GitHub의 2015년 그레이트 캐논 DDoS: 경로상 코드 주입이 촉발한 네트워크 책임성 시험

요약

GitHub는 2015년 3월 26일 02:00 UTC 전후에 분산 서비스 거부(DDoS) 공격이 시작되었으며, 공격이 관련 없는 제3자의 브라우저를 이용해 GitHub 호스팅 페이지에 요청을 생성했다고 밝혔다. [1]
GreatFire는 자사 서비스에 대한 이전 공격을 설명했고, 이후 Baidu Analytics 관련 리소스가 악성 JavaScript로 대체되었다고 밝혔다. GreatFire는 이 활동을 중국 당국에 귀속시켰고, Baidu는 자사 제품이 침해되지 않았다고 부인했다. 이는 귀속된 주장이며 확정된 판정이 아니다. [7][8]
Citizen Lab과 협력 연구자들은 특정 평문 HTTP 요청을 가로채고 대체 응답을 주입하여 중국 외부의 브라우저가 반복 요청을 보내도록 만들 수 있는 네트워크 위치 기반 시스템을 보고했다. 이를 그레이트 캐논(Great Cannon)이라 명명하고 불확실성을 유지하면서 정부 운영 가능성이 높다고 평가했다. [2][3][4][5]
이 메커니즘은 일반적인 소스 위장 반사가 아니었다. 브라우저는 주입된 코드를 실행한 뒤 실제 주소에서 애플리케이션 요청을 보냈으므로, 소스 주소 검증은 여전히 중요하지만 이 트래픽 클래스를 직접 제거하지는 못했다. [6][11][12][13][14]
책임은 각 주체가 실제로 관찰·변경·증명할 수 있는 범위에 따라 경로 운영자, 제3자 리소스 게시자, 브라우저, GitHub, 트랜짓 제공자 및 완화 파트너에게 분배되었다.
인증 기반 암호화는 응답 대체 비용을 높이는데, 이는 콘텐츠 무결성을 보호하기 때문이지만 검열, 엔드포인트 침해, 서비스 거부, 트래픽 분석의 모든 형태를 제거하지는 못한다. [15][16]
지속 가능한 책임성 기준은 실행 중인 네트워크로부터 얻는 증거다. 즉, 다중 지점 응답 비교, 전송 인증 기록, 경로·트랜짓 맥락, 에지 분류, 완화 조치, 고객 영향, 그리고 관찰과 귀속을 구분하는 타임라인이다.

2015년 3월, GitHub는 단순한 규모가 아니라 더 중요한 특징을 지닌 공격의 가시적 표적이 되었다. 이 사건은 네트워크 경로상에서 브라우저가 수신하는 내용을 변경함으로써, 관련 없는 사용자의 브라우저를 요청 생성기로 전환했다고 알려졌다. 사용자는 무관한 페이지를 방문하고, 암호화되지 않은 제3자 리소스를 가져오고, 대체된 JavaScript를 수신한 뒤, 브라우저가 GitHub에서 호스팅되는 페이지를 향해 반복 요청을 보내게 될 수 있었다. 브라우저의 연결은 실제였고, 소스 주소도 실제였다. 사용자의 의도만 존재하지 않았다.

이 구분은 책임성 문제의 성격을 바꾼다. 서비스 거부에 관한 일반적 논의는 악성 호스트, 위조된 소스 주소, 반사 증폭기, 침해된 기기를 통해 통제되는 봇넷에서 출발하는 경우가 많다. 이러한 모델은 여전히 중요하지만, 2015년 GitHub 사건의 공개적 재구성을 완전히 설명하지는 못한다. 이 사건에서 주입 지점은 일반 웹 트래픽의 전달 경로 안에 자리했다고 알려졌다. 그것은 애플리케이션 콘텐츠를 변경하고, GitHub도 사용자도 공격에 자원한 적 없는 브라우저의 도달 범위를 빌렸다고 보도되었다.

GitHub는 압박 속에서 자신이 통제하는 서비스를 운영했다. GitHub는 트래픽을 분류하고, 에지 용량을 배분하고, 완화 제공자와 협력하고, 악성 요청의 속도를 제한하고, 표적이 된 리포지토리를 보호하고, 운영 상태를 전달할 수 있었다. 그러나 제3자 응답이 변경된 것으로 알려진 원격 경로는 통제할 수 없었다. 리소스를 제공하거나 페이지에 삽입하는 웹사이트는 해당 의존성이 인증 기반 암호화를 사용하는지 여부를 통제했다. 브라우저 벤더는 일부 실행 및 혼합 콘텐츠 경계를 통제했다. 트랜짓·접속 운영자는 서로 다른 경로 구간, 로그, 기술적 기회를 통제했다. 사용자는 이 기계 장치의 거의 아무것도 통제하지 못했다.

따라서 이 사건은 단일 피해자·단일 공격자 설명에 저항한다. 책임이 전달, 무결성, 라우팅, 실행, 완화에 대한 실질적 통제를 따르기 때문에 네트워크 책임성 사례다. 이름, 주소, 상태 고지, 계약은 의도된 관계를 기술할 뿐이며, 어떤 코드가 경로를 넘었고 브라우저가 무엇을 실행했는지 증명하지 못한다. 결정적 증거는 실행 중인 네트워크의 행동이다.

공개 기록이 확립하는 것

가장 안전한 출발점은 GitHub의 1차 당사자 공지다. 회사는 공격이 2015년 3월 26일 목요일 02:00 UTC 전후에 시작되었다고 밝혔다. GitHub는 이를 당시 기준 회사 역사상 최대 규모의 DDoS 공격으로 묘사했으며, 관련 없는 사람들의 브라우저를 이용해 사이트를 범람시키는 기법을 포함한 복합 공격 벡터가 관여했다고 설명했다. 또한 GitHub는 접근 가능한 보고를 통해 공격의 목적이 특정 유형의 콘텐츠를 제거하도록 만드는 것이라고 믿게 되었다고 밝혔다. [1]

이 진술은 피해자 측에서 관찰한 사건과 GitHub가 파악한 목적에 대한 해석을 확립한다. 그러나 모든 패킷 비율, 브라우저 총수, 영향받은 모든 고객, 정확한 종료 시각, 금전적 손실, 개별 의사결정자의 신원을 확립하지는 못한다. 또한 GitHub의 동기 해석을 공격 배후에 대한 사법적 판정으로 바꾸지도 못한다.

