Offcanvas

검색|인터넷 / 보안 / 통신|네트워크

mDNS 통해 디도스 공격 증폭에 사용된 장비, 10만 대 넘는다

2015.04.03 Lucian Constantin  |  IDG News Service
일부 멀티캐스트 DNS 프로토콜의 구축이 인터넷의 쿼리를 수용하도록 구성돼 있는 것으로 파악됐다.



10만 대 이상의 장비가 인터넷의 요청을 수용하는 이른바 멀티캐스트 DNS라는 잘못 구성된 서비스를 가지고 있으며 이것들이 디도스 공격 증폭에 악용될 수도 있는 것으로 밝혀졌다.

멀티캐스트 도메인 네임 시스템(mDNS)는 로컬 네트워크에 연결된 장비들이 서로 다른 자신들의 서비스를 발견하도록 해주는 프로토콜이다. mDNS는 PC와 NAS 시스템, 프린터, 등 임베디드 장비에서 모두 쓰인다.

mDNS 프로토콜은 쿼리를 유니캐스트 주소를 사용하는 특정 장비로 보내도록 해준다. 하지만 공식적인 특징은 어떤 쿼리를 받을 때 요청을 만든 주소가 같은 로컬 서브넷 안에 있는지 반응하기 전 mDNS 서비스가 확인해야 한다. 만약 서브넷 안에 있는 주소가 아니라면, 요청을 무시해야 한다.

셰드 시만이라는 보안 연구원은 일부 mDNS 구축이 이 권장사항을 따라지 않고 인터넷에서 받은 mDNS 쿼리에 응답한다는 것을 발견했다. 이러한 작동과 관련한 문제는 이중적이다.

우선, 쿼리의 유형에 따라 mDNS 반응은 모델, 시리얼 번호, 호스트 이름, 물리적인 MAC 주소, 네트워크 구성 등 장비와 서비스에 대한 민감한 세부 정보를 새나가게 할 수 있다. 이 정보는 해커들이 공격 계획을 세우는데 도움을 줄 수 있다.

두 번째 의미는 더 심각하다. mDNS 응답은 자신들을 트리거하는 쿼리보다 훨씬 더 클 수 있기 때문에, 그리고 원본 IP 주소가 스푸핑될 가능성이 있기 때문에 인터넷에서 mDNS 쿼리를 받아들이는 장비는 디도스 공격을 반영하고 증폭시키는데 악용될 가능성이 있다.

디도스 공격 내보내기는 공격자가 악성 트래픽 소스를 숨기는 것을 도울 수 있다. 공격자들은 직접 패킷에 부화를 주는 대신 IP 주소에 잘못된 응답을 보내도록 취약한 장비로 위장해 mDNS 쿼리를 보낼 수 있다.

디도스 공격 증폭은 공격을 내보낼 뿐 아니라 악의적인 트래픽 공격 양을 크게 증가시키는 것이다. 이는 취약한 장비에서 피해 대상으로 전송된 mDNS 응답의 크기는 공격자들이 만든 쿼리보다 더 클 것이다.

테스트에서 일부 취약한 mDNS 서비스가 트래픽을 최대 975%까지 증폭시켰다고 시만은 깃허브(GitHub)에서 밝혔다. "응답 서비스에 따라 바뀌는 서비스 구성과 퀴리 패킷 자체의 크기에 따라 많이 차이가 나므로 실제 증폭률을 예측하기는 어렵지만 평균 130% 이상의 증폭률이 무난할 것으로 보인다”라고 그는 덧붙였다.

증폭 기술은 최근 볼 수 있는 가장 큰 디도스 공격에서도 일부 사용됐다. DNS(Domain Name System), SNMP(Simple Network Management Protocol), NTP(네트워크 시간 프로토콜) 등이 잘못 설정돼 있다면, 악용될 수 있는 몇 가지 프로토콜이 있다.

시만은 인터넷에서 mDNS 쿼리에 응답해 잠재적인 디도스 증폭에 공격자가 사용할 수 있는 장비를 10만 대 이상 발견했다.

"이들 장비에는 일부 NAS나 프린터 등 윈도우와 리눅스 시스템이 포함된다"고 그는 말했다. "이 기계의 일부는 기업이나 대학 등 대규모 네트워크에 위치해 있으며 보안이 부족한 것으로 나타났다"라고 덧붙였다.

이 연구원은 3월 31일 이 문제에 대해 CERT 조정센터(CERT/CC)에 알렸다.

"이러한 mDNS 작동이 조직의 요구 사항이 아니라면, 로컬 링크 네트워크로 연결에서 mDNS UDP 포트 5353을 차단할 것을 검토해야 한다”라고 그는 말했다.

캐논, HP, IBM, 시놀로지(Synology)의 일부 장비들은 자사의 기본 구성에서 인터넷 기반 mDNS 쿼리에 응답하는 것으로 밝혀졌다. 하지만 그 장비들에서 구동되는 소프트웨어가 실제로 쿼리에 응답하는지는 확실치 않다고 CERT/CC는 밝혔다.

제로 구성 네트워킹용 리눅스 소프트웨어 패키지인 아바히(Avahi)도 취약한 것으로 밝혀졌다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.