20강 / 20강

보안 — 문을 잠그고 마무리하기

방화벽, 최소 권한, 그리고 여러분이 배운 것

마지막 강입니다. 쇼핑몰은 돌아가고, 백업도 자동으로 됩니다. 이제 문을 잠글 차례예요.

17강에서 봤듯, 여러분의 서버는 지금 이 순간에도 두드림을 당하고 있습니다. 공격자는 사람이 아니라 전 세계를 훑는 로봇이에요. "우리 사이트는 작으니까 괜찮겠지"는 통하지 않습니다. 로봇은 크기를 가리지 않거든요.

고등학생문을 잠그고 마무리하기

마지막 강입니다. 그동안 만든 것을 지킵니다.

서버는 지금 이 순간에도 두드림을 당하고 있다

진짜입니다

sudo grep "Failed password" /var/log/auth.log | wc -l

공개된 서버라면 하루에 수천 번이 나옵니다.

누가	왜
자동 스캐너	전 세계 IP 를 훑는다
봇넷	감염시킬 서버를 찾는다

"우리는 작아서 안 노린다" 는 착각이다 — 기계가 전부 훑는다

보안의 세 층

층	하는 일	강
줄인다	열린 문을 최소한으로	20
강화한다	남은 문을 튼튼하게	13·20
줄인다(피해)	뚫려도 번지지 않게	7·14

완벽한 방어는 없다 — 세 층으로 확률을 낮춘다

비유 — 집 지키기

층	비유
줄이기	안 쓰는 창문을 막는다
강화	좋은 자물쇠
피해 축소	귀중품은 따로 금고에

가장 효과가 큰 것은 첫 번째다 — 없는 문은 못 딴다

SSH 로 몇 번, 웹으로 몇 번 두드려졌는지

bash 내 가상 Ubuntu 서버에서 실행

sudo grep "Failed password" /var/log/auth.log | wc -l
sudo grep -E "admin.php|wp-login|\.env" /var/log/nginx/access.log | wc -l

방화벽 — 필요한 문만 열기

서버에는 65535개의 포트(문)가 있습니다. 우리에게 필요한 건 세 개뿐이에요.

22SSH내가 들어갈 문 — 반드시 열어야

80HTTP손님이 들어올 문

443HTTPS암호화된 손님 문

8000앱열면 안 됩니다 — nginx 뒤에 숨겨 둡니다

Ubuntu 의 방화벽은 ufw(Uncomplicated FireWall)입니다. 이름대로 쉬워요.

설치하고 상태 확인 — 아직 꺼져 있습니다

bash 내 가상 Ubuntu 서버에서 실행

sudo apt install ufw
sudo ufw status

고등학생순서를 틀리면 스스로 쫓겨납니다

note 의 이 경고가 가장 흔한 자책골입니다.

방화벽을 켰는데 SSH 를 허용 안 하면 — 못 들어온다

올바른 순서

순서	하는 일
1	`ufw allow OpenSSH` — 먼저 허용 ⭐
2	`ufw allow 80,443`
3	`ufw enable` — 그다음 켠다

1번과 3번을 바꾸면 그 순간 끝난다

왜 이게 치명적인가

서버 종류	복구
내 앞의 서버	키보드로 고친다
클라우드	콘솔 · 복구 모드 — 시간이 든다
원격 데이터센터	사람이 가야 한다 ⚠

원격 서버에서는 돌이킬 방법이 없을 수 있다

안전 습관 세 가지

습관	설명
접속을 하나 더 열어 둔다	막히면 그쪽으로 되돌린다
예약 되돌리기	`at now + 10 min ufw disable`
콘솔 접근을 먼저 확인	클라우드 웹 콘솔

두 번째가 좋다 — 10분 뒤 자동으로 원복되게 걸어 둔다

잘 되면 예약을 취소하면 되고, 막히면 10분 뒤에 돌아옵니다.

비유 — 사다리 치우기

지붕에 올라가서 사다리를 치우면 내려올 방법이 없죠.

6강의 SSH 설정 고치기와 똑같은 구조의 사고

공통점은 — 내가 쓰는 통로를 내가 막는 것입니다.

올바른 순서 — 문을 먼저 열고 나서 방화벽을 켭니다

bash 내 가상 Ubuntu 서버에서 실행

sudo ufw allow 22
sudo ufw allow 80
sudo ufw allow 443
sudo ufw enable
sudo ufw status

이제 8000번 포트는 바깥에서 닿을 수 없습니다. 그런데 우리 쇼핑몰은 여전히 잘 돌아가요. 왜냐면 nginx가 서버 안에서 8000번으로 접속하기 때문입니다. 방화벽은 바깥에서 들어오는 것만 막거든요.

안에서는 잘 되고, 바깥으로는 80·443·22만 열려 있습니다

bash 내 가상 Ubuntu 서버에서 실행

curl -s http://localhost/healthz
sudo ss -ltnp

🎮 보안 점검 실험실

여러분의 가상 서버를 실제로 점검합니다. 지금까지 설정한 것들이 안전한지 항목별로 검사해 보세요.

고등학생방어의 우선순위

보안 항목은 끝이 없습니다. 그래서 순서가 중요해요.

