[긴급] 내 웹사이트가 해킹당한다면? 초보 웹마스터의 서버 보안 구축 기획기

👤 관리자

조회 수 68

인터넷 보안, 대기업에만 필요한 거창한 기술이 아니다

인터넷 보안(Cybersecurity)이라고 하면 흔히들 금융권이나 대형 IT 기업에서 수십억 원의 장비를 두고 해커들과 싸우는 영화 같은 장면을 떠올립니다. 저 역시 "방문자도 몇 명 없는 내 개인 블로그를 누가 해킹하겠어?"라는 안일한 생각을 가지고 있었습니다.

하지만 인터넷의 세계에서 해킹은 사람을 가려가며 들어오지 않습니다. 해커들이 만들어놓은 수많은 '자동화 봇(Bot)'들은 24시간 내내 인터넷 바다를 떠돌며 보안이 취약한 만만한 서버의 문고리를 쉴 새 없이 철컥거립니다. 제 서버가 구동되고 있는 우분투(Ubuntu) 리눅스의 접속 로그 파일을 우연히 열어보았을 때, 저는 엄청난 충격을 받았습니다. 중국, 러시아, 남미 등 제가 평생 가본 적도 없는 수많은 국가의 IP 주소들이 제 서버의 관리자 권한을 탈취하기 위해 알 수 없는 비밀번호를 무작위로 대입하며 공격(Brute-force)하고 있었던 것입니다.

비록 방구석에 놓인 낡은 노트북 서버지만, 만약 이곳이 뚫린다면 제 웹사이트는 순식간에 불법 도박 사이트의 광고판으로 변질되거나 다른 서버를 공격하는 좀비 PC로 전락할 수 있습니다. '소 잃고 외양간 고친다'는 속담을 현실로 겪고 싶지 않다면, 지금 당장 저만의 철벽 방어선을 구축해야 했습니다.

방패를 들기 위한 첫걸음: 서버 보안 기획 단계

어디서부터 손을 대야 할지 막막했지만, 수많은 개발자 선배님들의 조언과 문서를 참고하여 제 수준에서 당장 적용할 수 있는 현실적이고 강력한 '3단계 보안 구축 기획안'을 세워보았습니다.

1단계: 필요 없는 문은 모두 걸어 잠그기, 방화벽(Firewall) 설정 집에 도둑이 드는 것을 막으려면 가장 먼저 안 쓰는 창문과 뒷문을 꽉 잠가야 합니다. 서버도 마찬가지입니다. 현재 제 서버에는 웹사이트 접속을 위한 포트(Port) 외에도 원격 제어나 데이터베이스 접근을 위한 수많은 논리적인 문들이 열려 있을 수 있습니다. 리눅스의 기본 방화벽인 UFW(Uncomplicated Firewall)를 활성화하여, 웹 서비스에 꼭 필요한 80번(HTTP)과 443번(HTTPS) 포트만 열어두고 나머지 문은 외부에서 절대 접근하지 못하도록 굳게 닫아버릴 계획입니다.

2단계: 해커의 도청을 막는 암호화 통신, HTTPS(SSL 인증서) 적용 만약 사용자가 제 웹사이트에서 로그인을 하거나 댓글을 남길 때, 일반적인 HTTP 방식을 사용하면 그 데이터는 누구나 훔쳐볼 수 있는 투명한 엽서 형태로 인터넷을 날아갑니다. 중간에 해커가 이 엽서를 낚아채면 비밀번호가 그대로 유출되죠. 이를 막기 위해 무료 SSL 인증서인 'Let's Encrypt'를 발급받아 서버에 적용할 예정입니다. 이렇게 하면 사용자와 제 서버 사이의 모든 대화가 아무도 해독할 수 없는 강력한 암호로 보호되는 HTTPS 통신으로 업그레이드됩니다. 구글 SEO 점수가 올라가는 것은 덤이고요!

3단계: 적을 속이는 위장술, 관리자 페이지 은닉화 해커들의 자동화 봇이 가장 먼저 찾아 들어가는 곳은 뻔합니다. 주소창 뒤에 <code>/admin</code>, <code>/manager</code>, <code>/login</code> 같은 흔한 주소를 붙여서 관리자 페이지를 찾아내려 하죠. 저는 이 뻔한 패턴을 비틀어버리기로 기획했습니다. 오직 저만 알고 있는 아주 길고 복잡한 비밀 주소(예: <code>/secret-inspeep-bunker-99</code>)를 통해서만 관리자 대시보드에 접근할 수 있도록 파이썬 라우팅 코드를 수정할 것입니다. 문이 어디 있는지조차 모르게 만들면 도둑은 들어올 수 없으니까요.

맺음말: 완벽한 보안은 없지만, 포기할 수도 없다

물론 제가 기획한 이 세 가지 방법이 뚫리지 않는 완벽한 방패라고 할 수는 없습니다. 보안의 세계에서 100% 안전이라는 단어는 존재하지 않으니까요.

하지만 대문을 활짝 열어두고 자는 것과, 튼튼한 자물쇠를 세 개나 채워두고 자는 것은 천지 차이입니다. 해커들의 목표는 방어가 허술한 쉬운 먹잇감이지, 겹겹이 방어막을 쳐둔 귀찮은 서버가 아니기 때문입니다. 내 손으로 한 줄 한 줄 코드를 짜서 만든 소중한 웹사이트를 지키기 위해, 다음 포스팅부터는 이 기획안을 바탕으로 실제로 리눅스 터미널에 접속해 방화벽을 올리고 SSL 인증서를 적용하는 피 튀기는 실전 구축기를 적어보겠습니다. 제 사이트가 단단한 요새로 거듭나는 과정을 지켜봐 주세요!