GreatFire는 또 다른 표적의 관점에서 관련 연대기를 제공했다. 자사 서비스가 3월 17일부터 대규모 서비스 거부 공격을 받고 있다고 밝혔다. 이후 게시물에서 GreatFire는 브라우저가 악성 JavaScript를 통해 GreatFire 콘텐츠와 두 GitHub 페이지로 유도되고 있다고 말했다. GreatFire는 이 공격을 중국 당국에 귀속시켰고 Baidu Analytics 관련 리소스의 사용을 논했다. 또한 GreatFire는 Baidu가 자사 제품 침해 주장을 부인했다는 사실을 기록했다. [7][8]

이 진술은 초기 GreatFire 단계와 이후 GitHub 호스팅 표적을 연결하기 때문에 중요하다. 그러나 피해 당사자의 진술로 다루어야 한다. GreatFire의 기술적 관찰과 귀속 주장은 평가할 증거이지 독립 측정을 대체하지 못한다. Baidu의 부인은 서버 침해, 알고의 참여, 제3자 악용, 경로상 대체가 서로 다른 사실 명제이므로 항상 보이는 상태로 남아 있어야 한다.

가장 강력한 공개 기술 재구성은 Citizen Lab, International Computer Science Institute, UC Berkeley, Princeton 연구자 및 협력자들이 제공했다. 그들은 그레이트 방화벽과 그레이트 캐논을 구분하면서도 코드와 네트워크 위치의 유사성을 식별했다. 평문 요청의 선택적 가로채기와, 브라우저가 표적 사이트로 요청을 보내도록 하는 대체 콘텐츠 주입을 기술했다. 이 분석은 측정, 사이드 채널, 관찰된 행동을 사용해 시스템을 국지화하고 운영 주체를 평가했다. [2][3][4][5]

연구자들의 결론은 중국 정부 운영 가능성이 높다는 평가를 지지했다. 이는 공개 형사 판정, 공개된 지시 명령, 특정 개인에 대한 증명과 동일하지 않다. 책임 있는 분석은 신뢰 수준과 그에 도달한 방법을 함께 보존한다. 관련 진술은 측정이 가능성 높은 운영 평가를 지지했다는 것이지, 모든 기관적·개인적 연결이 입증되었다는 것이 아니다.

따라서 공개 기록은 좁으나 중대한 연쇄를 확립한다. 평문 제3자 웹 트래픽이 실행 가능한 콘텐츠를 대체할 수 있는 시스템이 자리한 경로를 통과했다. 해당 콘텐츠를 수신한 브라우저가 표적으로 트래픽을 생성했다. GitHub는 대규모 가용성 공격을 관찰했다. 연구자들은 별개의 네트워크 주입 시스템과 일치하는 특성을 재현·측정했다. 피해 당사자들과 연구자들은 서로 다른 신뢰 수준에서 책임을 귀속시켰다. 중요한 세부사항은 공개되지 않았다.

네트워크 메커니즘이 책임성의 핵심이다

핵심 사건은 의도된 리소스와 브라우저가 실제로 실행한 바이트 사이에서 발생했다. 웹 페이지는 평문 HTTP로 스크립트나 분석 리소스를 참조할 수 있었다. 브라우저는 요청을 보냈고, 경로상에 위치한 시스템이 선택된 요청을 인식해 대체 응답을 주입했다고 알려졌다. 대체 콘텐츠에는 브라우저가 지정된 표적으로 반복 요청을 보내도록 지시하는 코드가 담겼다.

브라우저가 영구적으로 감염될 필요는 없었다. 사용자가 악성코드를 설치하거나 봇넷에 가입할 필요도 없었다. 원본 서버가 침해될 필요도 반드시 없었다. 주입된 응답은 정당한 응답과의 경쟁에서 이기거나 브라우저가 수용하는 위치에 도달하면 충분했다. 수용되면 일반적인 브라우저 동작이 사용자의 실제 네트워크 주소에서 애플리케이션 계층 트래픽을 만들어냈다.

이 메커니즘은 인시던트 보고서가 흔히 하나로 묶는 세 가지 정체성을 분리한다.

첫째는 페이지에 명시된 리소스의 정체성이다. URL과 DNS 확인은 브라우저가 콘텐츠를 어디서 가져오려 했는지 나타낸다. 둘째는 수용된 바이트를 실제로 제공한 네트워크 엔드포인트의 정체성이다. 평문 HTTP에서 브라우저는 그 바이트가 의도된 게시자로부터 변경 없이 왔음을 암호학적으로 증명할 수 없었다. 셋째, 이후 GitHub에 접속한 브라우저의 정체성이다. 그 소스 주소는 클라이언트 연결을 식별할 뿐 사용자의 의도나 주입된 지시의 출처를 식별하지 못했다.

이 구분은 운영적으로 중요하다. 분석가가 모든 요청 출처를 의지적 공격자로 취급하면, 브라우저가 동원된 사용자를 오분류한다. 리소스 게시자를 반드시 침해된 것으로 취급하면 경로상 변경을 놓칠 수 있다. DNS 레코드나 경로를 콘텐츠 진위성의 증명으로 취급하면 도달 가능성과 무결성을 혼동한다. 사건을 소스 위장 반사라고 부르면 서로 다른 트래픽 속성을 위해 설계된 통제를 선택하게 된다.

따라서 그레이트 캐논 재구성은 네트워크 콘텐츠에 대한 보안 연쇄(cha인-of-custody) 문제를 만든다. 책임 있는 조사는 무엇이 요청되었는지, 어떤 경로가 요청과 응답을 전달했는지, 어느 지점에서 어떤 바이트가 도착했는지, 전송 인증이 있었는지, 어떤 타이밍이 주입 응답과 정당 응답을 구분했는지, 이후 브라우저가 어떤 행동을 했는지를 보여야 한다. 그 연쇄 없이는 공격, 침해, 검열, 플랫폼 실패 같은 레이블이 방향성은 맞을 수 있어도 운영적으로 불완전하다.

실행 코드는 의도된 기록보다 우선한다

Lu Heng의 교리(헹.lu 도크트린)는 여기서 역사적 사실의 원천이 아니라 운영적 시험으로 유용하다. 레지스트리 항목, DNS 레코드, 리포지토리 URL, 호스팅 계약은 의도된 정체성과 권한의 기록이다. 중요한 증거가 될 수 있다. 그러나 실행 중인 네트워크가 실제로 전달한 것에 대해 최종 결정권을 가지지는 못한다.

2015년 사건은 이 원칙을 구체화한다. 브라우저는 기대한 호스트명을 확인하고 기대한 서비스로 요청을 보내면서도, 경로상에 삽입된 것으로 알려진 바이트를 실행할 수 있었다. 관리 기록은 인식 가능한 채로 유지되었지만 런타임 결과는 달라졌다. 책임성은 기록을 결론으로 취급하는 대신 이 두 층을 조정해야 한다.

실행 코드 우선주의가 기록이 무의미하다는 뜻은 아니다. DNS, 라우팅 테이블, 가능한 경우 RPKI 데이터, 트랜짓 관계, 인터페이스 할당, 인증서 체인, HTTP 헤더, 상태 고지는 모두 의도된 경로와 관찰된 편차를 재구성하는 데 도움을 준다. 핵심은 이들이 패킷 캡처, 응답 해시, 타이밍, 브라우저 실행, 다중 지점 관찰과 대조되어야 한다는 점이다.

