플러그인 기반 방화벽이란? 우리 인간은 태어나는 순간부터 다양한 보호를 받으며 살아갑니다. 옷을 입고, '집'이라는 피난처에서 지내며, 중요한 인물로 성장하면 더 많은 보호 계층(예: 경호원)이 제공되죠. 마찬가지로 웹사이트 역시 여러 겹의 보호가 필요합니다. 방화벽은 바로 그러한 보호 계층 중 하나입니다. 방화벽은 웹사이트를 강화하는 조치를 취하고, 해커가 침입을 시도할 때 이에 대응할 수 있는 방어 체계를 갖추고 있습니다.
웹사이트를 보호하기 위한 방화벽은 종류가 다양합니다. 각기 다른 위협 유형에 대응하고 서로 다른 방식으로 작동합니다. 플러그인 기반 방화벽 외에도 클라우드 기반 방화벽, 그리고 웹 호스팅 업체가 제공하는 내장 방화벽이 있습니다. 플러그인 기반 방화벽은 다른 WordPress 플러그인과 마찬가지로 사이트에 설치하고 설정할 수 있으며, 사이트로 들어오는 요청을 가로채 해당 요청이 정상적인 것인지 악성인지 판별합니다. 각 방화벽마다 고유한 장단점이 있는데, 지금부터 자세히 살펴보겠습니다.
플러그인 기반 방화벽의 장점
1. 우회하기 어렵다
플러그인 기반 방화벽은 웹사이트의 서버에 설치됩니다. 즉, 사이트 곁을 떠나지 않는 개인 경호원처럼 작동합니다. 반면 네트워크 수준의 방화벽은 원거리에서 사이트를 보호합니다. 문 밖에서 지키는 경비원과 같은 셈이죠. 해커가 그 경비원을 피해 안방까지 침입한다면 피해가 발생할 수 있습니다. 하지만 곁에 무장 경호원이 있다면, 해커가 사이트에 도달하기 전에 먼저 그 경호원을 상대해야 합니다.
2. WordPress에 특화
WordPress가 인기를 누리는 데에는 플러그인이 한몫했다는 건 두말할 나위 없는 사실입니다. 플러그인 덕분에 손쉽게 웹사이트를 디자인할 수 있고, 모든 플러그인은 오직 WordPress만을 위해 만들어집니다. 플러그인 기반 방화벽 역시 WordPress 전용으로 제작되었기 때문에 다른 플러그인처럼 사용하기 쉽고 설정도 간편합니다. 또한 특정 WordPress 폴더를 보호하는 기능처럼 네트워크 방화벽으로는 구현하기 어려운 세부 기능도 처리할 수 있습니다.
3. 설정이 간편하다
플러그인 기반 방화벽은 설정을 위해 외부 전문가에게 도움을 요청할 필요가 없습니다. 사이트 서버에 설치된 플러그인이기 때문에 워드프레스 관리자 페이지에서 손쉽게 활성화하거나 비활성화할 수 있습니다. 덕분에 절약된 시간을 사이트와 비즈니스 성장에 투자할 수 있습니다.
플러그인 기반 방화벽의 단점
1. 100% 우회 불가능한 것은 아니다
누군가 사이트에 요청을 보내면 요청은 방화벽을 거치며 정상 요청인지 악성 요청인지 판별받습니다. 하지만 해커는 여전히 방화벽을 우회하여 웹 서버와 직접 통신하는 방법을 찾아낼 수 있습니다.
2. 시그니처 기반 보호에 의존한다
대부분의 악성코드 스캐너와 마찬가지로 방화벽은 시그니처 기반 보호 방식을 사용합니다. 즉, 웹 서버로 요청이 들어오면 방화벽이 해당 요청을 이미 알려진 의심스러운 요청 목록과 비교하는 방식입니다. 그런데 오늘날 해커들은 매우 영리하고 창의적입니다. 과거에 식별된 적 없는 복잡한 요청을 보내기 때문에 방화벽이 이를 위험 요소로 인식하지 못할 수 있습니다.
