이 글의 링크는 추후 제휴 링크로 바뀔 수 있으며, 그 경우 구매 시 수수료를 받을 수 있습니다.
이 글에서 다루는 것
워드프레스 공식 문서에 적힌 내용만 가지고, 플러그인을 잔뜩 깔기 전에 먼저 해야 할 보안 설정을 로그인·업데이트·백업 세 갈래로 정리합니다.
워드프레스로 블로그나 사이트를 막 열었는데 무엇부터 손봐야 할지 모르는 분, 보안 플러그인 추천 글만 읽다가 결국 아무것도 못 한 분을 위한 글입니다.
읽고 나면 오늘 저녁 한 시간 안에 끝낼 수 있는 항목과, 호스팅 쪽에 맡겨야 하는 항목을 구분할 수 있습니다.
털리는 경로는 대개 정해져 있습니다
워드프레스 사이트가 뚫리는 경로는 크게 셋입니다.
첫째가 로그인 창입니다.
기본 상태의 워드프레스는 로그인 시도 횟수에 제한이 없어서, 봇이 아이디와 비밀번호를 계속 바꿔 가며 찔러 볼 수 있습니다.
둘째가 오래된 코어·플러그인·테마입니다.
이미 공개된 취약점을 고치지 않고 두면 공격 쪽에서는 굳이 새로운 방법을 찾을 이유가 없습니다.
셋째가 서버 단입니다.
개인이 손대기 어렵고 호스팅이 어디까지 해 주느냐에 달렸습니다.
순서도 이 차례가 맞습니다.
앞의 둘은 오늘 바로 할 수 있고, 백업은 셋 중 무엇이 뚫려도 되돌릴 수 있게 해 주는 마지막 안전망입니다.
1단계. 로그인 창부터 막습니다
공식 보안 문서는 비밀번호 이야기로 시작합니다.
관리자 계정이 뚫리면 글이 아니라 서버 전체가 위험해질 수 있다는 것이 문서에 적힌 이유입니다.
문서가 피하라고 명시한 비밀번호는 네 가지입니다.
① 본인 실명·아이디·회사명·사이트명을 변형한 것, 어떤 언어든 사전에 있는 단어, 짧은 것, 숫자만이나 문자만 쓴 것을 피하라고 적혀 있습니다.
② 특히 사전에 있는 단어는 언어를 가리지 않습니다.
같은 문단은 강한 비밀번호에 더해 2단계 인증을 켜라고 덧붙입니다.
비밀번호 하나로 버티지 말라는 뜻입니다.
다음은 시도 횟수 제한입니다.
공식 플러그인 디렉터리의 로그인 제한 플러그인은 무료판만으로도 필요한 항목이 대부분 들어 있습니다.
① IP와 아이디 단위로 로그인 시도를 제한하고, ② 잠금 시간과 재시도 횟수를 직접 정할 수 있습니다.
③ 2단계 인증도 무료판 기능 목록에 들어 있습니다.
같은 목록에 실패한 로그인 기록, 잠금 알림 메일, IP 허용·차단 목록도 있고, 로그인 페이지뿐 아니라 XML-RPC 로 들어오는 로그인 요청도 보호 대상으로 적혀 있습니다.
여기까지 정리하면 이렇게 됩니다.
| 할 일 | 무엇을 막나 | 어디서 |
|---|---|---|
| 강한 비밀번호로 교체 | 추측·사전 공격 | 사용자 > 프로필 |
| 아이디를 admin 이 아닌 것으로 | 아이디를 이미 아는 상태의 대입 | 새 관리자 계정 생성 후 기존 계정 삭제 |
| 로그인 시도 횟수 제한 | 무차별 대입·봇 | 로그인 제한 플러그인 |
| 2단계 인증 | 비밀번호가 새어 나간 경우 | 같은 플러그인 또는 별도 2FA 플러그인 |
네 가지 모두 돈이 들지 않고, 합쳐서 삼십 분이면 끝납니다.
2단계. 업데이트는 자동인 것과 아닌 것을 나눕니다
"자동 업데이트가 켜져 있으니 괜찮다"는 말이 위험한 이유가 여기 있습니다.
자동으로 처리되는 범위가 생각보다 좁습니다.
① 공식 문서는 워드프레스 3.7 이상에서 마이너 업데이트와 보안 업데이트가 배경에서 자동으로 적용된다고 적고 있습니다.
② 다만 큰 기능 릴리스는 여전히 관리자가 직접 '지금 업데이트'를 눌러야 한다고 같은 문단에 명시돼 있습니다.
게다가 이 문서가 다루는 것은 코어입니다.
플러그인과 테마의 자동 업데이트는 항목마다 따로 켜야 하고, 실제로 문제가 되는 쪽도 코어보다 이쪽입니다.
쓰지 않는 플러그인은 비활성화가 아니라 삭제하는 편이 낫습니다.
비활성화 상태의 파일도 서버에 그대로 남아 있기 때문입니다.
문서 맨 위 경고도 함께 읽을 만합니다.
업그레이드는 설치 폴더의 모든 파일에 영향을 주므로 코어 파일을 고쳐 둔 것이 있다면 그 수정은 사라집니다.
그래서 문서는 업데이트 순서의 첫 항목으로 백업을 둡니다.
3단계. 되돌려 본 적 있는 백업만 백업입니다
공식 보안 문서의 백업 항목은 주기적인 스냅샷을 권합니다.
워드프레스 파일과 데이터베이스를 함께, 믿을 수 있는 위치에 보관하라는 내용입니다.
