공유 호스팅 보안: 보호를 유지하는 방법

모든 유형의 온라인 프로젝트에서 보안은 필수적입니다. 하지만 재정적 비용 외에도 보안 문제는 프로젝트를 방해하는 다운타임을 초래하고 고객 데이터를 손상시킬 수 있습니다. 또한 판매/비즈니스, 브랜드 이미지, 웹사이트 신뢰도에도 영향을 줄 수 있습니다.

시작할 때는 기억해야 할 다양한 온라인 비즈니스를 위한 보안 위협이 있습니다. 여기에서는 공유 호스팅 사용자가 직면할 수 있는 보안 과제와 이를 예방하고 해결하는 방법을 살펴봅니다.

공유 호스팅 보안

공유 호스팅의 특성과 구축 방식때문에, 표적이 될 수 있는 몇 가지 영역이 있습니다. 그리고 대부분의 보안 설정은 호스팅 제공업체가 관리하지만, 사용자는 일부 보안 위험을 선제적으로 관리하고 완화할 수 있습니다. 가장 위험에 노출되기 쉬운 공유 호스팅 영역은 다음 범주에 속합니다:

• 호스팅 제공업체 수준

• 서버 수준(제품 및 공유 서버 관련)

• 사용자 제어(설치된 소프트웨어, 설정 및 일상적 사용 관련)

호스팅 제공업체 수준 보안

계정, 호스팅 서비스 및 데이터와 관련된 잠재적 문제를 완화할 수 있도록 적절한 보안 조치가 마련된 호스팅 제공업체를 선택하는 것이 항상 가장 좋습니다.

주의해서 살펴봐야 할 몇 가지 사항:

• 높은 계정 보안 및 데이터 프라이버시(다중 인증 및 보안 플랫폼).

• 서버 수준에서의 DDoS 공격 완화.

• 소프트웨어 정기 백업(알림 포함).

또 한 가지 기억해야 할 점은 공유 호스팅에서는 사용자가 격리되어 있지 않다는 것입니다. 따라서 한 웹사이트가 민감한 데이터를 암호화하지 않는 등 취약한 보안 관행을 사용하면 다른 사용자에게도 위험이 될 수 있습니다. 한 사이트의 데이터베이스에 접근하는 공격은 서버의 다른 계정과 상호작용하는 연결이나 스크립트를 찾아낼 수 있습니다.

한 사이트가 감염된 뒤 공유 파일, 스크립트 또는 데이터베이스 연결을 통해 서버의 다른 사이트로 퍼지는 악성코드 전파의 위험도 있습니다. 악성코드가 여러 사이트를 감염시키면 데이터 유출이나 추가적인 악용으로 이어질 수 있습니다.

공유 호스팅 제공업체는 기본적으로 업데이트가 제공되자마자 서버 소프트웨어와 구성을 업데이트하지 않을 수 있다는 점도 유의하세요. 이는 이후 악용될 수 있는 취약점을 만들 수 있습니다. 예를 들어 사이버 범죄자는 오래된 PHP 또는 MySQL 버전을 자주 노립니다.

즉, 서버의 모든 업데이트가 신속하게 이루어지도록 해야 합니다. 또한 호스팅 제공업체가 다음 항목을 지원하거나 제공하는지 확인하는 것이 가장 좋습니다:

• SSL 인증서

• 방화벽

• 고객 지원

사용자 제어 범위

공유 호스팅 소프트웨어 인프라

호스팅 제공업체는 소프트웨어 인프라의 보안을 책임지지만, 호스팅 사용자는 추가 소프트웨어와 사용자 지정 코드의 보안을 관리해야 합니다.

안전하지 않은 플러그인 및 테마

한 가지 보안 고려 사항은 플러그인, 도구 및 서비스의 선택입니다. 이것들이 합법적이거나 안전하지 않다면 서버의 모든 공유 호스팅 사용자가 다양한 공격이나 악성코드 감염 위험에 노출될 수 있습니다.

합법적이고 공식적인 소프트웨어를 사용하더라도 업데이트되지 않으면 보안 취약점이 될 수 있습니다. 이는 WordPress 업데이트의 경우에도 해당할 수 있으며, 항상 자동으로 적용되는 것은 아니므로 이메일과 알림을 통해 주의 깊게 확인해야 합니다.

업데이트를 직접 적용해야 할 때는 이를 놓치기 더 쉽습니다. 이는 제공업체를 선택할 때 기억해야 할 사항입니다.

