Kentik으로 DDoS 공격 탐지하기 — 실시간 NetFlow 분석

네트워크 가시성의 중요성

DDoS 공격은 탐지가 늦어질수록 피해가 기하급수적으로 커집니다. 전통적인 SNMP 기반 모니터링은 5분 폴링 주기로 인해 급격한 트래픽 급증을 놓치기 쉽습니다. Kentik은 스트리밍 텔레메트리와 NetFlow를 결합해 초 단위 실시간 가시성을 제공합니다.

Kentik의 데이터 수집 방식

• NetFlow v5/v9/IPFIX: 라우터·스위치에서 플로우 데이터 수집
• sFlow: 패킷 샘플링 기반 트래픽 분석
• BGP: AS 경로 정보와 트래픽 매핑
• SNMP: 인터페이스 카운터 보완 수집
• 스트리밍 텔레메트리(gNMI/gRPC): 밀리초 단위 정확도

DDoS 탐지 워크플로우

1. 베이스라인 학습: 평소 트래픽 패턴을 AI로 학습해 정상 범위 설정
2. 이상 탐지: 임계값 이상 트래픽 급증 시 2.3초 이내 경보 발생
3. 공격 분류: UDP Flood, SYN Flood, DNS Amplification 등 자동 분류
4. 소스 특정: 상위 공격 소스 IP, AS, 국가 즉시 확인
5. 자동 대응: RTBH(Remote Triggered Blackhole) 또는 BGP Flowspec으로 공격 트래픽 차단

실시간 트래픽 분석 대시보드

Kentik 포털에서 AS별, 프로토콜별, 포트별 트래픽 분포를 실시간으로 확인할 수 있습니다. DDoS 공격 발생 시 공격 소스 Top 100 IP를 초 단위로 업데이트해 보여주므로 빠른 판단이 가능합니다.

운용 효과

Kentik 도입 및 PoC에 대해서는 엑스퍼넷 네트워크 모니터링팀에 문의해 주세요.