DNS 싱크홀

DNS Sinkhole

악성코드에 감염된 단말이 공격자의 명령제어(C&C) 서버로 접속하려 할 때, DNS 응답을 조작해 공격자 서버 대신 통제된 서버(싱크홀 서버)로 연결되도록 유도하는 대응 기법

감염 자체를 막는 것이 아니라 감염 이후의 통신을 끊는 사후 대응이다.

동작

• 악성코드가 C&C 서버의 도메인을 질의한다.
• DNS 서버가 실제 IP 대신 싱크홀 서버의 IP 를 응답한다.
• 단말은 공격자 서버가 아니라 싱크홀 서버로 접속한다.
  • 명령을 받지 못하므로 좀비 PC 로 동작하지 못한다.
  • 접속 기록이 남아 감염 단말을 식별할 수 있다.

특징

• 이용자의 단말에 별도 조치를 하지 않아도 되므로 대규모로 적용하기 쉽다.
• 국내에서는 한국인터넷진흥원과 인터넷 서비스 제공자(ISP)가 함께 운영한다.
• DNS 스푸핑과 기술적 원리는 같지만 목적이 반대다. 공격이 아니라 방어에 쓴다.
• 도메인을 차단하는 방식이므로 악성코드가 IP 주소로 직접 접속하거나

 도메인 생성 알고리즘(DGA)을 쓰면 우회된다.

같이 보기

• 도메인 네임 시스템
• DNS 스푸핑
• DNSSEC
• 봇넷