DDoS 봇넷이란 무엇인가요?

DDoS 봇넷은 공격자가 침해한 인터넷 연결 기기들을 조직적으로 제어하여 분산 서비스 거부(DDoS) 공격을 실행하는 네트워크입니다. 감염된 각 기기는 *봇(bot)*이라고 하며, 공격 대상에 트래픽이나 요청을 전송할 수 있습니다.

수많은 봇이 동시에 작동하면 웹사이트, API, 서버 또는 네트워크에 과도한 부하를 발생시켜 정상적인 사용자가 서비스에 접근하지 못하게 할 수 있습니다. 봇넷은 일반적으로 컴퓨터, 라우터, 서버, 사물인터넷(IoT) 기기 등으로 구성됩니다.

DDoS 봇넷은 어떻게 작동하나요?

봇넷을 이용한 DDoS 공격은 일반적으로 다음 네 단계로 진행됩니다.

1. 기기 침해

공격자는 취약한 비밀번호, 오래된 소프트웨어 또는 안전하지 않은 보안 설정을 악용하여 기기를 악성코드에 감염시킵니다. 기기 소유자는 자신의 기기가 침해되었다는 사실을 알아차리지 못할 수도 있습니다.

2. 명령 및 제어(C2)

봇넷 운영자는 명령 및 제어(C2) 인프라를 통해 감염된 기기에 명령을 전달합니다. 일부 봇넷은 중앙 집중식 서버를 사용하는 반면, 다른 봇넷은 P2P(피어 투 피어) 통신 방식을 활용합니다.

3. 조직적인 공격 트래픽 생성

감염된 기기들은 지정된 공격 대상을 향해 패킷을 전송하거나, 네트워크 연결을 생성하거나, 애플리케이션 요청을 보냅니다. 이러한 활동은 대개 여러 기기에서 동시에 이루어집니다.

4. 서비스 장애 유발

이렇게 발생한 부하는 네트워크 대역폭, 연결 처리 용량 또는 애플리케이션 처리 리소스를 고갈시켜 응답 지연, 오류 또는 서비스 중단을 초래할 수 있습니다.

공격자는 대상 시스템을 직접 제어할 필요가 없습니다. 여러 기기에서 조직적으로 발생시키는 공격 트래픽을 통해 정상 사용자에게 서비스를 제공하는 데 필요한 리소스를 소진시키는 방식입니다.

DDoS 봇넷, 봇넷, DDoS 공격의 차이점은 무엇인가요?

이 세 가지 용어는 서로 관련이 있지만 각각 다른 개념을 의미합니다.

핵심 차이점: 봇넷은 공격자가 제어하는 리소스이고, DDoS는 공격 방식입니다. 모든 봇넷이 DDoS 공격에 사용되는 것은 아니며, 모든 DDoS 공격에 악성코드에 감염된 봇넷이 필요한 것도 아닙니다. 예를 들어 반사 공격과 증폭 공격은 정상적인 타사 서버를 악성코드에 감염시키지 않고도 공격에 악용할 수 있습니다. 자세한 내용은 봇 네트워크를 참조하세요.

봇넷은 어떤 유형의 DDoS 공격을 실행할 수 있나요?

봇넷은 다양한 유형의 공격 트래픽을 생성하여 서로 다른 시스템 리소스에 과부하를 일으킬 수 있습니다.

보안팀은 공격 유형에 따라 초당 비트 수(bps), 초당 패킷 수(pps), 초당 요청 수(RPS) 등의 지표를 모니터링할 수 있습니다. 자세한 내용은 대용량 트래픽 기반 DDoS 공격, 애플리케이션 계층 DDoS 공격, HTTP 플러드 공격을 참조하세요.

실제 DDoS 봇넷 공격 사례

Mirai와 2016년 Dyn 서비스 장애 사건. Mirai는 인터넷에 연결된 카메라와 녹화 장치 등 IoT 기기를 감염시켰습니다. 2016년 10월에는 Mirai 변종 봇넷이 DNS 서비스 제공업체 Dyn을 대상으로 한 공격에 사용되어 서비스 장애를 일으켰고, 주요 웹사이트에 대한 접속에도 영향을 미쳤습니다. 해당 사건은 미국 법무부가 공식적으로 기록했습니다.

2026년 Aisuru와 KimWolf 사건. 2026년 3월 19일, 미국 법무부는 Aisuru, KimWolf 및 다른 두 개의 IoT 봇넷이 사용하는 명령 및 제어(C2) 인프라를 무력화하기 위한 국제 공조 작전을 발표했습니다. 당국에 따르면 이 네 개의 봇넷은 전 세계에서 총 300만 대 이상의 기기를 탈취한 것으로 확인되었습니다.

