시 말하면 웹이나 FTP , SSH등이 접속이 되지 않습니다. 그건 실제로 접속이 되지 않는다기 보단 해당 프..

Chester | 2007/02/11 23:53 | PERMALINK | EDIT/DEL | REPLY

이래저래 문제가 많네용.. 해결할 수 있는 방법이 있을까요 ??

좋은진호 | 2007/02/12 12:46 | PERMALINK | EDIT/DEL

이분야는 저보다 더 잘 아실 것 같은데요. ^^*

결론적으로 말하면 서비스 업체에서 '해결할 방법은 없고, 장애는 발생할 수 밖에 없다.'입니다. IDC의 협조가 있다면 장애시간을 줄일 수는 있겠지요.

서비스 받는 대역폭은 한정일테고, 100Mb 회선에 1Gbps 의 네트웍 플러딩 DDoS 공격이라면 어쩔 수 없이 서비스는 중단되겠죠.
DDoS를 위한 Cisco의 Detector 장비를 쓰더라도 서비스측의 메인 스위치가 아닌 상단(IDC측 이상)의 스위치에 저 장비를 설치해야 하는데 IDC에서 쉽게 해주지도 않을뿐더러, 공격 트래픽이 증가하면 할 수록 보안장비 대수도 증가하니 비용부담도 커서 선듯 나설 업체는 드물 것 같습니다.

우선 서비스 업체는 방화벽이나 스위치에 UDP, ICMP를 차단, RFC에 이미 reserved된 IP들 필터링(네트웍 플러딩되면 서비스 죽기는 하지만 내부 시스템 보호 차원)을 하고 과다 트래픽 발생시 IDC, ISP의 협조를 받아야 겠죠.

IDC, ISP측에서 특정 IP나 port로 오는 UDP를 차단해주면 좋겠지만, 자신들의 스위치 load가 높아질 수 있으니 쉽게 해주지는 않을겁니다.
ICMP는 그나마 막아줄 가능성은 있습니다. source IP는 위변조와 워낙 많은 IP들이니, 공격당하는 dest IP에 대해서 null0 routing으로 쉽게 해결할 가능성이 크죠. ^^*

IDC에서는 자주 공격당하는 서비스가 있다면 대응하기 위한 방안 모색보다는 그 업체를 내볼려고 할 가능성이 큽니다.
http://www.1000dedi.net/hosting/gnuboard4/bbs/board.php?bo_table=commonBoard&wr_id=121
한 호스팅업체의 공지사항인데, 쉽게 처리하는 방법을 선택한것 같습니다.

IDC, ISP에서 DDoS등을 차단할 수 있는 인프라를 구축하라는 법적인 사항이 있었으면 하는 바램입니다.

Chester | 2007/02/20 23:57 | PERMALINK | EDIT/DEL

가입자단의 대역폭이 서비스 업체들보다 커지고 있다라는 사실은.... 많이 생각을 하게 만듭니다 :)

좋은진호 | 2007/02/21 13:12 | PERMALINK | EDIT/DEL

예. 우물을 파야 개구리가 모인다고, 우물을 잘 파 인프라를 구축해놨더니, 오히려 개구리를 잡아먹는 경우가 생겼습니다. 개인의 보안의식이 더더욱 중요한 때입니다. PC 보안이 철저히 되어도 인프라를 잘 못 이용하는 경우는 줄어들텐데 말이죠.

Name
Password
Homepage

Secret

#1 ... #104 #105 #106 #107 #108 #109 #110 #111 #112 ... #122