WordPress DDoS 공격 – 웹사이트를 보호하는 방법

WordPress DDoS 공격의 확산은 온라인 트래픽에 의존하여 수익을 창출하는 많은 소기업에 상당한 수익 손실을 초래했습니다.

DDoS 공격은 규모에 관계없이 웹사이트에 심각한 위협을 가합니다. 따라서 귀하의 웹사이트를 보호하기 위해 모든 적절한 보안 조치를 구현하는 것이 필수적입니다.

이 게시물에서는 WordPress DDoS 공격이 사이트에 어떤 피해를 줄 수 있는지 살펴보겠습니다. 그런 다음 이러한 일이 발생하지 않도록 하는 방법에 대한 실용적인 팁을 제공합니다.

내용물:

• DDoS 공격이란 무엇입니까?
• DDoS 공격이 WordPress 웹사이트에 미치는 영향
• DDoS 공격으로부터 WordPress 웹사이트를 보호하기 위한 팁
  • 1. 2단계 인증(2FA) 활성화
  • 2. 웹 애플리케이션 방화벽(WAF) 사용
  • 3. Cloudflare의 CDN 사용
  • 4. WordPress에서 REST API 비활성화
  • 5. WordPress 소프트웨어 및 플러그인을 최신 상태로 유지
  • 6. 웹사이트 트래픽 모니터링
• 자주 묻는 질문
• 결론

DDoS 공격이란 무엇입니까?

DDoS(Distributed Denial of Service) 공격은 정상적인 운영을 방해하기 위해 악의적인 트래픽으로 웹 사이트 또는 서버를 압도하려는 사이버 공격 유형입니다. 이러한 공격은 WordPress 기반 사이트를 포함한 모든 웹사이트에서 발생할 수 있습니다.

DDoS 공격이 WordPress 웹사이트에 미치는 영향

WordPress 웹사이트에 대한 DDoS 공격의 결과는 특히 소규모 비즈니스 웹사이트에 중요합니다. 이러한 공격에 대응할 인프라가 부족할 수 있기 때문입니다. DDoS 공격이 웹사이트를 성공적으로 표적으로 삼으면 사용자가 웹사이트를 사용할 수 없게 되어 웹사이트 다운타임이 발생할 수 있습니다.

2016년 인터넷은 가장 심각한 서비스 거부 공격 중 하나를 맞았습니다. DNS 서비스 제공업체인 DYN이 공격 대상이 되었습니다. Netflix, Reddit, PayPal, Visa 등과 같은 많은 인기 사이트에 영향을 미쳤습니다. 그 결과 유럽과 북미의 많은 인터넷 사용자가 영향을 받았습니다.

DDoS 공격은 웹사이트 소유자와 인터넷 사용자에게 많은 영향을 미칩니다. DDoS 공격으로 인해 웹사이트에 발생할 수 있는 피해 중 일부는 다음과 같습니다.

웹사이트 다운타임

DDoS 공격의 가장 중요한 결과 중 하나는 사용자가 대상 웹사이트를 사용할 수 없게 될 수 있다는 것입니다. 이는 웹 사이트에 액세스하거나 해당 서비스를 사용하는 데 도움이 필요한 사용자에게 실망스러울 수 있습니다.

트래픽 및 수익 손실

DDoS 공격으로 인해 WordPress 웹 사이트를 사용할 수 없는 경우 트래픽 및 수익 손실이 발생할 수 있습니다. 예를 들어, 2016년 10월 DYN 공격 동안 Sony는 총 270만 달러의 손실을 보고했습니다. 공격이 단 2시간 동안 지속된 것을 고려하면 엄청난 규모입니다.

평판 손상

또한 웹사이트가 DDoS 공격을 받으면 사용자는 브랜드에 대한 신뢰를 잃을 수 있습니다. 이는 검색 엔진이 귀하의 웹사이트를 블랙리스트에 올릴 수도 있기 때문에 귀하의 웹사이트 평판에 영향을 미칠 수 있습니다.

완화 비용

DDoS 공격을 방어하려면 전문 리소스와 기술 전문 지식이 필요하기 때문에 비용이 많이 들 수 있습니다.

