SmartCode Relay
워크플로

Layer 7 DDoS: 내보낸 로그에서 런북까지

03
시나리오

작은 쇼핑몰 사이트의 트래픽 급증

어젯밤 쇼핑몰 사이트가 느려졌어요. 왜일까요? 캠페인일 수도, 레이어 7 폭주일 수도 있어요. 내보낸 접근 로그와 서버 설정 복사본이 있다면, 이 가이드로 요약과 요청 제한 초안, 런북까지 만들 수 있어요.

01

프로젝트 폴더 열기

내보낸 접근 로그와 서버 설정 복사본을 한 폴더에 넣고, 그 폴더를 SmartCode Relay에서 열어요.

02

요청 요약하기

에이전트에게 직접 만든 로그 요약 스크립트를 실행하게 하고, 주소별, 경로별 요청 수를 CSV 파일로 저장해 달라고 하세요.

03

요청 제한 초안 만들기

설정 복사본을 편집하게 하고, diff를 읽은 뒤, 그 복사본에서 직접 만든 테스트 명령을 실행하세요.

04

작성하고 확인하기

ddos-runbook.txt를 저장하고 한 줄씩 읽어 본 다음, 무엇이든 적용하기 전에 Plan only로 남은 일을 나열해 보세요.

예시: 한 페이지짜리 대응 런북

ddos-runbook.txt
# ddos-runbook.txt - small shop site
# Owner: site admin
trigger: slow pages and an odd log summary
step 1: check the provider status page
step 2: raise the provider protection level
step 3: review the log summary for top paths
step 4: apply a rate limit, then test it
step 5: keep the origin address private
step 6: record times, rules and who was called
rollback: remove the limit if real visitors are refused
review: update this file after each incident

일반 텍스트예요. 각 단계는 나나 업체가 할 동작을 적고 있고, 공격 명령은 하나도 없으며, 마지막 두 줄은 롤백 방법과 다시 검토할 시점을 알려 줘요.

워크플로 두 가지 더

내 DDoS 모니터링을 위한 임계값 작성하기

임계값은 이미 쓰고 있는 모니터링 시스템에 속하며, 에이전트는 숫자를 고르도록 도와줄 뿐이에요. 알림을 직접 설정하지는 않아요. read_file이 평소 바쁜 날의 로그 요약을 열고, grep이 중요한 경로를 찾고, write_file이 입력할 값을 담은 짧은 메모 파일을 저장해요. 웹사이트에 대한 DDoS 공격에 대응하는 일은 임계값이 필요해지는 밤 전에 미리 적어 두면 훨씬 수월해요. 먼저 Plan only로 단계의 개요를 읽어 보세요. 이 모드는 아무것도 실행하지 않아요. 그런 다음 Ask first로 바꿔 에이전트가 요약을 읽고 write_file이 메모를 저장하게 하세요. 각 숫자를 내 분석 데이터와 맞춰 보고, 직접 입력하고, 첫 알림을 주의 깊게 지켜보세요.

바쁜 주소 하나와 많은 주소 구분하기

분산된 IP에서 오는 DDoS 트래픽을 완화하는 일은 주소 하나를 차단하는 것만으로는 되지 않으니, 요약에서 주소별 개수와 경로별 개수를 비교하세요. 작은 출처가 많이 모이면 커져요. 레이어 7 DDoS 방어는 경로별 제한에 의지해요. 요청 하나하나는 그 자체로 정상으로 보이기 때문이에요. Shell이 경로별로 묶도록 로그 요약 스크립트를 다시 실행하고, grep이 새 요약에서 관심 있는 경로를 찾아요. DDoS 공격이 끝없이 이어지는데 서버에서 막을 수 없을 때는 런북이 업체에 언제 연락할지 알려 줘요. 요약은 Ask first 모드에서 검토하고, 새 제한은 모두 복사본에서 테스트하세요.

Windows용 SmartCode Relay

내 로그로 직접 해 보세요

SmartCode Relay 다운로드 ↗