.png)
고속 플럭스란 무엇인가요?
패스트 플럭스 는 사이버 범죄자들이 도메인 이름과 연결된 IP 주소를 빠르게 변경하여 악성 인프라를 숨기는 데 사용하는 기술입니다. 공격자는 다양한 IP 주소를 지속적으로 변경함으로써 악성 웹사이트, 명령 및 제어 서버, 피싱 페이지 및 기타 인프라를 식별하고 차단하기 어렵게 만들 수 있습니다.
패스트 플럭스는 일반적으로 봇넷과 관련이 있는데, 봇넷에서는 감염된 수많은 기기가 임시 프록시 또는 호스트로 사용될 수 있습니다. 지속적인 변경은 공격자가 개별 IP 주소가 발견되거나 오프라인 상태가 되더라도 악성 서비스를 계속 제공할 수 있도록 도와줍니다.
핵심 요약
- 패스트 플럭스는 도메인 이름과 연결된 IP 주소를 빠르게 변경하는 사이버 공격 기법으로, 악성 인프라를 탐지, 차단 또는 폐쇄하기 어렵게 만듭니다.
- 고속 플럭스 네트워크는 봇넷과 해킹된 장치를 이용하여 IP 주소를 지속적으로 변경하고 피싱, 멀웨어 배포, 명령 및 제어 통신과 같은 악의적인 활동을 지원하는 경우가 많습니다.
- 단일 플럭스와 이중 플럭스는 흔히 사용되는 두 가지 고속 플럭스 기법입니다. 싱글 플럭스는 IP 주소를 회전시키는 반면 더블 플럭스는 IP 주소와 DNS 이름 서버를 모두 변경하여 악성 인프라를 회복력 있는 상태로 만들어요.
- 패스트 플럭스를 탐지하고 방어하려면 여러 보안 제어가 필요해요. 조직은 DNS 모니터링, 위협 인텔리전스, 네트워크 가시성, 침해 억제를 결합하여 의심스러운 활동을 식별하고 시스템이 손상될 경우 측면 이동을 제한해야 해요.
Fast Flux는 어떻게 작동하나요?
일반적으로 도메인 이름은 도메인 이름 시스템(DNS)을 통해 하나 또는 비교적 적은 수의 IP 주소와 연결됩니다. 빠른 플럭스는 이러한 관계를 변화시킵니다.
공격자는 악성 도메인의 DNS 레코드가 자주 변경되도록 설정합니다. 도메인이 특정 IP 주소 그룹으로 확인되었다가 몇 분 후에는 완전히 다른 그룹으로 확인될 수도 있습니다.
이러한 IP 주소 중 상당수는 봇넷 내의 해킹된 장치에 속할 수 있습니다. 이 장치들은 피해자와 공격자의 기본 인프라 사이에서 중개자 역할을 합니다.
이로 인해 방어자가 단순히 IP 주소 하나를 차단하여 악의적인 활동을 중단시키는 것이 더욱 어려워집니다.
패스트 플럭스 네트워크란 무엇인가요?
패스트 플럭스 네트워크는 악성 도메인과 관련된 IP 주소를 빠르게 변경하는 데 사용되는 시스템 및 인프라 모음입니다.
이런 네트워크는 종종 손상된 컴퓨터, 서버, 라우터, 사물 인터넷 (IoT) 기기나 봇넷을 통해 제어되는 다른 endpoints 의존해요.
네트워크는 지리적 위치와 네트워크에 걸쳐 분산된 다양한 장치를 포함할 수 있기 때문에 공격자는 탐지되거나 차단된 인프라를 지속적으로 교체할 수 있습니다.
단일 플럭스란 무엇인가요?
싱글 플럭스는 악성 도메인과 연결된 IP 주소가 빈번하게 변경되는 패스트 플럭스의 한 형태입니다.
예를 들어, 피싱 도메인이 여러 해킹된 기기로 연결될 수 있습니다. 얼마 지나지 않아 동일한 도메인이 완전히 다른 IP 주소 그룹으로 확인될 수 있게 되었습니다.
도메인 자체는 일관성을 유지하지만, 그 도메인을 뒷받침하는 인프라는 끊임없이 변화합니다.
이중 플럭스란 무엇인가요?
이중 플럭스는 복잡성을 한층 더 높입니다.