다음과 같은 방법으로 호스팅 업데이트를 확인할 수 있습니다:

• 이메일

• 대시보드의 알림

• 콘텐츠 관리 시스템(CMS) 제공업체의 릴리스 노트

• 포럼

비밀번호 관리

비밀번호 관리가 안전하게 처리되지 않으면 호스팅 환경에서 무단 액세스를 허용할 수 있습니다. 보안 침해는 약하거나 추측하기 쉬운 비밀번호, 또는 서로 다른 사용자 간에 보안 자격 증명을 공유할 때 발생할 수 있습니다.

무차별 대입 공격

이는 액세스 권한을 얻을 때까지 매우 많은 수의 비밀번호 조합을 시도하는 악성코드를 포함합니다. 비밀번호가 충분히 강력하지 않으면 더 쉽게 접근이 이루어질 수 있습니다.

파일 권한

파일 권한 오류는 데이터베이스 자격 증명과 같은 민감한 정보의 유출을 초래할 수 있습니다. 이러한 종류의 침해는 공격 대상 웹사이트뿐 아니라 서버의 다른 사용자에게도 위험이 될 수 있습니다.

서버 수준 보안

이미 언급했듯이 사용자는 다른 Shared Hosting 사용자와 서버 리소스를 공유합니다. 올바르게 관리되지 않으면 공유 환경은 고려해야 할 다양한 보안 위험을 초래할 수 있습니다.

DDoS 공격

공유 호스팅 계정은 분산 서비스 거부(DDoS) 공격에 취약합니다. 이 공격에서는 온라인 시스템, 서버 또는 네트워크에 연결 요청(인터넷 트래픽)이 대량으로 쏟아집니다. 이러한 공격은 종종 봇 네트워크(봇넷)에 의해 수행되며, 일반 인터넷 사용자가 일정 기간 동안 웹사이트에 접근하지 못하게 합니다.

리소스 제한과 그 영향

인접한 호스팅 계정이 공격을 받으면 해당 계정이 더 많은 리소스를 차지하게 되어 다른 사용자가 이를 사용할 수 없게 됩니다. 최종 결과는 웹사이트가 느려지거나 사용할 수 없게 되는 것입니다.

호스팅 제공업체는 방화벽 및 자동 트래픽 모니터링과 같은 모니터링 조치를 적용하고, 인접 계정이 공격받을 때 다른 사용자가 영향을 받지 않도록 DDoS 사례에 대응할 수 있습니다.

같은 서버에서 발생하는 공격을 예방하거나 영향을 줄이기 위한 조치에는 다음이 포함됩니다:

• 고용량 라우터

• Anti-DDoS 시스템

• 계정 격리

• 방화벽

• 침입 탐지 및 방지 시스템(IDPS)

• 트래픽 제한

보안 조치가 마련되어 있더라도 공유 환경의 웹 호스팅은 공유 호스팅 계정의 구조상 약간 더 취약합니다.

공유 IP 주소 보안

경우에 따라 여러 플랜과 웹사이트를 포함할 수 있는 공유 호스팅 계정은 모두 동일한 IP 주소를 공유합니다. 이는 서버의 이 단일 IP 주소가 사이버 공격을 받으면 의도된 표적이 아니었던 것까지 포함해 광범위한 호스팅 플랜과 웹사이트가 영향을 받을 수 있음을 의미합니다.

공유 호스팅 데이터 유출

공유 호스팅 환경에서는 한 웹사이트가 침해되면 공격자가 같은 서버의 다른 사이트 파일이나 데이터베이스에 접근할 방법을 찾아낼 가능성이 있습니다. 이는 구성이 잘되지 않은 서버가 데이터 유출에 더 취약하며, 다른 사용자 계정에 대한 무단 액세스를 가능하게 함을 의미합니다.

서버의 특정 웹사이트가 DDoS 공격, SQL 인젝션 또는 크로스 사이트 스크립팅과 같은 공격을 받고 있을 수 있습니다. 그 결과 발생하는 리소스 장애는 공격자가 서버의 다른 취약점을 악용하기 더 쉽게 만들 수 있으며, 이는 여러 사이트의 데이터 손상으로 이어질 수 있습니다.

공유 호스팅 보안 사용자 지정

공유 호스팅 제품에서는 서버 보안을 직접 관리할 필요는 없지만, 루트 액세스를 제공하는 호스팅 옵션만큼 유연하게 구성할 수는 없습니다.

