계층 방어(Layered Defense): 지난주, 워드프레스 기반 티켓 판매 사이트가 해킹당하는 사건이 발생했습니다. 해커는 고객과 직원들의 개인 정보를 탈취해 유출하기까지 했습니다. 이런 일은 결코 드문 일이 아닙니다. 몇 달마다 수많은 웹사이트를 대상으로 한 대규모 해킹 시도나 대형 사이트 침해 사건, 백도어 삽입, 악성 사이트로의 리디렉션 등의 소식이 전해지곤 합니다.
이것이 여러분에게 어떤 의미일까요?
바로 워드프레스 웹사이트의 보안에 진지하게 관심을 가져야 한다는 것입니다. 그렇다면 문제의 본질은 무엇일까요? 왜 이렇게 자주 보안 위협에 노출되는 걸까요? 워드프레스는 세계에서 가장 널리 사용되는 웹사이트 제작 플랫폼이기 때문에 당연히 보안을 중요하게 생각할 것이라 예상됩니다. 실제로 그렇습니다. 워드프레스는 상당히 안전한 CMS지만, 그것만으로 작동하는 것은 아닙니다. 워드프레스는 원하는 형태로 사이트를 구축할 수 있게 테마와 플러그인 같은 확장 요소를 허용하는데, 바로 이 테마와 플러그인의 취약점이 웹사이트 해킹의 주된 원인이 되곤 합니다.
따라서 워드프레스 사이트의 보안은 여러 요소에 좌우되며 절대적일 수 없습니다. 그렇기 때문에 다양한 보안 도구를 활용한 계층화된 보안 전략이 필요합니다.
계층 보안(Layered Security)이란 무엇일까?
누구도 완벽한 보안을 보장할 수 없습니다. 보안 플러그인은 침해 가능성을 줄여줄 뿐입니다. 최선의 방어 방식은 바로 계층 보안 전략입니다. 성을 지키는 것에 비유할 수 있습니다. 성 안에 앉아 있는 왕은 침입자를 두려워합니다. 그의 주변에는 무장 경비병이 있고, 그 밖에는 요새의 성벽, 그리고 더 바깥에는 성문 앞의 군대가 있습니다. 침입자가 왕에게 닿으려면 이 모든 방어선을 차례로 돌파해야 합니다. 계층 방어는 바로 이처럼 여러 지점에서 해킹 시도를 막기 위해 구축된 방어막입니다.
왜 계층 방어가 필요한가?
예전에는 웹사이트가 해킹당하더라도 몇 군데만 살펴보면 멀웨어를 찾아내고 제거할 수 있었습니다. 해킹당한 워드프레스 사이트를 스캔하고 정화하는 일은 비교적 쉬웠습니다. 하지만 해커들은 끊임없이 진화하여 사이트를 침해하고 멀웨어를 은닉하는 방법까지 찾아냈습니다. 그래서 체계적인 보안 접근법이 필요해졌습니다. 계층 보안은 보안 공격을 완화하도록 설계된 중첩 방식(즉, 계층 방어)의 보호 전략입니다.
워드프레스 사이트의 계층 방어를 구성하는 요소
워드프레스 웹사이트에 계층 방어를 적용하기 위해 할 수 있는 일들을 소개합니다. 먼저 워드프레스 보안 감사를 실행한 후 아래 조치들을 단계적으로 적용해 보세요.
방화벽(Firewall) 사용
계층 방어의 첫 번째 요소는 방화벽 사용입니다. 워드프레스 웹사이트에서 방화벽은 오직 하나의 목적, 즉 사이트로 들어오는 트래픽을 필터링하는 역할을 합니다. 방화벽은 크게 세 가지 유형이 있습니다. 첫째는 다른 플러그인처럼 사이트에 설치하고 설정하는 플러그인 기반 방화벽입니다. 사전에 정의된 규칙에 따라 페이지 요청이 들어오면 해당 요청이 악성인지 아닌지를 판단합니다. 둘째는 모든 방문자의 요청을 가로채고 다양한 기술을 활용해 유효한 요청인지 악성 요청인지 판별하는 클라우드 기반 방화벽입니다. 마지막으로 일부 호스팅 업체는 자체 인프라와 그 위에 운영되는 여러분의 웹사이트까지 보호하도록 설계된 내장형 방화벽을 제공합니다.
