WordPress 방화벽은 주로 WordPress 웹사이트를 보호하기 위해 만들어진 웹 애플리케이션 방화벽(WAF)입니다.
WAF는 웹 보안 업계에서 비교적 새로운 제품입니다. 이 가이드에서는 방화벽이 무엇이고 어떻게 WAF가 되었는지 설명합니다. 또한 시중에 나와 있는 다양한 유형의 WordPress 방화벽과 그 작동 방식에 대해서도 설명합니다.
방화벽의 아이디어
방화벽은 두 개 이상의 네트워크 사이에 구축되어 각 네트워크의 유입 및 유출 트래픽을 관리합니다. 신뢰할 수 있는 네트워크와 보안되지 않은 네트워크 사이의 장벽 역할을 합니다.
방화벽은 일반적으로 인터넷 연결과 내부 네트워크 사이에 기존 구성으로 구현됩니다. 들어오는 인터넷 위협으로부터 네트워크를 방어하는 데 사용됩니다. 또한 인터넷에 액세스할 수 있는 사람을 규제하는 데 사용됩니다. 집에서 WiFi 라우터를 사용하는 경우 라우터는 집의 방화벽 역할도 합니다. 오늘날 거의 모든 주거용 WiFi 라우터에는 방화벽이 포함되어 있습니다.
1세대 방화벽 - 패킷 필터링이 웹 애플리케이션 방화벽으로 진화
원래 방화벽은 네트워크 트래픽을 제한하고 제어하기 위해 고안되었습니다. 방화벽은 패킷 필터링만 수행했고 전송의 페이로드를 이해하지 못했습니다. 네트워크에 웹사이트를 호스팅하는 경우 방화벽을 통해 포트 80을 대중에게 공개해야 했습니다.
포트가 열리면 방화벽은 악성 트래픽을 포함한 모든 유형의 유입 트래픽이 통과하도록 허용합니다.
2세대 - 상태 필터링
2세대 방화벽은 OSI 모델의 4계층에서 작동했습니다. 이는 방화벽이 관리하는 연결의 종류를 결정할 수 있음을 나타냅니다. 예를 들어, 패킷이 새 연결을 설정하는지 또는 연결이 이미 설정되었는지 등입니다.
그럼에도 불구하고, 2세대 방화벽은 트래픽을 조절하는 데 많은 문제가 있습니다. 관리자는 최소한 연결 상태에 따라 방화벽 규칙을 정의할 수 있습니다.
3세대 방화벽의 애플리케이션 계층 필터링
오늘날의 방화벽은 1990년대 중반에 도입되었습니다. 현대 방화벽 기술은 프로토콜과 앱을 인식합니다. 따라서 3세대 방화벽은 패킷의 페이로드가 FTP 서버를 위한 것인지, 요청이 무엇인지, 또는 HTTP 연결 요청인지, 요청이 무엇인지 판단할 수 있습니다.
이 기술로 인해 웹 애플리케이션 방화벽과 같이 범위가 제한된 방화벽이 탄생하게 되었습니다.
WordPress 방화벽 / 웹 애플리케이션 방화벽
WordPress 방화벽 개략도
웹 애플리케이션 방화벽은 범위가 제한적입니다. 네트워크에서 그들의 임무는 위험한 해커 공격으로부터 웹사이트를 방어하는 것입니다.
WordPress 방화벽은 WordPress를 보호하기 위해 특별히 만들어진 웹 애플리케이션 방화벽입니다. WordPress 방화벽이 WordPress 사이트에 구현되면 인터넷에서 들어오는 모든 HTTP 요청을 분석합니다.
HTTP 요청의 페이로드가 악성인 경우, WordPress 방화벽은 연결을 종료합니다.
WordPress 방화벽은 어떻게 구현되나요?
WordPress 방화벽은 안티 맬웨어 소프트웨어와 유사한 방식으로 유해한 요청을 식별합니다. 시그니처는 알려진 공격의 모음이며 HTTP 요청의 페이로드가 시그니처와 일치하면 요청은 악성입니다.
대부분의 WordPress 방화벽은 공격 시그니처 수정을 허용하지 않습니다. 그러나 WordPress 중심이 아닌 웹 애플리케이션 방화벽은 매우 조정 가능합니다. WordPress를 사용하든 사용자 정의 솔루션을 사용하든 웹사이트에 맞게 정확하게 사용자 정의할 수 있습니다. 고유한 보안 정책, 예외 등을 설계할 수 있습니다. 웹 애플리케이션 방화벽을 구성할 때는 합법적인 트래픽을 차단하지 않도록 주의해야 합니다.
게다가, 일부 웹 애플리케이션 방화벽은 자동 학습 기술을 특징으로 합니다. 이 휴리스틱 기술은 귀하의 웹사이트 트래픽을 조사하여 어떤 방문자가 합법적이고 어떤 방문자가 합법적이지 않은지 판별합니다.
다양한 WordPress 방화벽 유형
방화벽 워드프레스 플러그인
자체 호스팅되는 대부분의 WordPress 방화벽은 WordPress 플러그인입니다. 플러그인 방화벽이 설치되면 웹사이트로 수신된 각 HTTP 요청은 다음과 같이 처리됩니다.
- 먼저, 웹 서버 서비스(Apache나 Nginx)가 이를 수신합니다.
- 다음으로 WordPress 부트스트랩/로드 프로시저를 시작하여 WordPress를 초기화합니다(wp-config.php, 데이터베이스 연결, WordPress 설정 등).
- WordPress가 실제로 요청을 처리하기 전에 WordPress 방화벽 플러그인이 요청을 구문 분석합니다.