이는 이 글의 교리 표면이 직접 네트워크 인프라적이라는 이유이기도 하다. 피어링과 트랜짓은 어떤 운영자와 인터페이스가 트래픽을 전달했을 수 있는지 결정한다. 호스팅과 네트워크 정체성은 클라이언트가 기대한 콘텐츠와 엔드포인트를 결정한다. 운영자 연속성은 GitHub가 표적 자료를 유지하면서 도달 가능성을 지킬 수 있는지 결정한다. 이 요소들이 제거되면 책임성 논지도 사라진다.

현실 층은 또한 옹호 활동을 제약한다. 기술 기록은 GitHub, GreatFire, Baidu, 정부, 암호화 의무화, 특정 검열 우회 전략을 지지할 것을 요구하지 않는다. 통제와 증거에 대한 정확한 진술을 요구한다. 누가 평문 전달을 바꿀 수 있었는가? 누가 불일치하는 응답을 탐지할 수 있었는가? 누가 콘텐츠를 인증할 수 있었는가? 누가 결과 트래픽을 흡수하거나 필터링할 수 있었는가? 어떤 기록이 독립적으로 검증 가능한가? 이 질문들은 독자가 호스팅 자료나 정치적 논쟁을 어떻게 보든 유효하다.

소스 주소 검증이 필요하면서도 불충분했던 이유

소스 주소 검증은 위조된 주소에 의존하는 서비스 거부 공격에서 가장 중요한 방어 중 하나다. BCP 38과 관련 지침은 인터페이스 뒤에서 정당하게 시작되지 않아야 할 소스 주소의 트래픽을 필터링하는 것을 기술한다. 강화된 가능 경로 유니캐스트 역방향 경로 확인(uRPF)은 다중 경로 네트워크에서 소스 검증을 적용하는 운영 방법을 발전시킨다. NIST의 상호 도메인 복원력 지침은 소스 주소 검증을 라우팅 보안 및 DDoS 완화와 함께 다룬다. [12][13][14][17]

이 통제들은 공격자가 피해자를 사칭하는 패킷을 보내는 능력을 줄인다. 이는 공공 서비스가 위조된 피해자 주소로 회신하는 반사·증폭 공격을 제약한다. 접속, 호스팅, 트랜짓 운영자가 이 통제를 올바르게 배치하면 인터넷이 이익을 얻는다.

보도된 그레이트 캐논 메커니즘은 다른 속성을 제시한다. 브라우저는 주입된 코드를 실행하고 자신의 주소에서 실제 연결을 열었다. 소스 주소가 반드시 위조된 것은 아니었다. 소스 검증 필터는 트래픽이 위상적으로 타당하다고 정확히 판단하고도 그것을 통과시킬 수 있었다. 유해한 목적은 네트워크 계층의 위조된 소스 필드가 아니라 브라우저가 요청을 보내게 만든 지시에서 왔다.

이것이 더 넓은 DDoS 환경에서 스푸핑 방지를 무관하게 만드는 것은 아니다. 하나의 인시던트는 여러 벡터를 결합할 수 있다. 강한 소스 검증은 다른 트래픽 클래스를 줄이고 완화 용량을 보존한다. 또한 명백한 위조를 줄여 소스 주소의 증거 가치를 높인다. 그러나 BCP 38만으로 2015년 브라우저 동원 메커니즘을 막았을 것이라고 주장하면 계층을 혼동하는 것이다.

따라서 책임 있는 통제 지도는 각 통제를 그것이 바꾸는 속성에 연결해야 한다. 소스 검증은 위조된 소스 주소를 제약한다. 인증 기반 암호화는 인증된 엔드포인트 사이의 미탐지 콘텐츠 대체를 제약한다. 브라우저 정책은 코드 실행과 혼합 콘텐츠를 제약한다. 에지 통제는 요청 비율과 자원 소비를 제약한다. 트래픽 엔지니어링과 완화 용량은 가용성 손실을 제약한다. 어떤 단일 통제도 연쇄의 모든 부분을 덮지 못한다.

인증 기반 전송은 주입 기회를 바꾼다

평문 HTTP는 명명된 서버와 클라이언트 사이에서 응답이 변경되지 않았음에 대한 암호학적 보증을 브라우저에 제공하지 않는다. 경로상의 시스템은 요청을 관찰하고 응답을 대체하려 할 수 있다. 그레이트 캐논의 공개 재구성은 정확히 이 노출에 의존했다.

인증 기반 암호화는 이 경합을 바꾼다. TLS는 위협 모델 내에서 도청, 변조, 위조로부터 메시지를 보호하는 인증된 암호화 채널을 수립하도록 설계되었다. TLS 1.3의 후속 표준은 이 목표를 명확히 표현한다. RFC 7258 역시 만연체 감시를 프로토콜 설계에서 완화해야 할 공격으로 다룬다. [15][16]

브라우저가 의도된 원본으로 인증된 TLS 연결을 올바르게 검증하면, 경로상의 시스템은 인증을 깨뜨리거나 엔드포인트 또는 신뢰 의존성을 침해하지 않는 한 보호된 응답을 단순히 바꿔 유효한 결과를 만들 수 없다. 이는 대체 기법의 운영 비용을 높이고 더 명확한 실패 증거를 만든다. 위조되거나 변경된 응답은 의도된 리소스로 조용히 실행되는 대신 검증에 실패해야 한다.

한계는 이득만큼 중요하다. HTTPS는 서비스를 대용량 DDoS에 면역으로 만들지 않는다. 스스로 침해된 엔드포인트를 보호하지 않는다. 차단, 연결 재설정, 경로 조작, 트래픽 분석, 중개자에 대한 압박을 막지 못한다. 제3자 코드가 무해하다고 보증하지 않는다. 인증서 검증, 브라우저 정책, 원본 설정의 실수를 제거하지 못한다.

따라서 책임 있는 주장은 유계다. 인증 기반 암호화는 직접적인 경로상 응답 대체에 대해 응답 무결성을 실질적으로 보호한다. 검열이나 서비스 거부의 만능 해법은 아니다. 운영자는 어떤 리소스가 암호화되었고 어떤 것이 아니었는지, 혼합 콘텐츠 동작이 다운그레이드 경로를 만들었는지, 인증서·전송 실패가 여러 지점에서 어떻게 나타났는지 문서화해야 한다.

다중 지점 증거가 필수적이다

경로상 주입 시스템은 선택적으로 동작할 수 있다. 특정 호스트명, 리소스 경로, 쿼리 문자열, 소스 네트워크, 목적지, 시간대만 표적할 수 있다. 일부 경로에서 주입하고 다른 경로에서는 부재할 수 있다. 단일 지점은 이상 응답이 서버에서 시작되었는지, 경로 구간에서 나타났는지, 로컬 기기의 결과인지 보여줄 수 없다.

