노르웨이 정부 IT 인프라가 DDoS 공격을 받았어요 — 국가 인프라는 왜 단골 표적이 될까요

무슨 일이 있었냐면요

노르웨이 디지털청(Digdir)의 서비스 상태 페이지에 정부 IT 인프라를 겨냥한 DDoS 공격이 진행 중이라는 공지가 올라왔어요. Digdir가 어떤 곳이냐면, 노르웨이의 디지털 정부 서비스를 총괄하는 기관인데요. 우리나라로 치면 행정안전부의 디지털정부 파트와 비슷한 역할이에요. 국민들이 정부 서비스에 로그인할 때 쓰는 공동 인증 시스템 같은 핵심 인프라를 운영하고 있거든요. 그러니까 이런 곳이 공격받으면 세금 신고, 민원 처리 같은 일상적인 행정 서비스가 통째로 느려지거나 멈출 수 있는 거예요.

DDoS가 뭐냐면요

개발을 시작한 지 얼마 안 되신 분들을 위해 짚고 넘어갈게요. DDoS(분산 서비스 거부 공격)는 쉽게 말해 '식당에 가짜 손님 수만 명을 한꺼번에 밀어 넣어서 진짜 손님이 못 들어오게 만드는 것'이에요. 서버는 동시에 처리할 수 있는 요청 수에 한계가 있는데, 전 세계에 퍼져 있는 감염된 컴퓨터들(봇넷)이 동시에 요청을 퍼부으면 정상 사용자의 요청까지 처리하지 못하게 되거든요.

공격 방식도 층위가 나뉘어요. 네트워크 레벨(L3/L4) 공격은 아예 회선 대역폭 자체를 트래픽으로 꽉 채워버리는 방식이고, 애플리케이션 레벨(L7) 공격은 정상 요청처럼 보이는 HTTP 요청을 대량으로 보내서 서버의 CPU와 데이터베이스를 지치게 만드는 방식이에요. 후자가 더 방어하기 까다로운데요, 겉보기엔 진짜 사용자 요청과 구분이 잘 안 되기 때문이에요.

왜 정부 인프라가 표적이 될까요

최근 몇 년간 유럽에서는 정부 기관을 겨냥한 DDoS 공격이 부쩍 늘었어요. 특히 우크라이나 전쟁 이후 지정학적 메시지를 던지려는 핵티비스트(정치적 목적의 해커) 그룹들이 유럽 각국의 정부 웹사이트를 노리는 패턴이 반복되고 있거든요. 노르웨이는 NATO 회원국이기도 해서 이런 공격의 대상이 된 게 처음이 아니에요. DDoS는 데이터를 훔치는 공격이 아니라 '서비스를 멈추게 해서 존재감을 과시하는' 공격이라, 기술적 피해보다 심리적·정치적 효과를 노리는 경우가 많아요.

흥미로운 포인트가 하나 있는데요, 이번 소식이 전해진 곳이 바로 '상태 페이지'라는 거예요. 잘 운영되는 조직은 상태 페이지를 본 서비스와 완전히 분리된 인프라에 올려두거든요. 본 서비스가 공격으로 다운되더라도 사용자에게 상황을 알릴 창구는 살아 있어야 하니까요. 이건 규모와 상관없이 어떤 서비스를 운영하든 배워둘 만한 원칙이에요.

방어는 어떻게 할까요

현대적인 DDoS 방어의 핵심은 '트래픽을 한 곳에서 받지 않는 것'이에요. Anycast라는 기술로 전 세계 여러 데이터센터가 같은 IP 주소를 공유하게 만들면, 공격 트래픽이 자연스럽게 분산되거든요. 여기에 스크러빙 센터라고 해서 의심스러운 트래픽을 걸러내는 전용 시설을 거치게 하고, 애플리케이션 앞단에는 속도 제한(rate limiting)과 봇 탐지를 붙여요. Cloudflare나 Akamai 같은 CDN 업체들이 이런 방어를 서비스로 제공하는 이유가 여기에 있어요. 개별 조직이 수백 Gbps급 공격을 자체 인프라로 받아내는 건 사실상 불가능하거든요.

한국 개발자에게 주는 시사점

한국도 정부 기관과 금융권을 노린 DDoS 공격이 잦은 나라예요. 그래서 이번 사례는 남의 일이 아닌데요. 실무 관점에서 챙겨볼 것들이 있어요. 첫째, 여러분의 서비스 앞에 CDN이나 WAF(웹 방화벽) 계층이 있는지, 있다면 실제로 공격 시나리오를 테스트해 본 적이 있는지 점검해 보세요. 둘째, 오토스케일링만 믿으면 안 돼요. 공격 트래픽에 맞춰 서버가 무한정 늘어나면 서비스는 살아도 클라우드 요금 폭탄을 맞거든요. 스케일링 상한선과 비용 알림은 꼭 걸어두세요. 셋째, 앞서 말한 것처럼 상태 페이지는 본 인프라와 분리하세요.

정리하면요

DDoS는 오래된 공격이지만 지정학적 긴장과 맞물리면서 국가 인프라를 노리는 무기로 계속 쓰이고 있고, 방어는 이제 개별 서버가 아니라 아키텍처 차원의 문제가 됐어요. 여러분의 서비스는 내일 아침 대규모 트래픽 공격이 온다면 버틸 수 있을까요? 어떤 방어 계층을 갖추고 계신지 궁금하네요.