피드로 돌아가기
Dev.toSecurity
원문 읽기
Z-Score 기반 동적 Baseline 분석을 통한 실시간 DDoS 탐지 시스템 구축
Anomaly Detector
AI 요약
Context
고정 임계치 기반의 트래픽 차단 방식은 시간대별 트래픽 변동성에 대응하지 못하는 한계 존재. 단순 규칙 기반 탐지 시 발생하는 오탐(False Positive)을 줄이고 가변적인 정상 트래픽 패턴을 학습하는 유연한 보안 체계 필요.
Technical Solution
- Nginx Access Log를 Python tailing 방식으로 실시간 모니터링하여 데이터 수집 파이프라인 구축
- Deque 자료구조를 활용한 Sliding Window 구현으로 최근 60초간의 요청률을 정밀하게 계산
- 최근 30분간의 트래픽 데이터를 기반으로 Mean과 Standard Deviation을 산출하여 동적 Baseline 수립
- Z-Score 알고리즘을 도입해 현재 요청률이 통계적 정규 분포에서 벗어난 정도를 측정하여 공격 여부 판별
- iptables DROP 규칙을 통한 커널 레벨의 IP 차단 및 Slack API를 연동한 실시간 알림 자동화
- 각 컴포넌트를 독립적인 Thread로 분리하여 데이터 수집, 분석, 차단 프로세스의 병렬 처리 구조 설계
실천 포인트
1. 트래픽 변동성이 큰 서비스의 경우 고정 임계치 대신 Z-Score 기반의 통계적 탐지 도입 검토
2. 실시간 윈도우 계산 시 DB 오버헤드를 줄이기 위해 Deque와 같은 메모리 내 효율적인 자료구조 활용
3. 애플리케이션 레벨의 차단보다 iptables 등 커널 레벨의 차단을 통해 서버 리소스 소모 최소화