데이터 손실

2015년 Kaspersky의 연구에 따르면 DDoS 공격을 받은 웹사이트의 26%가 데이터 손실도 겪었습니다. DDoS 공격은 종종 무차별 암호 대입 공격과 같은 다른 사이버 공격에 대한 은폐 역할을 합니다.

DDoS 공격으로부터 WordPress 웹사이트를 보호하기 위한 팁

DDoS 공격은 웹사이트 소유자에게 심각한 위협이 되었습니다. 자금이 풍부한 웹사이트도 이러한 공격에 면역이 되지 않습니다. 기술적으로 어떤 웹사이트도 DDoS 공격으로부터 안전하지 않습니다. 그러나 DDoS 공격을 중지하고 방지하기 위한 조치를 구현할 수 있습니다.

다음은 웹사이트를 보호하기 위해 구현할 수 있는 몇 가지 WordPress DDoS 보호 팁입니다.

1. 2단계 인증(2FA) 활성화

이중 인증(2FA)은 사용자가 WP 관리 페이지와 같은 민감한 페이지에 액세스하기 전에 추가 인증 계층을 제공해야 하는 보안 수단입니다.

이를 통해 무단 웹사이트 액세스, 무차별 대입 공격 및 DDoS 공격으로부터 보호할 수 있습니다.

예를 들어 사용자가 웹사이트에 로그인하기 전에 전화나 이메일로 전송된 일회성 코드를 제공하도록 요구할 수 있습니다.

MiniOrange Google Authenticator 플러그인을 사용하여 WordPress에서 이중 인증(2FA)을 설정할 수 있습니다.

MiniOrange Authenticator를 설치하려면 WordPress 대시보드에 로그인하고Plugins >> Add New 로 이동하십시오.검색창에 "MiniOrange Google Authenticator"를 입력합니다. 아래와 같이 플러그인이 검색 결과에 나타나야 합니다.

그런 다음 플러그인 이름 옆에 있는지금 설치 버튼을 클릭하여 웹사이트에 플러그인을 설치합니다.플러그인을 설치하면 버튼이 '활성화'로 변경됩니다. 플러그인을 활성화하려면 클릭하십시오.

MiniOrange Google OTP 구성

플러그인을 활성화한 후 모바일 장치의 Google Authenticator 앱에 연결해야 합니다. 이는 사이트에서 2FA 활성화를 완료하는 데 필요합니다.

시작하려면시작하자 를 클릭합니다.

다음으로로그인 후 2FA를 먼저 설정해야 하는 사용자 옵션을 선택합니다.이렇게 하면 모든 사용자가 로그인하기 전에 강제로 2FA를 설정해야 합니다. 계속하려면설정 계속을 클릭하십시오.

모든 사용자 또는 일부 특정 역할(예: 관리자 및 편집자)에 대해 2FA를 활성화할 수 있습니다. 작성자와 같은 사용자를 제외하려는 경우에 유용합니다. 이 자습서에서는 관리자만을 위해 2FA를 활성화합니다.

특정 역할만 옵션을 선택한 다음 관리자확인란을 선택합니다.그런 다음설정 계속을 클릭하여 계속 진행하십시오.

다음으로 2FA를 즉시 구현할지 또는 사용자에게 유예 기간을 제공할지 선택합니다. 계속하려면모두 완료를 클릭합니다.

이제 구성하려는 인증 방법을 선택해야 합니다.Google / Microsoft / Authy Authenticator 옵션을 선택하고 저장 및 계속버튼을 클릭합니다.

그런 다음 구성 프로세스의 다음 단계로 진행하려면직접 2FA 구성을 선택합니다.

Google Mobile Authenticator와 MiniOrnage 연결

Google Authenticator는 이 프로세스에 선호되는 인증 앱입니다. Android 및 iOS 기기에서 가장 인기 있고 사용 가능하기 때문입니다.

첫 번째 단계는 Play 스토어 또는 Apple 스토어에서 Google 인증 앱을 다운로드하는 것입니다.

앱을 설치하면QR 코드 스캔 및 설정 키 입력의 두 가지 옵션이 있는 메뉴 페이지가 표시됩니다.