방화벽 선택은 어떤 수준의 보안을 원하는지, 어디에 배치할지에 따라 달라집니다. 일부 솔루션은 머신러닝 같은 AI 기능까지 갖추고 있습니다.
SSL 인증서 설치
SSL 인증서는 서버와 웹사이트를 열람하는 브라우저 간의 암호화 연결을 생성합니다. HTTPS의 'S'는 보안(Security)을 의미하며, SSL 인증서는 결제 정보와 같은 민감한 데이터를 전송할 때 사용됩니다. 과거에는 SSL 인증서가 로그인 페이지나 결제가 이루어지는 사이트에 국한되었습니다. 그러나 최근 몇 년간 구글이 더 안전한 웹을 만들겠다는 목표 아래 SSL 인증서 도입을 적극적으로 추진하면서 많은 사이트가 이를 설치하게 되었습니다. 구글은 검색 순위 알고리즘을 공개하지 않지만, SSL 인증서가 검색 순위 결정 요소 중 하나라고 명시적으로 밝힌 바 있습니다.
웹사이트에 설치할 수 있는 대표적인 인증서 유형은 다음과 같습니다.
무료 SSL: 웹호스팅 회사가 제공하는 인증서로, 보통 직접 갱신해야 하는 등 몇 가지 조건이 붙습니다.
도메인 SSL(Domain SSL): 가장 저렴한 유형의 SSL 인증서 중 하나로, 단일 도메인에만 설치할 수 있습니다.
조직 SSL(Organization SSL): 서류 제출과 검증 절차가 필요한 강화된 유형의 SSL 인증서입니다.
어떤 SSL 인증서를 선택하든, 여러분은 계층 방어에 한 걸음 더 다가서게 됩니다.
워드프레스 로그인 페이지 보호
워드프레스 로그인 페이지는 관리자 대시보드로 침입자가 들어오는 것을 막는 관문입니다. 그렇기에 로그인 페이지는 웹사이트에서 가장 공격받기 쉬운 부분 중 하나입니다. 해커들은 인기 있는 아이디와 비밀번호 조합을 무작위로 시도하는 봇을 만들어 사이트 침입을 시도합니다(무차별 대입 공격). 이를 막으려면 먼저 강력한 비밀번호를 설정하고, 로그인 보호 기능을 사용해야 합니다. Brute Force Login Protection 같은 전문 서비스를 이용하거나, 방화벽 보호를 포함한 종합 보안 기능을 갖춘 MalCare 같은 통합 솔루션을 활용할 수 있습니다.
MalCare의 워드프레스 방화벽은 두 가지 역할을 합니다. 접속하는 웹사이트에 피해를 주는 것으로 알려진 수십만 개의 악성 IP 주소를 추적하여 차단 목록에 올리고, 사이트 접근을 막습니다. 또한 3회 연속 로그인 실패 시 CAPTCHA를 생성해 로그인 페이지를 보호합니다.
웹사이트 하드닝(Hardening)
웹사이트 하드닝(강화)은 계층 방어의 중요한 부분입니다. 현재의 사이버 보안 환경을 고려해 워드프레스 공식 문서에서도 사용자들에게 사이트 강화를 권장합니다. 다만 이를 직접 실행하려면 어느 정도의 기술적 지식이 필요합니다. MalCare 같은 종합 보안 서비스를 이용하면 클릭 몇 번으로 사이트를 강화할 수 있습니다. 신뢰할 수 없는 폴더에서 PHP 실행을 차단하면 TimThumb/MailPoet 공격을 예방할 수 있습니다. 플러그인 및 테마 설치 차단 같은 조치는 사이트가 해킹당했을 때 피해 확산을 막는 잠금 장치 역할을 합니다. 파일 편집기를 비활성화하면 사이트에 접근한 사람이라도 누구든 파일을 수정할 수 없게 됩니다. wp-config.php의 보안 키를 변경하면 모든 쿠키가 무효화되며, 비밀번호와 인증 키를 재설정하면 승인되지 않은 사용자의 접근을 차단할 수 있습니다.
플러그인·테마·워드프레스 코어 정기 업데이트
워드프레스 사이트가 침해되는 경우 대부분 플러그인과 테마가 주범입니다. 개발자가 플러그인의 취약점을 발견하면 패치를 만들어 업데이트를 배포합니다. 하지만 사이트 운영자가 이러한 업데이트를 무시하면 취약점은 그대로 남습니다. 그리고 그것이 해커의 침입 통로가 됩니다. 따라서 정기적인 업데이트는 최우선 과제로 삼아야 합니다.
