보안이슈#6. AI 시대 DDoS 위협의 진화 — 볼류메트릭에서 L7·암호화 계층 공격으로

최근 보안뉴스가 발행한 '2026 DDoS 대응 솔루션 리포트'는 최근 DDoS 위협 지형이 크게 달라졌음을 보여준다.

리포트가 인용한 KISA 통계, Akamai·Netscout의 분석, 국내 실무자 대상 설문을 종합하면 공통된 방향이 드러난다. 공격은 네트워크 계층을 넘어 애플리케이션 계층으로 이동했고, 암호화 트래픽 속에 숨어들었으며, AI가 공격과 방어 양쪽의 판을 바꾸고 있다.

[2026 DDoS 대응 솔루션 리포트] AI 시대 DDoS 공격의 진화... 어떻게 대응할까

위 리포트를 바탕으로 무엇이 달라졌고 무엇을 방어해야 하는지 정리해 본다.

1. DDoS가 다시 주요 위협으로 부상한 배경

1️⃣ 침해사고 통계에서 드러난 비중

KISA가 집계한 2026년 상반기 침해사고 신고 통계에서 DDoS는 전체의 30.2%(373건)를 차지했다. 39.4%를 기록한 서버 해킹에 이어 두 번째다. 주목할 점은 추세다. DDoS 비율은 2024년 상반기 17%, 하반기 13.4%에서 2025년 상·하반기 23%·25.9%를 거쳐 2026년 상반기 30.2%로 꾸준히 상승했다.

이 상승의 배경은 두 가지 구조적 변화다. 핵티비스트(hacktivist) 그룹의 활동 강화, 그리고 공격 기법 자체의 고도화다.

2️⃣ 핵티비스트 위협의 실체

핵티비스트 그룹들은 공격 자체보다 심리적 효과를 노린다. 사이트가 잠시 접속 불가에 빠지는 것만으로도 텔레그램·다크웹에 성공 화면을 캡처해 게시하며 존재감을 과시한다. 대량 패킷을 뿌리는 네트워크 계층 공격과 HTTP 요청을 반복하는 애플리케이션 계층 공격을 병행하기 때문에, 단순 IP 차단만으로는 대응이 어렵다.

2. DDoS 공격의 계층 구조 이해

먼저 DDoS가 어느 OSI 계층을 주로 타겟으로 하는지 알아보자.

1️⃣ 세 가지 공격 유형

🔵 L3/L4 볼류메트릭 공격

대역폭을 채우거나 방화벽·서버의 세션 처리 용량을 소진시킨다. UDP·SYN·ICMP Flood가 대표적이며, IoT 봇넷으로 대량 패킷을 발생시킨다.

🔵 L7 애플리케이션 계층 공격

적은 요청만으로 DB·애플리케이션의 특정 로직을 겨냥해 CPU, DB 커넥션 같은 값비싼 자원을 고갈시킨다. 패킷이 정상 요청과 구별되지 않아 임계치 탐지를 회피한다.

🔵 반사·증폭 공격

출발지 IP를 표적 IP로 위조해 DNS·NTP 서버에 요청을 보내면, 서버가 작은 요청에 큰 응답을 표적에게 돌려보낸다. 공격자를 숨기면서 트래픽을 수십 배로 증폭한다.

볼류메트릭 공격은 대역폭 소진 방식이라 상단에서 물량을 흡수·분산하는 접근이 유효하다. 애니캐스트로 트래픽을 지리적으로 분산시키거나, 청소 센터(scrubbing center)로 우회시켜 악성 패킷을 걸러낸다. 임계치를 명확히 설정할 수 있어 대응이 정형화되어 있다. 문제는 이 논리가 L7 공격에는 통하지 않는다는 점이다.

3. 공격의 무게중심 이동 — L7과 암호화 계층

1️⃣ L7 공격이 더 까다로운 이유

L7 공격의 패킷은 일반 사용자 트래픽과 형태가 같다. 정상 브라우저의 HTTP 요청과 구별되지 않으므로 IP나 패킷 수 같은 임계치로 판별하기 어렵다. 게다가 서버는 요청을 받아 스크립트를 실행하고 백엔드 응답을 조립하는 전체 과정을 거쳐야 하므로, 적은 요청으로도 자원이 소진된다. Akamai 분석에 따르면 2023~2025년 L7 DDoS는 104%, 같은 기간 API 관련 사고는 113% 증가했다. 표적이 웹 화면에서 API 엔드포인트로 이동하고 있다는 신호다.

2️⃣ 암호화 트래픽에 숨는 공격

오늘날 대부분의 웹·API가 HTTPS를 쓴다. 역설적이게도 이 부분이 방어를 어렵게 만든다. 악성 요청이 TLS 세션 안에 있으면 방어 장비는 페이로드 검사를 위해 먼저 복호화해야 한다. Netscout 기준 최근 웹 대상 DDoS의 상당수가 HTTPS 위에서 정상처럼 보이는 요청을 반복하는 형태다.

여기서 대량의 암호화 패킷을 무차별로 유입시켜 방어 장비가 이를 전부 복호화하게 만들면, 방어 장비 자체의 CPU가 고갈된다. 이를 복호화 오버헤드(decryption overhead) 공격이라 한다. 방어 수단이 곧 병목이 되는 역설이다.

