서버를 보호하세요. 모든 공격과 변경을 한 대시보드에서.

Fail2ban은 서비스 로그를 읽고 인증에 실패한 주소를 차단합니다. 대시보드는 모든 jail을 한 화면에 보여줍니다. 현재 차단된 주소 수, 서비스 시작 이후 차단된 수, 그리고 어떤 jail이 이를 잡아냈는지 확인할 수 있습니다. 아무것도 잡지 못한 jail은 작동 중인 jail만큼 뚜렷하게 표시되며, 대개 잘못된 로그 파일을 읽고 있다는 뜻입니다.

IPSUM은 다른 서버를 공격한 것으로 확인된 주소를 매일 갱신하는 목록입니다. Ipset이 이를 커널 메모리에 유지하므로 수십만 개의 주소를 검사해도 방화벽에 부하가 없습니다. 대시보드는 목록 크기와 마지막 갱신 시각을 표시합니다. 첫 시도 이전에 막는 방어로, 주소가 서비스에 도달하기 전에 차단됩니다.

Lynis는 수백 개의 구성 검사를 실행하고 hardening index(100점 만점 점수)를 출력합니다. 대시보드는 보고서를 분석해 경고와 권장 사항을 테스트 식별자와 함께 표시하므로, 각 항목의 의미를 확인할 수 있습니다. 100점 만점이 목표는 아닙니다. 일부 권장 사항은 서버에 없는 시나리오를 위한 것입니다.

OWASP CRS 규칙 세트를 갖춘 ModSecurity는 웹 서버 내부에서 HTTP 요청을 필터링합니다. 복호화 이후, 즉 요청 내용이 보이는 지점에서 동작합니다. 대시보드는 감사 로그를 읽어 어떤 요청이 차단되었는지, 어떤 규칙이 발동했는지, 이상 점수는 얼마였는지, 요청이 어디서 왔는지 보여줍니다. 무엇보다 오탐을 확인하기 위해 이곳을 봅니다. 같은 규칙이 당신의 폼을 반복해서 잡아내는 경우처럼요.

Suricata는 시그니처 기반으로 네트워크 트래픽을 분석해 탐지 결과를 eve.json에 기록합니다. 대시보드는 서버에서 이 파일을 직접 읽어 하루 동안의 알림을 카테고리별로 묶어 보여 주며, 단일 VPS에서 관찰 대상 머신보다 더 무거운 Elasticsearch나 Kibana가 필요 없습니다. 새로 설치한 직후에는 suricata-update가 한 번이라도 실행되기 전까지 아무것도 표시되지 않습니다. 아직 규칙이 없기 때문입니다.

CrowdSec는 시나리오에 따라 로그를 분석하고, 네트워크의 다른 참여자가 신고한 주소까지 참고해 차단을 결정합니다. 공격자는 이미 알려진 상태로 접근하는 경우가 많습니다. 패널에는 시나리오와 남은 시간이 표시된 활성 결정과 함께, 이를 실행하는 등록된 bouncer가 표시됩니다. 두 번째 목록이 비어 있으면 CrowdSec는 알림만 보내고 아무것도 차단하지 않습니다.

Falco는 시스템 호출을 감시하다가 프로세스가 본연의 역할을 벗어난 동작을 하면 알림을 발생시킵니다. 웹 서버에서 셸을 실행하거나, 시스템 바이너리 디렉터리에 쓰거나, 예상치 못한 아웃바운드 연결을 여는 경우가 그렇습니다. 대시보드에는 우선순위, 발동된 규칙, 프로세스의 명령줄과 함께 알림이 표시됩니다. Kubernetes는 필요 없으며, 일반 서버에서도 Falco는 동일하게 작동합니다.

