pile·
보안·vercel-blogVercel Blog·

Protectd: Vercel 의 실시간 DDoS 방어 엔진 아키텍처

Vercel 이 기존 DDoS 방어 시스템의 주요 병목을 해결한 실시간 보안 엔진 Protectd 를 공개했다. 기존 4단계 아키텍처는 ClickHouse 에 데이터를 물리화한 후 방어 서명을 배포해 TTM 이 20초를 넘겼다. Protectd 는 엣지에서 실시간으로 신호를 처리해 P50 TTM 2.5초, P99 TTM 3.5초를 달성했다.

핵심 포인트
  • 기존 시스템 병목: L7 방어의 85%가 ClickHouse 데이터 물리화 후에야 작동, TTM 20초 이상
  • Protectd: Golang 작성, 14개 CPU 코어로 전 세계 초당 55만 이벤트 처리
  • JIT·SIMD JSON 직렬화, 가상 시간 처리, 확률적 자료구조(probabilistic data structures) 적용
  • Shadow Mode: 신규 필터를 먼저 플래그만 치고 ClickHouse 에서 정확도·오탐율 분석 후 실제 차단 적용
  • 2025년 1월 전체 롤아웃 후 P99 TTM 3.5초, P50 2.5초, 최소 0.5초 달성
  • 차단된 공격 중 5% 이상이 상위 비-Vercel 프록시를 통과한 것을 Protectd 가 추가 탐지
상세 정리
  • 기존 4단계 구조: PoP 필터링(L3/L4 SYN flood, UDP reflection) → L4 심층 검사(connection flood) → TLS terminator L7 인밴드 방어(path traversal, 기형 요청) → ClickHouse 아웃오브밴드 분석(JA4 fingerprint·User-Agent 추적 후 서명 이벤트 버스 배포)
  • 핵심 병목: netlog 를 ClickHouse 에 물리화한 후에야 서명 생성. L7 방어 85%가 이 파이프라인 의존. 폴링 기반 구조라 지역 노드가 서명 업데이트를 반복 쿼리해 TTM >20초
  • Protectd 설계 철학: 글로벌 중앙화 분석 대신 엣지로 이동. 도착하는 실시간 신호를 그 자리에서 처리해 TTM 단축
  • 데이터 수신: FluentBit 포워더 → 영속 TCP 연결 → 뉴라인 구분 JSON 스트리밍 수신
  • 성능 최적화: JIT·SIMD JSON 직렬화, 가상 시간 처리, 확률적 자료구조. 14 CPU 코어로 550,000 이벤트/초 처리
  • 탐지 시그널: TLS 핑거프린트·User-Agent 상관관계, ASN·IP 평판, 요청 흐름 이상 동작, 신규 공격 패턴 인식
  • 서명 배포: 위협 탐지 즉시 같은 리전 이벤트 버스에 방어 서명 푸시 → TLS terminator 즉시 적용
  • 테스트 방법론: Shadow Mode(먼저 플래그만 치고 ClickHouse 에서 오탐율 분석), 비율 기반 점진 롤아웃(challenge solve rate 모니터링), 히스토리컬 리플레이(과거 공격 재현 테스트)
  • ClickHouse 역할 전환: 실시간 탐지에서는 배제, 장기 트래픽 인텔리전스와 복잡한 행동 시그널 분석에 집중
왜 읽나대규모 엣지 인프라에서 실시간 위협 탐지 시스템을 설계하는 SRE·보안 엔지니어가 엣지 이동 아키텍처, 확률적 자료구조 활용, shadow mode 점진 롤아웃 패턴을 실제 수치와 함께 참고할 수 있다.
vercel-blog
Vercel Blog 블로그
원문은 여기서 이어서 읽을 수 있어요
원문 읽기
읽음 (0)
·takedown 요청

이 글과 비슷한

  1. 보안·cloudflare-blogCloudflare Blog·

    오리진 서버 포스트 퀀텀 인증 지원 — ML-DSA mTLS 구현기

    Cloudflare가 오리진 서버와의 TLS 연결에 포스트 퀀텀 인증(ML-DSA)을 도입했다. 2023년 이미 포스트 퀀텀 암호화(encryption)가 배포됐지만, 인증(authentication)은 여전히 양자 공격에 취약한 상태였다. Authenticated Origin Pulls(AOP)와 Custom Origin Trust Store(COTS) 두 제품을 통해 완전한 상호 인증 TLS를 구현했으며, FIPS 204(ML-DSA) 표준을 오리진 연결에 적용한 첫 번째 마일스톤이다.

    #mtls#tls#post-quantum+2