공격자들은 도메인과 연결된 IP 주소를 자주 변경하는 것 외에도 해당 도메인을 해석하는 데 사용되는 DNS 네임 서버를 주기적으로 변경합니다.
즉, 악성 호스트와 이를 지원하는 DNS 인프라가 모두 빠르게 변경되어 운영이 더 탄력적이고 방해하기 어려워질 수 있다는 뜻이에요.
공격자들이 Fast Flux를 사용하는 이유는 무엇일까요?
공격자들은 주로 고속 플럭스를 사용해 악성 인프라를 더 회복력 있는 만들고 차단하기 어렵게 만들어요.
빠른 플럭스는 공격자에게 다음과 같은 이점을 제공할 수 있습니다.
- 주요 기반 시설의 위치를 숨긴다
- 악성 도메인을 더 오랫동안 접속 가능하게 유지하세요
- IP 기반 차단을 회피하세요
- 인프라 조사 난이도를 높이세요
- 피싱 및 악성코드 유포 캠페인을 지원합니다.
- 지휘통제 통신을 유지하십시오
- 손상된 인프라를 신속하게 교체하십시오.
공격자들은 방어자가 식별하고 차단할 수 있는 단일 서버에 의존하는 대신, 여러 시스템에 걸쳐 활동을 분산시킵니다.
Fast Flux는 사이버 공격에 어떻게 사용되나요?
패스트 플럭스는 여러 유형의 악성 활동을 지원할 수 있습니다.
피싱 공격은 개별 호스팅 시스템이 차단된 경우에도 사기성 로그인 페이지를 계속 사용할 수 있도록 빠른 플럭스를 이용할 수 있습니다. 악성 프로그램 운영자는 감염된 장치와 명령 및 제어 인프라 간의 통신을 유지하기 위해 이를 사용할 수 있습니다.
봇넷은 또한 고속 플럭스 네트워크를 사용하여 손상된 장치를 통해 트래픽을 프록시하여 공격자의 실제 서버 위치를 가릴 수 있어요.
이처럼 끊임없이 변화하는 인프라는 탐지, 조사 및 검거 노력을 더욱 어렵게 만들 수 있습니다.
빠른 플럭스는 어떻게 감지할 수 있을까요?
빠른 변동 활동은 시간 경과에 따른 DNS 및 네트워크 동작을 분석하여 파악할 수 있는 경우가 많습니다.
잠재적 지표는 다음과 같습니다.
- 비정상적으로 많은 수의 IP 주소로 확인되는 도메인
- IP 주소는 매우 자주 변경됩니다.
- 매우 짧은 DNS TTL(Time-to-Live) 값
- IP 주소는 여러 네트워크 또는 지리적 위치에 분산되어 있습니다.
- 권한 있는 네임 서버의 잦은 변경
- 알려진 봇넷 또는 악성 활동과 관련된 인프라와의 연결
단 하나의 지표만으로는 고속 플럭스 전기영동이 사용되고 있음을 반드시 증명할 수는 없습니다. 보안팀은 보통 여러 신호와 행동 패턴을 분석해서 악의적인 Fast Flux 활동을 합법적인 인프라와 구별해요.
빠른 변동은 항상 악의적인가?
아니요.DNS 레코드를 빠르게 변경하거나 여러 IP 주소에 트래픽을 분산시키는 것은 자동으로 악의적이지 않아요.
콘텐츠 전송 네트워크(CDN), 클라우드 플랫폼, 로드 밸런싱 시스템과 같은 합법적인 서비스는 빠른 변화의 일부 특성과 유사한 동적 인프라를 사용할 수 있습니다.
주된 차이점은 의도와 행동에 있습니다. 보안팀이 빠르게 변화하는 인프라가 악의적인 활동과 연관되어 있는지 판단하려면 추가 컨텍스트, 평판 데이터, DNS 패턴, 네트워크 활동이 필요해요.
Fast Flux 알고리즘과 도메인 생성 알고리즘의 차이점은 무엇인가요?
빠른 플럭스 기법과 도메인 생성 알고리즘(DGA)은 모두 공격자가 악성 인프라를 파괴하기 어렵게 만드는 데 사용할 수 있는 기술이지만, 작동 방식은 다릅니다.