많은 소규모 사이트 운영자들이 보안에 소홀합니다. 트래픽이 적은 자신의 하찮은 사이트에 해커가 관심 가질 리 없다고 생각하기 때문입니다. 하지만 해커가 사이트를 공격하는 이유는 트래픽 외에도 다양합니다. 오히려 보안에 소홀한 경향이 있기 때문에 소규모 사이트가 대형 사이트보다 더 쉬운 표적이 되기도 합니다. 결론적으로, 사이트 규모와 무관하게 업데이트를 성실히 적용하는 것이 사이트를 안전하게 지키는 열쇠입니다.
정기적인 백업
주 1회든 매일이든 글을 발행한다면 백업은 반드시 챙겨야 할 안전장치입니다. 해킹을 당하면 해커가 콘텐츠 일부를 삭제할 수도 있습니다. 꾸준히 콘텐츠를 발행해 온 사이트라면 데이터 손실은 악몽과도 같은 상황입니다. 이를 막기 위해 정기적인 백업을 권장합니다.
워드프레스 사이트를 수동으로 백업하는 일은 번거롭고 여러 위험을 동반합니다. 백업이 자동화되어 있지 않으면 잊어버릴 수도 있고, 백업본을 안전하게 보관하는 것도 또 다른 고민거리입니다. 외장 하드디스크나 USB 드라이브는 고장날 수 있으며, 로컬 저장소는 멀웨어에 감염될 위험이 있습니다. 웹호스팅 서비스가 백업을 제공하기도 하지만, 모든 호스팅 업체가 매일 백업해 주는 것은 아닙니다. 따라서 호스팅 업체의 백업에 의존하기 전에 충분히 조사하고, 필요하다면 고객지원팀에 문의하세요. 일부 호스팅 업체는 추가 비용을 받고 백업을 옵션으로 제공합니다. 마지막으로 BlogVault 같은 워드프레스 백업 전문 서비스를 이용하면 사이트 전체를 위한 완벽한 백업 솔루션과 다양한 기능, 유연성을 얻을 수 있습니다.
보안 서비스 활용
훌륭한 다각화된 보안 서비스를 갖추면 사이트를 지킬 수 있을 뿐 아니라 많은 수고도 덜 수 있습니다. 워드프레스 웹사이트를 운영하다 보면 여러 가지 문제에 직면하게 됩니다. 해킹 시도와 멀웨어 감염은 물론이고, 호스팅 문제, 오래된 플러그인과 테마 등 다양한 이슈가 발생합니다. 이런 문제를 다루려면 좋은 보안 플러그인이 매일 자동 스캔을 수행하여 이미 알려진 멀웨어뿐 아니라 복잡하고 미지의 멀웨어까지 찾아낼 수 있어야 합니다. 또한 우수한 멀웨어 제거 기능을 갖추고, 사용자가 필요한 사이트 강화 조치를 취할 수 있도록 지원해야 합니다. MalCare 같은 종합 보안 서비스는 워드프레스 사이트에 계층 방어를 제공하며, 플러그인·테마·워드프레스 코어 업데이트 관리까지 지원합니다. 사이트 보안을 팀 전체에 완전히 맡기고 싶다면 WP Buffs나 GoWP의 화이트라벨 워드프레스 유지보수 및 지원 서비스가 딱 맞을 수 있습니다. 사이트가 1개든 1,000개든 업데이트, 보안, 웹사이트 속도, 지속적인 수정 작업을 모두 관리해 줍니다.
정리하며
계층 방어를 구성하는 핵심 요소를 다시 한번 정리하면 다음과 같습니다.
- 방화벽 보안 사용
- SSL 인증서 설치
- 워드프레스 로그인 페이지 보호
- 웹사이트 하드닝(강화)
- 플러그인·테마·워드프레스 코어 정기 업데이트
- 정기적인 백업
- 보안 서비스 활용
이 글이 여러분이 해야 할 일을 찾는 데 도움이 되었기를 바랍니다. 계층 방어에 대해 궁금한 점이 있다면 언제든 메일로 문의해 주세요. 읽어주셔서 감사합니다.