왜 여러 시점을 남겨야 하는지도 예시로 적어 두었습니다.
5월 1일에 침해당했는데 5월 12일에야 알아챈 경우, 주 단위 스냅샷이 있다면 침해 이전 백업이 남아 있다는 것입니다.
하나만 덮어쓰는 방식이 위험한 이유가 이것입니다.
늦게 알아채면 이미 감염된 상태가 백업에도 덮여 있습니다.
백업에서 자주 빠지는 것이 데이터베이스입니다.
글·댓글·설정은 전부 데이터베이스에 있어서, 파일만 받아 두면 복원해도 빈 사이트가 나옵니다.
마지막으로 한 번은 실제로 복원해 보시기 바랍니다.
복원해 본 적 없는 백업 파일은 사고가 난 다음에야 못 쓴다는 사실을 알게 됩니다.
여기까지 하고도 남는 부분: 서버 쪽
로그인·업데이트·백업을 다 해도 서버 단은 남습니다.
방화벽, 서버 소프트웨어 패치, 백업 저장 위치 같은 것들이고 이 영역은 호스팅 업체의 몫입니다.
그래서 호스팅을 고를 때 요금과 용량만이 아니라 보안 항목이 기본 포함인지 별도 과금인지를 같이 봐야 합니다.
관리형 호스팅인 클라우드웨이즈를 예로 들면 요금 페이지에 이렇게 적혀 있습니다.
① 무료 SSL 인증서가 기본 포함이고, ② 서버 단 방화벽으로 악성 봇과 DoS 공격을 막는다고 적혀 있습니다.
③ 백업은 필요할 때 수동으로, 또는 자동으로 받아 두고 한 번의 클릭으로 되돌릴 수 있다고 안내합니다.
같은 페이지에는 워드프레스 취약점 스캐너와 IP 차단 기능이 있는 방화벽이 모든 요금제에 포함된다는 표기도 있습니다.
오늘 확인한 가장 낮은 요금제는 월 14달러이고, 결제 정보 없이 사흘 동안 써 볼 수 있는 체험도 열려 있습니다.
기본 포함 보안 기능이 어디까지인지 공식 요금 페이지에서 직접 확인하기
다만 여기서 솔직하게 짚을 것이 있습니다.
보안 관련이라고 해서 전부 기본 포함은 아닙니다.
① 악성코드 자동 제거는 기본 기능이 아니라 별도 애드온이고, ② 앱 하나당 월 4달러가 추가됩니다.
같은 줄의 다른 애드온들도 도메인·앱·메일함 단위로 따로 계산됩니다.
백업도 공짜는 아닙니다.
요금표 아래에 외부 저장소 백업은 서버당 1GB 0.033달러가 붙는다는 고지가 있고, 표시 금액에 세금이 빠져 있다는 문장도 함께 적혀 있습니다.
관리 화면이 영어이고 결제가 달러라는 점도 감안해야 합니다.
한국어 상담 창구가 없어 영어로 문의해야 하고, 업무용 메일도 포함이 아니라 메일함당 월 1.5달러짜리 별도 애드온입니다.
월 방문자가 아직 많지 않고 월 1만 원 이하 공유 호스팅으로 충분한 상태라면, 이 글의 1~3단계만 해 두는 편이 낫습니다.
호스팅을 옮기는 것은 그 뒤에 고민할 일입니다.
자주 묻는 질문
워드프레스 보안 플러그인은 몇 개나 깔아야 하나요?
로그인 보호 하나면 시작으로 충분합니다.
같은 기능을 하는 보안 플러그인을 여러 개 겹쳐 깔면 로그인 화면에서 충돌해 관리자 본인이 잠기기도 합니다.
공식 보안 문서도 플러그인을 늘리기보다 비밀번호·백업 같은 기본을 먼저 말합니다.
자동 업데이트를 켜 두면 업데이트는 신경 안 써도 되나요?
아닙니다.
공식 문서 기준으로 자동으로 적용되는 것은 워드프레스 코어의 마이너·보안 업데이트이고, 큰 기능 릴리스는 직접 눌러야 합니다.
플러그인과 테마의 자동 업데이트는 항목별로 따로 켜야 합니다.
백업은 얼마나 자주 받아야 하나요?
글을 올리는 주기에 맞추면 됩니다.
매일 쓰는 블로그라면 매일, 주 1~2회 쓴다면 주 단위입니다.
주기보다 중요한 것은 여러 시점을 남기는 것과 파일·데이터베이스를 함께 받는 것입니다.
마무리
워드프레스가 뚫리는 경로는 로그인 창, 오래된 코어·플러그인·테마, 서버 단 셋이고 앞의 둘은 오늘 바로 막을 수 있습니다.
강한 비밀번호와 로그인 시도 제한, 2단계 인증까지 삼십 분이면 끝나고, 자동으로 처리되는 업데이트 범위는 코어의 마이너·보안 업데이트까지라는 점만 기억하면 됩니다.
백업은 여러 시점을 파일과 데이터베이스까지 함께 남기고, 한 번은 실제로 복원해 봐야 백업 구실을 합니다.
지금 쓰시는 호스팅은 백업을 며칠치나 보관해 주나요?
댓글로 남겨 주시면 지금 설정으로 충분한지 같이 따져 보겠습니다.
다음 글에서는 「수익형 블로그 필수 페이지, 개인정보처리방침과 제휴 고지」에 대해 알아보겠습니다.