핵심은 서버가 아니라 방어 장비가 먼저 무너진다는 점이다. 대응책은 모든 트래픽을 무조건 복호화하지 않고, 필요한 서비스에 한해 선택적으로 복호화한 뒤 요청의 행위 패턴을 분석하는 방향으로 이동하고 있다.

3️⃣ 하이브리드·멀티벡터 공격

Netscout는 최신 추세를 초대형화·정교화·다각화·단기화로 요약한다. 실제 공격은 UDP Flood로 회선을 포화시키면서 TCP ACK/SYN Flood로 세션 자원을 소진시키고, HTTPS 요청으로 애플리케이션을 압박하는 식으로 여러 벡터를 병행한다. 짧은 시간에 대량 트래픽을 쏟아붓고 사라지는 히트앤런(hit-and-run), 다수 표적에 트래픽을 얇게 흩뿌려 탐지를 회피하는 카펫 바밍(carpet-bombing)도 관찰된다.

4. 초대형 봇넷과 AI가 바꾸는 공격 판도

1️⃣ Tbps를 넘어선 봇넷 규모

봇넷 규모는 이미 Tbps 단위를 넘어 pps 단위 경쟁으로 옮겨갔다. 2026년 1분기에는 29.7Tbps 규모의 역대 최고 수준 공격이 관측됐다. 해당 봇넷은 취약한 IoT 기기, 특히 인터넷 공유기와 스마트TV·셋톱박스 계열을 감염시켜 구성됐다.

2️⃣ AI, 공격과 방어 양쪽에서

AI는 DDoS의 진입 장벽을 낮추고 정교함을 높인다. 공격자는 생성형 AI로 공격 스크립트를 손쉽게 작성하고, 방어 태세를 관찰하며 실시간으로 공격 벡터를 변형한다. 서비스형 DDoS(DDoS as a Service) 확산과 맞물려 기술 지식이 얕은 공격자도 대규모 공격을 실행할 수 있게 됐다. 여기에 AI 에이전트·봇이 만드는 자동화 트래픽이 늘면서 정상과 악성의 경계가 흐려져, L7 공격의 위장 표면이 넓어진다.

같은 기술이 방어에도 쓰인다. AI·머신러닝 기반 분석은 알려진 시그니처에 의존하지 않고 유입 트래픽의 통계적 특성을 실시간 학습해 정상 기준선을 세운다. 그 기준선을 벗어나는 미탐 패턴, 임계치 미만의 저속 공격, 경계 트래픽을 탐지하고 완화 정책을 자동 적용한다. 규칙 기반 방어가 놓치는 영역을 통계 기반 방어가 메우는 구조다.

5. 방어 전략 — 계층별 다각 방어로

1️⃣ 단일 임계치 방어의 한계

많은 조직이 솔루션을 도입하고도 그것이 최신 공격 시나리오에 유효한지 검증하지 못한 채 운영한다. 단순 임계치 방어는 TCP Connection Flooding, HTTP GET Flooding, Slowloris처럼 정상 세션과 자동화 요청을 활용하는 저속 공격을 탐지하지 못한다. 이런 공격은 임계치 아래에서 조용히 자원을 잠식한다.

2️⃣ 다각 방어의 구성

효과적인 방어는 단일 지점이 아니라 공격 트래픽이 통과하는 순서대로 배치된 여러 계층의 조합이다.

🔵 볼류메트릭 흡수: 애니캐스트 분산과 청소 센터 우회로 대역폭 소진 공격을 상단에서 흡수한다.

🔵 상태 없는(stateless) 선방어: 패킷 유효성만 검사하는 전처리를 앞단에 두어 세션 자원을 노리는 공격에 견딘다.

🔵 선택적 복호화: 필요한 서비스에 한해서만 복호화해 복호화 오버헤드 공격을 무력화한다.

🔵 L7·API 행위 분석 + AI/ML 이상 탐지: IP·패킷 수준을 넘어 요청 행위와 세션 맥락을 분석하고, API 게이트웨이에서 인증·토큰을 검증한다. 국내 조사에서도 우선 투자 분야로 응답자의 50.7%가 'AI 기반 자동 탐지·차단'을 꼽았다.

6. 정리

2026년 DDoS 위협의 핵심은 세 가지다. 첫째, 무게중심이 L3/L4 볼류메트릭에서 L7 애플리케이션·API 계층으로 이동했다. 둘째, HTTPS 보편화로 공격이 암호화 트래픽에 숨어들면서 복호화 오버헤드라는 새로운 함정이 등장했다. 셋째, AI가 공격의 진입 장벽을 낮추는 동시에 방어의 핵심 수단으로도 자리 잡았다.

이러한 흐름 속에서 단일 임계치와 단일 지점 방어로는 멀티벡터·저속·암호화 공격을 막을 수 없다. 볼류메트릭 흡수, L7·API 행위 분석, 선택적 복호화, AI/ML 이상 탐지를 계층적으로 결합한 다각 방어와, 이를 실제 상황에서 검증하는 훈련·협력 체계가 함께 필요하다. DDoS는 더 이상 단순한 물량 싸움이 아니라, 비즈니스 연속성과 가용성을 겨냥한 정교한 공격으로 진화했다.