KT의 2021년 라우팅 오류가 프로토콜 경계 검증을 국가 네트워크 책임 시험으로 만든 사례

요약

• 한국 과학기술정보통신부는 KT의 서비스 장애가 2021년 10월 25일 오전 11시 16분경 시작되어 복구 조치가 12시 45분경 완료되었으며, 그 간격이 약 89분이었다고 밝혔다. 정부의 공동 조사는 KT가 처음 제기한 분산 서비스 거부(DDoS) 공격 가능성을 배제하고 라우터 교체 작업 중의 라우팅 설정 오류를 원인으로 확인했다. [1]
• 승인된 정비 창구는 다음 날 01:00~06:00으로 알려졌지만, 작업은 낮 시간에 네트워크가 연결된 상태로 수행되었다. 조사는 또한 협력사 작업자가 KT 작업 관리자 없이 변경 작업을 수행했다고 밝혔다. [1][3][4]
• 빠진exit명령이 IS-IS 설정 컨텍스트를 끝내지 못했다. 공식 발표에 따르면 BGP 처리용으로 의도된 경로 정보가 IS-IS 도메인으로 유입되어 내부 프로토콜이 감당하도록 기대되지 않은 규모와 유형의 라우팅 정보가 발생했다. [1]
• 이 사건은 악의적 BGP 하이재킹도, RPKI 오리진 검증 실패도, 입증된 프로토콜 설계 결함도 아니었다. 이는 가동 중인 통신사 네트워크에서의 운영 경계 실패였다. 프로토콜 표준은 BGP와 IS-IS가 왜 서로 다른 역할을 하는지 설명하는 데 도움을 주지만, KT의 사내 토폴로지, 라우터 벤더, 소프트웨어 버전, 정확한 설치 상태를 밝혀주지는 않는다. [12][13]
• 2단계의 수동 검토는 누락된 명령을 감지하지 못했다. 공개된 조사는 또한 실제 실행 전에 변경 내용을 대표하는 고립된 가상 환경이 없었으며, 지역 라우팅 오류가 전국으로 확산되는 것을 막는 실효적 장치도 없었다고 밝혔다. [1][3]
• 따라서 책임의 귀속은 실질적 통제 수준에서 결정된다. KT는 변경 권한, 네트워크 접근, 토폴로지, 텔레메트리, 롤백, 고객 커뮤니케이션을 통제했다. 협력사는 그 권한 범위 내에서 수행한 작업을 통제했다. 규제기관은 조사와 산업계 요구사항을 통제했다. 고객과 가맹점은 KT의 라우팅 도메인을 통제하지 못했다.
• 중대한 라우팅 변경에 필요한 최소 증거에는 렌더링된 명령 세트와 해시, 파서 컨텍스트, 장치·소프트웨어 매트릭스, 프로토콜별 예상 경로 수, 대표적 테스트 결과, 카나리아 배포, 자동 정지 조건, 외부 도달성 관측, 그리고 리허설된 롤백 기록이 포함되어야 한다.
• 이 사례의 핵심은 네트워크 인프라다. BGP, IS-IS, 경로 배포, 내부 전파, 국가 통신 연속성을 제거하면 이 책임론도 사라진다.

공식 기록이 이 사건을 공격 서사에서 통제 서사로 바꾸었다

첫 공개 설명이 최종 설명은 아니었다. 장애가 확산되자 KT는 처음에 DDoS 공격 가능성을 제기했다. 대규모 장애 발생 초기 몇 분에 그것은 그럴듯한 운영상 가설이었지만, 조사에서 살아남지 못했다. 과학기술정보통신부의 공동 조사는 부산에서의 엔터프라이즈 라우터 교체 작업 중 발생한 라우팅 설정 오류를 원인으로 판정했다. 이 구분은 의미론적이지 않다. DDoS 대응은 적대적 트래픽, 필터링, 용량, 공격 귀속에 초점을 맞춘다. 설정 오류 대응은 변경 권한, 파서 상태, 프로토콜 경계, 전파 통제, 롤백에 초점을 맞춘다. [1][2]

보도된 타임라인은 범위가 제한적이지만 유용하다. 장애는 오전 11시 16분경 시작되었고 복구 조치는 12시 45분경 완료되었다. 당시 보도는 유선·무선 인터넷 서비스와 그에 의존하는 결제·업무 활동의 실패를 묘사했다. 이 기록들은 이것이 한 사무실 네트워크의 짧은 고장이 아니라 국가적 연속성 사건이었다는 결론을 뒷받침한다. 그러나 모든 고객이 동일한 89분 동안 끊겼거나, 모든 KT 상품이 동일하게 실패했거나, 모든 의존 서비스가 KT가 네트워크 조치를 마친 순간에 회복되었음을 입증하지는 않는다. [1][4][6][8]

이 구분은 정직한 영향 분석을 위해 중요하다. 통신사는 핵심 도달성을 복원하면서도 가맹점 단말, 인증 세션, 지점 연결, 애플리케이션이 재시도 루프에 남아 있을 수 있다. 반대로 더 넓은 사건이 진행 중인 동안 일부 고객은 부분적 연결을 유지했을 수도 있다. 책임 있는 장애 보고는 첫 네트워크 고장이 나타난 시각, 전파가 멈춘 시각, 라우팅 상태가 안정화된 시각, 의존 서비스가 건전함이 확인된 시각을 구분해야 한다.

공개 자료는 그 완전한 계층적 연표를 제공하지 않는다. 통제 실패와 대략적인 복구 창구를 특정할 만큼은 제공한다. 그러나 모든 라우터 로그, 영향받은 모든 프리픽스, 모든 지역 인접성, 모든 고객 티켓, 감사된 경제적 손실 총액을 제공하지는 않는다. 엄격한 서술은 가용한 사실을 사용하되 간격을 날조된 정밀성으로 채우지 않아야 한다.

