안녕하세요! 팀포트리스2, 카운터-스트라이크 서버를 운영중인 한 고등학생입니다.
작년 10월부터 간간히 DDoS공격을 받고있었는데요, 지난주부터는 아예 DDoS 전쟁을 펼치고 있습니다.
공격수법은 이러합니다. '섭폭팸'이라 불리는 대부분 학생들이 모인 그룹이 있습니다. 이 '섭폭팸'들은 평상시에는 좀비 PC를 모집하며 총알을 준비합니다. 네이버 카페나 블로그등지에 게임핵, 유틸리티라 올려놓고 그걸 다운받은 불쌍한 친구들은 그대로 좀비PC로 감염이 됩니다. 그렇게 평상시에는 총알을 모아두다가 자신들이 게임을 하면서 마음에 안드는 서버가 있거나, '보호'명목으로 다른 유저의 사주를 받아서 DDoS공격을 감행하기도 합니다.
예시를 보여드리겠습니다.
이런식으로 좀비를 모집합니다.
블로그나 카페에서 수상한 실행파일이 업로드되면 백퍼센트 섭폭팸 친구들입니다.
작년 10월 제 서버로 첫 DDoS를 감행했던 친구가 유튜브에 게시한 동영상입니다. 이 동영상에선 대상을 자신의 중학교로 삼았지만 똑같은 수법으로 제 서버로 DDoS를 걸었었습니다. DDoS 사유는 서버에서 어떤 유저와 시비가 붙어서 자기 화난다고 DDoS를 걸었습니다. 참 할말 없습니다.
본론으로 들어가볼까 합니다.
서버 사양은 투반 1055T, 8GB RAM, Windows Server 2008 R2 Std, 방화벽으로는 내장된 Windows Firewall with advanced security 사용중입니다. 게임 서버는 srcds라 불리우는 소스게임용 프로그램을사용중이며 기본적으로 TCP/UDP 27015(변경가능) 포트를 사용합니다. 이중 TCP 포트는 Rcon이라 불리우며 게임서버를 제어하는데 활용되고 UDP는 실제 게임 데이타가 교환됩니다.
서버에서 오픈되어있는 포트는 TCP 80, UDP 27015~27019, 27022, 27035, 27040, 27050, 27055, 27056 이며 TCP Rcon은 방화벽에서 특정IP만 이용할 수 있게 해뒀습니다. ICMP도 ping만 허용하고 나머지는 다 차단했습니다.
처음 10월 대첩을 당했을때는 TCP 27035로 공격이 들어왔습니다. 이때 이후로 방화벽을 사용하기 시작했고 모든 TCP Rcon 포트를 차단하고 UDP만 개방했고 지금까지 이어지고 있습니다. 방어효과는 그럭저럭 있었습니다.
하지만 지금 들어오는 섭폭팸 친구들은 UDP 포트로 공격을 겁니다. Smartsniff 패킷 캡쳐 자료를 보여드리겠습니다.
정상적으로 게임을 할때의 패킷 캡쳐 자료입니다.
클라이언트에선 대부분 27005 포트를 사용하고 1패킷당 100~250바이트를 전송합니다.
한참 DDoS를 당할때의 패킷 캡쳐입니다. 1000~3000의 포트로부터 1패킷당 1000바이트 이상을 전송합니다.
제가 지금까지 방어를 해온 방법은 Smartsniff로 좀비PC의 IP를 확보한뒤에 방화벽 IP차단 리스트에 등록하는 것이였습니다. 사후약방문식이라 이미 서버는 서버대로 피해를 보고 가끔은 KT에서 안정적인 서비스를 위해 제 IP를 차단해버리기도 합니다. 이 때문에 IP가 벌서 3회나 교체당했습니다. 더 이상은 이런식으로 당하고 있을수가 없습니다.
방화벽에서 크기가 비정상적으로 큰 UDP패킷을 자동으로 감지하여 IP 차단 리스트에 넣어버리면 효과가 있지 않을까요? 리눅스 iptables는 크기가 큰 패킷을 차단할 수 있다고 들었습니다. 윈도우에서도 이와 유사한 기능을 하는 방화벽 프로그램이 있는지 궁금합니다.