효과가 큰 것부터 — 몇 가지가 대부분을 막는다

순위	조치	막는 것
1	업데이트를 한다	알려진 취약점
2	SSH 열쇠만 허용	비밀번호 대입
3	root 로그인 금지	가장 많이 노려진다
4	방화벽 — 필요한 포트만	노출 축소
5	앱을 전용 계정으로	피해 확산
6	fail2ban	반복 시도

1~3번만 해도 대부분의 자동 공격이 막힌다

왜 업데이트가 1위인가

실제 침해의 대부분은 알려진 취약점입니다. 새로운 공격이 아니라 패치를 안 한 것이죠.

공격	비율
알려진 취약점	대부분
제로데이 (미공개)	드물다

영화 같은 해킹은 드물다 — 문을 안 잠근 집이 털린다

비밀번호 대신 열쇠

	비밀번호	SSH 열쇠
자동 대입 공격	가능	사실상 불가능

13강에서 만든 열쇠가 여기서 방어가 된다

비유 — 유행병 예방

조치	효과
손 씻기 · 예방접종	대부분을 막는다 — 싸다
희귀 질환 대비	비싸고 드물다

기본을 다 하고 나서 고급으로 간다

서버 관리자의 다섯 가지 원칙

①최소 권한필요한 만큼만. root 로 살지 않기 (7강)

②최소 노출필요한 포트만. 앱은 127.0.0.1 에 (16·20강)

③최신 유지apt update && apt upgrade 를 정기적으로 (12강)

④기록 남기기로그가 없으면 사고를 알 수 없습니다 (17강)

⑤되돌릴 길백업 · 설정 .bak · 복원 연습 (19강)

③ 보안 패치는 가장 값싼 방어입니다

bash 내 가상 Ubuntu 서버에서 실행

sudo apt update
sudo apt upgrade

우리가 만든 것을 한눈에

20강 동안 여러분은 이 구조를 전부 직접 다뤘습니다.

밖🛡️ ufw 방화벽

22 · 80 · 443 만 · 나머지는 차단 (20강)

앞🏠 nginx

리버스 프록시 · 정적 파일 (16강)

안🧪 systemd → gunicorn → Flask

죽으면 되살아나는 앱 (14·15강)

밑🐧 Ubuntu

파일 · 권한 · 프로세스 · 메모리 (1~11강)

🎓 20강, 여기가 끝이자 시작입니다

1강에서 cat /etc/os-release 한 줄로 시작했습니다.
20강에서 여러분은 서버 한 대를 처음부터 끝까지 운영하고 있습니다. 🎉

이제 진짜 서버를 하나 빌려 보세요. 한 달에 커피 두 잔 값이면 됩니다. 그리고 여기서 한 것을 똑같이 해 보세요.
명령은 하나도 다르지 않습니다.

다음 걸음 ①Docker앱을 통째로 상자에 담아 옮기기

다음 걸음 ②HTTPS 인증서certbot 으로 자물쇠 달기

다음 걸음 ③Git 배포 자동화push 하면 저절로 배포되게

다음 걸음 ④모니터링죽으면 알림이 오게

서버 관리자는 명령어를 다 외운 사람이 아닙니다.
침착하게 로그를 읽고, 순서대로 확인하고, 되돌릴 길을 만들어 두는 사람입니다.
여러분은 이미 그 방법을 배웠습니다.

고등학생20강을 한 장으로

여기까지 오신 것을 축하합니다. 🎉 cat /etc/os-release 한 줄에서 시작해 여기까지 왔어요.

배운 것을 한 표로

영역	핵심	강
기본	커널·셸 · 모든 것은 파일	2·4
다루기	파일 · 편집 · 권한	5·6·7
자원	프로세스 · 메모리	8·9
자동화	파이프 · 스크립트 · apt	10·11·12
운영	사용자 · 배포 · systemd · nginx	13~16
지키기	로그 · 장애 대응 · 백업 · 보안	17~20

그런데 진짜 남는 것은 명령어가 아닙니다

배운 것은 "먼저 확인하고 그다음 손댄다" 는 순서다

반복해 나온 다섯 가지

최소 권한 — 필요한 만큼만 (7·13·14강)
바꾸기 전에 백업 · 적용 전에 검사 (6·16강)
확인하고 고친다 — 짐작 말고 (18강)
명시한다 — 절대 경로 · 환경 변수 (15·19강)
자동화하면 사람이 잊어도 된다 (11·19강)

도구가 바뀌어도 이 다섯은 그대로다

그리고 반복된 맞바꿈

얻는 것	내주는 것	어디서
편의	안전	root 로 실행 (7강)
속도	확인	rm -f (5강)
단순함	격리	venv 없이 (12강)
기록	디스크	로그 (17강)

공짜는 없다 — 무엇을 내줄지 고르는 것이 운영이다

이제 대학생 눈높이로 한 번 더 읽어 보세요. 명령어와 설정이 훨씬 잘 읽힐 겁니다.

🤔 확인 문제

sudo ufw enable 을 allow 22 보다 먼저 하면 안 되는 이유는?

🤔 확인 문제

방화벽으로 8000번 포트를 막았는데도 쇼핑몰이 정상 동작하는 이유는?

🤔 확인 문제

서버 보안에서 '최소 권한의 원칙'을 가장 잘 실천한 예는?