디도스 관련해서 자문을 구해볼까해서 글을 올려봅니다.
제가 집에 개인회선과 개인컴으로 웹서버 및 게임 서버를 몇개 운영하고 있습니다.
kt회선이고 2개의 회선을 사용합니다.
각각 100메가 회선과 기가컴팩트회선이고 서버가 따로 물려져있습니다.
어제 그제해서 디도스 공격을 두 회선 모두 받고 있는데,
지난 게시판에서 디도스로 검색을 해보니 아래 글이 있네요.
http://www.2cpu.co.kr/bbs/board.php?bo_table=QnA&wr_id=323620
공격자가 이 친구들인걸로 추정하고는 있습니다.
어찌됐건 ,
공격들어오는거 감시해보니 10여대정도(10~20개정도 의심 아이피확인)의 좀비컴으로
무작위 포트 연결을 하기도하고 패킷을 쏟아붇기도하는데 패킷양 자체는 얼마 되지 않습니다.
10~15MB정도되는데, 100메가 회선은 대역폭을 모두 소진해 접속불가상태가되버리고
기가회선은 대역폭은 버텨서 접속은 되는데 겜서비스가 먹통이 되버립니다.
이런걸 udp flood 이라하나요, 지식이 미천하네요.
사이버수사대에 신고접수는 했는데, 시간도 시간이고 잡힐지도 미지수니까요.
근데 당장 오늘밤에 또 공격할거 같으니,
일단 kt측에 아이피 차단을 요청했는데 이쪽에서는 막아주지는 않는다는 답변만 하네요.
그외 할수 있는일이 뭔지를 알아보던중
대역폭이 버티는 기가회선쪽 서버상단에
방화벽컴(일반 리눅스컴 사양)을 꾸려서 패킷을 필터링하면
하단에 있는 게임서버 서비스는 먹통안되게 할수 있는건가하는 생각이 들어서 문의합니다.
이게 서버내에서 iptables 로 공격지를 DROP해도 패킷은 계속 들어오는터라...
요약해서 제 질문은
외부에서의 udp 패킷플로딩 공격 혹은 무작위 포트공격을
중간에 방화벽에서 iptables로 DROP처리하면
하단에 물린 서버들의 서비스는 지장이 없게되는지를 여쭤봅니다.
공격 tcpdump 로그
00:02:00.373957 IP 공격자아이피.2812 > 서버아이피.https: UDP, length 1235
00:02:00.449441 IP 공격자아이피.2639 > 서버아이피.https: UDP, length 1056
00:02:00.449460 IP 공격자아이피.2686 > 서버아이피.https: UDP, length 1235
00:02:00.449660 IP 공격자아이피.2618 > 서버아이피.https: UDP, length 1068
00:02:00.449706 IP 공격자아이피.2724 > 서버아이피.https: UDP, length 1304
00:02:00.449798 IP 공격자아이피.2653 > 서버아이피.https: UDP, length 1640
00:02:00.449837 IP 공격자아이피.2696 > 서버아이피.https: UDP, length 1960
00:02:00.449861 IP 공격자아이피.2668 > 서버아이피.https: UDP, length 1754
00:02:00.449886 IP 공격자아이피.2643 > 서버아이피.https: UDP, length 1466
00:02:00.449909 IP 공격자아이피.2664 > 서버아이피.https: UDP, length 1916
00:02:00.449942 IP 공격자아이피.2607 > 서버아이피.https: UDP, length 1731
00:02:00.449966 IP 공격자아이피.2721 > 서버아이피.https: UDP, length 1660
00:02:00.449994 IP 공격자아이피.2773 > 서버아이피.https: UDP, length 1728
00:02:00.450019 IP 공격자아이피.2636 > 서버아이피.https: UDP, length 1802
00:02:00.450043 IP 공격자아이피.2751 > 서버아이피.https: UDP, length 1954
00:02:00.450068 IP 공격자아이피.2771 > 서버아이피.https: UDP, length 1524
00:02:00.450093 IP 공격자아이피.2783 > 서버아이피.https: UDP, length 1524
