DDoS 대비, 평시 지표를 먼저 알아 둡니다

평시 숫자를 모르면 공격을 알아볼 수 없습니다

대량 요청 공격 대응의 첫 준비는 방어 수단 설치가 아니라 평시 지표 기록입니다. 평소 초당 요청 수, 시간대별 변동 폭, 지역 분포, 주요 경로 비중을 적어 두면 이상한 트래픽을 바로 알아볼 수 있습니다. 기록이 없으면 트래픽이 늘었을 때 공격인지 유입 증가인지 판단할 수 없고, 잘못 판단해 정상 사용자를 막게 됩니다. 그래서 1단계로 평시 지표를 한 장짜리 문서에 적습니다. 2단계로 그 문서를 분기마다 갱신합니다. 서비스가 성장하면 평시 값이 달라지므로, 오래된 기준은 과잉 반응을 만듭니다.

대응 순서를 미리 적어 둡니다

공격 중에 무엇을 할지 결정하면 늦습니다. 그래서 순서를 미리 적습니다. 1단계는 확인입니다. 요청 수, 오류율, 응답 시간 세 지표를 보고 공격 여부를 판단합니다. 2단계는 범위 파악입니다. 특정 경로인지 전체인지, 특정 지역인지 분산인지 봅니다. 3단계는 완화입니다. 요청 수 제한을 켜거나 의심 패턴을 차단합니다. 4단계는 공지입니다. 서비스가 느려진 사실을 사용자에게 알립니다. 5단계는 기록입니다. 공격 패턴과 적용한 조치를 남겨 다음에 더 빠르게 대응합니다. 이 순서를 적어 두고 연 1회 가상 상황으로 연습합니다.

현재 용량으로 어디까지 버티는지 계산합니다

학습용 가정으로 계산합니다. 가정값은 평시 초당 요청이 300건이고 현재 처리 용량이 초당 1,200건이라고 두겠습니다. 용량은 평시의 4배입니다. 공격으로 초당 9,000건이 들어온다면 평시의 30배이고, 처리 용량의 7.5배입니다. 즉 용량을 늘리는 방식으로는 막을 수 없는 규모입니다. 이것이 중간 계산값이자 결론의 근거입니다. 최종 판단은 수단 선택입니다. 자동 완화 기능이나 전송 계층의 흡수 능력에 의존해야 하고, 서버 증설은 평시 변동 대응용으로만 유효합니다. 이 계산을 미리 해 두면 공격 중에 증설로 대응하려는 실수를 피할 수 있습니다.

느려지는 지점이 서버가 아닐 수 있습니다

결론을 뒤집는 조건은 병목 위치입니다. 요청 수가 용량 안이어도 데이터베이스 연결이나 외부 호출이 먼저 포화되면 서비스가 멈춥니다. 그래서 용량 숫자는 가장 약한 계층을 기준으로 적어야 합니다. 두 번째 조건은 공격 대상 경로입니다. 검색이나 로그인처럼 요청 하나가 비싼 경로를 노리면 적은 요청으로도 서비스가 멈춥니다. 그래서 경로별 비용을 측정해 비싼 경로에 더 낮은 요청 수 제한을 둡니다. 세 번째는 비용입니다. 공격 트래픽도 전송 요금을 발생시키므로, 대비 문서에는 예상 요금 증가와 상한 알림 설정을 함께 적습니다.

서버 운영 실행 전 점검표

• 평시 요청 수와 변동 폭, 지역 분포를 문서에 적었다
• 확인·범위·완화·공지·기록 순서를 미리 적었다
• 현재 용량이 평시의 몇 배인지 계산했다
• 경로별 요청 비용을 재고 비싼 경로에 낮은 제한을 두었다