안녕하세요.
집에서 윈도우 데스크톱을 24시간 돌리면서 밖에서는 노트북으로 서버 작업을 하고 있습니다.
중요 서버는 아니고 회사 업무를 테스트 하기 위해서 깡통 서버를 만든 것인데요.
아이디/비밀번호는 계정으로 사용하고 있구요.
원래는 공유기 IPtime의 VPN을 사용했는데, 어느 순간부터 안돼서 그냥 포트포워딩 합니다.
만약 공격하려면 제 IP 주소랑 포트번호 계정만 알면 접속을 할 수 있는데...더 보안할 수 있는 방법이 있을까요? (공유기 VPN은 안되네요ㅠㅠ)
그냥 아이디, 비번 인증만으로는 조금 불안하죠.
포트 바꿔도 접속시도가 많아져서 깔았는데, 일 0~2회 정도 수준 입니다. (1번만 실패해도 15일간 밴)
돌발상황 대비로 크롬원격도 같이씁니다.
수시로 털려도 되고, 같은 네트워크에 아무 장치도 없어서 추가 피해도 안 생긴다면 몰라도 아니라면 하지마세요
잘 알려진 기본 포트를 가급적 유추하기 어려운 5자리의 포트번호로 변경하는것만으로 마구잡이로 들어오는 포트 스캐닝과 로그인 시도를 대부분 막을 수 있습니다.
실제 실무에서도 불가피하게 오픈해야하는 서비스의 기본 포트변경은 필수 사항입니다.
100번 뚤려야 문제가 아니라 단 1번이라도 뚤리면 문제이므로 공격 회수가 줄어드는걸론 해결책이 안 됩니다 (그렇다고 RDP가 SSH처럼 2차 인증이라도 붙어있는것도 아니고, 기컷해야 계정 로그인이 보안 수단 전부입니다)
하루이틀 잠시 열어둘꺼라면 모르겠지만, 24/7로 주구장창 열어두면 어차피 공격당합니다
안전 찾을려면 하다못해 프록시라도 경유하게 해서 간접적으로 여는게 안전하죠
애초에 시스템 직접 제어 가능한 프로토콜(다른 보호 수단도 없음)용 포트를 직접 여는데 안전이 어딧나요?
접속 주소를 화이트 리스트로 지정하면 그나마 자동 차단되니 괜찮을지 모르지만 (이조차 공격 못하는건 아닌거같음), 선택사항이 아닌 최저요건이죠
고정아이피로 포트번호 변경해서 RDP공개 해놓은 사람입니다.
무려 10년을 공개했지만 윈도우 보안패치와 비밀번호 관리만 잘하면 뚫리지 않습니다.
그냥 운이라고 하기에는
이런 데스크탑이 10대가 넘습니다.
10년 이상 안전 했습니다.
참고로 윈도우 10이상입니다.
단순한 비번으로 똑같은 비번 10군데 설정해놔도 안 털리는 사람은 안 털립니다
본인이 괜찮다고 보안상 괜찮다고 하셔도 곤란합니다
글 쓴분은 안전상 괜찮냐고 묻고 있는거고, 엄연히 위험성이 남아있는데도 안전하다고 답변하면 안 되니 안 된다고 답변하는겁니다
포트번호 하나 바꿨다고 스캐닝 안들어오고 로그인 시도가 완전히 없어지는것은 불가능합니다.
하지만 서비스 기본 포트변경을 절대 비추이라고 하신것에 대해서 언급하자면,
보안에 관하여 많은것을 갖춘다면 당연히 좋겠지요.
집에서 홈PC에 RDP서비스 하나 여는데 위에서 언급하신 보안을 다 하실 수 있나요?
말씀하신 2차인증, 화이트 리스트, 게이트웨이 등을 비롯하여 세상에는 보안과 관련된 장비 및 솔루션이 무궁무진 합니다.
즉, 보안을 하자면 1에서 시작하여 끝이 없기에 가장 기본적인것부터 하는것이지요.
그 1에 해당하는것이 기본 서비스 포트 변경이라 할 수 있습니다.
당장 할 수 있는 보안이기에 안하는것보다는 훨씬 효과가 좋습니다.
어떠한 방법으로든 무엇으로든 1번 뚤리는 것을 예측할 수 없겠지만 100번 시도하여 1번 뚤린다면 99번은 차단할 수 있을테니까요.
그 1번 뚤릴 수 있기에 쓸모없다고 하는것은 너무 과하지 않나요?
저는 보안은 지팡이든 무엇이든 쓸 수있고 할 수 있다면 안 쓰고 안 하는것보다 하나라도 더 쓰고 하는것이 좋다고 생각합니다.
최소한도로 자신도 못 지키는걸 남 보고 하라고 하진 않습니다
효과가 없다는 소리가 아니라 그것만 과신하면 안 되므로 비추라는겁니다 (아무리 공격이 줄어들더라도 결국 1번 뚤리면 끝입니다)
1번 뚤리면 끝이라고 비추라면 아무것도 안하는것이 옳은 결론인가요?
