안녕하세요.
우선 새해 복 많이 받으시기 바랍니다.
요즘 Cisco 방화벽을 가끔 다루면서 문득 떠오른 생각입니다.
혹시 방화벽에서 특정 포트를 Drop 또는 Deny 설정 했는데
Drop이나 Deny가 된 포트로 DDOS 공격을 날린다면 방화벽이 뻗어버릴 지,
아니면 Drop이나 Deny 시키는 트래픽은 그냥 무시되는지 질문 드리고 싶습니다.
- Drop 이나 Deny 된 트래픽 또는 패킷은 어떻게 처리가 되나요?
안녕하세요.
우선 새해 복 많이 받으시기 바랍니다.
요즘 Cisco 방화벽을 가끔 다루면서 문득 떠오른 생각입니다.
혹시 방화벽에서 특정 포트를 Drop 또는 Deny 설정 했는데
Drop이나 Deny가 된 포트로 DDOS 공격을 날린다면 방화벽이 뻗어버릴 지,
아니면 Drop이나 Deny 시키는 트래픽은 그냥 무시되는지 질문 드리고 싶습니다.
- Drop 이나 Deny 된 트래픽 또는 패킷은 어떻게 처리가 되나요?
이는 7계층 이하 모든 레이어의 데이터그램을 까고 분석할 수 있다는 뜻이 됩니다.
만약, 특정 Port 를 Deny 한 곳에 DDos 를 때리면 어떻게 반응 하는 가,
모든 네트워크/시스템 장비는 OSI 7 Layer 에서 각 데이터그램을 벗길때 아주 약간의 시스템 리소스를 사용합니다.
하지만, 그 사용량이 매우 미미하기 때문에, 왠만한 DDos 공격에도 공격 Port 를 Deny 한다면 막을 수 있습니다.
Deny 된 데이터는 Null 처리 됩니다.
시스템에서 Null 이라는 것은 매우 중요한 용도로 사용이 됩니다. Null 은 그 의미 자체로 존재하지 않는 다는 뜻이지만,
DB 나 시스템에서는 Null 값이라는 것이 [데이터가 존재하지 않는 값의 데이터] 라는 의미 입니다.
네트워크에서도 Null 은 중요하게 사용하는 데요.
네트워크를 공부하다보면 Null Interface 라는 것을 보게 되는 데요. 통상 Routing Protocol 에서 Loop 를 방지하기 위해서 사용됩니다.
----------------------------------------------------------------------------------------------------------------------------------
(추가적으로)
DDos 공격자의 경우 (바보가 아닌 이상) 당연히 Deny 가 될만한 서비스 포트를 공격하지 않습니다.
대체적으로 공격하는 것은 서비스에 종속되어 있어서 중단할 수 없는 WWW 이나 DNS 혹은 DB 서비스포트등을 공격합니다.
예를 들어 2cpu.co.kr 는 web 으로 서비스를 함으로 port 80 으로 들어오는 공격은 단순 정적인 방화벽으로는 막을 수 없습니다.
그래서 방화벽을 쓰면서도 IPS/IDS 를 쓰는 동시에, 현재는 웹에 많이 특화된 환경이다보니, 내부적인 해킹코드나 공격에 좀더 민첩하게
대응할 수 있도록 웹방화벽을 구축한 곳도 많이 있습니다.
사용중인 서비스의 포트가 표준포트(?) 일 필요는 없어서 다 바꿔놨는데, 혹시 문득 혹시나 해서 질문 드려봤습니다.
다시 한번 감사를 드립니다.
그나마 다행인게 현재 사용중인 서비스가 돌아가는 서버에 방화벽 로그를 보면
아직까진 대역폭 고갈같은 악질(?)이 들어오는 것 보단, 많이 사용하는 기본 포트를 툭툭 건드려보고
안되면 포기하는 자동비슷하게 돌아가는 트래픽만 감지되고 있습니다.
상단에 ASA 장비를 물려놓긴 했지만 항상 긴장은 해야겠네요. 설마 ASA 뚫고 리눅스 방화벽까지... ^^;;;
여러가지로 생각 할 수 있게 해주셔서 감사합니다!
DDOS 공격 트래픽이 방화벽 처리량보다 커지면 그때 뻗는것입니다.
역시...DDOS는 전문 방어 시스템이 있어야 하는군요 ㅠㅠ
방화벽 로그 하루 한번 떨구게 해놨는데, 하루 두번으로...+_+