정비 창구는 허가이지 안전한 실행의 증명이 아니다

조사는 승인된 작업 창구가 10월 26일 01:00~06:00이었는데 변경 작업이 그 전 낮 시간에 수행되었다고 보도되었다. 또한 협력사 인력이 KT 작업 관리자 없이, 그리고 영향받은 네트워크가 연결된 상태에서 라우팅 작업을 수행했다고 밝혔다. 이는 명백한 거버넌스 질문을 낳는다: 한 창구에 승인된 작업이 어떻게 다른 창구에서 실행 권한을 얻을 수 있었는가? [1][3][5]

그러나 책임의 교훈은 캘린더 준수보다 크다. 정확히 예약된 명령도 여전히 안전하지 않을 수 있다. 관리자가 현장에 있어도 파서가 의도치 않은 줄을 소비할 수 있다. 변경 티켓에 올바른 목적이 담겨 있어도 렌더링된 장치 설정에는 잘못된 상태가 담겨 있을 수 있다. 정비 거버넌스는 위험이 언제, 누구의 권한 아래 도입될 수 있는지를 제한하기 때문에 필요하다. 그것은 결과 네트워크 상태가 유효하다는 증거로는 충분하지 않다.

네 가지 대상은 분리되어야 한다. 계획은 의도된 작업을 서술한다. 생성·편집된 명령 세트는 실행 가능한 입력이다. 파서 컨텍스트는 장치가 그 입력을 어떻게 해석할지 결정한다. 설치·배포된 상태는 네트워크가 실제로 사용하는 것이다. 계획만 검토하는 리뷰는 렌더링 결함을 영영 보지 못할 수 있다. 텍스트는 보지만 장치의 파서 컨텍스트를 보지 않는 리뷰는 효과를 오해할 수 있다. 다른 소프트웨어 릴리스를 쓰는 실험실 테스트는 운영 동작을 재현하지 못할 수 있다. 로컬에서 옳아 보이는 명령도 다른 라우터가 수신한 뒤에는 유해한 배포 상태를 만들 수 있다.

따라서 국가 통신사의 경우 인가 기록은 이 대상들을 묶어야 한다. 작업, 승인 창구, 운영자 역할, 정확한 렌더링 바이트 또는 정규화된 설정, 암호학적 해시, 대상 장치, 소프트웨어 이미지, 프로토콜 컨텍스트, 예상 상태 전이, 검증 결과, 롤백 아티팩트를 식별해야 한다. 묶음 중 하나라도 바뀌면 승인은 새 입력에 대한 증거로 취급되지 않아야 한다.

이것이 모든 라우팅 조정에 운영자가 대응할 수 없을 만큼 무거운 관료제를 요구한다는 뜻은 아니다. 의도와 실행의 관계를 보존하라는 뜻이다. 빠른 작업도 결정론적일 수 있다. 긴급 권한도 경계를 둘 수 있다. 짧고 기계 검증 가능한 기록은 라우터가 무엇을 받았는지 증명하지 못하는 긴 회의 기록보다 흔히 더 강력하다.

하나의 사라진 경계가 국가급 권한을 얻었다

공식 발표에서 가장 중요한 기술적 사실은 빠진exit명령이다. 정부는 이 명령이 IS-IS 설정 컨텍스트를 끝냈어야 했다고 밝혔다. 누락되었기 때문에 BGP 처리와 관련된 정보가 IS-IS 도메인으로 유입되었다. 공개 설명은 내부 컨텍스트에서 기대되는 약 1만 건 규모와 수십만 건에 달하는 BGP 항목을 대조했다. 그 결과의 라우팅 오류가 네트워크를 무너뜨렸다. [1][3][5]

공개 기록은 완전한 명령 파일, 라우터 제조사, 모델, 소프트웨어 릴리스, 정확한 테이블 상태를 공개하지 않는다. 따라서 특정 벤더의 명령 시퀀스를 재구성하거나, 공개된 어떤 문법이 KT의 장치와 정확히 일치한다고 주장하는 것은 옳지 않다. 옹호 가능한 결론은 더 좁다: 사라진 컨텍스트 경계가 운영 중인 시스템이 이후의 자료를 의도된 프로토콜 범위를 위반하는 방식으로 해석하게 만들었다는 것이다.

이 때문에 이 사건을 오탈자로 치부해서는 안 된다. 오탈자가 국가적으로 중대해지는 것은 주변 통제가 그것에게 권한을 부여할 때만이다. 변경 시스템은 컨텍스트를 증명하지 않은 채 입력을 수용했다. 검토는 사라진 경계를 감지하지 못했다. 실행은 연결된 네트워크에서 일어났다. 내부 아키텍처는 유해한 정보가 도입 지점을 넘어 퍼지는 것을 허용했다. 감지와 롤백은 국가 서비스가 장애를 겪기 전에 효과를 멈추지 못했다.

명령은 작았고 통제 경로는 컸다. 책임 분석은 한 단어를 누락한 사람에게 도덕적 비난을 집중하기보다 경로를 따라가야 한다. 완전한 고용, 지시, 검토, 접근 기록 없이 개인을 지목하면 최초 행위와 그 행위를 중대하게 만든 시스템을 혼동하게 된다. 성숙한 통신사는 운영자와 협력사가 가끔 명령을 누락, 전치, 오해할 것을 전제한다. 일상적 인간 오류가 조용히 무한한 네트워크 상태로 변하지 않도록 변경 통제를 설계한다.

핵심 질문은 신중한 사람이exit를 알아차릴 수 있었는가가 아니다. 명령이 운영에 도달하기 전에 시스템이 한 설정 컨텍스트가 어디서 끝나고 다른 컨텍스트가 어디서 시작하는지 증명할 수 있었는가이다. 파서 인식 검사는 닫히지 않은 설정 모드를 식별할 수 있다. 시맨틱 디프는 BGP 유래 자료가 IS-IS에 영향을 주려 한다는 것을 보여줄 수 있다. 경로 수량 모델은 기대 내부 규모를 크게 벗어난 결과를 거부할 수 있다. 대표적 테스트는 결과 상태를 노출할 수 있다. 카나리아는 첫 실행을 그 실패가 국가급이 되지 않는 토폴로지로 제한할 수 있다.

그 어떤 통제도 모든 사고를 막는다고 보장되지 않는다. 그러나 함께 작동하면 문법을 신앙의 행위에서 검증 가능한 입력으로 바꾼다.

