Lesson 20 of 20

보안 — 문을 잠그고 마무리하기

방화벽, 최소 권한, 그리고 여러분이 배운 것

마지막 강입니다. 쇼핑몰은 돌아가고, 백업도 자동으로 됩니다. 이제 문을 잠글 차례예요.

17강에서 봤듯, 여러분의 서버는 지금 이 순간에도 두드림을 당하고 있습니다. 공격자는 사람이 아니라 전 세계를 훑는 로봇이에요. "우리 사이트는 작으니까 괜찮겠지"는 통하지 않습니다. 로봇은 크기를 가리지 않거든요.

High school문을 잠그고 마무리하기

마지막 강입니다. 그동안 만든 것을 지킵니다.

서버는 지금 이 순간에도 두드림을 당하고 있다

진짜입니다

sudo grep "Failed password" /var/log/auth.log | wc -l

공개된 서버라면 하루에 수천 번이 나옵니다.

누가	왜
자동 스캐너	전 세계 IP 를 훑는다
봇넷	감염시킬 서버를 찾는다

"우리는 작아서 안 노린다" 는 착각이다 — 기계가 전부 훑는다

보안의 세 층

층	하는 일	강
줄인다	열린 문을 최소한으로	20
강화한다	남은 문을 튼튼하게	13·20
줄인다(피해)	뚫려도 번지지 않게	7·14

완벽한 방어는 없다 — 세 층으로 확률을 낮춘다

비유 — 집 지키기

층	비유
줄이기	안 쓰는 창문을 막는다
강화	좋은 자물쇠
피해 축소	귀중품은 따로 금고에

가장 효과가 큰 것은 첫 번째다 — 없는 문은 못 딴다

SSH 로 몇 번, 웹으로 몇 번 두드려졌는지

bash Runs on my virtual Ubuntu server

sudo grep "Failed password" /var/log/auth.log | wc -l
sudo grep -E "admin.php|wp-login|\.env" /var/log/nginx/access.log | wc -l

방화벽 — 필요한 문만 열기

서버에는 65535개의 포트(문)가 있습니다. 우리에게 필요한 건 세 개뿐이에요.

22SSH내가 들어갈 문 — 반드시 열어야

80HTTP손님이 들어올 문

443HTTPS암호화된 손님 문

8000앱열면 안 됩니다 — nginx 뒤에 숨겨 둡니다

Ubuntu 의 방화벽은 ufw(Uncomplicated FireWall)입니다. 이름대로 쉬워요.

설치하고 상태 확인 — 아직 꺼져 있습니다

bash Runs on my virtual Ubuntu server

sudo apt install ufw
sudo ufw status

High school순서를 틀리면 스스로 쫓겨납니다

note 의 이 경고가 가장 흔한 자책골입니다.

방화벽을 켰는데 SSH 를 허용 안 하면 — 못 들어온다

올바른 순서

순서	하는 일
1	`ufw allow OpenSSH` — 먼저 허용 ⭐
2	`ufw allow 80,443`
3	`ufw enable` — 그다음 켠다

1번과 3번을 바꾸면 그 순간 끝난다

왜 이게 치명적인가

서버 종류	복구
내 앞의 서버	키보드로 고친다
클라우드	콘솔 · 복구 모드 — 시간이 든다
원격 데이터센터	사람이 가야 한다 ⚠

원격 서버에서는 돌이킬 방법이 없을 수 있다

안전 습관 세 가지

습관	설명
접속을 하나 더 열어 둔다	막히면 그쪽으로 되돌린다
예약 되돌리기	`at now + 10 min ufw disable`
콘솔 접근을 먼저 확인	클라우드 웹 콘솔

두 번째가 좋다 — 10분 뒤 자동으로 원복되게 걸어 둔다

잘 되면 예약을 취소하면 되고, 막히면 10분 뒤에 돌아옵니다.

비유 — 사다리 치우기

지붕에 올라가서 사다리를 치우면 내려올 방법이 없죠.

6강의 SSH 설정 고치기와 똑같은 구조의 사고

공통점은 — 내가 쓰는 통로를 내가 막는 것입니다.

올바른 순서 — 문을 먼저 열고 나서 방화벽을 켭니다

bash Runs on my virtual Ubuntu server

sudo ufw allow 22
sudo ufw allow 80
sudo ufw allow 443
sudo ufw enable
sudo ufw status

이제 8000번 포트는 바깥에서 닿을 수 없습니다. 그런데 우리 쇼핑몰은 여전히 잘 돌아가요. 왜냐면 nginx가 서버 안에서 8000번으로 접속하기 때문입니다. 방화벽은 바깥에서 들어오는 것만 막거든요.

안에서는 잘 되고, 바깥으로는 80·443·22만 열려 있습니다

bash Runs on my virtual Ubuntu server

curl -s http://localhost/healthz
sudo ss -ltnp

🎮 보안 점검 실험실

여러분의 가상 서버를 실제로 점검합니다. 지금까지 설정한 것들이 안전한지 항목별로 검사해 보세요.

High school방어의 우선순위

보안 항목은 끝이 없습니다. 그래서 순서가 중요해요.