다중 지점 측정이 이 한계를 다룬다. 조사자는 서로 다른 네트워크와 지역에서 동일한 리소스를 요청하고, 응답 바이트와 해시를 비교하고, 타이밍과 IP 메타데이터를 기록하고, 합법적이고 비례적인 경우 패킷 수준 증거를 보존할 수 있다. 한 지점은 변경된 콘텐츠를 받고 다른 지점은 기대 응답을 받는다면, 그 차이는 가능한 통제 지점을 좁힌다. 첫 응답이 다르고 이후 응답이 원본과 일치하면 타이밍이 경쟁 주입 가설을 지지할 수 있다. 원본 로그에 대체된 바이트가 없다면 서버 침해 가능성은 낮아지지만 자동으로 불가능하지는 않다.

증거 패키지는 원시 관찰과 추론을 분리해야 한다. 원시 증거에는 타임스탬프, 요청 세부사항, 수신 페이로드, 암호학적 해시, 인증서 검증 결과, 패킷 추적, 경로 관찰, 리졸버 응답이 포함된다. 추론에는 주입기의 예상 위치, 알려진 필터링 인프라와의 관계, 예상 운영 주체가 포함된다. 결론은 어떤 측정 조합이 이를 지지하는지, 어떤 대안이 남아 있는지를 명시해야 한다.

시계 품질이 특히 중요하다. 브라우저의 리소스 페치, 주입된 코드 실행, 이후 GitHub 요청을 상호 연관시키려면 시스템 간 비교 가능한 타임스탬프가 필요하다. 수집 지연, 로컬 시계 오차, 시간대 변환을 기록해야 한다. 시간 무결성 없는 설득력 있는 도표는 여전히 거짓 순서를 숨길 수 있다.

보존 정책도 중요하다. 패킷 캡처에는 민감한 사용자 데이터가 담길 수 있고, 브라우저 추적은 검색 행동을 노출할 수 있다. 책임 있는 조사는 수집을 최소화하고 접근을 제한하고 산출물을 해시하며 변환을 기록하고 필요한 것만 보존한다. 프라이버시는 증거를 포기할 이유가 아니지만, 증거 수집은 무관한 사용자 활동을 보존할 면허도 아니다.

GitHub의 통제 경계

GitHub는 피해자 측 인프라 운영자였다. 즉각적 의무는 서비스 가용성 유지, 호스팅 콘텐츠 무결성 보호, 적대적 부하와 정당한 사용 구분, 사용자가 알아야 할 사항 전달이었다. 회사는 다른 네트워크 경로에서 주입된 원격 평문 응답을 직접 바꿀 수 없었지만, 자신의 에지와 애플리케이션이 결과 요청에 응답하는 방식은 통제했다.

GitHub의 이전 DDoS 방어 설명이 유용한 맥락을 제공한다. 네트워크 스택 튜닝, 로드밸런서 한도, 필터링 장비, 외부 완화 제공자와의 협력을 포함한 계층적 조치를 논했다. [9] 이 설명은 2015년 사건 이전 것이다. GitHub가 공개적으로 논한 통제의 종류를 보여주지만, 그레이트 캐논 공격 동안 각 통제가 활성화되었고 동일하게 구성되었으며 효과적이었다는 것을 증명하지는 못한다.

2015년 사건에 대해 책임 있는 피해자 측 기록은 요청 분류, 소스와 네트워크 분포, 표적 URL, 연결 행동, 캐시와 애플리케이션 부하, 필터링 결정, 완화 제공자 인수인계, 에지 포화, 오류율, 고객 가시 성능을 포함해야 한다. 또한 지식 없이 동원된 정당한 사용자를 처벌하지 않도록 통제가 어떻게 설계되었는지 기록해야 한다.

이것은 어려운 분류 문제를 만든다. 브라우저 요청은 GitHub의 관점에서 원치 않는 것이었지만 유효한 HTTP 트래픽처럼 보일 수 있었다. 버스트 후 모든 소스를 차단하면 주소나 네트워크를 공유하는 사용자에게 영향을 줄 수 있었다. 비싼 응답을 제공하면 자원 소비를 증폭시킬 수 있었다. 표적 콘텐츠를 제거하면 공격자의 유인은 줄지만 호스팅 정책에 대한 통제를 공격자에게 넘겨주는 결과를 낳았을 것이다.

GitHub의 공개 진술은 회사가 압박을 콘텐츠 지향적이라고 이해했음을 보여준다. [1] 이는 연속성이 부분적으로 거버넌스 문제임을 의미하지만, 기술적 대응에는 여전히 네트워크 증거가 필요하다. 질문은 GitHub가 용감하거나 올바른 정치적 선택을 했는가가 아니다. 일반 클라이언트 트래픽을 비싸게 만들도록 설계된 공격 속에서 통제가 서비스와 콘텐츠 무결성을 유지했는가이다.

최상의 인시던트 기록은 결정 임계값을 보여주어야 한다. 어떤 요청 비율에서 GitHub가 필터링을 바꿨는가? 어떤 지표가 브라우저 동원 트래픽을 구분했는가? 언제 외부 완화에 참여시켰는가? 각 변경이 표적 가용성과 무관한 트래픽에 어떤 영향을 주었는가? 사건 후 어떤 통제가 되돌려졌는가? 공개 공지는 민감한 세부사항을 생략해야 할 수 있지만 내부 증거는 이를 보존해야 한다.

경로 운영자와 검사 가능한 통제의 부담

보도된 주입 기회는 시스템이 전달 경로상에 위치를 가졌기 때문에 존재했다. 그 위치는 기술적 권력을 만들었다. 선택된 평문 요청을 관찰하고 응답을 대체하려 할 수 있는 능력이다. 권력에는 증거 부담이 따른다.

콘텐츠 조작이 가능한 인터페이스를 책임지는 운영자는 그 기능을 승인하는 정책, 이를 구현하는 시스템, 이를 변경할 수 있는 사람 또는 역할, 활성화를 기록하는 로그, 무단 사용을 막는 통제를 식별할 수 있어야 한다. 운영자가 관여를 부인한다면, 기술적 뒷받침 없는 범주적 진술보다 독립적으로 검증 가능한 기록이 더 설득력이 있다.

이것이 패킷을 전달하는 모든 트랜짓 제공자가 모든 변경에 책임 있다는 뜻은 아니다. 인터넷 경로는 여러 행정 도메인을 넘는다. 인시던트 동안 라우팅은 바뀔 수 있다. 일부 운영자는 암호화된 애플리케이션 콘텐츠에 대한 가시성이 없거나 상류 주입기를 식별할 능력이 없을 수 있다. 책임은 물리적 근접성이나 정치적 가정이 아니라 실질적 통제와 증거에 따라야 한다.

