워드프레스 방화벽: 사업자에게 가장 끔찍한 순간 중 하나는 바로 운영 중인 웹사이트가 해킹당했다는 사실을 알게 되는 순간입니다. 시간이 지날수록 해킹 기법은 점점 더 정교해지면서 탐지와 대응이 더욱 어려워지고 있습니다. 그렇기 때문에 웹사이트를 위한 보호 장치는 아무리 많아도 부족하지 않습니다.
방화벽은 웹사이트의 취약점을 보완하는 가장 오래된 방법 중 하나입니다. 재미있는 사실은, 방화벽이라는 용어가 물리적인 보안 조치에서 비롯되었다는 점입니다. 원래 '방화벽(firewall)'은 불길이 번지는 것을 막기 위해 세운 벽을 뜻했죠. 아주 실용적인 이름 아닌가요? 그렇다면 워드프레스 방화벽이란 정확히 무엇일까요?
워드프레스 방화벽이란?
방화벽은 워드프레스 사이트로 유입되는 트래픽을 걸러주는 역할을 합니다. 정상 트래픽은 사이트에 접근할 수 있도록 허용하고, 악성 트래픽과 봇은 차단합니다.
워드프레스 방화벽은 사이트의 특정 진입점과 취약점을 겨냥한 공격을 막도록 맞춤 설정할 수 있습니다. 예를 들어 로그인 페이지를 보호하도록(무차별 대입 공격 대응) 설정하고, 일정 시간 동안 과도한 로그인 시도가 감지되면 해당 접근을 차단하는 식으로 구성할 수 있습니다. 즉, 맞춤형 워드프레스 방화벽은 내 사이트 상황에 맞춰 보호 기능을 제공합니다. 해킹 시도를 효율적으로 막아주는 매우 효과적인 도구입니다.
워드프레스 방화벽이 꼭 필요한가요?
워드프레스 보안에는 '완벽한 단 하나의 방법'이 존재하지 않습니다. 오히려 여러 가지 조치를 함께 적용해야 사이트를 안전하게 지킬 수 있습니다. 또한 사이트 보안은 여러 요소에 의존하기 때문에 절대적이지도 않습니다. 완전한 보안 달성이 사실상 불가능하다는 전제에서 출발하면, 핵심은 '보안 강화(hardening)'입니다.
방화벽은 사이트 보안을 강화하는 데 필수적인 조치를 가능하게 해줍니다. 악성 트래픽이 사이트에 닿기 전에 차단함으로써, 실제 피해가 발생하기 전에 잠재적인 해킹 공격을 미리 막아줄 수 있습니다.
워드프레스 방화벽의 종류
보호 대상이나 설치 위치에 따라 방화벽은 크게 세 가지로 나뉩니다. 플러그인형, 클라우드형, 호스트 내장형입니다. 각각 어떤 차이가 있는지 살펴보겠습니다.
기본적인 워드프레스 방화벽의 작동 방식
1. 플러그인형 방화벽
플러그인형 방화벽은 다른 플러그인처럼 사이트에 설치하고 설정합니다. 말 그대로 사이트 바로 곁에서 지켜주는 역할을 하죠. 사이트로 들어오는 모든 요청(request), 즉 누군가 사이트에 접속하려는 시도가 방화벽을 거치게 됩니다. 방화벽에는 사전에 정의된 규칙들이 있어, 요청이 악성인지 판별합니다. Wordfence와 NinjaFirewall이 대표적인 플러그인형 방화벽입니다. MalCare 역시 지속적인 사이트 보호를 위한 워드프레스 방화벽 플러그인을 제공합니다.
2. 클라우드형 방화벽
클라우드형 방화벽은 방문자가 사이트에 요청을 보내면, 그 요청이 즉시 클라우드 방화벽으로 전달됩니다. 방화벽은 요청이 정상인지 판단한 뒤, 악성 요청이면 차단하고 정상 요청이면 통과시킵니다. Sucuri와 Cloudflare가 클라우드형 방화벽의 좋은 예입니다.
3. 호스트 내장형 방화벽
마지막으로 웹 호스팅 업체가 제공하는 내장형 방화벽이 있습니다. 이 방화벽은 해당 호스팅 서비스를 사용하는 모든 웹사이트를 보호하도록 설계되어 있습니다.
워드프레스 방화벽은 어떻게 작동할까?
워드프레스 방화벽은 애플리케이션 방화벽(application firewall)의 일종으로, 아래 방식 중 하나 또는 여러 가지를 조합해 사이트에 대한 공격을 차단합니다.
- 필터링(Filtering): 방화벽은 필터를 사용해 사이트로 들어오는 데이터를 분석합니다.
- 프록시(Proxy): 방화벽이 '중개자' 역할을 하며 사이트와 인터넷 사이의 상호작용을 처리합니다. 정상 트래픽은 통과시키고, 악성 트래픽은 사이트에 도달하기 전에 차단합니다.
- 검사(Inspection): 방화벽은 클럽의 보안 요원처럼 목록을 활용합니다. 들어오는 데이터의 핵심 요소가 '허용 목록(화이트리스트)'에 있으면 통과시키고, '차단 목록(블랙리스트)'에 있는 것으로 보이면 막아냅니다.
어떤 애플리케이션 방화벽을 사용할지는 사이트가 직면할 수 있는 위협의 유형과 배포 위치에 따라 달라집니다.
일부 방화벽은 서버 소프트웨어 수준(Apache 수준)에서 작동하여, 데이터가 워드프레스에서 처리되기 전에 접근 자체를 제한합니다. 이 방식은 .htaccess 파일을 수정하는 방법으로 구현되며, iThemes Security와 All In One WP Security가 대표적입니다. 다만 이 방식은 문제가 발생했을 때 이를 수정할 기술적 역량이 없다면, 사이트 접속 자체가 막힐 수 있다는 점이 단점입니다.
또 다른 방화벽 플러그인들은 웹 애플리케이션 수준(워드프레스 수준)에서 작동합니다. 워드프레스가 로딩되는 과정에서 악성 코드가 본격적으로 실행되기 전에 공격을 걸러내는 방식입니다. Wordfence와 Shield가 이 유형의 대표적인 예입니다.
그리고 클라우드 기반 솔루션은 웹 서버와 인터넷 트래픽 사이에서 '리버스 프록시(reverse proxy)' 역할을 합니다. 모든 트래픽을 먼저 가로채 사이트로 향하는 흐름을 우회시키기 때문에, 웹 서버와 워드프레스의 부담을 덜어주는 효과도 있습니다.
한 가지 주의할 점이 있습니다. 웹 호스팅 업체가 내장 애플리케이션 방화벽을 제공하더라도, 그 방화벽은 사용자의 사이트가 아니라 업체 자신의 인프라를 보호하기 위한 것일 가능성이 높다는 것입니다.
마무리하며
방화벽 사용은 워드프레스 사이트를 보호하는 여러 방법 중 하나일 뿐입니다. 만능 해결책(silver bullet)이 아니라, 사이트 보안을 위한 매우 중요한 한 걸음이라고 이해하는 것이 좋습니다. 혹시 방화벽이 정상 트래픽을 잘못 차단했다면, IP 주소 화이트리스트 등록 방법 가이드를 참고하세요. 워드프레스 사이트 보안을 위해 추가로 해야 할 일이 궁금하다면 이전 포스트도 확인해 보세요. 궁금한 점이 있다면 언제든 문의해 주시기 바랍니다. 독자 여러분의 질문에 최대한 빠르게 답변드리고 있습니다.