Fast Flux는 도메인과 연결된 IP 주소를 빈번하게 변경합니다. DGA는 악성 소프트웨어가 명령 및 제어 인프라를 찾는 데 사용할 수 있는 수많은 도메인 이름을 생성합니다.
공격자들은 탐지 및 삭제 노력에 더 회복력 있는 인프라를 만들기 위해 이러한 기술을 개별적으로 또는 함께 사용할 수 있어요.
조직은 급변하는 환경으로부터 어떻게 자신을 보호할 수 있을까요?
조직은 DNS 모니터링, 위협 인텔리전스, 네트워크 가시성, 행동 분석, 보안 제어를 결합하여 패스트 플럭스와 관련된 위험을 줄일 수 있어요.
보안팀은 비정상적인 DNS 활동을 모니터링하고 의심스럽거나 빠르게 변화하는 인프라와의 연관성을 조사해야 해요. 알려진 악성 도메인과 IP 주소를 차단하는 것은 도움이 될 수 있지만, 패스트 플럭스는 정적 차단 목록에만 의존하는 것이 충분하지 않을 수 있는 이유를 보여줍니다.
조직은 또한 악의적인 활동으로 인해 예방 조치를 우회하는 경우가 발생할 수 있음을 염두에 두고, 시스템이 침해당할 경우 공격자가 접근할 수 있는 범위를 제한할 준비를 해야 합니다.
패스트 플럭스는 침해 억제와 어떤 관련이 있어요?
Fast flux는 공격자가 외부 인프라를 식별하고 방해하기 어렵게 만드는 데 도움이 됩니다. 하지만 일단 공격자가 워크로드나 엔드포인트를 손상시키면 조직은 또 다른 과제에 직면하게 돼요. 바로 침해가 확산되는 것을 막는 거예요.
멀웨어가 악성 인프라와 성공적으로 통신하면 세분화 및 침해 격리 제어가 손상된 시스템이 다른 워크로드와 중요 리소스에 도달하는 능력을 제한하는 데 도움이 될 수 있어요.
불필요한 연결과 측면 이동을 제한함으로써 조직은 악성 인프라가 계속 변화하는 경우에도 성공적인 공격의 잠재적 영향을 줄일 수 있어요.
일루미오로 공격 확산을 막으세요
빠른 플럭스는 공격자가 탐지를 피하고 악성 인프라를 계속 온라인 상태로 유지하는 데 도움이 될 수 있습니다. 하지만 위협이 환경에 도달하면 확산을 막는 것이 우선순위예요.
Illumio는 불필요한 연결을 제한하고 공격자가 중요한 시스템과 데이터로 이동하는 것을 방지하여 조직이 침해를 억제하도록 도와줘요.
Illumio가 보안 침해를 억제하고 측면 이동을 막는 데 어떻게 도움이 되는지 확인해 보세요.
자주 묻는 질문
빠른 플럭스란 간단히 말해서 무엇인가요?
패스트 플럭스는 도메인에 연결된 IP 주소를 빠르게 변경하는 기술로, 악성 인프라를 식별, 차단 또는 폐쇄하기 어렵게 만듭니다.
패스트 플럭스는 봇넷과 관련이 있나요?
맞아요.패스트 플럭스 네트워크는 보통 봇넷을 통해 제어되는 손상된 장치를 대량으로 사용하여 끊임없이 변화하는 IP 주소와 프록시 트래픽을 제공해요.
단일 자속과 이중 자속의 차이점은 무엇입니까?
단일 플럭스는 도메인과 연결된 IP 주소를 빈번하게 변경합니다. 더블 플럭스는 악성 인프라와 관련된 IP 주소와 DNS 네임 서버를 모두 변경합니다.
빠른 플럭스를 차단하기 어려운 이유는 무엇일까요?
빠르게 변화하는 인프라는 신속하게 바뀔 수 있습니다. 도메인이 다른 손상된 시스템을 통해 트래픽을 전달하기 시작할 수 있기 때문에 악성 IP 주소 하나를 차단해도 영향이 제한적일 수 있어요.
합법적인 서비스가 급변하는 것처럼 보일 수 있을까요?
예. CDN, 클라우드 서비스 및 기타 분산 인프라는 유사한 DNS 동작을 보일 수 있습니다. 보안팀이 악의적인 활동인지 판단하려면 추가 컨텍스트가 필요해요.