QR 코드 옵션을 선택하고 아래와 같이 웹사이트에 표시된 QR 바코드를 스캔합니다.

스캔이 완료되면 인증 애플리케이션에서 생성된 6자리 코드를 지정된 필드에 입력합니다.

저장하고 계속하기 옵션을 선택하여 입력을 확인합니다.

그게 다야! MiniOrange Google 2FA를 사용하여 웹사이트에서 2FA를 성공적으로 활성화했습니다.

MiniOrange에서 QR 코드를 스캔할 수 없습니까?

제공된 QR 코드를 스캔할 수 없는 경우 다음을 수행해야 합니다.

먼저 바코드를 스캔할 수 없습니까?를 클릭합니다.이렇게 하면 Google 인증 앱에서 2FA를 설정하기 위한 키가 생성됩니다.

휴대폰에서 Google Authenticator 앱을 열고설정 키 입력 옵션을 선택합니다.다음으로 MiniOrange 2FA에서 생성된 16자 키를 붙여넣습니다.

앱 이름과 계정 유형을 입력한 다음 추가를 클릭합니다. 그런 다음 WordPress에서 프로세스를 완료하는 데 사용할 수 있는 6자리 코드를 생성합니다. 완료되면저장 후 계속을 클릭하여 계속 진행합니다.

다음으로 구성 상태를 보여주는 메시지가 표시됩니다.

이것을 테스트하려면 WordPress 사이트에서 로그아웃하고 로그인을 시도하십시오. 로그인 페이지에서 로그인을 시도할 때마다 휴대폰의 인증 앱에서 생성된 6자리 일회용 비밀번호를 입력해야 합니다. .

2. 웹 애플리케이션 방화벽(WAF) 사용

WAF(Web Application Firewall)는 DDoS 공격을 비롯한 다양한 위협으로부터 웹 사이트를 보호할 수 있는 보안 수단입니다.

WAF는 들어오는 트래픽을 분석하고 악성 요청이 웹사이트 서버에 도달하기 전에 차단합니다. 이를 통해 WordPress DDoS 공격이 웹 사이트 인프라를 압도하고 충돌을 일으키는 것을 방지할 수 있습니다.

웹사이트에 WAF를 추가하는 가장 쉬운 방법은 방화벽 플러그인을 사용하는 것입니다. 다행스럽게도 Wordfence Security와 같은 일부 WordPress 보안 및 안티 DDoS 플러그인에는 방화벽 보호 기능이 제공됩니다.

아래에서는 WordPress 사이트에 Wordfence를 설치하고 활성화합니다.

워드펜스 설치 및 활성화

Wordfence를 설치하려면 WordPress 관리 대시보드에 로그인한 다음 플러그인 >> 새로 추가로 이동합니다. 오른쪽 상단 모서리에 있는 검색 표시줄을 찾아 'Wordfence'를 입력하여 플러그인을 검색합니다.

Wordfence Security 플러그인 옆에 있는지금 설치 버튼을 클릭하여 사이트에 설치합니다.설치가 완료되면 플러그인을 활성화하십시오.

WordFence를 활성화한 후 작동하려면 라이선스 키를 받아야 합니다. 계속하려면 다음 페이지에서Get Your WordFence License 버튼을 클릭하십시오.

다음으로 기능을 테스트할 무료 플랜을 선택하고'30일 동안 기다려도 괜찮습니다 '를 클릭하여 진행합니다.

예산이 있는 경우 나중에 유료 플랜으로 업그레이드할 수 있습니다. 그러나 무료 요금제는 웹 사이트를 보호하는 데 필요한 모든 필수 기능을 제공합니다.

그런 다음 이메일 주소를 입력하고 이용약관에 동의한 다음 등록 을 클릭합니다.

Wordfence에서 활성화 이메일을 받아야 합니다. 이메일을 열고 활성화 링크를 클릭하십시오.

그런 다음 WordPress 대시보드로 리디렉션됩니다. 여기에서라이선스 설치 버튼을 클릭하여 사이트를 활성화해야 합니다.이를 통해 이제 Wordfence가 웹 사이트에서 활발하게 작동합니다.