BGP와 IS-IS는 서로 다른 컨트롤 플레인이며 정밀성이 중요하다

BGP와 IS-IS는 모두 라우팅에 참여하지만 서로 다른 문제를 풀고 서로 다른 운영 전제를 갖는다. BGP는 주요 도메인 간 도달성 프로토콜이다. 자치 시스템들이 경로를 교환하고 경로 선택과 광고에 정책을 적용하게 한다. IS-IS는 통신사 자신의 네트워크 내에서 토폴로지를 기술하고 내부 경로를 계산하는 데 흔히 쓰이는 링크 상태 프로토콜이다. RFC 4271은 BGP의 핵심 동작을 정의하고, RFC 1195는 TCP/IP 환경에서의 IS-IS 라우팅 사용을 기술한다. [12][13]

KT의 공식 발표는 BGP 규모의 정보가 IS-IS 도메인에 유입되었다고 말한다. 그것이 이 사건을 악의적 경로 하이재킹으로 만들지는 않는다. 외부 네트워크가 KT 프리픽스를 거짓으로 오리진했다는 것을 보여주지 않는다. 경로 오리진 인가가 없거나 무효였음을 입증하지 않는다. 어느 프로토콜 사양의 결함도 증명하지 않는다. 핵심 실패는 통신사 네트워크 내부에서 의도된 경계가 운영상으로 넘어선 것이었다.

경로 유출(leak) 용어도 신중해야 한다. RFC 7908은 도메인 간 환경에서 경로가 의도된 범위를 넘어 전파되는 것에 대한 분류체계를 제공한다. 그 어휘는 운영자가 정책 위반을 사고하는 데 도움을 줄 수 있지만, 공개 조사는 KT의 내부 사건을 특정 RFC 7908 유형으로 분류하지 않았다. 그 라벨을 공식 포렌식 결론인 것처럼 붙이는 것은 자료가 제공하지 않는 확실성을 추가하는 일이다. [14]

BGP 운영 지침은 필터링, 정책 일관성, 한도, 모니터링을 강조한다. 라우팅 정보는 권한을 실어 나르는 입력이기 때문이다. RFC 7454는 그 관행 다수를 모은다. RFC 4098은 BGP 수렴 벤치마킹 용어를 기술한다. 이 문서들은 경로 통제와 복구 측정에 관한 질문의 맥락으로 유용하다. 그러나 KT가 2021년 10월 25일에 특정 필터, 임계값, 수렴 도구, 복구 절차를 사용했다는 증거는 아니다. [15][16]

컨텍스트와 사건 증명의 구분이 핵심이다. 프로토콜 표준은 잘 정의된 통제가 무엇을 측정할 수 있는지 설명할 수 있다. KT의 라우터에서 실제로 무슨 일이 있었는지는 KT의 기록과 조사만 보여줄 수 있다. 그 기록이 공개되지 않은 곳에서 글은 빠진 증거를 식별해야지 선호하는 아키텍처로 공간을 채워서는 안 된다.

수동 검토는 변경을 실행할 시스템을 대표하지 못했다

조사는 KT에 1차·2차 검토가 있었으나 두 단계 모두 수동 점검에 의존했고 누락된 명령을 감지하지 못했다고 말했다. 이 결과는 인간 검토가 무용하다는 증명으로 해석되어서는 안 된다. 숙련된 엔지니어는 자동화 도구가 놓치는 정책 오류, 안전하지 않은 전제, 컨텍스트를 잡아낼 수 있다. 이 결과가 보여주는 것은 같은 약한 표현에 대한 다수의 승인이 독립적 보증을 만들지 않는다는 점이다. [1][3]

두 사람이 같은 계획을 읽고 같은 렌더링 결함을 놓칠 수 있다. 두 팀이 대상 파서를 실행하지 않은 채 텍스트를 검사할 수 있다. 체크리스트는 검토가 있었음을 확인할 수 있어도 무엇을 검토했는지 증명하지 못한다. 독립성은 서로 다른 이름 이상을 요구한다. 서로 다른 이유로 실패할 수 있는 검사를 요구한다.

더 강한 사슬은 보완적 통제를 결합한다. 첫 통제는 실제 소프트웨어 계열에 대해 문법과 설정 컨텍스트를 검증할 수 있다. 둘째는 후보 상태를 정책과 비교할 수 있다: 어떤 경로가 재분배될 수 있는지, 몇 개가 기대되는지, 어느 이웃이나 영역이 수신할 수 있는지. 셋째는 대표적 환경에서 변경을 실행할 수 있다. 넷째는 장치 밖에서 카나리아 결과를 관측할 수 있다. 그러면 인간 승인은 유일한 감지자로 작동하는 대신 증거와 예외를 평가하게 된다.

대표적 검증은 통신사 네트워크에서 어렵다. 실험실은 모든 인접성, 경로, 하드웨어 동작, 트래픽 부하를 재현하는 경우가 드물다. 그 한계는 테스트를 버리는 이유가 아니라 테스트 경계를 명시하는 이유이다. 유용한 기록은 어느 소프트웨어 릴리스, 경로 세트, 프로토콜 상호작용, 실패 조건이 대표되었고, 무엇이 시뮬레이션되었으며, 무엇이 검증되지 않고 남았는지 식별한다.

같은 원리는 자동 설정 린팅에도 적용된다. 문법만 검사하는 린터는 문법적으로는 유효하지만 운영상 위험한 재분배를 수용할 수 있다. 의도된 관계를 검사하는 정책 엔진은 벤더 고유의 파싱 동작을 놓칠 수 있다. 디지털 트윈은 낡을 수 있다. 카나리아는 대표적이지 않을 수 있다. 책임성은 신화적 완벽한 검증기를 요구하지 않는다. 어떤 오류 계층을 어느 통제가 감지할 수 있었고 증거가 상충할 때 무엇이 일어났는지 보여주는 계층화된 기록을 요구한다.

경로 수량 불변식은 놀라움을 자동 정지로 바꿀 수 있다

공식 설명이 정상 내부 규모와 훨씬 큰 BGP 유래 정보 세트를 대조한 것은 구체적 통제를 가리킨다: 경로 수량 불변식이다. 통신사는 프로토콜 인스턴스, 영역, 이웃, 재분배 정책이 감당해야 하는 항목 수를 유한한 변동 범위 안에서 알고 있다. 갑자기 한 자릿수 크기의 증가를 제안하는 후보 변경은 조용히 네트워크로 통과되어서는 안 된다. [1]

불변식은 단순한 경보 임계값이 아니다. 기대되는 관계를 표현한다. IS-IS 도메인에는 기대되는 프리픽스, 링크, 도달 가능 객체 수가 있을 수 있다. 재분배 규칙은 정의된 경로 계열만 허용할 수 있다. 한 지역은 유한한 집합만을 오리진하거나 주입하도록 인가될 수 있다. 시스템은 후보 상태와 관측 상태를 배포 전·중에 이 기대와 비교할 수 있다.