고수님들의 조언을 부탁드립니다.
UDP는 앞단에 필터정책 안넣으면 못막음.
저기 룰 정책도 있네요 뭐. 공격하는 로컬포트는 5444 정책으로도 필터 걸면 되겠는데요?
그런데 게임서버 운영하는데 이런거 해결못하면 운영 못합니다. 그리고 카운터 스트라이크가 옛날부터 UDP공격으로 네트워크 거의 마비되다 시피하게 문제가 많았었습니다. 그래서 PC방에서는 카스 하지말기를 권고하기도 했었죠
이것은 당하는 것이 아니라, 동일 네트워크를 사용하는 다른 가입자의 품질을 보증하기 위한 최소한의 제약입니다.
그런 것을 원치 않으시면 기업용 전용회선을 사용하시면 됩니다.
찾아보니, Windows에서도 inbound packet limit 거는게 있네요.
# Netsh Command Shell
set ratelimit ipsecunauthenticated 2048
"http://technet.microsoft.com/ko-kr/library/ee621833(WS.10).aspx#bkmk_setRateLimit"
많은 도움이 되었고 참고하도록 하겠습니다.
전문 장비나 소프트웨어를 사용해야 한다는것인데, 혹시나 싶어 검색해보니 가격이..음..^^;; 구글에서 'Untangle (http://www.untangle.com)'이란 무료 방화벽의 이야기를 들었습니다. 마지막으로 이 방화벽에 의지를 해보고 그래도 안되면 서버 닫아야겠습니다.
그래도 2년을 버텨온 서버인데 이런식으로 마침표를 찍게되다니 좀 억울하긴 합니다.
침 한 번 뱉고 때려치울 수준이 아니라 열받아서 잠이 안온다.. 싶으면
캡쳐한 증거자료를 가지고 대행업체-사이버 경찰청-에 신고를 한 번 해보세요.
자료 구비가 잘 되어있으면 처리될 확률이 높아집니다.
주의하실 점은 ISP업체에서 IP 할당 기록을 3달만 보관하기때문에 (7년쯤 전) 증거자료가 준비되면 바로 진행을 해야 합니다.
신고하고 1주일에 2번정도 진행 상황을 물어보면 좀 더 높아집니다.
피해를 금액으로 환산하기 힘들기에 실질적으로 처리가 될 가능성은 낮지만 0은 아니니까요..
valve 에서 무상사용 가능하게 배포하고 있습니다.
프리서버 관련 부분은 걱정하지 않으셔도 괜찮습니다. 게임 제작사측으로부터 이용권리를 인정받은 합법적인 서버이며 참가 유저들도 게임 제작사로부터 이용 권리를 인정받았습니다.
# 참고자료 (http://store.steampowered.com/subscriber_agreement/)
8. DEDICATED SERVER
Your Subscription(s) may contain access to the Valve Dedicated Server software. You may use the Valve Dedicated Server software on an unlimited number of computers for the purpose of hosting online multiplayer games of Valve products. If you wish to operate the Valve Dedicated Server software, you will be solely responsible for procuring any Internet access, bandwidth, or hardware for such activities and will bear all costs associated therewith.
#
저는 12월 16일에 금천경찰서에 dos공격자를 고발하는 진정서를 접수한적이 있습니다. 마찬가지로 담당경찰관 분이 프리서버로 간주해 버려서 그거 해명하느라 진땀뺐습니다. 밸브 약관를 보여드림으로써 합법적으로 운영한다는것을 증명했고요 29일날 손으로 지장찍고 정식으로 접수(?)한적이 있습니다.
그후 4일만에 연락이 왔는데 해당 공격자의 아파트 까지밖에 못알아내서 더이상 수사를 진행할 수 없다고 답변이 왔습니다. 그 이후로 경찰은 그다지 믿고 있진 않습니다.