세상에 완벽한 보안이 없을지언데 dateno1님께서 언급하신 그 모든것을 하여도 1번은 뚤릴 수 있을것이고 그렇다면 세상의 모든 보안 장비와 솔루션은 쓸모가 없는건가요?
홈PC에서 특별한 보안 시스템없이 할 수 있는게 얼마나 있을까요?
포트 변경하여 안심되고 끝이 아니라 최소한이라도 할 수 있는 보안을 하라는 겁니다.
그것에 더불어 다른분들께서 언급하신 공유기의 국가별 접속 제한, 로컬보안 설정과 VPN 등이 더해진다면 조금 더 보안을 강화할 수 있겠지요.
그 1번이 뚤릴 가능성을 최대한 낮추고, 그 시점을 늦추기 위해 존재하는게 보안 장치들입니다 (어차피 무적의 보안따윈 없습니다)
특별한 보안 시스템이 있어야 저런게 가능하다고 착각하신다면 큰 착각입니다
하다못해 본문에서 말하는 어느센가 망가져서 작동 안 하는 VPN을 재설정해서 다시 작동하게 만들기만 해도 포트 변경만으로 떄우는것보다 횔씬 안전합니다 (시간과 수고가 드는거지 이걸 진행하는데 뭔가 추가 장비나 비용이 필요한가요?)
자체 제공 VPN이 안 고쳐진다면 서버가 될 컴에 VPN을 설치후 RDP 포트가 아닌 VPN용 포트를 포워딩해서 그걸로 접속하는 방법도 있습니다 (이렇게 하면 추가 인증 수단도 설정 가능해서 더 강력한 보안을 누릴 수 있습니다)
방법이 없거나 매우 어려우면 하라고 안 하겠지만, 눈앞(본문)에 방법이 있는거니 그렇게 하라고하는데 대체 뭐가 문제인지 모르겠군요
시간과 수고가 드는것까지 아끼고싶다면 돈을 쓰던지 포기하는 수 밖에 없습니다 (이 세상에 공짜는 없습니다)
무조건 돈지랄을 해야만 보안이 확보되는것 아닙니다 (삽질할 각오만 있으면 됩니다)
애초에 아무리 좋은 장비 사봤자 설정 똑바로 안 하면 보안 꽝이기떔에 보안=삽질의 연속인건 별 수 없습니다 (기본값으로 돌리면 탈탈 털어달라고하는거랑 똑같습니다)
그렇게 해도 뚤리면 뭘 해도 뚤린다고 봐야 합니다
요즘은 국내 ip 경유하는 공격도 있긴 있는데 그래도 거의 80% 이상은 해외 ip로 들어오기도 하고. 가정에서 서버 구성 하실 때 가장 이상적인 방법은 pre-shared-key나 인증서 기반 인증, 그리고 사용자 계정 인증으로 보호되는 고성능 vpn장비를 사용하시는건데 ... iptime 공유기는 vpn 사용시 성능이 나와주질 않을것이니. 단 windows defender는 끄지 마세요. 요즘 defender 왠만한 백신보다 훨좋습니다
저런넘보다 더 유물인 WRT54G같은 태초(?)시대 장비로도 얼마든지 가능했었습니다 (이런 초유물 (이젠 용량떔에 더 이상 답도 안 나옴) 써도 20Mbps 가까이 나왔었습니다)
거기다 원격만 돌릴꺼면 몇mbps정도면 됩니다
타임의 쓰X기 시퓨 성능에 뭔가 기대하진 않지만, 어지간하면 저정돈 버팁니다
거기다 못 버티면 어차피 서버가 될 컴에 깔면 되죠 (애초에 와이어가드같은 프로토콜 제공도 안 해주는 제품이니 그쪽도 쓸려면 서버에 깔아야 함)
무료이면서 노트북들에 모두 깔아놓으니 안정적인 내부망처럼 사용할 수 있어요.
저는 OPENVPN 구축해서 사용하는데 혜자입니다.~~
요 3가지만 하셔도 개인 레벨에선 뚫릴 일 거의 없습니다.
저러고도 뚫리면 불법 프로그램 사용 등의 이유로 본인이 뚫릴 여지를 직접 만들었다 보면 될 수준입니다.
요즘 기기들 성능이 강력해져서 스캐닝으로 금방 노출되구요 아이데 패스워드 강력하게 해도 봇들이 수억 이상이라 빨리 털리게 만들어졌습니다. 일단 노출되면 대입방법을 응답하다보면 터미널 서비스도 먹통 되는 경우도 빈번하고 3번 틀리면 차단 걸어두면 이게 지능적으로 2번까지만 틀리고 1시간 쉬고 다시 2번 이런식으로 봇들이 돌더라구요.
결론음 SSL 게이트웨이 쓰거나 VPN 쓰거나 고정된 IP만 허용하고나 해야됩니다.
PFsense 라도 있으면 수리카타로 앞단에서 엥간한건 다 필터링 해줘서 그런거 달아 써도 될겁니다.