Linux의 안티바이러스는 자체 바이너리가 아니라 외부에서 서버로 유입되는 것을 보호합니다. 업로드 폼을 통한 웹셸, 메일 서버를 통한 첨부 파일, 임시 디렉터리의 페이로드 같은 것들이죠. 대시보드는 마지막 검사 시각, 검사 결과, 그리고 가장 중요한 항목인 시그니처 DB의 경과 기간을 보여줍니다. 시그니처가 일주일 지난 ClamAV는 보호받는 듯한 착각만 줄 뿐 그 이상은 아닙니다.

AIDE는 파일 시스템의 암호화 스냅샷을 생성하고 마지막 검사 이후 무엇이 바뀌었는지 알려줍니다. 다른 도구들이 회피하는 질문, 즉 무엇이 건드려졌는지에 답합니다. 패널에는 추가·변경·삭제된 파일과 달라진 속성이 세 개의 목록으로 표시됩니다. 아침에 가장 흔히 나오는 보고서는 대개 야간 패키지 업데이트 때문이니, 시간을 확인하고 데이터베이스를 다시 구축하세요.

감사 데몬은 요청받은 이벤트만 정확히 기록합니다. /etc/passwd와 /etc/shadow 변경, sshd_config 수정, 권한 상승 바이너리 실행 등이 그 대상입니다. 패널에는 지금 로드된 규칙, 감시 중인 경로, 프로세스와 결과가 포함된 최신 이벤트가 표시됩니다. 규칙을 보는 것은 이벤트만큼이나 중요합니다. 규칙이 비어 있는 것이야말로 auditd가 작동하는 듯 보이지만 유용한 내용을 전혀 기록하지 않는 가장 흔한 원인입니다.

UFW는 iptables 문법에서 벗어나게 해주지만, 몇 달 뒤에 규칙 집합을 파악하는 데는 도움이 되지 않습니다. 대시보드는 각 규칙의 동작, 포트, 프로토콜, 출발지를 보여주고, 흔히 잊기 쉬운 인바운드·아웃바운드 트래픽의 기본 정책을 맨 앞에 표시합니다. 기본 정책이 allow로 남아 있다면 아무리 엄격해 보이는 규칙 집합도 의미가 없습니다.

포트를 훑는 공격자는 로그인 실패 기록을 남기지 않기 때문에 Fail2ban은 이를 감지하지 못합니다. PSAD가 이 빈틈을 메웁니다. 방화벽의 차단 트래픽 기록을 읽어 발견 항목을 평가합니다. 패널에는 표시된 주소, 1~5단계 위험도, 패킷 수, 포트가 나타납니다. 방화벽에 로깅 규칙이 없으면 PSAD는 아무것도 표시하지 않으며, 설치 후 페이지가 비어 있는 흔한 원인이 바로 이것입니다.

자동 갱신은 문제의 대부분을 해결하면서 더 조용한 형태의 문제를 만들었습니다. 인증서는 스스로 갱신됩니다. 갱신이 멈추는 날까지는 말이죠. 그리고 그 사실을 가장 먼저 알아채는 건 방문자입니다. 이 패널은 서버가 제공하는 인증서를 발급자, 만료일, 남은 일수와 함께 나열합니다. 자동 갱신 인증서의 남은 기간이 30일 미만이라면, 이미 얼마 전부터 갱신이 조용히 실패해 왔다는 뜻입니다.

지도는 서버가 직접 차단한 주소를 국가 단위로 확인해 공격 횟수에 따라 크기를 조정하여 표시합니다. 외부에서 구매한 위협 데이터 피드가 아니라, 각 점은 이 서버까지 실제로 도달한 트래픽입니다. 지도는 시간이 지날수록 유용해집니다. 특정 네트워크에서 밀집되면 대개 목록을 훑는 단일 공격자를 뜻하고, 고르게 흩어져 있으면 일상적인 인터넷 노이즈입니다.