3. 사용자 문제는 막을 수 없다
방화벽은 WordPress 로그인 페이지를 보호하는 데 도움을 주지만, 약한 아이디와 비밀번호 같은 사용자 측 문제로부터는 보호해 줄 수 없습니다. 인증 정보가 충분히 강력하지 않다면 해커는 무차별 대입(brute force) 공격으로 쉽게 사이트에 침입할 수 있으며, 이것은 방화벽이 막아줄 수 없는 부분입니다. 물론 일부 방화벽은 로그인 실패가 3회 연속 발생하면 로그인 페이지 접근을 차단하지만, 봇이 무차별 대입 공격을 진행하던 중 두 번째 시도에 (허술한) 비밀번호를 맞힌다면 방화벽은 아무것도 할 수 없습니다. 이런 경우 방화벽이 사이트를 지켜주지 못하기 때문에 사이트 소유자의 경각심이 무엇보다 중요합니다. 보안은 공동의 조치이며, 사이트 소유자 역시 필요한 모든 예방 조치에 참여해야 합니다.
4. DDoS 공격으로부터 보호할 수 없다
WordPress에는 DDoS 공격 방어 기능이 기본 내장되어 있지 않으며, 플러그인 방화벽 역시 이를 방어하지 못합니다. DDoS 공격을 잘 모르는 분들을 위해 설명하자면, 해커가 과도한 트래픽으로 웹사이트를 몰아쳐 사이트를 느려지게 하거나 아예 다운시키는 공격입니다. 웹사이트를 무너뜨리는 수법이죠. 이 경우 네트워크 기반 방화벽이 훨씬 효과적입니다. 악성 트래픽이 서버에 도달하기 전에 필터링할 수 있기 때문입니다. 플러그인 기반 방화벽은 DDoS 공격 앞에서는 사실상 무용지물입니다.
5. 웹사이트 속도 저하
플러그인 방화벽은 사이트에 설치되어 사이트 자체 리소스를 사용해 작동하기 때문에 사이트 속도를 저하시키는 경향이 있습니다. 사이트 요청이 들어올 때마다 플러그인 방화벽이 사이트의 리소스를 사용해 요청을 검사하므로, 결과적으로 사이트가 느려질 수 있습니다.
결론: 어떤 방화벽을 선택해야 할까?
플러그인 기반 방화벽을 사용할지 여부는 필요한 보호 수준에 달려 있습니다. 사이트가 DDoS 공격을 받고 있다면 플러그인 기반 방화벽은 피하는 것이 좋습니다. 반대로 무차별 대입 공격에 대한 방어가 필요하다면 플러그인 방화벽이 이상적인 선택입니다.
사이트에 어떤 보안 조치가 필요한지 파악하려면 먼저 사이트에 어떤 유형의 해킹 시도가 빈번하게 발생하는지 이해해야 합니다. 웹사이트의 취약성을 줄이는 가장 좋은 방법은 여러 가지 조치를 함께 취하는 것, 즉 '계층 방어(Layered Defence)'입니다. 방화벽이 사이트 강화, 정기 업데이트, 일일 백업 등 다양한 보안 조치들과 협력하여 WordPress 사이트에 완전한 보호를 제공하는 것이죠.
여러 도구(주로 플러그인)를 따로 사용해 이러한 체계를 구축할 수도 있지만, MalCare 같은 종합 WordPress 보안 플러그인 하나로 방화벽을 포함한 다양한 기능을 활용할 수도 있습니다. MalCare의 방화벽은 온라인상 수십만 개의 웹사이트를 추적하여 악성 IP 주소(방문하는 사이트에 피해를 주는 것으로 알려진 IP)를 식별하고 차단 목록에 올려 사이트 접근을 막습니다. 또한 무차별 대입 공격 대책으로 로그인 실패가 3회 연속 발생하면 CAPTCHA가 활성화됩니다. MalCare의 WordPress 방화벽에 대해 자세히 알아보세요.