WAF가 활성화되어 있고 작동하는지 확인하려면 WordPress 대시보드에서Wordfence를 찾아 방화벽 관리링크를 클릭하십시오.

다음 화면에 WAF의 상태를 표시하는 섹션이 표시되어야 합니다. WAF 상태가 활성이고 백분율 수치가 표시되면 WAF가 활성화되고 작동하는지 확인하는 것입니다.

웹사이트에 Wordfence 플러그인을 설치하면 다음과 같은 이점이 있습니다.

• SQL 인젝션 방지
• 무차별 공격 제한
• 교차 사이트 스크립팅 보호

3. Cloudflare의 CDN 사용

Cloudflare는 웹 사이트 성능을 개선하고 DDoS 공격과 같은 사이버 공격으로부터 사용자를 보호하는 인기 있는 CDN 공급자입니다.

Cloudflare는 대규모 DDoS 공격을 해결하고 트래픽 소스를 필터링하여 특정 요청이 공격자로부터 오는지 감지할 수 있습니다.

아래에서는 웹사이트에서 Cloudfare 서비스를 활성화하는 데 필요한 단계를 안내합니다.

Cloudflare 계정 얻기

전제 조건으로 먼저 도메인 등록 기관의 관리 대시보드에 대한 액세스 권한이 있는지 확인하십시오. DNS 설정에 대한 Cloudflare 액세스를 허용하려면 이것이 필요합니다.

첫 번째 단계는 Cloudflare 계정을 만드는 것입니다. 그렇게 하려면 Cloudflare 가입 페이지를 방문하세요. 그런 다음 이메일을 입력하고 비밀번호를 선택한 다음계정 만들기를 클릭합니다.

Cloudflare에 웹사이트 추가

Cloudflare 계정이 준비되었습니다. 그러나 사이트를 추가하여 설정을 완료해야 합니다. 계정에 로그인한 후사이트 추가 버튼을 클릭하여 웹사이트를 추가합니다.

도메인 이름(예: example.com)을 입력하고사이트 추가를 클릭하여 계속합니다.

다음으로 적합한 Cloudflare 요금제를 선택하세요. 원하는 기능에 따라 다릅니다. 그러나 무료 플랜만으로도 필요한 기본 보호 기능을 충분히 제공할 수 있습니다. 무료 요금제를 선택하고계속을 클릭하여 계속 진행합니다.

다음 페이지에 기존 레코드 목록이 표시됩니다. 검토하여 올바른지 확인할 수 있습니다.

참고 : 이 단계에서는 DNS 레코드를 변경하지 않는 것이 좋습니다.

기록을 검토하고 만족하면 계속을 클릭하여 계속 진행합니다.

다음 단계는 도메인 이름 서버를 Cloudflare로 지정하는 것입니다. 이는 활성화 프로세스를 완료하고 Cloudflare가 사이트를 보호할 수 있도록 하는 데 중요합니다.

도메인 등록 기관의 기존 이름 서버를 교체해야 합니다.

그런 다음 Cloudflare에서 제공한 새 이름 서버를 복사하여 도메인 호스트에서 제거한 이름 서버를 교체하세요.

네임서버를 변경하는 단계는 호스팅 회사마다 다릅니다. 네임서버 설정을 찾는 방법이 확실하지 않은 경우 웹 호스팅 제공업체에 문의하십시오. 그러나 Namecheap에서 이 작업을 수행하는 방법을 보여드리겠습니다.

Namecheap 네임서버 업데이트

먼저 계정에 로그인하고도메인 목록을 클릭합니다.

도메인 페이지에서 수정하려는 도메인을 찾고관리 를 클릭합니다.

그런 다음Nameservers 드롭다운을 클릭하고 Custom DNS 를선택합니다.

입력 상자에 Cloudflare에서 제공한 두 개의 이름 서버를 입력하고 확인 표시를 클릭하여 변경 사항을 저장하세요.

이제완료, 이름 서버 확인을 클릭하여 Cloudflare로 돌아가 이름 서버 변경 사항을 확인할 수 있습니다.

참고: 네임서버를 변경하는 데 최대 48시간이 걸릴 수 있습니다.

Cloudflare의 DDoS 보호

Cloudflare는 웹사이트를 Cloudflare에 추가한 후 자동으로 사이트에서 DDoS 보호를 활성화합니다.