Logwatch는 하루치 로그를 하나의 보고서로 모아 메일로 보내지만, 그 메일은 몇 주 뒤 아무도 열어보지 않는 폴더에 쌓이게 됩니다. 문제는 정보가 아니라 전달 방식이었습니다. 이 대시보드는 보고서를 서버에 보관하고 페이지 단위로 보여주며, 이전 날짜의 기록도 함께 제공합니다. 하루치는 무슨 일이 있었는지를, 일주일치는 무엇이 달라졌는지를 알려줍니다.

Monit은 프로세스, 파일, 파일 시스템, 호스트를 감시하고 고장 난 것을 발견하면 재시작합니다. 대시보드는 각 검사의 현재 상태, 감시 대상, 개입 횟수를 보여줍니다. 재시작 카운터는 가장 정직한 항목입니다. 마흔 번 재시작된 서비스는 정상이 아니라 계속 죽고 있는 것이며, 재시작이 그것을 가리고 있을 뿐입니다.

하드웨어 키, Touch ID 또는 Face ID로 패널에 로그인하여 두 번째 비밀번호를 대체합니다. 키는 프로토콜 수준에서 도메인을 검증하므로 비슷한 주소에 만든 로그인 페이지 복제본은 작동하지 않아 피싱이 가로챌 것이 없습니다. 키는 각각 고유한 이름과 마지막 사용 시각을 가지며 여러 개를 등록하고 개별적으로 해지할 수 있습니다.

이 머신에서 외부로부터 접근 가능한 것이 무엇인지가 가장 유용한 보안 질문이지만, ss 출력을 매번 눈으로 다시 읽어야 합니다. 이 대시보드는 포트, 프로토콜, 바인딩 주소, 프로세스와 함께 수신 대기 소켓을 보여주고, 그 아래에 설정된 연결을 표시합니다. 가장 먼저 봐야 할 것은 바인딩 주소입니다. 127.0.0.1의 서비스는 머신 자체에서만 접근할 수 있지만, 같은 서비스가 0.0.0.0에 있으면 인터넷 전체에 노출됩니다.

Top은 현재 순간의 상태만 보여주지만, 궁금한 건 대개 지난밤의 상황입니다. 수집기가 5분마다 데이터베이스에 한 줄씩 기록하고, 페이지는 이를 바탕으로 최근 24시간을 그립니다. load average, CPU와 I/O wait를 따로, 메모리와 swap, 네트워크, 디스크, TCP 연결, 파일 디스크립터까지 표시합니다. 그래프는 짝지어 봐야 합니다. CPU가 한가한데 I/O wait가 높다면 서버가 디스크를 기다린다는 뜻이며, 이럴 때 CPU 코어를 늘려도 소용없습니다.

디스크 장애는 두 가지이며 서로 성격이 다릅니다. 하나는 고장이 시작되는 저장 장치, 다른 하나는 가득 차면서 서비스까지 끌고 내려가는 파일 시스템입니다. 대시보드는 파티션 사용량, SMART 속성, 온도까지 두 경우를 모두 다룹니다. 고장은 세 가지 속성이 예고합니다. 재할당된 섹터, 대기 중 섹터, 오프라인 복구 불가 섹터입니다. inode는 별도로 표시되는데, 여유 공간보다 먼저 소진되어 공간이 남아 있는데도 기록이 실패하는 이유를 설명해 줍니다.

강제 접근 제어는 프로그램을 실행한 사용자의 권한과 무관하게 해당 프로그램에 무엇이 허용되는지를 결정합니다. AppArmor는 대부분의 Ubuntu 및 Debian 서버에 설치되어 있지만, 상당수에서는 거의 아무것도 제한하지 않습니다. 이 패널은 로드된 프로파일과 그 모드, 제한 대상 프로세스, 그리고 더 흥미로운 절반인 프로파일이 아예 없는 프로세스를 보여줍니다. complain 모드의 프로파일은 무엇을 차단했을지 기록만 하며, 실제로 제한하는 것은 enforce 모드뿐입니다.