DDoS 테스트와 부하 테스트: 무엇이 필요할까?

DDoS 테스트와 부하 테스트는 둘 다 시스템에 대량의 트래픽을 보내기 때문에 자주 혼동됩니다. 그러나 목적은 다릅니다. 부하 테스트는 많은 실제 사용자가 접속할 때 애플리케이션이 수용 가능한 성능을 내는지를 묻습니다. DDoS 테스트는 방어 체계를 압도하거나 소진시키도록 설계된 트래픽에 대해 방어가 버티는지를 묻습니다. 잘못된 것을 선택하면 진짜 질문에 대한 답을 얻지 못할 수 있습니다. 이 가이드는 둘을 비교하고 어느 것을 먼저 실행할지 결정하도록 돕습니다.

무엇인가

부하 테스트와 스트레스 테스트는 현실적인 사용자 행동을 시뮬레이션합니다. 탐색, 로그인, 검색, 장바구니 담기, 결제, API 호출 등입니다. 테스트는 트래픽을 예상 수준과 피크 수준까지 점진적으로 늘리며, 때로는 한계점을 찾기 위해 그 이상으로 높이기도 합니다. 결과는 응답 시간, 오류율, 처리량, 리소스 사용량에 초점을 맞추며, 느린 데이터베이스 쿼리, 제한된 커넥션 풀, 너무 늦게 반응하는 오토스케일링 같은 병목을 찾는 데 도움이 됩니다. DDoS 회복력 테스트는 적대적인 트래픽 패턴을 시뮬레이션합니다. 네트워크 수준의 플러드, 연결 고갈, 캐싱을 우회하도록 설계된 대량의 애플리케이션 요청 등입니다. 결과는 완화 서비스, 속도 제한, WAF 규칙, 상위 보호 장치가 트래픽을 탐지하고 흡수하는지, 그렇게 하는 데 얼마나 걸리는지, 정상 사용자가 어떤 영향을 받는지에 초점을 맞춥니다. 부하 테스트는 주로 용량과 효율에 관한 것이고, DDoS 테스트는 주로 보호와 대응에 관한 것입니다. 둘 다 서면 범위, 안전한 제한, 중단 조건이 필요하며, DDoS 테스트는 대부분의 경우 제공업체 승인도 추가로 필요합니다.

누구를 위한 것인가?

이 비교는 다음과 같은 팀에 도움이 됩니다.

출시, 캠페인 또는 계절적 피크를 준비하며 용량에 대한 확신을 원하는 팀
CDN이나 DDoS 완화 서비스를 도입했고 그것이 어떻게 작동하는지 보고 싶은 팀
속도 저하나 장애를 겪었지만 원인이 부하인지 공격인지 확실하지 않은 팀
두 가지 트래픽 테스트가 제안된 이유를 경영진에게 설명해야 하는 팀

무엇을 명확히 하는 데 도움이 되는지

둘을 비교하면 다음이 명확해집니다.

주된 리스크가 실제 수요가 용량을 초과하는 것인지, 적대적 트래픽이 보호 능력을 초과하는 것인지
어떤 환경이 적합한지: 부하 테스트에는 운영 환경과 유사한 스테이징 시스템, 회복력 테스트에는 조율된 운영 환경 시간대
어떤 지표가 중요한지: 응답 시간과 오류율, 또는 탐지, 완화 시간, 사용자 영향
어떤 제공업체에 통지하거나 승인을 받아야 하는지

포함된 내용

부하 테스트를 선택할 경우: 출시나 피크가 다가오거나, 성능 불만이 반복되거나, 아키텍처나 호스팅을 변경한 경우
DDoS 테스트를 선택할 경우: 실제로 작동하는 모습을 본 적 없는 완화 서비스에 의존하거나, 주목도가 높은 서비스를 운영하거나, 고객이나 파트너가 회복력에 대해 묻는 경우
부하 테스트의 경우: 사용자 여정, 예상 및 피크 규모, 테스트 데이터, 성공 기준을 정의
DDoS 테스트의 경우: 공격 시나리오, 최대 속도, 제공업체 승인, 중단 조건을 정의
공통 사항: 환경, 시간대, 모니터링, 지정 연락처, 보고 방식을 합의
순서 고려: 보호 체계를 테스트하기 전에 부하 테스트에서 발견된 용량 문제를 수정

포함되지 않은 것

어느 테스트든 가동 시간을 확보하거나 향후 모든 트래픽 사건으로부터 보호한다는 주장
필요한 경우 서면 승인과 제공업체 승인 없이 수행하는 테스트
별도로 범위를 정하지 않은 지속적인 모니터링이나 인시던트 대응
상세한 트래픽 생성 기법

선택해야 할 때

확실하지 않다면 답을 얻어야 할 질문에서 시작하십시오. 질문이 '출시 당일 예상 고객에게 서비스를 제공할 수 있는가?'라면 부하 테스트를 실행하십시오. 질문이 '누군가 우리를 오프라인으로 만들려 할 때 보호 체계가 버틸 것인가?'라면 DDoS 회복력 테스트를 실행하십시오. 많은 조직이 둘을 순서대로 수행합니다. 부하 테스트로 건전한 기준선을 확립한 다음, 회복력 테스트로 그 기준선에 비추어 보호 체계를 평가합니다.

우리의 접근 방식

테스트 전에 성공을 정의하십시오. 부하 테스트라면 특정 동시 사용자 수에서 수용 가능한 응답 시간일 수 있습니다. 회복력 테스트라면 완화가 작동하기까지 걸리는 시간과 그동안 정상 사용자가 겪는 영향의 수준일 수 있습니다. 당사의 Application Load & Stress Testing 서비스는 합의된 사용 시나리오, 부하 수준, 환경, 안전 제한에서 애플리케이션의 동작을 평가합니다. 당사의 DDoS Resilience Testing 서비스는 제공업체 조율을 포함해 합의된 방해 시나리오를 서면 제한 내에서 평가합니다. 각각 서면 관찰 사항과 우선순위가 매겨진 권고를 제공하며, 조치나 지속적인 모니터링은 별도로 합의한 범위에서 추가할 수 있습니다. 둘 다 계획한다면 환경, 연락처, 보고 형식이 맞춰지고 결과를 비교할 수 있도록 함께 범위를 정하십시오.

DDoS Resilience Testing

DDoS Resilience Testing 서비스 페이지 보기