네트워크의 입구를 지키다

탐지 시스템은 한 번의 이상 신호만 보는 것이 아니라 로그와 트래픽의 패턴을 함께 관찰한다. 반복된 로그인 실패, 평소와 다른 시간대의 접근, 비정상적으로 많은 요청 같은 흔적이 분석의 단서가 된다.

IDS는 이상을 알려 사람이 대응할 수 있게 하고, IPS는 정책에 따라 차단까지 수행한다. 어떤 장비를 쓰더라도 정확한 로그를 남기는 것이 사후 분석과 재발 방지의 출발점이다.

탐지 결과가 많다고 보안 수준이 높은 것은 아니다. 정상 행동을 공격으로 잘못 판단하는 오탐과 실제 공격을 놓치는 미탐을 함께 줄여야 하므로 로그 품질과 탐지 규칙의 조정이 중요하다.

탐지 기록은 공격 순간만을 위한 것이 아니다. 어떤 요청이 언제 들어왔고 시스템이 어떻게 반응했는지 남아 있어야 문제가 끝난 뒤 원인을 추적할 수 있다. 로그와 탐지 결과를 함께 보는 이유도 전체 흐름을 다시 재구성하기 위해서다.

서비스 거부 공격은 정보가 유출되지 않아도 큰 피해를 만들 수 있다. 정상 사용자가 접속할 수 없게 되는 순간 가용성이 무너지기 때문이다. 요청 제한, 트래픽 분산, 탐지·차단 체계를 함께 준비하는 이유가 여기에 있다.

서비스 거부 공격을 막는 과정도 한 장비에만 맡기기 어렵다. 비정상 요청을 구분하고, 일정 수준을 넘는 요청을 제한하며, 여러 서버로 부하를 분산하는 방식이 함께 사용될 수 있다. 핵심은 정상 사용자가 계속 서비스를 이용할 수 있게 만드는 것이다.