목적지 ip에 대해서 공격이 들어오면 특히 udp로 공격이 들어오면 대역폭을 풀로 잡아 먹기때문에
정상적인 서비스에 지장이 생길수 밖에 없습니다. 공격이 들어오면 그때그때 패킷 캡쳐해서 공격지 소스ip를
사용하시는 isp에 연락해서 차단해달라고 하시는방법밖에 없는데 이건 실제적으로 잘 안해주죠..
기업고객도 아니고 가정용서비스라면 대응이 좀 느릴수밖에 없습니다.
그냥 서버 팔고 책값이나 해야겠습니다. 나름 재밌게 운영한다고 자부하던 서버였는데 마침표가 영 좋지 않군요..
다시한번 답글달아주신 모든분들께 감사드리며 새해복 많이 받으시길 바랍니다.
좀비pc를 조종하는 공격자를 고발하신 것인지 모르겠지만
수사 결과가 그 정도라고 통보받으셨다면 유동ip로 저지르는 범죄는 못잡는다는,
우리 나라에서 사이버 범죄는 아무런 대처가 안되는 것이나 다름없다는 말도 안되는 얘기가 됩니다.
수사 의지의 문제가 되겠고 말씀하신대로 경찰을 신뢰할 수 없는 상황이라 할 수 있을 것인데...
관련 기관에 민원이나 진정을 넣고 경찰에 왜 거기까지 밖에 알아낼 수 없는가에 대해 질의를 한번 해보셔야할 듯 하고
다른 방법으로 말씀하신 사항으로보면 공격자 외에 카페에 공격에 필요한 불법 피싱 프로그램을 올린 이를 마찬가지로 수사의뢰해 볼 수 있을 것으로 봅니다. 결국 그 중에 공격자가 있을테고 다른 피해자를 만들고 있을테니까요.
신고한 사건은 유동IP를 사용하는 한명이 UDP Flooder 비슷한 프로그램으로 제 서버에 3차례 정도 공격을 한적이 있습니다. 3건 모두 패킷 캡쳐자료 첨부해서 집앞에 금천경찰서로 고발했습니다. 조서를보니 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 의거 고발하더군요. 결과는 아파트까지 밖에 못알아냈다고 해서 그대로 쫑난 사건입니다.
그때 담당 경찰관분이 전화로 말씀하시길 'SK에서 제공한 자료가 어떤 아파트(제가 조사해보니 수원 영통구에 위치한 아파트 였습니다.)인지 밖에 나와 있지 않다. 더이상 수사할 수가 없다.' 라고 하셨습니다. 그래서 제가 'U+ DHCP서버에 로그가 남지 않겠느냐. 다시 조사해달라'라고 했더니 DHCP 서버가 뭐냐고 저에게 다시 물어봅니다. DHCP서버 역할을 설명해주니 팀장분께 전화를 넘기시더군요. 다시 팀장분께 DHCP 서버에 로그가 남지 않느냐고 물어봤는데 팀장분이 말씀하시길 '우리가 DHCP 서버 로그를 넘겨받더라도 이걸 분석할 능력이 없다'라고 하셨습니다.
그렇다면 그 IP로 계속 공격을 걸거나 심지어 인터넷 사기를 치더라도 잡을 수 없냐고 물어봤는데 그렇다고 대답해 주셨습니다. 이게 1월 4일의 일입니다. 혹시라도 사이버 범죄 생각하고 계신분은 수원 영통에 위치한 한 아파트로 이사가시면 되겠습니다. 추적이 절대 불가능하다고 경찰서에서 인정 해줬으니까요.
전화 끊고나서 울화통이 치밀어올라서 KT, SK, U+ 3군데에 정말 추적이 불가능한지 질문을 넣어봤습니다.
KT의 답변입니다.
[올레닷컴 통합이후 상담내역을 일괄 삭제했나 봅니다. 찾을수가 없네요. 제가 기억하는 내용은 추적이 가능하다는 이야기였습니다. ]
SK의 답변입니다.
[문의주신 내용에 대하여 관련부서로 확인한 바, 말씀주신 내용은 "통신비밀 보호법"에 의거하여 적법한 절차에 따라 협조 요청이 있는 경우 통신사로서의 협조의무를 다하고 있습니다.