효과가 큰 것부터 — 몇 가지가 대부분을 막는다

순위	조치	막는 것
1	업데이트를 한다	알려진 취약점
2	SSH 열쇠만 허용	비밀번호 대입
3	root 로그인 금지	가장 많이 노려진다
4	방화벽 — 필요한 포트만	노출 축소
5	앱을 전용 계정으로	피해 확산
6	fail2ban	반복 시도

1~3번만 해도 대부분의 자동 공격이 막힌다

왜 업데이트가 1위인가

실제 침해의 대부분은 알려진 취약점입니다. 새로운 공격이 아니라 패치를 안 한 것이죠.

공격	비율
알려진 취약점	대부분
제로데이 (미공개)	드물다

영화 같은 해킹은 드물다 — 문을 안 잠근 집이 털린다

비밀번호 대신 열쇠

	비밀번호	SSH 열쇠
자동 대입 공격	가능	사실상 불가능

13강에서 만든 열쇠가 여기서 방어가 된다

비유 — 유행병 예방

조치	효과
손 씻기 · 예방접종	대부분을 막는다 — 싸다
희귀 질환 대비	비싸고 드물다

기본을 다 하고 나서 고급으로 간다

서버 관리자의 다섯 가지 원칙

①최소 권한필요한 만큼만. root 로 살지 않기 (7강)

②최소 노출필요한 포트만. 앱은 127.0.0.1 에 (16·20강)

③최신 유지apt update && apt upgrade 를 정기적으로 (12강)

④기록 남기기로그가 없으면 사고를 알 수 없습니다 (17강)

⑤되돌릴 길백업 · 설정 .bak · 복원 연습 (19강)

③ 보안 패치는 가장 값싼 방어입니다

bash Runs on my virtual Ubuntu server

sudo apt update
sudo apt upgrade

우리가 만든 것을 한눈에

20강 동안 여러분은 이 구조를 전부 직접 다뤘습니다.

밖🛡️ ufw 방화벽

22 · 80 · 443 만 · 나머지는 차단 (20강)

앞🏠 nginx

리버스 프록시 · 정적 파일 (16강)

안🧪 systemd → gunicorn → Flask

죽으면 되살아나는 앱 (14·15강)

밑🐧 Ubuntu

파일 · 권한 · 프로세스 · 메모리 (1~11강)

🎓 20강, 여기가 끝이자 시작입니다

1강에서 cat /etc/os-release 한 줄로 시작했습니다.
20강에서 여러분은 서버 한 대를 처음부터 끝까지 운영하고 있습니다. 🎉

이제 진짜 서버를 하나 빌려 보세요. 한 달에 커피 두 잔 값이면 됩니다. 그리고 여기서 한 것을 똑같이 해 보세요.
명령은 하나도 다르지 않습니다.

다음 걸음 ①Docker앱을 통째로 상자에 담아 옮기기

다음 걸음 ②HTTPS 인증서certbot 으로 자물쇠 달기

다음 걸음 ③Git 배포 자동화push 하면 저절로 배포되게

다음 걸음 ④모니터링죽으면 알림이 오게

서버 관리자는 명령어를 다 외운 사람이 아닙니다.
침착하게 로그를 읽고, 순서대로 확인하고, 되돌릴 길을 만들어 두는 사람입니다.
여러분은 이미 그 방법을 배웠습니다.

High school20강을 한 장으로

여기까지 오신 것을 축하합니다. 🎉 cat /etc/os-release 한 줄에서 시작해 여기까지 왔어요.

배운 것을 한 표로

영역	핵심	강
기본	커널·셸 · 모든 것은 파일	2·4
다루기	파일 · 편집 · 권한	5·6·7
자원	프로세스 · 메모리	8·9
자동화	파이프 · 스크립트 · apt	10·11·12
운영	사용자 · 배포 · systemd · nginx	13~16
지키기	로그 · 장애 대응 · 백업 · 보안	17~20

그런데 진짜 남는 것은 명령어가 아닙니다

배운 것은 "먼저 확인하고 그다음 손댄다" 는 순서다

반복해 나온 다섯 가지

최소 권한 — 필요한 만큼만 (7·13·14강)
바꾸기 전에 백업 · 적용 전에 검사 (6·16강)
확인하고 고친다 — 짐작 말고 (18강)
명시한다 — 절대 경로 · 환경 변수 (15·19강)
자동화하면 사람이 잊어도 된다 (11·19강)

도구가 바뀌어도 이 다섯은 그대로다

그리고 반복된 맞바꿈

얻는 것	내주는 것	어디서
편의	안전	root 로 실행 (7강)
속도	확인	rm -f (5강)
단순함	격리	venv 없이 (12강)
기록	디스크	로그 (17강)

공짜는 없다 — 무엇을 내줄지 고르는 것이 운영이다

이제 대학생 눈높이로 한 번 더 읽어 보세요. 명령어와 설정이 훨씬 잘 읽힐 겁니다.

🤔 Check yourself

sudo ufw enable 을 allow 22 보다 먼저 하면 안 되는 이유는?

🤔 Check yourself

방화벽으로 8000번 포트를 막았는데도 쇼핑몰이 정상 동작하는 이유는?

🤔 Check yourself

서버 보안에서 '최소 권한의 원칙'을 가장 잘 실천한 예는?