WordPress 방화벽 플러그인은 저렴한 비용과 사용자 친화성으로 인해 SMB에 적합합니다. 또한 대부분에는 맬웨어 스캐너가 통합되어 있습니다. 그러나 이러한 방화벽은 사이트에서 활성화되어 있으며 WordPress에서 시작했습니다. 따라서 방화벽이 활성화되기 전에 사이트에 취약점이 있는 경우 공격자가 WordPress 사이트에 대한 전체 액세스 권한을 얻을 가능성이 있습니다.
WordPress 웹 애플리케이션을 위한 방화벽 어플라이언스
일반적으로 웹 애플리케이션용 방화벽은 WordPress 방화벽으로도 활용될 수 있습니다. 이는 전용 하드웨어 또는 소프트웨어일 수 있습니다.
WordPress 웹사이트와 인터넷 연결 사이에 일반 웹 애플리케이션 방화벽을 설치합니다. 따라서 WordPress 사이트로 전송되는 각 HTTP 요청은 먼저 WAF를 거쳐야 합니다. 이러한 WAF는 의심할 여지 없이 WordPress 방화벽 플러그인보다 더 안전합니다. 안타깝게도 비용이 많이 들고 관리하려면 전문적인 기술 지식이 필요합니다. 따라서 소규모 기업에서는 거의 사용하지 않습니다.
WordPress 웹사이트 클라우드 방화벽(SaaS)
WordPress Cloud Firewall은 자체 호스팅 방화벽 플러그인이나 어플라이언스와 달리 웹 서버와 동일한 네트워크에 배포할 필요가 없습니다. 이는 프록시 서버 역할을 하는 인터넷 서비스로, 도메인으로 전달하기 전에 웹사이트 트래픽을 필터링합니다.
온라인 WordPress 방화벽을 사용하면 도메인의 DNS 레코드가 온라인 WAF를 가리키도록 구성됩니다. 즉, 웹사이트 방문자가 WordPress 사이트와 직접 대화하는 것이 아니라 온라인 WordPress 방화벽과 대화한다는 것을 의미합니다.
일반적인 온라인 방화벽에는 여러 범위가 있습니다. WordPress 사이트를 해킹 공격으로부터 보호하는 것 외에도 캐싱 서버 및 콘텐츠 전송 네트워크(CDN)로 작동할 수도 있습니다. 온라인 웹 애플리케이션 방화벽을 자체 호스팅 일반 웹 애플리케이션 방화벽과 비교하면 온라인 웹 애플리케이션 방화벽도 매우 비용 효율적임을 알 수 있습니다.
클라우드 방화벽/WAF를 우회할 수 있습니다.
WAF가 WordPress 사이트로 트래픽을 전달하려면 온라인 WordPress 방화벽의 제약이 있어 웹 서버가 인터넷을 통해 사용 가능해야 합니다. 즉, 웹 서버의 IP 주소를 아는 사람이라면 누구나 직접 통신할 수 있습니다.
따라서 공격자가 취약한 사이트를 찾기 위해 전체 네트워크를 스캔하는 비대상 WordPress 공격에서 웹 서버와 웹사이트는 직접 액세스할 수 있습니다. 이러한 공격의 희생자가 되는 것을 피하려면 온라인 WordPress 방화벽에서 발생하는 트래픽에만 응답하도록 서버의 방화벽을 구성할 수 있습니다.
WordPress 방화벽의 일반적인 제한 제한 제로데이 취약점 방어
HTTP 요청의 페이로드를 서명 데이터베이스와 비교하는 것은 가장 널리 퍼진 WAF 보호 기술 중 하나입니다. 따라서 사용자가 귀하의 웹사이트에 접속하면 WAF는 페이로드를 알려진 웹 공격 데이터베이스와 비교합니다. 일치하면 해롭고, 일치하지 않으면 통과가 허용됩니다.
제로데이 WordPress 취약성이 발생하는 경우 WordPress 방화벽이 공격을 막지 못할 가능성이 있습니다. 이 때문에 공급업체의 대응성이 중요하며, 대응성이 뛰어나고 평판이 좋은 회사의 소프트웨어만 사용해야 합니다. 공급업체가 가능한 한 빨리 방화벽 규칙을 변경할 수 있는 것이 좋습니다.
웹 애플리케이션 방화벽 우회
웹 애플리케이션 방화벽은 다른 것과 마찬가지로 소프트웨어입니다. 방화벽 자체의 문제가 있고 약점이 있을 수 있습니다. 사실, 웹 애플리케이션 방화벽 보호를 우회하는 데 사용되는 전략을 논의하는 백서와 기사가 상당히 많습니다. 그럼에도 불구하고 공급업체가 주의를 기울이고 적절한 시기에 이러한 문제를 해결한다면 모든 것이 괜찮습니다.
WordPress에서 방화벽을 사용해야 하나요?
물론입니다! WordPress와 함께 어떤 방화벽을 사용해야 합니까? 각 WordPress 방화벽에는 장단점이 있으므로 필요에 가장 잘 맞는 것을 선택하십시오. 따라서 WordPress 방화벽이 있더라도 경계해야 합니다.
WordPress 보안과 관련하여, 실패 없는 솔루션은 없습니다. 따라서 항상 강화 > 모니터링 > 향상 > 테스트해야 합니다. WordPress 사이트 활동 기록을 유지하고, 견고한 WordPress 백업 솔루션을 만들고, WordPress 방화벽을 사용합니다. 이러한 조직은 우리가 지지하고 함께 일하고 싶어하는 조직입니다.
한국어 
English 
简体中文 
香港中文 
繁體中文 
日本語 
Español 
Français 
العربية 
हिन्दी 
বাংলা 
Italiano 
Português 
Nederlands 
Tiếng Việt 
Русский 
Polski 
Deutsch 
Dansk