경로 데이터는 조사를 좁힐 수 있지만 그것만으로 해결하지 못한다. BGP 관찰은 어떤 자율 시스템이 도달 가능성을 광고·전파했는지, 외부 수집기가 어떤 경로를 관찰했는지 보여줄 수 있다. 그러나 일반적으로 애플리케이션 계층 콘텐츠 대체의 위치를 증명하지 못한다. 트래픽은 공개 제어 평면 데이터에 보이지 않는 내부 링크나 정책 시스템을 통과할 수 있다. 책임 있는 재구성은 라우팅 맥락을 능동 측정 및 패킷 행동과 결합한다.

동일한 주의가 IP 지리위치와 소유권 기록에도 적용된다. 주소 등록은 할당이나 행정 연락처를 식별한다. 어떤 기기가 패킷을 방출했는지, 그 시점에 누가 그 기기를 통제했는지, 보이는 소스가 경쟁의 일부였는지 증명하지 못한다. 레지스트리 데이터는 중요한 장부이지 판결이 아니다.

피어링과 트랜짓 관계는 공개를 복잡하게 만든다. 상업 계약은 공개를 제한할 수 있고, 제공자는 방어 아키텍처 노출을 우려할 수 있다. 그러나 공개 토폴로지 지도의 부재가 감사 가능한 내부 기록의 필요를 없애지는 않는다. 운영자는 인터페이스 식별자, 경로 스냅샷, 변경 승인, 이벤트 해시를 보존하면서 유계된 발견만 공개할 수 있다.

제3자 리소스 게시자와 의존성 무결성

공격 경로는 브라우저가 평문 HTTP로 제3자 리소스를 요청하는 것에 의존했다고 알려졌다. 이는 리소스 게시자와 삽입 사이트를 통제 지도의 일부로 만들지만 자동적 가해자로 만들지는 않는다.

게시자는 자신의 리소스 제공 방식, 인증 기반 전송의 가용성과 강제 여부, 캐시와 무결성 동작 구성, 불일치 콘텐츠 보고 조사 방식을 통제한다. 리소스를 삽입하는 사이트는 보호된 페이지에 평문 의존성을 도입하는지 여부를 통제한다. 브라우저 정책은 일부 혼합 콘텐츠 패턴을 경고하거나 차단하거나 격리할 수 있다.

이 책임은 근거 없는 비난으로 전환되어서는 안 된다. 기록에는 Baidu가 자사 제품 침해 주장을 부인한 것이 포함된다. [8] 경로상 대체는 특히 중요한데, 정당한 게시자가 자신이 제공하지 않았다고 말하는 코드를 제공한 것처럼 보이게 만들 수 있기 때문이다. 올바른 질문은 증거적이다. 원본은 무엇을 기록했는가, 클라이언트는 서로 다른 경로에서 무엇을 받았는가, 어떤 전송 보호가 사용되었는가, 어떤 해시나 서명된 산출물이 존재하는가?

서브리소스 무결성과 콘텐츠 보안 통제는 일부 설계에서 도움이 될 수 있지만 범위와 배포 한계가 있다. 브라우저는 신뢰할 수 있는 무결성 값을 받아야 하고, 페이지가 이를 강제해야 하며, 동적 리소스는 사용을 복잡하게 만들 수 있다. 이 통제는 사후의 마법 같은 보호로 인용되는 것이 아니라 시스템의 일부로 평가되어야 한다.

의존성 목록화는 또 하나의 책임성 요건이다. 조직은 자신의 페이지가 브라우저로 하여금 어떤 외부 스크립트, 분석 리소스, 콘텐츠 전달 엔드포인트에 접속하게 만드는지 알아야 한다. 스킴, 호스트명, 소유권, 기대 동작, 갱신 방법, 실패 모드를 기록해야 한다. 코드를 실행할 수 있는 의존성은 정적 이미지보다 더 강한 검토를 받아 마땅하다.

사용자의 에이전시 부재가 핵심이다. 요청을 생성한 브라우저의 소유자는 GitHub를 목적지로 선택하지 않았고, 주입된 코드를 이해하지 않았으며, 자신의 대역폭이 사용되고 있다는 것을 알지 못했을 수 있다. 사용자에게 더 안전하게 행동하라고 요구하는 것은 일반 트래픽을 바꾼 경로 수준의 시스템을 다루지 못한다. 책임은 주로 경로, 리소스, 실행 환경, 표적의 완화 경계를 통제하는 주체에 있다.

브라우저와 플랫폼 통제

브라우저는 수신된 코드와 네트워크 행동 사이의 경계를 중재한다. 스크립트 실행 여부, 동일 출처 정책 적용 방식, 혼합 콘텐츠 처리, 인증서 검증 강제, 반복 요청 제약 방식을 결정한다. 이 결정은 표준, 벤더, 사이트 작성자, 사용자 설정에 걸쳐 공유된다.

브라우저는 모든 반복 요청에서 악의적 의도를 추론할 수 없다. 현대 웹 애플리케이션은 정당하게 많은 비동기 호출을 수행한다. 지나치게 엄격한 속도 제한은 정상 사이트를 깨뜨린다. 지나치게 관대한 제한은 페이지가 대역폭과 표적 자원을 소모하게 허용한다. 그레이트 캐논 사건은 브라우저 악용 통제에 왜 증거 기반 임계값과 격리 메커니즘이 필요한지를 보여준다.

유용한 통제로는 명확한 혼합 콘텐츠 제한, 기본 인증 기반 전송, 악성 배경 활동에 대한 한도, 예상치 못한 교차 출처 요청 패턴에 대한 가시성, 빠른 보안 업데이트가 있다. 브라우저 벤더는 연구자가 무관한 개인 데이터 노출 없이 증거를 보존하도록 돕는 진단 도구도 제공할 수 있다.

플랫폼 운영자의 책임은 무한하지 않다. 브라우저는 네트워크가 패킷을 버리는 것을 막을 수 없다. 모든 인증된 원본의 정직함을 보증할 수 없다. GitHub를 대신해 공격을 흡수할 수 없다. 그러나 주입된 코드가 사용자를 조용히 요청 원천으로 전환하는 용이성을 줄일 수 있다.

인시던트 검토는 브라우저 버전, 정책 행동, 실행 차이를 기록해야 한다. 일부 브라우저는 주입된 코드를 수용하고 다른 브라우저는 수용하지 않았다면, 그것은 공격 표면에 대한 운영 증거다. 업데이트 후 행동이 바뀌었다면 타임라인은 사건 시점의 능력과 이후 보호를 구분해야 한다.