좋은 불변식은 컨텍스트를 필요로 한다. 고정 임계값은 네트워크가 성장하면 구식이 될 수 있다. 전역 숫자는 지역 이상을 숨길 수 있다. 임시 정비 상태는 정당하게 항목을 늘릴 수 있다. 따라서 통제 기록은 기준선, 허용 편차, 범위, 기간, 예외 권한, 자동 응답을 식별해야 한다. 상태가 한도를 넘으면 기본 동작은 책임 있는 운영자가 증거를 갖고 예외를 수용하지 않는 한 정지 또는 격리여야 한다.

KT 사건은 경보만으로는 충분하지 않은 이유도 보여준다. 나쁜 상태가 국가적으로 전파된 뒤 나타나는 경보는 진단에는 도움되지만 봉쇄에는 도움되지 않는다. 유용한 방어는 도입 지점 근처에서 작동해야 한다. 업데이트를 거부하고, 재분배를 비활성화하고, 변경을 카나리아 토폴로지 안에 유지하고, 독립적 관측이 일치할 때까지 이후 광고를 막을 수 있다.

이는 가동 상태 우위 원칙의 적용이다. 티켓은 작은 엔터프라이즈 라우터 변경만 의도되었다고 말할 수 있다. 네트워크의 경로 카운터는 수십만 항목이 내부 프로토콜로 이동하고 있다고 말할 수 있다. 두 기록이 충돌할 때 가동 증거가 서술을 덮어써야 한다. 허가가 비정상 상태를 안전하게 만들지는 않는다.

국가 전파는 라우팅의 불가피한 성질이 아니라 아키텍처의 결과였다

조사 보도는 오류가 수십 초 내에 다른 지역으로 퍼졌다고 서술하고 한 지역의 라우팅 오류가 국가급이 되는 것을 막는 장치의 부재를 확인했다. 이것이 두 번째 주요 책임 계층이다. 초기 설정 오류는 나쁜 상태가 왜 나타났는지 설명한다. 전파 아키텍처는 그 효과가 왜 발생 지점을 벗어났는지 설명한다. [1][3][7]

대규모 통신사 네트워크에는 배포가 필요하다. 트래픽이 목적지에 닿고 장애를 우회할 수 있도록 경로와 토폴로지가 이동해야 한다. 답은 모든 라우터를 영구히 고립시키는 것이 될 수 없다. 설계 질문은 정상 운영을 허용하면서 잘못된 상태를 제한하는 장애 도메인으로 네트워크를 어떻게 나눌 것인가이다.

유용한 통제에는 제한된 재분배 지점, 경로 정책 필터, 최대 프리픽스 한도, 영역 또는 레벨 경계, 단계적 배포, 명시적 정책을 가진 라우트 리플렉터, 카나리아 장치, 자동 롤백이 포함될 수 있다. 올바른 조합은 아키텍처에 따른다. 공개 자료는 KT에 이 중 무엇이 있었는지, 어떻게 설정되었는지, 무엇이 이 특정 사건을 막았을지 보여주지 않는다. 그러나 통신사가 후보 변경의 최대 전파 도메인을 입증할 수 있어야 한다는 더 넓은 요구는 뒷받침한다.

그 입증은 테스트되어야 한다. 지역 분할 다이어그램은 운영 중인 정책이 모든 경계를 넘어 상태를 흘려보낸다면 충분하지 않다. 긴급 계정이 보완 검사 없이 우회할 수 있다면 서면 규칙은 충분하지 않다. 철회 후 낡은 상태가 얼마나 오래 남는지 팀이 관측한 적이 없다면 롤백 계획은 충분하지 않다.

국가 네트워크에는 폭발 반경을 비선형으로 만드는 의존성도 있다. 라우팅 고장은 소매 접속, 모바일 데이터, 기업 회선, 결제 연결, 다른 조직이 운영하는 서비스에 영향을 줄 수 있다. 같은 경로가 여러 논리 상품을 지원할 수 있다. 한 경로를 복원한 회복이 다른 의존성을 손상된 채 남길 수 있다. 따라서 분할 증거는 라우팅 상태와 서비스 영향을 모두 다뤄야 한다.

책임 질문은 실용적이다: 하나의 지역 작업 항목이 국가 도달성을 바꾸는 것을 무엇이 막았는가? 답이 오직 검토자가 실수하지 않기를 기대했다는 것뿐이라면, 아키텍처는 폭발 반경 통제를 인간의 완벽함에 위임한 것이다.

카나리아는 그 권한이 실제로 제한될 때만 의미가 있다

단계적 배포는 변경 리스크에 대한 흔한 대응이지만 이 용어는 약한 통제를 감출 수 있다. 카나리아는 단순히 운영 환경에서 처음 수정된 라우터가 아니다. 더 넓은 권한이 부여되기 전에 그 효과를 관측할 수 있는 의도적으로 경계 지어진 배포이다.

KT 시나리오에서 의미 있는 카나리아는 토폴로지와 전파를 제한할 것이다. 운영과 같은 관련 파서·소프트웨어 동작을 사용할 것이다. 대표적이지만 통제된 경로 세트를 받을 것이다. 모니터링은 기대 프로토콜 상태, 경로 수, 인접성 건강도, 도달 서비스를 실측과 비교할 것이다. 사전 정의된 결정이 배포 확대 또는 이전 상태 복원 중 하나를 선택할 것이다.

카나리아는 검증되지 않은 상태를 전국 도메인으로 유출할 수 없어야 한다. 그렇지 않으면 그것은 단지 첫 고장 지점일 뿐이다. 확대 단계는 카나리아, 바람직하면 독립 관측 지점의 증거를 요구해야 한다. 운영자는 어느 조건이 다음 지역이나 장치를 인가했는지 보여줄 수 있어야 한다.

카나리아 설계에는 음성 테스트도 필요하다. 검증 환경은 의도적으로 컨텍스트 경계를 누락시키고, 과잉 경로 세트를 도입하고, 금지된 재분배를 시도하고, 실패한 롤백을 시뮬레이션해야 한다. 목적은 올바른 입력이 성공함만이 아니라 방어가 위험한 상태를 거부함을 증명하는 것이다.