관련정보는 법규에 따라 3개월관 보관할 수 있으며, 저희 고객님에 대한 개인정보보호 의무도 다하여야 하는 부분이기에 수사기관에서 필요로 할 때 최소한의 법률이 정하는 범위에서 협조의무를 다하고 있는 점 널리 양해 부탁드립니다.
서비스에 따라서 지역이나 아파트 단위 등으로만 확인되어 자세한 확인은 어려울 수 있는 점 양해 부탁드리며, 자세한 내용은 통신비밀 보호법을 참고하여 사이버범죄 수사대 등으로 의뢰하여 보시기를 권해드립니다. ]
U+의 답변입니다.
[ 보통의 경우 특정한 IP주소를 확인하게 된다면 해당 IP로 DHCP로그를 확인하여 할당 내역을 확인할 수 있을것입니다. 다만 다만 해당 IP 특정 가입자에게 할당된 IP가 아니라면 단순 IP로그 기록으로는 가입자를 특정하지 못할 수도 있습니다. ]
그 경찰관 분의 말씀이 맞을지도 모릅니다. SK측에서 아파트 단위밖에 확인하지 못할수도 있다고 언급했으니까요. 하지만 IP 할당내역을 ISP에서 조차도 모른다면 그 누가 알것이며, KT-U+에서는 어떻게 하길래 사용자를 알아낼 수 있고, IP추적으로 범죄자를 잡아 내는것은 어떤 마법을 부렸기에 가능한 일인지 궁금할 따름입니다.
마지막으로.. 하소연좀 하겠습니다.
요즘 우리 학생들 심각합니다. 혹시 서든어택 이라는 총싸움 게임을 아십니까? 그 서든어택 게임의 클랜전중에서 자기 클랜이 밀린다 싶으면 상대의 IP를 찾아내서 DDoS 공격을 걸어버리는게 우리 학생들입니다. 이 때문에 피해를 호소하는 PC방 업주분의 게시글을 심심치않게 찾아볼 수 있습니다. 몇주전 KBS1을 보신적이 있으신가요? 혹시 못보셨다면 한번 보시길 바랍니다. http://blog.naver.com/manne00/140121260571 초등학생도 마우스질 몇번이면 남의 컴퓨터를 제 집 드나들듯이 할 수 있는 세상입니다. 심지어 제가 위에 언급한 게임에선 서버공격 한번 하질 않으면 찌질이 취급을 당합니다. 대부분이 학생이 하는 짓이지만 엄연히 법률 위반행위이고 공익을 헤치고 있는만큼 사회의 제제가 필요하다고 생각합니다.
그런데 우리 사회는 그럴 의지가 없는것 같습니다. 제가 아시는분의 게임서버도 한 학생에 의해 DoS공격을 당해 서버 운영을 포기하고 그 애를 경찰에 신고한적이 있습니다. 그런데 저와 마찬가지로 주소를 알아낼 수 없다는 답변을 받았드랩니다. 성급한 일반화의 오류일지도 모르겠습니다만 우리 경찰은 금전적 피해가 비교적 소규모인 DoS사건에 대한 처벌 의지가 전혀 없다고 봐도 무방하겠죠. 이런식으로는 뿌리를 뽑아낼 수 없습니다.
물론 학생에 대한 사법기관의 처리가 아예 없는건 아닙니다. 2009년 12월, 7월에 있었던 DDoS대란 이후 중고생 20명을 전부 입건유예 처리했고 ( http://www.asiae.co.kr/news/view.htm?idxno=2009122810250631812 ) 2010년 12월엔 그나마 규모가 컸던 애들 10명을 불구속 입건 또는 훈방 조치한게 끝입니다. ( http://news.mk.co.kr/v3/view.php?year=2010&no=708812 ) 입건유예된 사유도 중고생이라고 봐줄 이유가 무엇이 있으며 물론 걸린것은 초범이겠지만 여태껏 얼마나 많은 개인의 서버가 피해를 입었을지 그 누가 압니까? 진짜 공격자의 추적이 어려운 DDoS의 특성상 풀려나고 나서 또 공격을 했을지 그 누가 알겠습니까?