거짓 등가 없는 DDoS 완화

서비스 거부에 관한 IETF 지침은 프로토콜 설계, 자원 고갈, 증폭, 운영 방어를 강조한다. [11] 이는 서비스에 속도 제한, 용량 계획, 필터링, 협력이 필요한 이유를 이해하는 데 유용한 맥락이다. 2015년 정확한 벡터의 증명은 아니다.

브라우저 동원 패턴은 정당해 보이는 애플리케이션 요청을 생성한다. 따라서 완화는 여러 계층에 걸쳐 작동해야 한다. 네트워크 통제는 트래픽을 흡수하거나 분산할 수 있다. 전송 통제는 연결 압박을 제한할 수 있다. 애플리케이션 통제는 반복 요청, 비싼 경로, 이상 행동을 식별할 수 있다. 콘텐츠 전달은 안전한 응답을 캐시할 수 있다. 사람 운영자는 상류 및 완화 제공자와 조율할 수 있다.

각 개입에는 비용이 있다. 공격적 필터링은 정당한 사용자를 차단할 수 있다. 챌린지는 접근성 또는 프라이버시 부담을 줄 수 있다. 속도 제한은 공유 네트워크를 처벌할 수 있다. 트래픽 이동은 깨끗한 목적지에 과부하를 줄 수 있다. 콘텐츠 제거는 강요에 보상할 수 있다. 신뢰할 수 있는 대응 기록은 완화가 성공했다고만 보고하는 대신 이 트레이드오프를 설명한다.

완화 제공자도 증거를 보유한다. 필터링 전후의 트래픽을 볼 수 있고, 요청 패턴을 분류하고, 경로 광고를 바꾸고, 스크러빙 용량을 운영할 수 있다. 계약은 고객이 인시던트 증거에 접근할 수 있도록 하고 보존, 시계 무결성, 데이터 처리, 사후 지원을 정의해야 한다. 완화를 아웃소싱하는 것이 책임성을 아웃소싱하는 것은 아니다.

대응은 현실적 트래픽 하에서 시험되어야 한다. 테이블톱 훈련은 연락처와 의사결정 권한을 검증할 수 있지만 부하 하에서 필터, 경로, 캐시, 애플리케이션이 안전하게 동작함을 증명하지 못한다. 통제된 훈련은 분류까지의 시간, 클린 용량 여유, 오탐, 애플리케이션 포화, 롤백 동작을 측정해야 한다.

2015년 공개 고지는 GitHub의 모든 완화 단계를 드러내지 않는다. 그 부재는 미지수로 남아야 하며 영웅적이거나 태만한 대응을 발명할 초대장이 아니다. 책임성 기준은 운영자가 어떤 증거를 보존해야 하는지, 공개 기록이 어떤 주장을 지지할 수 있는지에 관한 것이다.

귀속과 완화의 분리

운영 팀은 종종 귀속이 성숙하기 전에 완화해야 한다. GitHub는 누가 주입 시스템을 운영했는지와 무관하게 트래픽과 서비스 영향에 대응해야 했다. 연구자들은 이후 네트워크 위치, 코드 유사성, 행동을 분석할 수 있었다. 이 타임라인은 연결되지만 혼합되지 않아야 한다.

완화 결정은 관찰 가능한 트래픽 속성에 의존해야 한다. 요청 경로, 비율, 연결 행동, 소스 분포, 헤더, 응답 비용, 서비스 건강이다. 논쟁 가능한 지정학적 귀속에만 의존해서는 안 된다. 반대로, 완화 방법이 효과를 냈다는 사실만으로 귀속 평가를 도출해서는 안 된다.

귀속 증거에는 기술 인프라, 코드 특성, 배포 위치, 표적 선택, 운영 타이밍, 역사적 맥락이 포함될 수 있다. 각 범주에는 대안과 신뢰 한계가 있다. 강한 평가는 왜 결합된 증거가 하나의 가설을 지지하는지, 어떤 증거가 결론을 바꿀지를 설명한다.

Citizen Lab의 작업은 정치적 레이블에서 멈추지 않았기 때문에 가치 있다. 메커니즘을 기술하고, 시스템을 구분하고, 측정을 제시했다. [2][3] 동료 평가 발표와 관련 연구가 기술적 검토를 더했다. [4][5][6] 그럼에도 분석을 법원 판결로 다시 써서는 안 된다.

GreatFire의 귀속은 피해 조직의 견해를 반영한다. [7][8] GitHub의 진술은 피해 플랫폼의 압박 해석을 반영한다. [1] Baidu의 부인은 자사 제품을 다룬다. 이 계정들은 거짓 합의로 병합되지 않은 채 증거 표에서 공존할 수 있다.

이 분리는 공정과 대응 품질을 모두 보호한다. 운영자가 정치적 확실성이 존재할 때까지 완화를 미루는 것을 막고, 긴급 트래픽 관찰이 배후에 대한 결정적 증명으로 취급되는 것을 막는다.

책임 있는 대응을 위한 최소 증거 패키지

유사한 사건에 직면한 운영자는 연결된 증거 패키지를 보존해야 한다. 패키지는 민감한 데이터를 공개할 필요는 없지만 독립적 내부 검토와 유계된 외부 주장을 지지해야 한다.

1. 사건 정체성과 시간 무결성

안정적인 인시던트 식별자를 만든다. UTC 발생 시각, 수집 시각, 시계 원천, 알려진 오차, 수집 지연을 기록한다. 내보낸 산출물을 해시한다. 최초 관찰, 확정 인시던트, 완화 조치, 안정화, 종료의 구분을 보존한다.

2. 리소스 및 전송 정체성

요청된 URL, 스킴, 호스트명, 리졸버 결과, 기대 원본, 적용 가능한 경우 인증서 세부사항, 응답 헤더, 페이로드 해시, 브라우저 결정을 기록한다. 합법적으로 이용 가능한 경우 주입된 샘플과 정당한 샘플을 모두 보존한다. 호스트명이 바이트를 증명한다고 가정하지 않는다.

3. 다중 지점 경로 맥락

측정 지점, 네트워크, 근사 경로 맥락, 리졸버 동작, 응답 타이밍을 기록한다. 경로 간 결과를 비교한다. 공개 BGP 관찰과 운영자 경로 스냅샷을 보존하면서, 라우팅 데이터만으로 주입 위치를 증명할 수 없다는 점을 명시한다.

4. 브라우저 실행 증거

스크립트 행동, 목적지 요청, 반복 패턴, 브라우저 버전, 관련 보안 정책, 사용자 조치 필요 여부를 기록한다. 일시적 실행과 지속적 침해를 분리한다. 증거 없이 사용자나 기기를 악성으로 레이블링하지 않는다.

5. 피해자 측 서비스 증거

요청 비율, 표적 경로, 에지와 애플리케이션 건강, 필터링 조치, 완화 인수인계, 오류율, 지연, 고객 영향을 보존한다. 각 조치를 측정된 변화에 연결한다. 오탐과 부수적 영향을 기록한다.