어떤 공개 자료도 특정 카나리아 설계가 KT의 장애를 확실히 막았으리라는 것을 입증하지 않는다. 네트워크 동작은 장치와 토폴로지에 따라 달라질 수 있다. 경계 지어진 결론은 이렇다: 파서 컨텍스트와 결과 경로 수량이 증명되지 않은 입력에 대해 전국 운영 실행은 너무 큰 권한을 갖고 있었다. 실제 봉쇄와 측정 가능한 승격 기준을 갖춘 카나리아는 수동 검토만보다 더 강한 증거를 제공했으리라.

감지는 적대적 트래픽과 자가 초래 도달성 손실을 구분해야 한다

KT의 초기 DDoS 의심은 진단적 난제를 보여준다. 고객 입장에서 트래픽 폭탄과 라우팅 실패 모두 타임아웃, 간헐적 도달성, 완전한 서비스 손실처럼 보일 수 있다. 네트워크 가장자리에서 높은 트래픽, 경로 혼돈, 인접성 실패, 애플리케이션 재시도 폭주가 함께 일어날 수 있다. 초기 가설은 필요하지만 대응 시스템은 신속히 이들을 구분해야 한다.

그 구분에 필요한 증거에는 트래픽 양과 방향, 인터페이스 오류, 경로 테이블 변경, 프로토콜 인접성 이벤트, 설정 감사 로그, CPU·메모리 압박, 외부 경로 가시성, 서비스 프로브가 있다. DDoS 가설은 적대적 또는 비정상 트래픽 증거로 뒷받침되어야 한다. 라우팅 가설은 도달성 또는 컨트롤 플레인 상태의 변화로 뒷받침되어야 한다. 운영자는 사실이 불완전한 동안 둘 다 추구할 수 있지만 공개 커뮤니케이션은 가설을 잠정적이라고 표시해야 한다.

조사의 DDoS 배제는 교정이 이뤄졌음을 보여준다는 점에서 중요하다. 설정 증거가 나온 뒤에도 공격 서사를 유지했다면 복구 노력이 잘못 배분되었으리라. 트래픽 필터링은 잘못된 라우팅 상태를 고칠 수 없다. 반대로 설정 롤백은 실제 볼류메트릭 폭탄을 흡수하지 못한다. [1][2]

이는 정확한 변경 증거를 보존할 또 다른 이유이다. 네트워크 작업 중이나 직후에 장애가 시작되면 조사자는 설치된 상태를 마지막으로 알려진 양호한 상태와 신속히 비교해야 한다. 명령이 인가된 창구 밖에서, 또는 묶이지 않은 작업 채널로 적용되었다면 감사 추적의 신뢰는 약해진다. 통신사는 서비스 복원과 증거 보존 중 하나를 선택하지 않아도 되어야 한다. 변경 시스템은 실행이 일어나는 동안 증거를 자동으로 포착해야 한다.

신속한 진단은 단순한 운영 편의가 아니다. 공공 책임성에 영향을 준다. 최초 원인은 어느 조직에 행동이 요구되는지, 고객이 어떤 리스크를 관리해야 하는지, 규제기관이 어떤 조치를 요구할 수 있는지를 결정한다. 교정된 설명은 첫 가설이 왜 대체되었는지, 무엇이 대체 원인을 뒷받침하는지 식별해야 한다.

복원, 회복, 검증은 서로 다른 주장이다

정부 타임라인은 복구 조치가 12시 45분경 완료되었다고 말한다. 그것은 의미 있는 이정표지만 같은 순간에 모든 의존 서비스가 완전히 정상이었다는 주장으로 확대되어서는 안 된다. 라우팅 복원, 고객 도달성, 세션 회복, 업무 프로세스 회복은 서로 다른 계층에서 일어난다. [1][6][8]

라우터는 올바른 테이블을 갖고 있어도 캐시, 세션, 가장자리 장치가 낡은 상태를 유지할 수 있다. 모바일 기기는 재접속이 필요할 수 있다. 결제 단말은 재시도할 수 있다. 기업 터널은 재협상할 수 있다. 애플리케이션에는 서킷 브레이커나 백로그가 있을 수 있다. 운영자의 내부 네트워크가 안정되어도 고객 체감 성능은 저하된 채 남을 수 있다.

따라서 책임 있는 회복 기록은 여러 신호를 포함해야 한다. 라우팅 계층에서: 인접성 안정성, 기대 경로 수, 수렴 관측, 반복되는 비정상 업데이트의 부재. 도달성 계층에서: 서로 다른 네트워크와 지역의 프로브. 서비스 계층에서: 대표적 DNS, 웹, 모바일, 기업 거래. 고객 계층에서: 티켓 추세와 알려진 의존 서비스의 확인.

RFC 4098의 수렴 용어는 라우팅 정보가 언제 안정되는지 정밀하게 서술하도록 돕지만 KT의 고객 회복을 정의하거나 이 사건의 측정된 수렴 구간을 증명하지는 않는다. [16] APNIC의 라우팅 장애 연구 역시 토폴로지와 서비스 관측이 장애를 감지·특성화하는 데 도움될 수 있음을 보여주지만 KT의 비공개 사건 데이터를 대체하지는 않는다. [9]

롤백 증거도 똑같이 정밀해야 한다. 통신사는 마지막으로 알려진 양호한 설정, 복원에 쓰인 명령, 각 단계 완료 시각, 수동 정리가 필요했던 상태, 회복을 확인한 외부 관측을 보관해야 한다. 롤백이 실패했거나 임기응변을 요했다면 그것 자체가 통제 발견이다.

가장 강한 마감 서술은 “서비스 복원됨”이 아니다. 어느 계층을, 어디서, 언제, 어떤 기대 조건에 대하여 확인했는지 명시하는 경계 지어진 주장이다.

책임은 편의가 아니라 통제를 따른다

대규모 장애는 흔히 비난할 한 사람을 찾게 만든다. 그 접근은 분산된 기술적 실패를 단순한 이야기로 바꾸기 때문에 매력적이다. 그러나 예방의 지표로는 대개 부적합하다.

KT는 운영 네트워크, 변경이 실행될 수 있는 계정과 절차, 승인된 정비 일정, 협력사와의 관계, 토폴로지, 텔레메트리, 롤백 능력, 공개 고객 채널을 통제했다. 이 실질적 통제의 집중은 설정이 어떻게 인가되었는지, 검사가 왜 실패했는지, 전파가 왜 넓었는지, 이후 무엇이 바뀌었는지를 입증할 1차 의무를 KT에 부여한다.

