블랙리스트 IP 차단 및 초동 대응 경험이 있다면 구체적으로 어떤 상황이었고, 어떻게 대응했는지 설명해 주세요.

블랙리스트 IP를 차단했는데 같은 출처에서 다른 IP로 재접근이 이뤄진 경험을 사례로 봤습니다. 보안 케이스에서 단일 IP를 차단한 뒤 해당 공격자가 같은 패턴의 요청을 다른 IP로 계속 보내는 상황이 발생했습니다. IP 차단만으로는 공격 패턴 자체를 막는 것이 아니어서 연속적인 IP 추가 차단이 필요해졌습니다. IP 차단은 증상 차단이지 공격자 차단이 아니라는 것을 배웠습니다.

단일 지표 차단보다 행동 패턴 기반 탐지 체계를 함께 구축하는 것이 효과적입니다. 이를 반영해 블랙리스트 운영 시 IP 단위 차단과 병행해 요청 패턴·User-Agent·요청 빈도 기반 동적 차단 규칙을 추가하는 방식을 제안했습니다. 이 사례가 이후 IP 차단 대응 시 단일 지표 차단의 한계를 인식하고 패턴 기반 탐지를 병행 설계하는 기준이 됐습니다. IP 차단의 실효성은 단일 IP 제거가 아니라 공격 패턴 전체를 탐지하는 체계를 병행할 때 완성됩니다.