이런 솜방망이식 처벌론 학생들의 사이버 공격 행위를 뿌리 뽑을 수 없습니다. 그것이 한명이든 몇십명이든 몇백명이든 벌금을 때리던가 소년원에 보내는식의 강력한 본보기식 처벌이 필요하다고 생각합니다. 제가 하는 게임에서 활동중인 수십명의 섭폭범들중에 사법기관의 처벌을 받은 녀석은 한명도 없습니다. 공격자의 IP를 알아내는것이 결코 쉬운일은 아니지만 적어도 알아낸 공격범이라도 제대로 처벌을 해줬으면 합니다.
네이버와 같은 포털사이트도 책임을 져야합니다. 네이버 검색 몇번이면 공격툴을 손쉽게 구할 수 있습니다. (물론 올린녀석의 좀비가 되어야 하는 희생이 필요합니다) 게시글에 언급한 공격툴 공유 카페도 카페 개설 후 몇달이 지났는데도 아무런 제재 조치가 없습니다. 이런 공격툴을 공유하는 카페 블로그 게시글 60여건을 네이버 고객센터로 일괄 신고하였습니다. 그러나 1주일이 지난 지금까지도, 설 연휴를 끼면 2주 가까이 될텐데 아무런 제제 조치가 없습니다.
요즘 집집마다 광랜이다 뭐다해서 인터넷 속도도 최상급이고 백신이나 방화벽을 제대로 사용하지 않기 때문에 좀비PC의 위력이 상당히 크고 만들기도 매우 쉽습니다. 그것이 학생이든 일반인이든간에 애초에 공격툴에 대한 정보공유를 원천 차단하고, 백신 프로그램의 홍보를 더욱 적극적으로 하는것이 기업 입장에서도 가장 효과적인 방어 대책이 될지도 모릅니다.
오늘 지금껏 사용중이던 서버컴퓨터의 부품을 판매를 위해 해체하였습니다. 규모가 크진 않았으나 그동안 유저들과 쌓아온 노력이 이런식으로 물거품이 되는게 너무나 허망해서 주절주절 댓글을 쓰게 되었습니다. 얼마전 검찰에선 8명이던 사이버 수사 인력을 33명으로 확충했다고 합니다. ( http://www.asiatoday.co.kr/news/view.asp?seq=442793 ) 앞으로는 이러한 사건으로 눈물흘릴 사람들이 없었으면 하는 바램입니다.
국犬의원 사이트를 공격하면 됩니다...
ps : 그나저나 중요한 것을 하나 알았네요..
사이버 범죄를 하려면 SK회선을 사용해야 한다...
국내 법으로 불법인 음란 사이트 같은 것을 굳이 돈들여가며 홰외에 개설할 이유가 없어졌군요..!!!
통장만 스위스 은행으로...!!!
DDoS는 프로토콜에 상관없이 방어책이 없답니다.
심지어 IDC도 DDoS 방어는 힘들다고 하더군요.
대역폭 커서 위에 학생들 장난 정도는 막을 수 있지만 규모가 커지면 못 막습니다.
어떤 업체는 공격을 자주 당해 다른 업체 서비스에 지장이 있다는 이유로 IDC 에서 퇴거된 경우도 있었습니다.
이 업체에 대한 소식은 IDC 업계에 소문이 퍼져 결국 IDC도 구하지 못하고 서비스를 접었다고 하더군요.
패킷이 IDC나 서버에 날라오기 전, 윗단에서 (ISP)에서 IP를 차단하는 방법 뿐이 없다고 합니다.
개인회선이라는 이유로 ISP에서 협조를 안해주면 방법이 없는 것 같습니다.
요즘에는 개인 게임 서버(방)을 만들고 게임하다 방폭을 많이 당해서 가상 네트워크를 사용합니다.
마인크래프트 하다가 알게 되었는데요. Hamachi 라고 가상망을 통해 중계되기 때문에 게임 플레이어는 실제 서버 ip 를 알 수 없습니다. 속도도 느리고 소규모용이라 원하시는 것은 아닐 것 같지만 적어 봤습니다.