이러한 사건은 침해된 일반 소비자용 기기와 네트워크 장비가 주요 온라인 서비스를 방해하는 공격에 악용될 수 있음을 보여줍니다.

봇넷을 이용한 DDoS 공격은 어떻게 식별할 수 있나요?

DDoS 봇넷 공격이 발생했을 때 나타날 수 있는 주요 징후는 다음과 같습니다.

• 트래픽 급증: 대역폭 사용량, 패킷 전송률 또는 HTTP 요청 수가 갑자기 크게 증가합니다.
• 반복적인 트래픽 패턴: 여러 출발지 주소에서 유사한 요청이나 연결 시도가 반복적으로 발생합니다.
• 특정 엔드포인트에 대한 집중 공격: 로그인 페이지, API 또는 처리 리소스를 많이 사용하는 애플리케이션 기능에 비정상적인 부하가 집중됩니다.
• 서비스 성능 저하: 응답 지연이 증가하거나 연결 실패, HTTP 오류 또는 시간 초과가 발생합니다.

이러한 징후를 평상시의 트래픽 기준치와 비교하고, 요청 패턴과 오리진 서버의 성능 변화를 연관 지어 분석해야 합니다. 다수의 출발지 IP 주소가 확인되면 분산형 공격이 발생하고 있을 가능성이 있지만, 이것만으로 해당 기기들이 악성코드에 감염된 봇이라고 단정할 수는 없습니다.

기업은 DDoS 봇넷 공격을 어떻게 방어할 수 있나요?

봇넷을 이용한 DDoS 공격은 분산된 여러 출처에서 발생하며, 공격 도중에도 공격 방식이 바뀔 수 있습니다. 따라서 개별 IP 주소를 차단하는 것만으로는 충분한 방어 효과를 얻기 어렵습니다.

기업은 다음 네 가지 상호 보완적인 보안 대책을 함께 적용해야 합니다.

1. 상위 네트워크에서 플러드 공격 트래픽을 필터링합니다. DDoS 트래픽 스크러빙(트래픽 정화)과 상위 네트워크의 트래픽 필터링을 활용하여 대규모 공격 트래픽이 주요 네트워크 회선을 포화시키기 전에 이를 흡수하거나 차단합니다.

2. 애플리케이션과 API를 보호합니다. 요청 속도 제한(Rate Limiting), 행동 분석, 적절한 웹 애플리케이션 방화벽(WAF) 규칙을 함께 적용하여 정상 사용자의 접근을 불필요하게 차단하지 않으면서 악성 HTTP 요청으로 인한 피해를 완화합니다.

3. 악성 봇 트래픽을 관리합니다. 봇 완화 대책을 적용하여 유해한 자동화 트래픽을 탐지하고 제한합니다. 네트워크 계층과 애플리케이션 계층의 보안 대책은 각각 서로 다른 유형의 위협에 대응합니다.

4. 공격 대응 준비를 강화합니다. 오리진 서버에 대한 접근을 보호하고, 평상시 트래픽 기준치를 모니터링하며, DDoS 사고 대응 계획을 수립하고, 방어 대책의 효과를 정기적으로 테스트해야 합니다. 또한 연결된 기기에 보안 패치를 적용하고 보안 설정을 강화하여 기기가 봇넷에 편입될 위험을 줄여야 합니다.

WAF만으로 모든 DDoS 공격을 차단할 수는 없습니다. 네트워크 플러드 공격에 대응하려면 충분한 상위 네트워크 용량과 네트워크 계층의 DDoS 공격 완화 대책이 필요할 수 있습니다. CDNetworks Flood Shield 2.0은 웹사이트, 애플리케이션, API 및 네트워크 인프라를 위한 다계층 DDoS 방어 기능을 제공합니다.

자주 묻는 질문(FAQ)

모든 봇넷이 DDoS 공격에 사용되나요?

아닙니다. 봇넷은 스팸 메일 발송, 크리덴셜 스터핑(탈취한 계정 정보의 대량 대입 공격), 데이터 탈취 또는 기타 악의적인 자동화 작업에도 사용될 수 있습니다.

봇넷 없이도 DDoS 공격이 발생할 수 있나요?

네, 가능합니다. 반사 공격과 증폭 공격은 정상적인 타사 서버를 봇넷 악성코드에 감염시키지 않고도 해당 서버를 악용하여 공격을 수행할 수 있습니다.

WAF로 DDoS 봇넷 공격을 차단할 수 있나요?

WAF는 방어 범위에 해당하는 HTTP/S 공격 트래픽을 필터링하는 데 도움이 됩니다. 하지만 대규모 네트워크 플러드 공격에 대응하려면 충분한 상위 네트워크 용량과 네트워크 계층의 DDoS 공격 완화 대책도 필요합니다.