프로그래밍 학과를 나온 것도 아니고 다만 대학과정을 마친 후 단지 "이 길이 마음에 들어!" 하고 프로그래밍 공부를 시작했습니다.

벌써 10년이 훌쩍 지나버렸네요. ^^

전문적인 보안 교육없이 웹프로그래머로 지내다보니 해킹을 당한 경험이 몇번 있습니다. 그러면서 알게 된 것들에 대해 적어보겠습니다.

처음 해킹 당한 건 윈도우 서버를 운영하면서 였던거 같습니다. 서버 운영 경험이 없었지만 일단 몸으로 부딪치며 웹사이트를 개발해서

IIS 에 얹혔습니다.

그러다 여러달이 지났는데 사이트가 안뜨는거에요 ㅠ.ㅠ 해킹당한 거죠!

그때 조사해보니 정말 기본적인 보안을 안했더군요. ㅎ

그 문제는 IP 제한을 하지 않았다는 거죠

​

1. 허용된 IP만 원격데스크톱 및 FTP, 메일등 사용가능하게 하기

보통 아무 설정을 하지 않으면 서버 관리에 사용되는 원격데스크톱, FTP, DATABASE 서비스등에 누구든지 접근 허용을 할 수 있습니다.

따라서 아이디와 패스워드만 정확히 알면 서버 관리자 권한을 획득하는 거죠!

그래서 꼭 필요한 건 관리자가 사용하는 IP만 접근허용을 풀어줘야 한다는 것이였습니다.

정말 간단하면서도 가장 중요한 부분이였는데 그걸 놓쳤던 거였어요 ㅋ

물론 이 보안을 할 떄 포트 역시 외부로 서비스되는 포트가 아니라면 다 막아줘야 합니다. 일반적으로 FTP는 21번 포트를 사용하죠.

물론 ssh는 22번을 주로 사용합니다. 이런 포트 번호도 다른 포트번호로 바꿔주면 좋습니다.

그렇게 하면 해킹의 위험이 훨씬 줄어듭니다!

[참고!!] 왜 해커를 잡기가 어려운가요?

- 보통 해커들은 자신의 아이피로 공격하지 않고 아이피를 해외 특히 중국을 경유해서 많이 들어옵니다. 이 경유한다는 게 그렇게 어려운 게 아니에요. 실제로 아무런 준비가 없어도요. 익스플로러의 기능을 이용해서 자신의 아이피를 중국 IP로 바꿀 수 있어요.

그리고 이렇게 경유해서 해킹을 하게 되면 피해 발생시 조사를 하게 되겠죠. 그런데 문제는 그 사람의 원래 아이피 정보가 해외에 있다는 겨죠! 만약 중국을 경유했다면 국제적 지원을 받아야 하고 그런 과정이 복잡해지는 거죠. 어떤 경우는 여러나라를 경유해요.

이렇게 되면 더 복잡해지는 거죠. 여러 나라의 도움을 받아야 합니다.

2. 보안 업데이트는 철저히!

특히 윈도우 계열은 보안 업데이트를 철저히 할 필요가 있습니다. 그리고 서버로는 익스플로러를 웬만하면 열어선 안됩니다.

물론 서버계열의 경우 익스의 보안설정이 디테일하게 되어 있어 더 안전하긴 하지만 역시 주의하여야 합니다.

악성코드 혹은 바이러스가 웹사이트를 통해서 많이 들어오기 때문이죠!

윈도우 업데이트 역시 정기적으로 처리해야 합니다. 그렇지 않으면 보안 취약점으로 해킹이 이루어질 수 있습니다.

어떤 경우는 이런 취약점을 Microsoft에서 발표하면 그걸 바탕으로 해커들이 해킹방법을 알아낸다고 해요.

왜냐하면 철저히 보안 업데이트를 하지 않는 관리자가 많기 때문이죠

3. 방화벽 설정하기

방화벽의 경우 하드웨어적으로 실행할 수 있고 소프트웨어적으로 할 수도 있습니다. 물론 윈도우 자체내에서도 방화벽이 존재합니다.

하드웨어적으로 할 경우에는 매월 발생되는 비용이 있어 조금 부담스럽습니다.

규모가 있는 웹사이트 또는 관공서는 이렇게 처리하구요.

규모가 적다면 윈도우 자체 방화벽을 활용할 수 있습니다.

그리고 웹방화벽도 고려해야 합니다. 해킹의 경우 홈페이지 소스의 취약점으로 들어오는 해킹이 제일 막기 힘듭니다.

보안에 대한 전문적인 교육이 부족한 프로그래머가 홈페이지를 만드는 경우가 많구요.

게다가 마감시한에 쫓기다 보면 보안에 신경쓸 여력이 어디 있겠습니까? ㅎ

이런 경우에 웹 방화벽을 설치할 수 있습니다. 웹 방화벽은 홈페이지가 외부에 서비스 될 때 그 중간단계에서 필터링 역할 같은 것을 수행합니다. 해커가 공격을 감행하면 위험 코드나 단어를 분석해서 미리 차단시키는 거죠 ^^

웹 방화벽의 문제는 속도 문제가 있습니다. 설치 후 필터링 과정이 들어가기 때문에 홈페이지 속도가 다소 느려질 수 있습니다.

그리고 처음에는 잘되던 부분도 방화벽 설정 후에 기능이 실행안되는 경우도 종종 있어요.

그래서 꼭 이것저것 확인해보아야 합니다. ^^

웹 방화벽을 고려하신다면요 무료로 제공되는 것도 있습니다. WebNight인가 하는 것은 정부에서 무료로 제공하는 방화벽입니다.

저도 잘 모르는 보안에 대해 적으려니 좀 쑥스럽군요 ㅎ

또 제2부에서 몸으로(?) 깨달은 보안에 대해 포스팅하도록 하겠습니다! ^^