홈페이지가 고의적인 트래픽 공격(디도스)으로 마비될 때 대응법

디도스(분산 서비스 거부) 공격의 99% 이상은 자동화 소프트웨어(봇넷)로 이뤄진다고 보안 업계는 설명하는데, 이런 자동화 공격은 사람인지 봇인지 구분하는 인증(챌린지·캡차 등) 절차를 앞단에 두는 방식으로 상당 부분 걸러낼 수 있습니다.

실무적으로 가장 널리 쓰이는 1차 방어는 CDN·리버스 프록시 서비스를 앞단에 두는 것입니다. 소규모 사업자가 자체 서버 인프라만으로 디도스에 대응하기는 현실적으로 어렵기 때문에, Cloudflare 같은 서비스가 트래픽을 대신 흡수·필터링하게 하는 것이 실무에서 가장 흔한 1차 대응입니다. 무료 플랜도 기본적인 완화 기능을 제공하는 경우가 있어, 작은 홈페이지라도 우선 도입을 검토해볼 만합니다.

더 정교한 대응이 필요하면 Cloudflare의 Bot Management 같은 유료 부가기능을 쓸 수 있습니다. 모든 요청에 1~99 사이의 봇 점수를 실시간으로 매기고, 이 점수를 WAF 커스텀 규칙에 연동해 특정 점수 이하의 요청을 자동으로 차단·챌린지 처리할 수 있습니다. 다만 이건 Enterprise 플랜 전용 기능이라 비용이 들어갑니다.

공적 지원 창구도 있습니다. 한국인터넷진흥원(KISA)은 중소기업 대상 무료 보안 점검을 지원하고, 사이버 침해사고 신고·상담 창구 역할도 합니다. 2025년 기준 사이버 침해사고 신고가 전년 대비 26.3% 늘어난 것으로 보도될 만큼 흔한 일이니, 혼자 해결하려 하지 마시고 KISA 보호나라(boho.or.kr)에서 최신 신고 경로와 무료 점검 신청 방법을 확인해보시길 권합니다.

공적 지원 창구를 좀 더 구체적으로 안내드리면, 한국인터넷진흥원(KISA)은 디도스 등 침해사고 신고·기술지원을 365일 24시간 운영합니다 — 전화는 국번없이 118, 홈페이지는 보호나라(boho.or.kr)의 '침해사고 신고' 메뉴로 접수할 수 있습니다. 특히 KISA는 공격받는 사이트의 IP·도메인을 'DDoS 사이버대피소'로 임시 이동시켜 들어오는 트래픽을 분석해 정상 트래픽만 사이트로 연결하고 공격 트래픽은 걸러주는 무료 서비스도 제공하니, 공격이 심할 때는 이 서비스부터 신청해보시길 권합니다. 그리고 고의적인 디도스 공격은 정보통신망법상 장애 유발 행위나 형법상 업무방해죄 적용 대상이 될 수 있어, 공격 발신지가 특정되면 KISA 신고와 별개로 경찰 사이버수사국에 형사고소도 검토할 수 있습니다(다만 분산 공격 특성상 발신지 특정에 시간이 걸리거나 어려울 수 있습니다).