호스팅 제공업체는 일반적으로 가장 중요한 보안 기능을 제어하는 표준 보안 구성을 제공하지만, 이는 일부 사용자의 특정 요구를 충족하지 못할 수 있습니다. 보안 설정을 더 세밀하게 구성해야 한다면 전용 서버 또는 Virtual Machine(VPS) 호스팅 서비스를 선택하는 것이 더 나을 수 있습니다.

공유 호스팅 보안 vs. 다른 호스팅 유형

공유 호스팅 vs. VPS 및 전용 호스팅

공유 호스팅에서는 모범 사례를 따르고 최소한의 위험 상태를 유지할 수 있습니다. 하지만 더 높은 보안 요구 사항이 있다면 VPS 또는 전용 서버 호스팅을 선택해야 할 수도 있습니다. 이러한 옵션에서는 일반적으로 루트 액세스와 보안 설정을 선호에 맞게 관리 및 구성할 수 있는 기능이 제공됩니다.

전용 호스팅의 보안 장점

전용 호스팅이 제공하는 추가 보안 이점은 완전한 격리입니다. 공유 호스팅 사용자는 같은 서버의 다른 사용자로 인해 발생하는 위험에 노출될 수 있지만, 호스팅 사용자는 서버 전체를 단독으로 사용하며 자신의 보안을 완전히 제어할 수 있습니다. 가상 사설 서버 소유자에게도 마찬가지이지만, 격리가 가상이므로 VPS 사용자는 전용 호스팅 사용자만큼 완전히 독립적이지는 않습니다.

전용 및 VPS 호스팅의 추가적인 보안 사용자 지정과 제어에는 그에 따른 추가 책임이 따른다는 점을 기억해야 합니다. 사용자가 직접 보안 설정을 사용자 지정하고 관리할 기술 역량이 없다면 IT 전문가를 고용해야 할 수도 있습니다.

공유 호스팅을 안전하게 보호하기 위한 10가지 전략

공유 호스팅 사용자에게는 유의해야 할 보안 위험이 있지만, 이러한 위험을 최소화할 수 있는 모범 사례도 있습니다.

1. 정기적으로 백업하기

웹사이트 파일과 데이터베이스를 정기적으로 백업하면 데이터 유출이나 설치된 소프트웨어 문제 발생 시 데이터 손실을 방지할 수 있습니다. 또한 이전의 감염되지 않은 웹사이트 상태를 복원하여 더 빠르게 정상 운영으로 되돌릴 수 있습니다.

백업을 수동으로 적용하는 것은 쉽게 놓치거나 충분히 정기적으로 수행되지 않을 수 있으므로 autobackup service를 사용하는 것이 일반적으로 좋습니다.

2. 신뢰할 수 없는 출처 피하기

플러그인이나 소프트웨어를 사용할 때는 항상 각별히 주의하여 신뢰할 수 없는 출처를 피하고 보안 위험을 최소화하세요.

3. 안전한 비밀번호와 2FA/MFA 사용하기

호스팅 계정, CMS 관리자 패널, FTP/SFTP 계정에는 강력하고 고유한 비밀번호만 사용하는 것이 중요합니다. 추가 보안 계층을 위해 가능할 때마다 2단계 인증(2FA) 또는 다중 인증(MFA)을 활성화하세요.

4. 권한, 사용자 역할 및 액세스 관리하기

누군가 무단으로 접근하지 못하도록 적절한 사용자 역할과 권한을 설정하고, 자격 증명을 파트너와 안전하게 저장 및 공유하도록 하세요.

호스팅 계정과 웹사이트에 접근할 수 있는 사람 수를 제한하는 것이 좋은 관행입니다. 비정상적이거나 무단 행동이 있는지 액세스 로그와 계정 활동을 정기적으로 모니터링하세요.

무단 액세스를 방지하려면 올바른 파일 및 폴더 권한을 설정해야 한다는 점을 기억하세요. 여기에는 파일의 경우 644, 디렉터리의 경우 755가 포함됩니다. 모든 사용자에게 전체 읽기/쓰기/실행 권한을 허용하는 777은 꼭 필요하다고 확신하는 경우가 아니라면 피하세요.

