요약

  • 안도라 정부에 따르면 DDoS 공격으로 2022년 1월 21일 21:00~22:30과 1월 22일 19:00~22:00에 걸쳐 안도라 텔레콤(Andorra Telecom) 일부 이용자의 인터넷 및 4G 서비스가 영향을 받았다 [1].
  • 언론 보도는 공격 시점을 SquidCraft 게임 토너먼트와 연결 짓고 국가 전반의 장애를 묘사했으나, 이러한 주장은 정부가 확인한 문구보다 넓은 것이므로 출처를 밝힌 상태로 유지해야 한다 [2][3].
  • 공개 기록에는 공격 벡터, 측정된 트래픽량, 포화된 구성 요소, 완화 방안 제공자, 영향을 받은 가입자 수, 정확한 복구 순서가 확인되지 않는다.
  • RFC 4732는 링크 혼잡, 조기 필터링, 모니터링, 대역 외 제어, 분산 서비스 설계가 서로 별개의 통제 수단임을 설명하지만, 안도라 텔레콤이 그중 무엇을 사용했는지는 입증하지 않는다 [5].
  • 신뢰할 수 있는 종결 보고서는 AS6752와 서비스 인벤토리를 관측된 트래픽, 용량, 필터 조치, 유선·모바일 결과, 외부 프로브, 재발 없음 시험에 연계해야 한다.

무슨 일이 있었나

안도라 정부는 2022년 1월 24일 가장 좁은 범위의 권위 있는 사고 설명을 공개했다. 그 내용은 일부 유튜버의 방송 일정을 방해하려는 여러 건의 서비스 거부 공격이 안도라 텔레콤 일부 이용자의 인터넷 및 4G 서비스에 영향을 주었다는 것이었다. 공지는 두 개의 시간대, 즉 금요일 저녁 21:00~22:30과 토요일 19:00~22:00을 제시했다 [1].

이 성명은 운영사, 서비스 등급, 공격 유형, 날짜, 시간대, 최소한 일부 고객 영향을 확인해 준다. 다만 모든 가입자가 서비스를 잃었다고는 말하지 않는다. 패킷 속도, 초당 비트, 공격 프로토콜, 대상 주소, 상류 경로, 방화벽 상태, 완화 조치도 특정하지 않는다. 이러한 공백이 책임 있는 분석의 증거 경계를 정의한다.

The Record는 4일 연속 공격을 보도하고, 네트워크를 안도라 텔레콤 AS6752로 특정하고, 시점을 SquidCraft 토너먼트와 연결하며 국가 전반의 연결성 실패를 묘사했다. 또한 익명의 출처를 인용해 100Gbps에 이르는 트래픽 폭증을 전했다 [2]. Tom's Hardware는 안도라에 거점을 둔 참가자들 사이에서 동시 접속 단절이 발생했으며, 30분 이상 나라가 인터넷 연결 없이 있었다고 전했다 [3]. 이들 보도는 관측된 영향과 공적 맥락을 설명하는 데 도움이 된다. 그러나 운영사 텔레메트리를 대체할 수 없고, 100Gbps 수치를 공식 측정으로 바꾸지도 않는다.

"일부 이용자"와 "국가 전체"의 차이는 다듬어 넘길 세부 사항이 아니라 미해결의 범위 질문이다. 이는 서로 다른 관측 시간대, 부분적 도달 가능성, 유선 대 모바일 행동 차이, 지역별 편차, 서로 다른 시점의 복구, 보도 부정확성 중 무엇이든 반영할 수 있다. 공개 기록은 외부 독자가 그중 하나를 선택하도록 해 주지 않는다.

집중이 결과를 바꾸는 이유

DDoS 공격이 분산형이라는 것은 트래픽이 수많은 출처에서 도착하기 때문이다. 방어자는 하나의 주소를 차단하는 것으로 해결할 수 없으며, 적대적 트래픽은 갑작스러운 정상 시청자 트래픽과 구분하기 어려울 수 있다. 직접적인 목표는 소진이다. 접속 링크를 채우거나, 패킷 처리를 압도하거나, 연결 상태를 소모하거나, 서비스에 과부하를 주거나, 보호 체계를 병목으로 만드는 것이다.

