디도스 공격 경보 떴을 때 대응 순서, AI 도구보다 먼저 확인할 것

트래픽 경보가 울렸을 때 먼저 필요한 건 더 똑똑한 탐지 모델이 아니라 "이게 정말 공격이 맞나"라는 질문이라고 생각한다. 이 질문을 건너뛰고 도구부터 찾으면 판단 순서가 꼬인다. 마침 이 생각을 그대로 밀고 나가는 글을 며칠 전 러시아 IT 커뮤니티 Habr에서 읽었다. 제목만 보면 "경보부터 모델 선택까지"라 AI 분류기 이야기인 줄 알았는데, 막상 원문을 끝까지 읽어보니 저자가 말하는 "모델"은 상시 방어(Always-On)와 필요시 방어(On-Demand) 중 무엇을 쓸지 고르는 운영 방식이었다. 머신러닝은 등장하지도 않는다. 이 착각 덕분에 요점이 오히려 또렷해졌다. 경보가 울렸을 때 사람들이 제일 먼저 떠올리는 건 "어떤 AI가 더 똑똑한가"지만, 저자가 먼저 묻는 건 지금 벌어지는 일의 정체였다.

알림이 뜬 순간, 진짜 물어야 할 질문

저자는 트래픽 급증 알림의 상당수가 공격과 무관하다고 지적한다. 마케팅 캠페인이 갑자기 터졌거나, 검색엔진 봇이 사이트를 새로 크롤링하기 시작했거나, 심지어 모니터링 시스템 자체가 부하를 만들어낸 경우까지 있다. 그래서 저자가 제시하는 구분법이 흥미롭다. 진짜 공격 트래픽은 동일한 URL을 반복 요청하고, User-Agent가 부자연스럽게 겹치고, 시간대별 분포가 의심스러울 만큼 균일하다. 진짜 사람이 몰린 트래픽은 CSS와 이미지를 같이 불러오고 자바스크립트를 실행하는 등 부수적인 흔적을 남긴다. 봇은 딱 필요한 요청만 반복하고, 사람은 곁가지 흔적을 흘리고 다닌다는 뜻이다.

이 대목에서 내 블로그 얘기가 떠올랐다. 방문자 수가 평소보다 확 튀면 통계 화면에 알림이 뜨는데, 처음 몇 번은 정말 뭔가 큰일이 난 줄 알았다. 나중에 확인해보면 대개 특정 글이 커뮤니티에 링크로 퍼진 경우였다. 물론 이건 디도스와는 비교도 안 되는 규모지만, "숫자가 튀었다 = 위험하다"는 반사적 판단이 얼마나 자주 틀리는지는 그 작은 경험만으로도 충분히 체감했다.

오탐이 무서운 이유는 공격보다 사람 쪽에 있다

그런데 저자는 오탐이 귀찮은 데서 끝나지 않고 실제 피해로 이어진다는 점을 반복해서 강조한다. 확인 없이 IP를 통째로 차단하면 정상 사용자까지 막히고, 알람이 자꾸 헛짚으면 담당자는 다음 경보를 무심코 넘기게 된다. 그러다 진짜 공격이 왔을 때 대응이 늦어지는 역설이 생긴다. 보안 전반에서 반복 지적되는 현상이기도 하다. 오탐이 쌓이면 팀이 진짜 위협조차 무시하게 될 위험이 있다는 경고도 있다.(SK쉴더스 보안 인사이트) 그래서 저자의 대응 순서는 명확하다. 진단이 먼저고 차단은 그다음이다. iptables나 fail2ban으로 IP를 막는 건 쉽지만, 그 전에 지금 벌어지는 일이 공격인지 캠페인 효과인지부터 가려야 오히려 시간을 아낀다.

이 판단이 왜 지금 더 중요해졌는지는 규모 변화를 보면 알 수 있다. Cloudflare가 2024년 4분기 보고서에서 밝힌 수치를 보면 한 해 동안 완화한 디도스 공격이 2130만 건으로 전년 대비 53% 늘었고, 단일 공격 규모가 5.6Tbps까지 치솟은 사례도 있었다. 공격 빈도와 규모가 같이 커지면 오탐 하나 잘못 걸러내는 대가도 커진다. 국내에서도 2025년 디도스 대응 솔루션을 다룬 보안뉴스 리포트가 지속적인 대응 프로세스 수립을 강조하는 걸 보면, 러시아 한 회사만의 고민은 아니다.

Always-On이냐 On-Demand냐, 결국 위험 프로필의 문제

진단이 끝나고 나서야 저자는 비로소 방어 모델 선택으로 넘어간다. Always-On은 항상 필터가 켜져 있어 반응이 즉각적이지만 비용이 크고, 다른 고객이 공격받으면 같은 인프라를 쓰는 나까지 영향받을 수 있다. On-Demand는 평소엔 비용이 적게 들지만, 필터를 켜는 데 걸리는 짧은 지연 시간 동안 서버가 이미 과부하 상태에 빠질 수 있다는 게 약점이다. 그래서 저자는 이걸 위험 프로필의 문제로 다룬다. 어떤 기술이 더 좋으냐는 질문은 그다음이다. 금융권처럼 다운타임 비용이 큰 곳은 Always-On을 쓰고, 이벤트나 뉴스 매체처럼 트래픽이 간헐적인 곳은 On-Demand로도 충분하다고 권한다.

결국 이 글이 남긴 건 AI가 얼마나 정교한 모델을 쓰느냐보다, 경보를 받은 사람이 어떤 순서로 판단하느냐가 방어의 질을 좌우한다는 사실이다. 나는 이 구도가 마음에 든다. 화려한 알고리즘 이야기를 기대했다가 체크리스트와 우선순위 얘기로 끝나는 게 김빠질 수도 있지만, 실무에서 통하는 건 대개 이런 뻔한 순서다. 다음에 블로그 통계에서 숫자가 튀는 걸 보면, 예전처럼 놀라기 전에 이 글에서 본 구분법부터 떠올릴 것 같다.

맛있는 김밥 먹고 싶다.