답변
먼저 상대의 공격 방식부터 이해하면 대응이 수월해집니다. 디도스(분산 서비스 거부) 공격의 99% 이상은 자동화 소프트웨어(봇넷)로 이뤄진다고 보안 업계는 설명하는데, 이런 자동화 공격은 사람인지 봇인지 구분하는 인증(챌린지·캡차 등) 절차를 앞단에 두는 방식으로 상당 부분 걸러낼 수 있습니다. 실무적으로 가장 널리 쓰이는 1차 방어는 CDN·리버스 프록시 서비스를 앞단에 두는 것입니다. 소규모 사업자가 자체 서버 인프라만으로 디도스에 대응하기는 현실적으로 어렵기 때문에, Cloudflare 같은 서비스가 트래픽을 대신 흡수·필터링하게 하는 것이 실무에서 가장 흔한 1차 대응입니다. 무료 플랜도 기본적인 완화 기능을 제공하는 경우가 있어, 작은 홈페이지라도 우선 도입을 검토해볼 만합니다. 더 정교한 대응이 필요하면 Cloudflare의 Bot Management 같은 유료 부가기능을 쓸 수 있습니다. 모든 요청에 1~99 사이의 봇 점수를 실시간으로 매기고, 이 점수를 WAF 커스텀 규칙에 연동해 특정 점수 이하의 요청을 자동으로 차단·챌린지 처리할 수 있습니다. 다만 이건 Enterprise 플랜 전용 기능이라 비용이 들어갑니다. 공적 지원 창구도 있습니다. 한국인터넷진흥원(KISA)은 중소기업 대상 무료 보안 점검을 지원하고, 사이버 침해사고 신고·상담 창구 역할도 합니다. 2025년 기준 사이버 침해사고 신고가 전년 대비 26.3% 늘어난 것으로 보도될 만큼 흔한 일이니, 혼자 해결하려 하지 마시고 KISA 보호나라(boho.or.kr)에서 최신 신고 경로와 무료 점검 신청 방법을 확인해보시길 권합니다.