그럼에도 불구하고 사이트를 보호하기 위한 추가 조치를 구현하는 것이 좋습니다. 웹 사이트가 직면한 위험에 따라 사이트를 추가로 보호하기 위해 구현할 수 있는 몇 가지 추가 설정이 있습니다.

DDoS로부터 웹사이트를 보호하기 위해 구현해야 하는 두 가지 필수 설정을 보여드리겠습니다.

사용자 지정 DDos 재정의 만들기

사용자 지정 DDoS 재정의를 배포하여 Cloudflare의 기본 DDoS 보호 동작을 사용자 지정할 수 있습니다.

이 옵션을 사용하려면 Cloudflare 계정에 로그인하세요. 그런 다음 해당 영역으로 이동할 웹사이트를 선택합니다.

그런 다음 왼쪽 메뉴에서보안 >> DDoS 로 이동합니다.계속하려면DDoS 재정의배포를 클릭하십시오.

다음 페이지에서 재정의 이름을 추가합니다. 그런 다음 규칙 세트 작업을관리형 챌린지 로 변경하고 직면한 위험에 따라 민감도를 낮음또는중간으로 설정합니다. 그런 다음 아래로 스크롤하여저장 을 클릭합니다.

이 전략을 구현하면 DDoS 소스에서 유해한 트래픽을 필터링하는 데 도움이 됩니다. Cloudflare가 사용자에게 제공하는 일련의 관리 문제를 사용합니다.

봇 전투 모드 활성화

DDoS로부터 사이트를 보호하기 위해 취할 수 있는 또 다른 접근 방식은 Bot Fight Mode를 활성화하는 것입니다. 봇 싸움 모드는 알려진 봇 트래픽이 사이트에 액세스하는 것을 감지하고 차단하는 데 도움이 됩니다.

봇 전투 모드를 활성화하려면보안 >> 봇 으로 이동하여 봇 전투 모드 옵션을 켜짐위치로 전환합니다.

Cloudflare는 DDoS로부터 웹 사이트를 보호하는 데 필요한 모든 도구를 제공합니다. 위의 팁을 올바르게 따르면 대부분의 DDoS 공격으로부터 사이트를 보호할 수 있습니다.

4. WordPress에서 REST API 비활성화

WordPress REST API는 개발자가 HTTP 요청을 사용하여 WordPress 데이터에 액세스하고 조작할 수 있도록 하는 WordPress의 기능입니다. 경우에 따라 REST API는 DDoS 공격의 벡터로 사용될 수 있습니다.

WordPress에서 여러 가지 방법을 사용하여 WP REST API를 비활성화할 수 있습니다. 그러나 가장 쉬운 방법은 WPCode 플러그인의 코드 스니펫을 사용하는 것입니다.

WordPress 사이트에서 플러그인을 설치하고 활성화해야 합니다.

플러그인을 활성화한 후Code Snippets >> + Add Snippet으로 이동합니다.

다음 페이지에서 검색 상자에 'rest api'를 입력합니다. 이제 Rest API 비활성화가 검색 결과에 나타납니다.

그런 다음Use Snippet을 클릭하여 다음 단계로 진행합니다.

마지막으로 '비활성' 버튼을 '활성'으로 전환하여 코드를 활성화합니다. 완료되면업데이트를 클릭하여 변경 사항을 저장하십시오.

이제 귀하의 웹사이트에서 REST API가 비활성화되었습니다. API는 공격자가 악용할 수 있는 WordPress 사이트의 취약 지점이므로 REST API를 비활성화하면 이러한 API 약점을 악용하는 DDoS 공격으로부터 사용자를 보호할 수 있습니다.

5. WordPress 소프트웨어 및 플러그인을 최신 상태로 유지

WordPress 테마 및 플러그인 업데이트는 DDoS 공격으로부터 웹사이트를 보호하고 웹사이트 보안을 강화하는 또 다른 방법입니다. 소프트웨어 및 플러그인 업데이트는 웹 사이트에서 가장 안전한 버전의 소프트웨어를 사용하도록 합니다.