협력사 인력은 제공된 접근, 도구, 지시, 감독의 범위 안에서 자신이 수행한 구체적 작업을 통제했다. 그들의 기록이 중요하다: 누가 명령 세트를 받았는지, 작업을 무엇으로 이해했는지, 어떤 환경을 변경하고 있다고 믿었는지, 어떤 경고를 봤는지. 그러나 통신사는 실행을 아웃소싱하는 것만으로 국가 라우팅 권한에 대한 책임을 외주화할 수 없다. 접근 설계와 수용 통제는 네트워크 운영사에 남는다.

관리자는 일정, 인력 배치, 예외 처리를 통제했다. 엔지니어링 책임자는 기술 표준과 방어책을 통제했다. 보안·신뢰성 팀은 모니터링과 사건 분류를 통제했다. 경영진은 자원과 리스크 수용을 통제했다. 이 역할들은 겹칠 수 있으며 공개 증거는 개인의 법적 책임을 입증하지 않는다. 유용한 조사는 개인 책임을 추측하지 않고 결정과 증거를 매핑한다.

규제기관과 정부 조사자는 다른 계층을 통제한다. 보고를 요구하고, 산업 전반의 방어책이 신뢰할 만한지 시험하고, 공개 증거를 보존할 수 있다. 규범적 서류작업과 측정 가능한 성과를 구분해야 한다. 두 검토를 요구하는 규칙은 두 검토가 모두 수동적이고 표현 한정적이면 이 사건에 답이 되지 않는다. 더 강한 요구는 통신사가 중대 라우팅 변경에 대해 결정론적 검증, 경계 지어진 배포, 회복 증거를 증명하도록 요구하는 것이다.

고객, 가맹점, 공공 서비스 이용자는 자신의 연속성 선택을 통제했지만 KT의 내부 프로토콜 경계를 통제하지 못했다. 대조직은 이중 통신사나 오프라인 절차를 유지하는 것이 합리적일 수 있다. 소규모 이용자는 실질적인 다변화 능력이 거의 없을 수 있다. 의존성 계획은 피해를 줄일 수 있지만, 통신사의 국가 라우팅 오류 예방 책임을 네트워크를 검사하거나 통제할 수 없는 이들에게 전가해서는 안 된다.

번호 자원 기록은 권한을 식별하지만 사내 토폴로지는 드러내지 않는다

APNIC의 RDAP 서비스는 AS4766을 KT와 관련된 공개 자치 시스템 자원으로 식별한다. 이 기록은 자치 시스템 식별자가 공개 라우팅 책임 계층의 일부이기 때문에 유용하다. 운영자가 오리진과 정책 관계를 식별하고, 책임 네트워크에 연락하고, 관측을 상호 연관시키는 데 도움을 준다. [11]

이 기록은 KT의 비공개 IS-IS 토폴로지, 설정 컨텍스트, 모든 내부 라우터, 2021년 오류의 경로를 드러내지 않는다. 공개 레지스트리 데이터는 할당된 네트워크 신원과 연락처의 대장이지 모든 운영 사실에 대한 주권적 선언이 아니다. 정확하고 최신이며 사용 가능해야 하지만 사건 텔레메트리를 대체할 수는 없다.

이 구분은 더 넓은 원칙을 반영한다. 네트워크 책임성은 권한을 가동 시스템에 매핑하는 기록에 의존한다. ASN 등록은 어느 조직이 공개 번호 자원을 보유·운영하는지 말한다. 경로 관측은 어떤 도달성이 광고되었는지 말한다. 설정 로그는 장치에 무엇을 하라고 했는지 말한다. 프로토콜 상태는 무엇을 수용했는지 말한다. 서비스 프로브는 이용자가 무엇에 닿을 수 있었는지 말한다. 이 중 어느 하나만으로 전체 진실은 아니다.

기록이 상충할 때 운영자는 해소 방법을 필요로 한다. 정비 티켓이 승인되었다는 이유만으로 경로 테이블을 덮어쓸 수 없다. 레지스트리 기록이 ASN이 맞다는 이유만으로 비공개 경로를 증명할 수 없다. 대시보드가 한 내부 지점만 관측한다면 고객 회복을 증명할 수 없다. 현실 계층은 시간, 신원, 범위에 묶인 여러 기록으로 만들어진다.

KT 장애는 의도된 행정 경계와 가동 중인 프로토콜 경계가 갈라졌기 때문에 특히 교훈적이다. 책임 있는 대응은 두 기록을 모두 보존하고 그 차이를 설명하는 것이지, 승인된 의도를 실행된 상태인 것처럼 다루는 것이 아니다.

공개 영향 서술은 날조된 정밀성 없이 이뤄져야 한다

당시 보도는 인터넷 사용, 결제 시스템, 기업, KT 연결에 의존하는 서비스의 장애를 묘사했다. 고도로 연결된 경제에서 수십 분에 이르는 장애도 거래, 원격 근무, 물류, 공공 접근을 끊을 수 있다. [2][4][6][7][8]

그 유혹은 그 폭넓은 증거를 단일 고객 수나 손실 수치로 바꾸는 것이다. 가용 자료는 완전한 수치를 뒷받침하지 않는다. 보도는 가입자 수, 불만 건수, 특정 서비스를 언급할 수 있지만 그 측정들은 서로 호환되지 않는다. 가입자 기반은 장애 건수가 아니다. 불만은 고유한 영향받은 회선이 아니다. 실패한 결제 시도가 곧 최종 경제적 손실은 아니다. 국가 네트워크 사건은 소매 집계가 놓치는 방식으로 도매 또는 공유 의존성에도 영향을 줄 수 있다.

책임 있는 영향 평가는 단위를 정의해야 한다. 도달성을 잃은 접속 회선, 실패한 세션, 장애를 겪은 지역, 연속성 절차를 가동한 의존 조직, 완결되지 못한 거래를 셀 수 있다. 관측 구간과 부분 저하 포함 여부를 명시해야 한다. 고정·모바일·기업 서비스를 설명 없이 결합해서는 안 된다.

공개 보상과 규제 대응은 엔지니어링 분석과 다른 정의를 쓸 수 있다. 차이가 명시적이라면 그것은 정당하다. 보상 규칙은 단순성과 공정을 우선할 수 있다. 엔지니어링 검토는 근본 원인과 통제 범위를 우선할 수 있다. 국가 복원력 평가는 개별 청구서보다 중대 의존성에 초점을 맞출 수 있다.