결과의 크기는 집중이 어디에 존재하는지에 달려 있다. 독립된 접속 네트워크가 많은 시장에서는 특정 통신사에 대한 공격이 국가적 의존성 사건이 되지 않고도 심각할 수 있다. 안도라에서는 공개 기록이 안도라 텔레콤을 공기업으로 기술하고该国의 통신 인프라 및 보편적 광접속 체계와 연결한다 [6]. 당시 보도는 그 회사를 유일한 인터넷 제공자로 묘사했다 [2][3]. 이러한 집중은 공유된 외부 병목이나 공통 완화 통제의 폭발력 반경을 넓힌다.

집중은 과실의 증거가 아니다. 작은 나라는 대륙 규모의 토폴로지, 경제성, 공급자 다양성을 복제할 수 없다. 그러나 집중은 준비성이 무엇을 입증해야 하는지를 바꾼다. 용량 계획은 고객 전반의 상관된 수요를 고려해야 한다. 외부 링크에는 장애 및 포화 경계가 필요하다. 유선 인터넷과 4G는 접속 기술이 달라도 상류 전송망, 필터링, 식별 체계, 통제실, 전력, 공급자를 공유할 수 있다.

따라서 책임성 기준은 "모든 공격을 막는다"가 아니다. RFC 4732는 모든 가능한 서비스 거부 공격에 대한 방어는 비현실적이며, 운영사는 악의적·비악의적 과부하에 강건한 체계를 구축해야 한다고 명시한다 [5]. 기준은 알려진 공격 유형을 비용이 많이 드는 대상으로 만들고, 장애 영역을 봉쇄하고, 제어 접근을 보전하며, 예측 가능하게 복구하고, 어느 계층이 작동했거나 실패했는지 보여 줄 충분한 증거를 보유하는 것이다.

기술 계층

첫 번째 가능한 병목은 국제 용량이다. 공격 트래픽이 국내 필터링에 도달하기 전에 국경 간 링크를 채운다면, 안도라 내부의 장치가 모든 불량 패킷을 폐기하더라도 실질 용량은 회복되지 않는다. 희소한 링크가 이미 트래픽을 실어 나르고 있기 때문이다. RFC 4732는 이 점을 직접 언급하며, 가능하면 출처에 가까운 곳에서 명백히 불량한 트래픽을 더 일찍 제거할 것을 권한다 [5]. 운영적으로는 상류 조율, 원격으로 촉발되는 통제, 충분한 정상 복귀 용량을 갖춘 스크러빙 경로가 필요하다.

두 번째 병목은 완화 에지다. 방화벽, 플로우 탐지기, 로드밸런서, 이동통신용 게이트웨이, 스크러빙 장비는 유한한 초당 패킷, 상태, 메모리, 제어평면 용량을 가진다. 기가비트 기준으로만 설계된 방어는 높은 패킷 속도에서 실패할 수 있다. 상태 기반 방어는 무상태 필터와 다른 방식으로 실패할 수 있다. 사고 기록은 링크 이용률, 초당 패킷, 플로우 생성, 테이블 점유율, CPU, 폐기, 큐잉, 정상 처리 성공을 구분해야 한다.

세 번째 병목은 경로 및 서비스 범위다. 블랙홀링은 특정 주소로 향하는 트래픽을 폐기해 네트워크 나머지 부분을 보호할 수 있지만, 그 주소를 의도적으로 도달 불가로 만든다. 안도라 텔레콤의 현재 서비스 약관은 DDoS 영향으로부터 국가 인터넷 네트워크나 고객 트래픽을 보호할 필요가 있을 때 블랙홀링을 포함한 보호를 활성화할 권리를 보유한다 [7]. 이는 현재 존재하는 통제 범주의 증거일 뿐, 2022년에 블랙홀링이 사용되었다는 증명이 아니다.