6. 운영자 통제 증거

트래픽 검사 또는 변경이 가능한 시스템에 대해 정책 승인, 구성 변경, 배포 식별자, 접근 기록, 무결성 로그를 보존한다. 의심 경로 밖의 운영자에 대해서는 뒷받침 없는 일괄 부인을 발행하는 대신 실제 경계를 보여주는 충분한 증거를 보존한다.

7. 귀속 평가

관찰된 사실, 분석적 추론, 신뢰도, 대안을 분리한다. 외부 주장을 귀속 표시한다. 무엇이 알려지지 않았는지 명시한다. 동시대 계정을 조용히 바꾸지 않고 후속 증거를 기록한다.

8. 공개와 보존

어떤 발견을 공개할 수 있고 어떤 것이 제한된 검토를 요하는지, 기초 산출물이 얼마나 이용 가능한지를 정의한다. 기술적 연쇄를 파괴하지 않고 개인 데이터를 편집한다. 후속 증거가 주장을 실질적으로 바꾸면 정정을 공개한다.

이 패키지는 책임성을 수사가 아니라 재현 가능성으로 전환한다. 플랫폼, 트랜짓 운영자, 리소스 게시자, 브라우저 벤더, 규제자가 주장이 관찰 가능한 통제에서 도출되는지 시험할 수 있게 한다.

경제적·거버넌스적 인센티브

네트워크 방어는 인센티브에 의해 형성된다. 통제를 배치할 수 있는 운영자가 그 통제가 부재할 때 생기는 손실을 부담하지 않을 수 있다. 제3자 리소스 게시자는 레거시 평문 엔드포인트를 열어두어 운영 노력을 줄이고, 위험은 표적과 사용자가 부담할 수 있다. 트랜짓 운영자는 상세한 증거 보존에 대해 상업적 보상이 적다고 볼 수 있다. 플랫폼은 자신이 통제하지 않는 브라우저가 생성한 트래픽을 흡수하는 비용을 부담할 수 있다.

계약은 일부 격차를 줄일 수 있다. 호스팅·완화 계약은 이벤트 데이터 접근, 경로 변경 기록, 보존 기간, 시험 지원, 공개 협력을 요구할 수 있다. 리소스 조달은 인증 기반 전송과 목록화를 요구할 수 있다. 브라우저와 플랫폼 정책은 불안전한 의존성을 가시화할 수 있다. 어떤 수단도 그것 자체로 기술적 준수를 증명하지 못한다. 이들은 실행 증거가 시험해야 할 의무를 만든다.

보험과 인시던트 보고도 정확한 메커니즘보다 거친 레이블을 보상하면 인센티브를 왜곡할 수 있다. 모든 사건을 봇넷 공격이라고 부르는 것이 행정적으로 편리할 수 있지만 브라우저 동원을 가능하게 한 통제 지점을 숨길 수 있다. 보고는 집계를 위해 범주가 필요하더라도 메커니즘을 보존해야 한다.

규제자는 대응 중 불가능한 귀속 확실성을 요구해서는 안 된다. 대신 유계된 사실을 요구할 수 있다. 어떤 서비스가 영향받았는지, 어떤 통제가 실패했거나 우회되었는지, 어떤 증거가 보존되었는지, 어떤 주체에게 통보했는지, 어떤 사용자 데이터가 관련되었는지, 어떤 복구가 검증되었는지. 국가 활동이 주장되는 곳에서는 독립적 기술 검토가 더 중요해진다.

콘텐츠 정책은 또 하나의 인센티브 문제를 더한다. 공격자가 가용성 비용을 부과해 플랫폼에게 자료를 제거하도록 강제할 수 있다면, 플랫폼의 기술적 복원력은 표현의 자유에 영향을 미친다. 이것이 모든 호스팅 결정이 비판을 넘어서는 것은 아니다. 책임성이 피해자의 콘텐츠 호스팅 선택을 공격의 네트워크 원인으로 기술해서는 안 된다는 뜻이다.

이후 재발은 2015년을 다시 쓰지 않는다

이후 기술 보도는 그레이트 캐논이라 불리는 시스템이 다시 배치되었다고 기술했다. [10][18] 그 역사는 지속 가능한 탐지, 암호화 전송, 교차 운영자 증거 교환에 대한 투자를 정당화한다. 그러나 모든 후속 사건이 동일한 인프라, 표적, 운영자, 지휘 권한을 사용했다는 증명은 아니다.

따라서 인시던트 기록은 사건 정체성을 보존해야 한다. 2015년 3월의 GreatFire-GitHub 연속은 자체 날짜, 표적, 측정, 공개 주장을 가진다. 이후 관찰은 가설에 정보를 주거나 기법이 여전히 유효함을 보일 수 있다. 증거 없이 하나의 연속 인시던트로 병합되어서는 안 된다.

이 경계는 정확성을 보호한다. 보안 서사는 반복된 레이블이 지저분한 관찰을 대체하면서 시간이 지나면 더 깔끔해지는 경향이 있다. 비용은 불확실성이 사라지고 기술적 차이가 잃어버린다는 것이다. 책임성은 그 반대를 요구한다. 안정적인 사건 기록, 명시적 업데이트, 버전화된 결론이다.

NTT의 이후 기술 논의는 그레이트 캐논과 DDoS 방어에 관한 독립적 분석 관점으로 유용하다. [10] AT&T Alien Labs의 이후 보고서는 재발 경계를 제공한다. [18] 둘 다 맥락 안에 속하며 2015년 피해자와 측정 기록을 대체하지 않는다.

반사실적 통제와 그 한계

규율 있는 검토는 관찰되지 않은 대안에 대한 확실성을 주장하지 않으면서 특정 통제가 사건을 어떻게 바꿨을지 물을 수 있다.

제3자 리소스가 올바르게 인증된 암호화로 전달되었다면, 직접적인 경로상 응답 대체는 더 어려웠을 것이다. 브라우저가 유효한 보호 응답을 기대했을 것이기 때문이다. 반사실은 공격자가 목표를 포기했을 것이라고 증명하지 않는다. 차단, 엔드포인트 침해, 다른 주입 기회, 다른 DDoS 방법은 여전히 이용 가능했을 수 있다.

브라우저에 예상치 못한 반복 배경 요청에 대한 더 강한 한도가 있었다면 생성된 부하가 줄었을 수 있다. 반사실은 정당한 애플리케이션과 코드가 타이밍이나 목적지를 바꿀 가능성을 고려해야 한다.

GitHub에 더 많은 에지와 완화 용량이 있었다면 서비스가 더 많은 트래픽을 흡수했을 수 있다. 용량은 원격 콘텐츠 무결성 실패를 바로잡지 못하며, 정확히 얼마나 많은 추가 용량이 필요했는지를 확립하는 공개 원천은 없다.