WordPress에서 대부분의 업데이트에는 일반적으로 DDoS 공격자가 악용할 수 있는 취약성에 대한 수정 사항이 포함되어 있습니다.

WordPress 플러그인을 업데이트하려면 WordPress에 로그인하고대시보드 >> 업데이트로 이동합니다.

업데이트 페이지에는 사이트에서 업데이트가 필요한 모든 플러그인이 표시됩니다. 모든 플러그인을 표시하려면 모두 선택 확인란을 선택합니다.그런 다음 아래로 스크롤하여플러그인 업데이트를 클릭합니다.

또한 WordPress 테마를 확인하고 업데이트하십시오.

그 동안 최신 버전의 WordPress를 사용하고 있는지 확인하십시오.

6. 웹사이트 트래픽을 모니터링하고 비정상적인 스파이크를 주시하십시오.

웹사이트 소유자는 공격이 의심되는 경우 즉시 공격을 방지하고 정상적인 운영을 복구하기 위한 조치를 취해야 합니다.

여기에는 보안 전문가의 도움을 구하거나 추가 보안 조치를 구현하는 것이 포함될 수 있습니다. 예를 들어 Wordfence와 같은 보안 플러그인을 사용하여 트래픽에서 비정상적인 활동을 모니터링할 수 있습니다.

이 튜토리얼의 두 번째 팁을 구현했다면 웹사이트에 Wordfence 보안 플러그인이 설치되어 있어야 합니다.

트래픽 관리 기능에 액세스하려면Wordfence 사이드 메뉴를 클릭하십시오.그런 다음방화벽 관리를 클릭하여 계속 진행하십시오.

그런 다음 버튼까지 아래로 스크롤하여 'Rate Limiting' 섹션을 찾습니다.

그런 다음 속도 제한 고급 차단 기능을 켜서 활성화합니다.

속도 제한 구성 페이지에서 원치 않는 트래픽으로부터 WordPress 사이트를 보호하고 서버 리소스의 부하를 줄이는 데 도움이 되는 다양한 트래픽 제어 방법을 활성화할 수 있습니다.

예를 들어 특정 사용자가 만들 수 있는 요청 수를 규제하는 요청 제한을 설정할 수 있습니다.

Wordfence의 속도 제한 기능을 사용하면 크롤러 및 사람 페이지 보기를 제어할 수 있습니다. WordPress 사이트에서 비정상적인 트래픽 급증을 제한하는 데 사용할 수도 있습니다. WordPress 보안을 강화하기 위해 Wordfence를 추가로 사용자 정의할 수 있지만 합법적인 트래픽을 차단하지 않아야 합니다.

WordPress DDoS 공격(FAQ)

아래에서 DDoS 공격으로부터 WordPress 사이트를 보호하는 방법에 대해 사용자가 가장 많이 묻는 몇 가지 질문에 답변했습니다.

WordPress에 DDoS 보호 기능이 있습니까?

WordPress에는 기본적으로 DDoS 보호 기능이 없습니다. 그러나 DDoS 공격으로부터 WordPress 사이트를 보호하기 위한 몇 가지 조치를 구현할 수 있습니다. 여기에는 Cloudflare와 같은 타사 서비스 사용 또는 Wordfence와 같은 보안 플러그인 설치가 포함될 수 있습니다.

공격자는 DDoS가 웹사이트를 어떻게 공격합니까?

공격자는 여러 요청으로 대상 사이트를 범람시켜 WordPress에 DDoS 공격을 배포합니다. 이는 합법적인 사용자가 사이트에 액세스하는 것을 더 어렵게 만드는 것을 목표로 합니다.

결론 – 워드프레스 DDoS

요약하면 웹 사이트에 대한 공격이 비즈니스에 부정적인 영향을 미칠 수 있으므로 DDoS 공격자로부터 WordPress 웹 사이트를 보호하는 것이 필수적입니다.

고맙게도 이 게시물에서는 DDoS 공격으로부터 WordPress 사이트를 보호하기 위해 따를 수 있는 몇 가지 단계를 제공했습니다.

단계에 대해 혼란스러운 경우 아래 의견 섹션에 알려주거나 전문가에게 문의하여 추가 지침을 받으십시오.