5. 웹 애플리케이션 방화벽(WAF) 사용하기

WAF는 들어오는 웹사이트 트래픽을 분석하여 웹 애플리케이션에 도달하기 전에 악의적인 요청을 식별하고 걸러냅니다. 이는 SQL 인젝션, 크로스 사이트 스크립팅(XSS), 원격 파일 포함과 같은 다양한 유형의 공격을 방지하는 데 도움이 됩니다.

WAF는 알려진 악성 IP 주소와 스팸 또는 DDoS 공격의 출처를 차단하여 이러한 요청이 웹사이트 성능에 영향을 주지 못하게 할 수 있습니다.

사이트로 향하는 악성 트래픽을 필터링하고 차단하려면 WAF를 사용하세요. 일부 호스팅 제공업체는 서비스의 일부로 WAF를 제공하며, Cloudflare 또는 Sucuri와 같은 타사 솔루션을 사용할 수도 있습니다.

6. 웹사이트 보안을 위해 SSL 인증서 사용하기

웹사이트 보안과 사용자 데이터 보호를 위해 SSL 인증서는 필수적인 조치입니다. HTTPS 프로토콜은 웹사이트와 방문자 간의 통신을 보호합니다. Let’s Encrypt와 같은 많은 호스팅 제공업체는 모든 웹사이트에 무료 SSL 인증서를 제공합니다.

7. 패치, CMS 및 플러그인을 정기적으로 업데이트하기

보안 취약점을 최소화하려면 콘텐츠 관리 시스템(CMS) 플랫폼, 플러그인 및 테마를 항상 정기적으로 업데이트하세요.

호스팅 제공업체가 Apache, PHP, MySQL과 같은 모든 서버 소프트웨어를 완전히 최신 상태로 유지하는지 확인하세요.

8. 의심스러운 활동 스캔 및 모니터링하기

보안 위협을 확인하기 위해 의심스러운 활동의 징후를 정기적으로 모니터링하세요. cPanel Virus Scanner는 Spaceship Shared Hosting 플랜에 포함되어 있습니다. ImunifyAV와 같은 무료 모니터링 서비스와 Sucuri와 같은 무료 온라인 스캐너도 있습니다.

악성코드 스캔 도구는 웹사이트에서 악성코드를 탐지하고 제거하며, 많은 호스팅 제공업체가 내장형 악성코드 스캔 기능을 제공합니다. WordPress와 같은 인기 CMS 플랫폼용 보안 플러그인도 쉽게 설치할 수 있습니다.

9. 보안 파일 전송 프로토콜(SFTP) 사용하기

파일 전송 프로토콜(FTP)에 SFTP를 구현하여 웹사이트 파일 전송을 더 안전하게 만드세요. FTP는 데이터(비밀번호 포함)를 평문으로 전송하는 반면, SFTP는 데이터 전송을 암호화합니다. 또 다른 안전한 FTP 대안은 file transfer protocol secure(FTPS)입니다.

10. 강력한 계정 격리

각 사용자의 환경을 격리하고 사용자 계정이 다른 계정에 영향을 미치지 않도록 하려면 CloudLinux의 CageFS와 같은 강력한 사용자 계정 격리를 제공하는 호스팅 제공업체를 선택하는 것이 가장 좋습니다.

추가 보안 고려 사항

호스팅 제공업체가 합리적인 보안 정책과 표준을 따르고 CloudLinux 및 cageFS와 같은 기술을 갖추고 있는지 항상 확인하세요. 보안의 기본 원칙은 사용자로부터 시작된다는 점을 기억하고, 자동 백업, SSL 암호화, 서버 소프트웨어의 자동 패치 및 업데이트와 같은 강력한 보안 조치를 반드시 구현하세요.

구매를 고려할 수 있는 보안 제품에는 다음이 포함됩니다:

• 악성코드 탐지를 위한 자동 스캔 및 정리 도구

• 보안 셸(SSH) 암호화 터미널 액세스

• 대규모 공격에 대한 공격 방어

• WAF

• DDoS 보호

• CDN(DDoS 공격의 영향을 줄이기 위해)

안전하고 보안이 유지되도록 하세요

개인과 모든 규모의 기업 모두에게 사이버 보안은 항상 높은 우선순위여야 합니다. 공유 호스팅 고객이라면 유의해야 할 몇 가지 보안 문제가 있지만, 올바른 결정을 내리고 모범 사례를 따르면 위험을 통제 가능한 수준으로 유지할 수 있습니다.