완전한 공개 손실 수치의 부재는 이 사건의 중요성을 떨어뜨리지 않는다. 만들 수 있는 주장의 범위를 제한할 뿐이다. 가장 강한 결론은 이렇다: 가동 중인 라우팅 설정 오류가 국가 통신 연속성과 여러 의존 활동을 무너뜨렸으며, 전체 분포와 경제적 비용은 인용된 공개 기록에서 검증되지 않았다.

이후의 약속은 검증된 수선과 같지 않다

KT의 2021년 ESG 보고는 업무 연속성과 재해 관리 약속을 서술했다. 그런 자료는 사건 전후로 운영사가 자신의 책임을 어떻게 프레이밍했는지 보여줄 수 있다. 유용한 후속 증거지만 회사 서술이다. 모든 교정 통제가 설치·테스트·유지되고 있음을 독립적으로 증명하지 않는다. [10]

검증은 관측 가능한 아티팩트를 요구한다. KT가 자동 설정 검증기를 도입했다면 증거는 어느 장치, 소프트웨어 버전, 명령 계열을 커버하는지 보여야 한다. 가상 테스트 환경을 만들었다면 증거는 대표성과 알려진 간격을 보여야 한다. 전파를 분할했다면 증거는 강제된 경계와 테스트 결과를 보여야 한다. 협력사 감독을 바꿨다면 증거는 접근과 실행 권한이 승인된 작업에 어떻게 기술적으로 묶이는지 보여야 한다.

수선은 존재뿐 아니라 재발에 대해서도 검증되어야 한다. 통제는 존재하면서 우회될 수 있다. 경로 임계값은 설정되면서도 너무 높게 잡힐 수 있다. 실험실은 존재하면서도 낡은 토폴로지를 쓸 수 있다. 롤백은 문서화되면서도 부하 아래 실패할 수 있다. 정기 훈련은 실패 계층의 안전한 버전을 의도적으로 도입하고 통제가 이를 막는지 기록해야 한다.

공개 보고는 악용 가능한 설정을 공개할 필요가 없다. 경계 지어진 보증을 공표할 수 있다: 테스트 범위, 날짜, 독립 검증자, 커버된 실패 계층, 미해결 한계. 규제기관은 적절한 보호 아래 더 상세한 증거를 검사할 수 있다. 중요한 것은 약속이 반증 가능한 주장으로 이어진다는 점이다.

발표와 증명의 구분은 운영사에 대한 적대감이 아니다. 인프라 신뢰가 내구성을 갖게 되는 방식이다. 통신사는 중대한 실패 이후 개선하면서도 어떤 통제도 모든 리스크를 제거하지 못함을 인정할 수 있다. 증거는 고객, 규제기관, 엔지니어가 측정된 진보와 안심 장치를 구분하게 한다.

고권한 라우팅 변경을 위한 최소 증거 사슬

KT 사건은 폭발 반경이 지역이나 서비스를 넘을 수 있는 라우팅 작업을 위한 구체적 증거 사슬을 뒷받침한다.

이 표는 보편적 아키텍처가 아니다. 통제의 최소 기록이다. 서로 다른 통신사 설계는 서로 다르게 구현할 것이다. 핵심 특징은 허가에서 바이트로, 바이트에서 상태로, 상태에서 전파로, 복원에서 외부 관측 서비스로의 추적 가능성이다.

증거는 이후 검토를 위해 충분히 내구적이어야 한다. 장치와 시각에 묶일 수 없는 스크린샷은 약하다. 승인 후 명령 바이트가 바뀐다면 티켓 참조는 약하다. 근본 관측을 사용할 수 없다면 대시보드 요약은 약하다. 해시, 서명된 로그, 버전 관리된 정책, 독립 측정은 사후에 사슬을 개정하기 어렵게 만든다.

증거 보관은 보안도 존중해야 한다. 상세 토폴로지와 자격 증명은 공개되어서는 안 된다. 접근은 계층화될 수 있다. 운영자, 감사자, 규제기관은 공통 사건 신원과 해시를 공유하면서 서로 다른 수준의 상세를 볼 수 있다. 공개 요약은 민감한 명령을 게시하지 않고 무엇이 검증되었는지 밝힐 수 있다.

목적은 자체를 위한 서류작업이 아니다. 장애 중에 같은 사슬이 진단을 가속한다. 엔지니어는 무엇이 바뀌었고 어디로 퍼졌으며 어느 롤백이 유효한지 볼 수 있다. 장애 이후에는 결론이 조직적 지위가 아니라 통제와 증거에 묶일 수 있기 때문에 공정한 책임 귀속을 뒷받침한다.

통신사와 규제기관을 위한 경계 지어진 수선 프로그램

공개 기록은 이 실패 계층에 초점을 맞춘 수선 의제를 뒷받침하며, 하나의 체크리스트가 국가 장애를 없애리라는 주장을 뒷받침하지 않는다.

첫째, 통신사는 변경 승인을 불변의 렌더링된 설정에 묶어야 한다. 승인된 대상은 정확한 입력이거나 출력이 해시되는 재현 가능한 아티팩트여야 한다. 이후의 어떤 편집도 이전 승인을 무효화하거나 기록된 예외를 요구해야 한다.

둘째, 검증은 파서 인식적이고 시맨틱이어야 한다. 닫히지 않은 컨텍스트, 금지된 재분배, 경로 수량 이탈을 감지해야 한다. 관련 장치·소프트웨어 계열에 대해 실행되어야 하며 표현이 불완전한 곳에는 간격을 명시해야 한다.

셋째, 네트워크는 전파 경계를 강제해야 한다. 지역 변경은 명령이 수용된다는 이유만으로 국가 범위를 얻어서는 안 된다. 카나리아 토폴로지, 정책 필터, 자동 정지 조건은 그 실패 도메인이 명목적이 아니라 실제가 되도록 설계되어야 한다.

넷째, 통신사는 독립 지점에서 회복을 측정해야 한다. 내부 컨트롤 플레인 안정성, 공개 경로 가시성, 접속 도달성, 대표적 고객 거래는 서로 다른 신호이다. 마감은 어느 것이 통과했는지 식별해야 한다.