블랙홀 조치에는 정확한 대상, 시간 한도, 승인, 경로 관측, 고객 영향 기록이 필요하다. 지나치게 넓은 프리픽스는 무관한 서비스를 제거할 수 있다. 오래된 경로는 공격보다 오래 남을 수 있다. 완화 제공자가 더 세분화된 경로를 광고하고 트래픽을 유인할 수 있지만, 복귀 경로, 경로 인가, 용량은 검증되어야 한다. 운영사는 통제가 요청되었다는 사실만이 아니라 실제 네트워크에 어떤 경로가 나타났고 어떤 서비스가 계속 도달 가능했는지 알아야 한다.

네 번째 병목은 운영 통제다. 데이터 평면이 범람하는 동안에도 엔지니어는 라우터, 완화 체계, DNS, 인증, 모니터링, 커뮤니케이션에 접근해야 한다. RFC 4732는 동일한 공격 중 대역 내 관리가 실패할 수 있으므로 사설 대역 외 접근을 권한다 [5]. 종결 보고서는 운영자가 혼잡한 경로에 의존하지 않고 네트워크를 관측하고 변경할 수 있었음을 보여 주어야 한다.

다섯 번째 병목은 복구다. 공격 트래픽이 멈추거나, 필터가 작동하거나, 경로가 바뀌거나, 포화된 체계가 재시작할 수 있다. 이것들은 서로 다른 복구 기제다. 내부 대시보드가 초록색이라는 것은 고객이 서비스에 도달한다는 증명이 아니며, BGP 경로가 복원되었다는 것은 애플리케이션 트래픽이 성공한다는 증명이 아니다. 안도라 내부와 외부의 유선·모바일 프로브가 DNS, 전송 계층, 대표 애플리케이션이 언제 돌아왔는지 보여 주어야 한다.

방어 사슬은 관측 가능해야 한다

탐지는 정상 기준선에서 시작한다. RFC 4732는 사건 전에 비정상 트래픽을 모니터링할 것을 권하는데, 방어자는 관측하지 못한 것을 특징 지을 수 없기 때문이다 [5]. 유용한 기준선은 인터페이스, 프로토콜, 목적지, 패킷 크기, 출처 분포, 서비스 등급별로 고객 수요와 공격 트래픽을 구분한다. 또한 정상 여유분과 각 외부 방어를 발동하는 데 필요한 시간을 기록한다.

분류는 확신에 착오가 없어야 한다. 2022년 공격의 시점은 정부와 언론이 전한 토너먼트 연관을 뒷받침했지만, 시점은 공격자를 식별하지 않는다. 패킷 샘플은 출처를 누가 통제했는지 입증하지 않고도 프로토콜과 출처 패턴을 식별할 수 있다. DDoS 대행 서비스 가설은 인프라, 결제, 계정 또는 수사기관 증거가 사슬을 닫아 주기 전까지는 귀속 결과가 아니다.

완화에는 조치 대장이 따라야 한다. 각 필터, 속도 제한, 경로 변경, 스크러빙 우회, 블랙홀에 대해 정확한 대상, 요청자, 승인자, 타임스탬프, 만료, 예상 효과, 관측 효과, 롤백을 기록해야 한다. 기록에는 실패한 조치와 애매한 반응도 포함해야 한다. 타임아웃 후 조작을 재시도하면 인터페이스가 멱등하지 않은 경우 통제를 복제하거나 확대할 수 있다.

검증에는 외부 관측점이 필요하다. 운영사 내부의 프로브 하나는 장애 네트워크와 같은 사각지대를 공유할 수 있다. 운영사는 여러 경로에서 유선 광대역, 모바일 데이터, DNS, 공개 웹사이트, 기업용 엔드포인트, 공공부문 서비스를 시험해야 하며, 부분 실패를 기록해야지 모든 상태를 정상/비정상으로 압축해서는 안 된다.