운영자가 더 풍부한 다중 지점 모니터링을 가지고 있었다면 연구자와 피해 당사자들이 주입을 더 빨리 국지화하거나 더 강한 귀속 증거를 만들었을 수 있다. 모니터링 자체는 변경을 막지 못하며 프라이버시 제약을 전제로 설계되어야 한다.

보편적 소스 검증이 배치되었다면 많은 위조 반사 공격이 더 어려웠을 것이다. 여기서 기술한 브라우저 생성 요청은 여전히 그럴듯한 소스 주소를 가졌을 것이다. 이 반사실은 스푸핑 방지 작업을 축소하기보다 계층적 통제의 필요를 강화한다.

이 질문들의 목적은 사후 비난이 아니라 통제 설계다. 유용한 반사실은 바뀌는 속성, 필요한 증거, 남아 있는 공격 경로를 명명한다.

경로상 주입을 위한 책임성 기준

2015년 GitHub 공격은 운영자와 플랫폼을 위한 실용적 기준을 제안한다.

첫째, 실행 가능한 리소스를 인증하라. 코드의 평문 전달은 경로 수준의 대체 기회를 만든다. 제3자 의존성을 목록화하고 가능한 한 혼합 또는 무인증 실행 경로를 제거하라.

둘째, 하나 이상의 네트워크에서 측정하라. 서비스의 원본 로그는 클라이언트가 받는 모든 응답을 드러내지 못한다. 외부 지점과 응답 해시는 원본 행동과 경로 행동을 구분하는 데 도움을 준다.

셋째, 계층별로 통제를 지도화하라. 리소스 게시, DNS, 라우팅, 트랜짓, 브라우저 실행, 표적 에지, 완화, 고객 커뮤니케이션을 누가 통제하는지 명명하라. 가장 가시적인 브랜드에 전체 책임을 배정하지 마라.

넷째, 조치 연결 증거를 보존하라. 모든 필터, 경로 변경, 용량 이동, 정책 결정에는 소유자, 타임스탬프, 이유, 기대 효과, 관찰된 효과, 롤백 조건이 있어야 한다.

다섯째, 귀속 신뢰도를 가시적으로 유지하라. 기술적 위치와 코드 유사성은 개인 지휘 연쇄를 증명하지 않으면서도 강한 평가를 지지할 수 있다. 공개 언어는 증거와 일치해야 한다.

여섯째, 완화 설계에서 무관한 사용자를 보호하라. 브라우저로 동원된 소스는 의지적 공격자와 동등하지 않다. 통제는 부수적 차단을 최소화하고 프라이버시를 보존해야 한다.

일곱째, 콘텐츠 결정을 트래픽 압박에 넘겨주지 않으면서 연속성을 시험하라. 플랫폼은 특정 표적에 대한 요청이 무기화될 때 서비스와 합법적 호스팅 자료를 어떻게 유지할지 알아야 한다.

여덟째, 행정 기록을 런타임 증명에 연결하라. DNS, 인증서, 라우팅 기록, 계약은 기대를 정의하기 때문에 중요하다. 그 책임성 가치는 관찰된 전달과 서비스 행동과 조정될 수 있을 때만 나타난다.

이사회, 운영자, 검토자가 물어야 할 질문

사용자 브라우저에서 코드를 실행할 수 있는 리소스는 무엇이며, 모두 인증 기반 전송으로 전달되었는가?
원본 침해, 경로상 대체, 로컬 악성코드, 일반 게시자 행동을 구분할 증거는 무엇인가?
어떤 네트워크와 경로가 이상 응답을 만들었고, 어떤 것이 기대 바이트를 만들었는가?
시계, 캡처, 페이로드 해시, 인증서, 리졸버 결과, 경로 관찰이 하나의 타임라인에 보존되었는가?
어느 주체가 의심되는 주입 시스템을 바꿀 수 있었으며, 그 통제를 문서화하는 검사 가능한 기록은 무엇인가?
피해자는 모든 소스 사용자가 공격을 의도했다고 가정하지 않으면서 브라우저 생성 요청을 어떻게 분류했는가?
어떤 필터링, 속도 제한, 캐싱, 용량, 완화 제공자 조치가 취해졌으며 각 조치 후 어떤 효과가 뒤따랐는가?
어떤 정당한 사용자나 무관한 서비스가 완화로 인해 영향을 받았는가?
어떤 사실이 운영자 귀속을 지지하며, 어떤 대안이 남아 있고, 어떤 신뢰 수준이 정당화되는가?
GreatFire의 주장, GitHub의 해석, Baidu의 부인, 독립 측정이 구분되어 유지되었는가?
어떤 통제가 소스 위장을 다루고, 어떤 것이 콘텐츠 무결성을, 어떤 것이 표적 가용성을 다루는가?
자격 있는 검토자가 기관적 신뢰에 의존하지 않고 인시던트 경계를 재현할 수 있는가?

결론

GitHub의 2015년 DDoS는 보고된 통제 지점이 의도된 웹 리소스와 브라우저가 실제로 실행한 코드 사이에 자리했기 때문에 네트워크 책임성 시험이었다. 공격은 일반 클라이언트, 실제 주소, 공유 경로를 빌렸다. 엔드포인트 이름, 소스 주소, 행정 기록을 네트워크 행동의 완전한 기술로 취급하는 것의 한계를 드러냈다.

공개 기록은 신중한 결론을 지지한다. GitHub는 대규모 콘텐츠 지향 DDoS를 겪었다. GreatFire는 선행하고 연결된 피해자 측 연속을 기술했다. 연구자들은 선택적 평문 응답 주입이 가능한 시스템을 측정하고 가능성 높은 운영 주체를 평가했다. Baidu는 자사 제품이 침해되지 않았다고 부인했다. 중요한 구현, 규모, 비용, 지휘 세부사항은 여전히 알려지지 않았다.

책임성은 이 사실들에 대한 통제를 따른다. 경로 운영자는 변경 가능한 시스템에 대해 검사 가능한 증거를 보존해야 한다. 리소스 게시자와 삽입 사이트는 실행 가능한 의존성과 인증 기반 전송을 관리해야 한다. 브라우저는 조용한 동원을 줄여야 한다. GitHub와 완화 파트너는 에지 조치를 측정된 결과에 연결해야 한다. 연구자와 공공 당국은 관찰, 추론, 귀속을 분리해야 한다.

영속하는 규칙은 단순하나 요구가 많다. 네트워크는 그것이 실제로 만들어낸 콘텐츠, 경로, 서비스 행동으로 판단되어야 한다. 기록은 의도된 권한을 식별한다. 실행 증거는 그 권한이 유지되었는지 보여준다. 두 사이의 간격 위에 세워진 인시던트에서 책임성은 간격을 가시화하는 것에서 시작된다.