다섯째, 협력사 접근은 기술적으로 제한되어야 한다. 계약이나 작업 지시서가 유일한 경계여서는 안 된다. 계정, 세션, 장치, 창구, 명령 아티팩트가 승인된 작업에 묶여야 하며, 긴급 경로는 별도로 기록·검토되어야 한다.

여섯째, 사건 커뮤니케이션은 가설 변화를 보존해야 한다. KT의 초기 DDoS 의심과 이후 라우팅 결론은 교정된 진단 시퀀스로 기록되어야 한다. 이는 공중이 수선이 왜 바뀌었는지 이해하도록 돕고 엔지니어에게 감지 개선을 위한 증거를 준다.

일곱째, 규제기관은 서명 수를 세지 말고 성과를 시험해야 한다. 두 검토를 요구하는 규제는 두 검토가 같은 불완전한 표현을 검사한다면 약하다. 산업 보증은 의도적으로 잘못된 컨텍스트가 거부되는지, 비정상 경로 수량이 전파를 멈추는지, 롤백이 측정된 회복 목표를 충족하는지 물어야 한다.

마지막으로, 운영사는 경계 지어진 수선 증거를 공표해야 한다. 악용 가능한 토폴로지를 드러낼 필요는 없다. 테스트 범위, 커버된 장치 계열, 날짜, 독립 보증, 알려진 제외 항목을 밝힐 수 있다. 그것이면 연속성 약속이 열망 이상이 되기에 충분하다.

공개 기록이 아직 증명하지 못하는 것

여러 사실은 가용한 증거 밖에 있다. 완전한 명령 바이트는 공개되지 않았다. 라우터 벤더, 모델, 소프트웨어 릴리스는 여기서 확정되지 않았다. 정확한 경로 항목, 프리픽스, 인접성, 영향받은 지역은 열거되지 않았다. 비공개 IS-IS 토폴로지와 재분배 정책은 공개되지 않았다. 회복 명령의 전체 시퀀스와 수렴 관측은 이용할 수 없다.

기록은 또한 완전한 고객 수나 감사된 경제적 손실 총액을 확립하지 않는다. 모든 영향받은 서비스가 12시 45분에 회복되었음을 증명하지 않는다. 협력사의 모든 결정, 관리자의 모든 행동, 모든 경보를 식별하지 않는다. 과실, 고의, 은폐, 계약 위반, 벤더 책임을 확립하지 않는다.

이후의 연속성 서술은 모든 기술적 수선을 검증하지 않는다. 공개 레지스트리 데이터는 내부 경로를 재구성하지 않는다. RFC들은 KT가 어느 통제를 배치했는지 증명하지 않는다. 뉴스 보도는 영향과 발견을 서술하지만 1차 라우터 텔레메트리를 대체할 수 없다.

이 한계는 책임 서술의 언어를 형성해야 한다. 공식 조사가 장애를 라우팅 설정 오류로 귀속시키고 검토·실행·전파 통제의 약점을 확인했다고 말하는 것은 공정하다. 그 약점이 수선되었음의 증거를 요구하는 것은 공정하다. 숨겨진 사실을 발명하거나 공개 요약에서 개인의 법적 책임을 귀속시키는 것은 공정하지 않다.

불확실성은 무행동의 변명이 아니다. 그것은 검증 의제를 정의한다. 빠진 기록이야말로 운영사와 규제기관이 다음 검토를 위해 보관해야 할 아티팩트다: 불변의 명령, 파서 컨텍스트, 경로 수량 관측, 토폴로지 범위, 롤백 이력, 계층화된 회복 검사.

결론

KT의 2021년 장애는 작은 설정 경계 오류가 연결된 통신사 네트워크에서 권한을 가진 가동 상태가 되었기 때문에 국가적 네트워크 인프라 책임 시험이었다. 승인 창구, 작업 지시서, 두 번의 수동 검토는 의도와 절차를 서술했다. 그들은 라우터가 무엇을 파싱할지, 어느 프로토콜 도메인이 정보를 받을지, 결과 상태가 얼마나 멀리 갈지 증명하지 않았다.

가장 강한 대응은 결점 없는 운영자를 요구하는 것이 아니다. 일상적 오류를 전제하고 그것이 이례적 도달 범위를 얻지 못하게 하는 통제를 만드는 것이다. 정확한 렌더링된 설정, 파서 인식 검증, 경로 수량 불변식, 실제 카나리아 경계, 자동 정지 조건, 리허설된 롤백, 독립 회복 관측이 그것을 가능하게 한다.

책임은 그 시스템들을 통제하는 조직을 따른다. KT는 협력사가 작업을 수행한 곳에서도 가동 네트워크 권한에 대한 책임을 유지했다. 규제기관은 산업 보증이 성과를 측정하는지 시험할 책임을 유지했다. 고객은 자신의 연속성 선택에 대한 책임을 유지했지만, 검사할 수도 막을 수도 없는 내부 통신사 라우팅 오류 예방 책임은 아니다.

지속되는 교훈은 단순하다: 네트워크 인프라에서 가동 상태는 행정 서술을 능가한다. 허가 기록은 네트워크가 실제로 실행하는 바이트, 파서 컨텍스트, 프로토콜 범위, 측정 가능한 효과와 묶여 있을 때만 가치가 있다.

출처

1. https://www.korea.kr/briefing/policyBriefingView.do?newsId=156477990
2. https://www.yna.co.kr/view/AKR20211025104300017
3. https://cn.yna.co.kr/view/ACK20211029003600881
4. https://cm.asiae.co.kr/en/article/2021102915001993346
5. https://zdnet.co.kr/view/?no=20211029152700
6. https://tbs.seoul.kr/eFm/newsView.do?idx_800=3452956&seq_800=20445533&typ_800=J
7. https://www.khan.co.kr/article/202110291500011
8. https://koreajoongangdaily.joins.com/2021/10/29/business/tech/KT-network-failure/20211029184239427.html
9. https://conference.apnic.net/53/assets/files/APNT374/detecting-internet-routing-outages-with-topology-and-service-analysis_v2.pdf
10. https://m.corp.kt.com/archive/ipgrpt/attach/2021/2021_ENG_Archive.pdf
11. https://rdap.apnic.net/autnum/4766
12. https://www.rfc-editor.org/info/rfc1195/
13. https://www.rfc-editor.org/info/rfc4271/
14. https://www.rfc-editor.org/info/rfc7908/
15. https://www.rfc-editor.org/info/rfc7454/
16. https://www.rfc-editor.org/info/rfc4098/