00:02:00.450125 IP 공격자아이피.2731 > 서버아이피.https: UDP, length 1832
00:02:00.450127 IP 공격자아이피.2698 > 서버아이피.https: UDP, length 1108
00:02:00.450160 IP 공격자아이피.2597 > 서버아이피.https: UDP, length 1457
00:02:00.450185 IP 공격자아이피.2579 > 서버아이피.https: UDP, length 1397
00:02:00.450210 IP 공격자아이피.2784 > 서버아이피.https: UDP, length 1932
00:02:00.450240 IP 공격자아이피.2670 > 서버아이피.https: UDP, length 1670
00:02:00.450242 IP 공격자아이피.2581 > 서버아이피.https: UDP, length 1041
00:02:00.450275 IP 공격자아이피.2570 > 서버아이피.https: UDP, length 1395
00:02:00.450300 IP 공격자아이피.gsiftp > 서버아이피.https: UDP, length 1524
00:02:00.450323 IP 공격자아이피.2572 > 서버아이피.https: UDP, length 1739
00:02:00.451560 IP 공격자아이피.2719 > 서버아이피.https: UDP, length 1472
00:02:00.451564 IP 공격자아이피.2802 > 서버아이피.https: UDP, length 1235
00:02:00.451566 IP 공격자아이피.2592 > 서버아이피.https: UDP, length 1108
00:02:00.451793 IP 공격자아이피.2731 > 서버아이피.https: UDP, length 1832
00:02:00.451817 IP 공격자아이피.2696 > 서버아이피.https: UDP, length 1960
00:02:00.451842 IP 공격자아이피.2597 > 서버아이피.https: UDP, length 1457
00:02:00.451866 IP 공격자아이피.2731 > 서버아이피.https: UDP, length 1832
00:02:00.451891 IP 공격자아이피.2691 > 서버아이피.https: UDP, length 1836
00:02:00.451909 IP 공격자아이피.2610 > 서버아이피.https: UDP, length 1644
00:02:00.452031 IP 공격자아이피.2717 > 서버아이피.https: UDP, length 1283
큰 시스템 아니면 패턴매칭 드롭 날리심 될꺼 같네요.
내부 겜서비스하는데 지장이 없게되는것인지요.
랜카드가 못버텨서일까요 아니면 게임서비스자체가 못견뎌서일까요.
방화벽이 도움이 될수 있는 이유가 궁금합니다.
제가 이런걸 배운적이 없는터라(어문학계열...),
방화벽이 패킷몸빵해주고 안에 서비스는 살리는 구조라면
방화벽 컴을 굳이 외부에 물리적으로 두지 않고
kvm등으로 가상 방화벽 구축하고
겜서버를 그 내부네트워크에 물리면 될려나 싶기도 하고요.
그런데, 제가 봐서는 지금 그정도는 아닌거 같구요. 서버가 UDP를 사용하지 않는다면 UDP전체를 차단하는게 더 확실하고 문제도 적게 발생합니다.
공격용 좀비피씨가 그리 많지 않은거 같고요.
기가회선의 경우 공격받아도 대역폭은 여유가 있어
웹서비스등은 크게 지장이 없습니다.
udp포트를 이용해야하는 겜서비스가 문제지요...
서버상으로 공격지 아이피에서 오는 모든 패킷 DROP을 시켜도
일단 밀려들어오는게 문제인거 같아서
방화벽컴 구축으로 겜서비스 방어가 가능한건지 문의드리는중입니다.
여러국가 한국 포함 udp 공격때문에.
놀구 있는서버 방화벽 앞단에 브릿지로 설치해서 geoip 차단하고 국내는 허용
국내 대역은 20초에 60번 카운팅 드롭 걸었네요.
그후 문제 해결되고 2주정도 지나니 깨끗하네요..
유력한 용의자가 누군지 어느정도 파악이 된 상태이고,
게임 계정과 본인 아이피는 확보해둔 상태입니다.
경찰이 수사를 해줄지는 미지수지만은요...
겨울만님 말씀대로
남는 노트북으로라도 방화벽을 만들어두던가 해야겠네요.