마지막으로 운영사는 재발 없음 시험을 실행해야 한다. 이 시험은 대시보드의 의식적 재생이 아니어야 한다. 안전한 통제 부하를 보내거나 경로·완화 상태를 시뮬레이션하고, 같은 등급의 경보를 촉발하고, 경계가 있는 방어를 발동하고, 무관한 프리픽스와 서비스가 도달 가능함을 입증하고, 통제를 만료시키고, 모든 사건을 외부 관측과 대조해야 한다.

레지스트리는 대장이지 결과가 아니다

PeeringDB는 현재 안도라 텔레콤을 AS6752로 식별하고 공개 상호 접속 정보를 갖춘 지역 네트워크 풋프린트를 나열한다 [4]. 이 기록은 신원, 연락처, 의도된 상호 접속 파악에 유용하다. 그러나 현재 기준 기록이기에 운영사의 2022년 1월 피어, 용량, 경로 정책, 완화 계약을 재구성할 수는 없다.

이 구분은 역사적 주의를 넘어 중요하다. 자율 시스템 번호는 라우팅 도메인을 식별할 뿐, 모든 광고가 정확했고 모든 경로가 용량을 갖추었고 모든 패킷이 고객에 도달했다는 증명이 아니다. 링크 목록은 의도된 인프라를 기록할 뿐, 경로가 물리적으로 독립적이었고 상관된 범람 상황에서도 이용 가능했는지 증명하지 않는다. 완화 계약은 행동 권한을 기록할 뿐, 요청된 경로나 필터가 네트워크에 도달했는지 증명하지 않는다.

증거 사슬은 대장과 현실을 연결해야 한다. 운영사는 서비스 프리픽스, 상류망, 피어, 스크러빙 경로, 유선·모바일 의존성, 통제 책임자를 실행 중인 네트워크의 시간 기록 관측과 결합해야 한다. 불일치는 가시적으로 유지해야 한다. 인벤토리가 두 경로를 독립적이라고 명시했는데 둘이 함께 실패한다면, 종결 보고서는 장애를 재정의하는 대신 의존성 기록을 수정해야 한다.

누가 영향을 받았나

정부는 일부 인터넷 및 4G 고객에 대한 영향을 확인했다 [1]. 언론 보도는 가구, 기업, 정부기관, 토너먼트 참가자에게 미친 더 넓은 영향을 묘사했다 [2][3]. 안전한 결론은, 눈에 잘 띄는 게임 이벤트가 훨씬 넓은 공유 의존성을 드러냈다는 것이다. 공개 증거는 정확한 고객 수, 이용자별 기간, 매출 손실, 서비스별 장애 지도를 뒷받침하지 않는다.

가구는 일상적 연결성의 실패나 열화를 경험했다. 스트리머는 이벤트에 남아 있기 위해 지속적 업스트림 트래픽과 낮은 지연이 필수였기 때문에 특히 가시적인 실패를 겪었다. 기업은 결제, 클라우드, 통신, 원격 접속 중단의 가능성에 직면했다. 내부 체계가 건전하더라도 공공서비스는 동일한 외부 연결성을 공유할 수 있었다. 정부가 4G를 명시적으로 포함했으므로 모바일 이용자도 관련이 있었다.

각 집단은 서로 다른 연속성 지표를 필요로 한다. 속도 측정은 긴급 통신을 측정하지 않는다. 홈페이지가 열린다는 것이 VPN 거래가 완료됨을 증명하지 않는다. 모바일 등록 지표는 데이터가 외부 서비스에 도달함을 증명하지 않는다. 따라서 국가 운영사의 종결 보고서는 총 트래픽이나 기기 상태만이 아니라 대표적 서비스 결과를 보고해야 한다.

