트래픽이 갑자기 치솟고, 페이지가 돌고, API가 타임아웃 됩니다 — 이 증상은 성공한 프로모션일 수도, DDoS일 수도 있습니다. 그 차이는 중요합니다. 잘못된 예산을 쓰느냐가 갈리기 때문입니다. 공격을 스케일링 문제로 여기면 사든 대역폭이 1초 만에 뚫리고, 피크를 공격으로 여기면 진짜 사용자를 막아 전환율을 해칩니다. 실전적인 세 축 진단을 알려드립니다.
축 1: 트래픽이 어디서 오는가 — 출처 분산
가장 빠르게 가르는 기준입니다.
- 정상 트래픽: 진짜 사용자층에 집중 — 같은 지역, 같은 네트워크(ASN), 같은 활동 시간대. 연결 테이블이나 플로우 데이터를 뽑아보면 IP 분포가 "익숙한 얼굴"입니다.
- DDoS 트래픽: 수천 개의 낯선 네트워크 블록에서 오고, 흔히 여러 국가와 이상한 ASN에 걸쳐 있습니다. 소수 IP가 고빈도로 때리는 것은 스크래퍼나 단일 악용일 가능성이 높고 분산 공격은 아닙니다.
직관 체크: "요청량 급증"과 출처 IP 분산이 함께 급증한다면 그것은 거의 확실히 인간이 아닙니다.
축 2: 트래픽이 어떻게 생겼는가 — 프로토콜·패킷 시그니처
정상 비즈니스 트래픽은 대개 HTTP/HTTPS 중심의 매끄러운 프로토콜 믹스입니다. 다음 형태를 주의하세요:
- 강한 UDP / ICMP: 당신은 웹 서비스인데 UDP나 ICMP에 잠김 — 전형적인 용량형 또는 반사·증폭(NTP·DNS·SSDP·Memcached 같은 공개 서비스를 50배 이상 증폭기에 악용).
- SYN / ACK 불균형: 대역폭은 안 찼는데 SYN_RECV가 쌓이고 연결 테이블이 고갈 — 프로토콜 공격; 방화벽과 로드밸런서가 먼저 쓰러집니다.
- "아주 정상처럼 보이는" 요청: 모두 유효한 GET/POST인데 비싼 엔드포인트(검색·로그인·캡차)를 때림 — 애플리케이션 계층 CC, 트래픽 형태만으로는 거의 보이지 않고 비용 이상과 행동 규칙으로만 잡힙니다.
축 3: 비즈니스에 무슨 일이 생겼는가 — 상관관계
이 축이 얼마나 걱정해야 하는지 결정합니다. 아래 표와 비교하세요:
| 지표 | 정상 변동 | 의심되는 공격 |
|---|---|---|
| 요청량 | 캠페인과 연결, 설명 가능 | 설명 안 되는 10배+ 급증 |
| 에러율 | 낮고 안정적 | 5xx / 타임아웃 급증 |
| 출처 IP | 진짜 사용자층 | 엄청난 양의 낯선 네트워크 블록 |
| 연결 | 사용자 규모와 일치 | 연결 테이블 포화 |
| 주문 / 요청 | 정상 비율 유지 | 요청은 늘고 전환은 정체 |
핵심: "요청 급증"에 에러 상승 + 출처 분산 + 전환율 하락이 수반된다면 그것은 피크가 아니라 공격입니다.
세 가지 공격 계급, 어떻게 구분하나
- 용량형: 대역폭 포화, 송신이 한계 근처. UDP / 반사 증폭; 단일 송신으로는 감당 안 됨 — 가장 잘 보이고 가장 가혹함.
- 프로토콜형: 대역폭은 괜찮아도 연결/세션 테이블이나 방화벽 상태가 SYN / ACK Flood로 고갈. 서버가 "완전히 죽진 않았지만 전혀 응답 안 함"은 보통 이것.
- 애플리케이션 계층(CC): 트래픽은 정상처럼 보이나 데이터베이스·로그인·검색을 relentlessly 태움. 매 요청이 합법적이라 한눈에 잡기 가장 어려움 — "비용 이상"과 행동 규칙으로만 잡힘.
60초 확인 체크리스트
- "출처 분산 + 에러 상승 + 대역폭 또는 연결 포화"가 동시에 나타나는가?
- 그 순간 진짜 사용자가 (느린 게 아니라) 완전히 접속 불가한가?
- 단일 IP 속도를 제한한 후 전체 압력이 눈에 띄게 떨어지는가? (그렇다면 단일 악용 가능성, 아니면 분산 가능성.)
- 프로토콜 믹스에 당신 업종과 맞지 않는 강한 UDP / SYN이 보이는가?
위 세 가지가 해당하면 기본적으로 DDoS 또는 CC 공격이라 부를 수 있습니다. 확인되면 사이트가 DDoS 공격을 받고 있을 때: 15분 대응 플랜으로 넘어가세요.
왜 "1분 빨리 확인"하는가
1분 빨리 확인하고, 1분 빨리 스크러빙을 붙이면, 잃는 시간이 1분 줄어듭니다. 많은 팀이 "내 코드가 고장 난 건가" 디버깅에 머뭇거리다가 30분 뒤에야 공격임을 깨닫고 — 그 30분의 주문과 플레이어는 돌아오지 않습니다. 방어를 아직 평가 중이라면 무료·자체 구축 vs 전문 DDoS 방어를, 또는 문의하여 무료 사전 평가를 받으세요.