신뢰할 수 있는 사고 패키지의 구성 요소

첫 번째 부분은 타임라인이다. 첫 비정상 트래픽, 첫 고객 증상, 경보, 분류, 각 상류 접촉, 모든 완화 조치, 유선·모바일 복구, 통제 만료, 최종 외부 확인을 보여 주어야 한다. 시각은 하나의 시계를 공유하고, 거짓 정밀성을 역방향으로 채우는 대신 불확실성을 보존해야 한다.

두 번째 부분은 범위다. 공격 대상 주소와 프리픽스, 영향받은 링크와 체계, 고객/서비스 등급, 지역별 편차, 영향받지 않은 통제를 나열해야 한다. 공격이 대상을 옮기거나 프로토콜을 바꿨다면 기록은 그 전환을 보여 주어야 한다.

세 번째 부분은 용량과 조치다. 초당 비트, 초당 패킷, 플로우, 링크 여유분, 장치 상태, 스크러빙 용량, 필터 카운터, 경로 변경, 정상 트래픽 복귀 용량을 기록해야 한다. 공개 공개는 민감한 값을 집계하면서도 포화된 계층과 통제 등급을 명명할 수 있다.

네 번째 부분은 서비스 검증이다. 외부 프로브는 DNS, TCP 또는 QUIC 설정, 대표 거래, 유선 접속, 모바일 데이터, 기업 연결성, 우선 공공서비스 경로를 보여 주어야 한다. 내부 텔레메트리와 고객 보고는 경쟁하는 진실로 제시하는 대신 상호 대조되어야 한다.

다섯 번째 부분은 재발 방지다. 지속적 변경, 책임자, 기한, 훈련, 실패 기준, 보존된 증거를 식별해야 한다. 필터 발동이 느리면 "용량 추가"는 불완전하고, 링크가 상류에서 포화되면 "더 나은 필터링"은 불완전하며, 경로나 시설을 공유하면 "링크 추가"는 불완전하다.

앞으로 지켜볼 것

가장 중요한 공개 신호는 이후의 사고 통지가 공격 트래픽량과 고객 영향을 구분하고 제약된 계층을 명명하는지 여부다. 두 번째 신호는 유선 인터넷과 모바일 데이터가 별도로 보고되는지이다. 세 번째는 복구가 공격 트래픽 중단, 완화 작동, 경로 안정화, 대표 서비스 실제 작동 중 무엇을 의미하는지이다.

운영사와 고객은 보호적 라우팅의 범위도 지켜봐야 한다. 현재 블랙홀링 약관에서는 대상과 만료의 규율이 중요하다 [7]. 운영사는 한 목적지를 희생하면서 국가 네트워크를 보호할 수 있지만, 조치가 비례적이었는지, 어떤 고객이 영향을 받았는지, 정상 도달 가능성이 언제 돌아왔는지 보여 줄 수 있어야 한다.

지속적 교훈은 게임 토너먼트가 나라를 "마비시킬 수 있다"는 것이 아니다. 뒷받침되는 결론은 더 좁고 더 유용하다. 집중된 국가 운영사를 향한 반복적 적대 트래픽이 확인된 인터넷·4G 장애를 낳았다는 것이다. 운영사가 신원, 용량, 완화 조치, 관측된 서비스, 복구를 하나의 검증 가능한 기록으로 연결할 수 있을 때 복원력은 책임성을 갖는다.

출처

  1. https://www.govern.ad/ca/w/dos-atacs-de-denegacio-de-servei-afecten-de-nou-alguns-usuaris-d-andorra-telecom-1
  2. https://therecord.media/ddos-attacks-on-andorras-internet-linked-to-squid-game-minecraft-tournament
  3. https://www.tomshardware.com/news/minecraft-ddos-attack-leaves-small-european-country-without-internet
  4. https://www.peeringdb.com/api/net?asn=6752
  5. https://www.rfc-editor.org/rfc/rfc4732.html
  6. https://www.andorratelecom.ad/en/applicable-legislation/
  7. https://www.andorratelecom.ad/en/product-conditions/services-solutions-companies/