웹 보안 침해 분석: 리얼 서버 로그로 살펴본 계정 시스템 공격 패턴

by Nuuthang 66

들어가며: 소리 없는 전쟁터, 서버 로그

오늘날 웹 서비스는 끊임없는 공격에 노출되어 있습니다. 대부분의 사용자가 웹사이트를 안전하게 이용하는 동안, 서버 로그에는 해킹 시도의 흔적이 고스란히 남아있습니다. 이번 보고서에서는 nuuthang.com 서버에서 실제 포착된 공격 패턴을 분석하고, 이러한 위협에 대응하는 방법을 알아보겠습니다.

1. 공격 패턴 분석: 계정 시스템을 노리는 조직적 접근

지난 한 달간 nuuthang.com의 서버 로그를 분석한 결과, 지속적이고 체계적인 계정 관련 공격이 감지되었습니다. 특히 다음과 같은 패턴이 반복적으로 발생했습니다:

1.1 단계적 침투 전략

공격자들은 다음과 같은 순서로 계정 시스템을 공략했습니다:

1단계: 정찰

GET / HTTP/1.1 (200 OK)
GET /accounts/login/ HTTP/1.1 (200 OK)
GET /blog/ HTTP/1.1 (200 OK)
GET /blog/goldbox/ HTTP/1.1 (200 OK)
GET /accounts/signup/ HTTP/1.1 (200 OK)

2단계: 계정 생성 시도

POST /accounts/signup/ HTTP/1.1 (403 Forbidden)

3단계: 아이디 찾기 접근

POST /accounts/find-username/ HTTP/1.1 (403 Forbidden)

4단계: 비밀번호 재설정 시도

POST /accounts/reset-password/ HTTP/1.1 (403 Forbidden)

1.2 시각화된 공격 빈도

![계정 공격 빈도](https://example.com/attack_frequenc 관련 엔드포인트 공격 빈도 (이미지는 예시용)*

2. 공격자의 기술적 프로파일

2.1 다중 IP 사용

공격은 여러 IP 주소에서 동시다발적으로 이루어졌습니다:

IP 주소국가/지역공격 빈도102.164.23.53나이지리아37회43.225.72.34인도네시아25회94.103.88.24러시아19회185.157.214.24네덜란드18회149.50.227.174루마니아14회

2.2 브라우저 정보 위장

공격자들은 다음 두 가지 User-Agent를 번갈아 사용하며 정상 사용자로 위장했습니다:

Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36

2.3 자동화된 요청 패턴

요청 간격 분석 결과, 2~5초 간격으로 발생하는 규칙적인 패턴이 확인되었습니다. 이는 사람이 직접 조작한 것이 아닌 자동화된 스크립트 사용을 강하게 시사합니다.

3. 방어 메커니즘: 무엇이 효과적이었는가?

3.1 CSRF 보호의 효과

서버 로그에서 확인된 Forbidden (Referer checking failed - no Referer) 메시지는 CSRF(Cross-Site Request Forgery) 보호 장치가 올바르게 작동했음을 보여줍니다:

WARNING 2025-03-09 01:34:39,850 log 7 140515458680512 Forbidden (Referer checking failed - no Referer.): /accounts/signup/
WARNING 2025-03-09 01:34:42,164 log 7 140515458680512 Forbidden (Referer checking failed - no Referer.): /accounts/find-username/

이것은 공격자가 적절한 Referer 헤더 없이 직접 POST 요청을 시도했으며, 서버의 보안 정책이 이를 차단했음을 의미합니다.

3.2 방어의 효과 측정

분석 기간 동안 총 185건의 악의적인 POST 요청이 발생했으며, 이 중 100%가 성공적으로 차단되었습니다. 이는 현재 구현된 CSRF 보호가 효과적으로 작동하고 있음을 보여줍니다.

4. 현대적 웹 공격에 대한 대응 전략

4.1 IP 기반 방어

Nginx 설정 예시:

# 악성 IP 차단 (로그에서 확인된 주요 공격 IP)

deny 190.109.167.169;   
deny 114.31.8.234;      
deny 178.173.145.214;   
deny 103.23.206.20;    
deny 80.85.246.74;
deny 103.199.97.18;
deny 80.85.247.161;
deny 103.166.196.90;
deny 66.249.66.163;
deny 80.85.245.250;
deny 87.107.78.210;
deny 182.43.70.143;
deny 185.245.104.75;
deny 80.85.246.144;
deny 116.212.131.34;
deny 212.34.141.109;
deny 91.246.41.166;
deny 94.103.93.19;
deny 212.34.154.131;
deny 195.2.81.242;
deny 80.85.245.145;
deny 212.34.135.52;
deny 88.218.62.29;
deny 80.85.246.214;
deny 80.85.247.231;


# 계정 관련 요청 제한
limit_req_zone $binary_remote_addr zone=account_api:10m rate=10r/s;

4.2 Google reCAPTCHA 구현

자동화된 공격을 효과적으로 차단하기 위해 reCAPTCHA를 구현할 수 있습니다:

4.3 다층 방어 전략의 중요성

단일 방어 메커니즘만으로는 점점 더 정교해지는 공격에 충분히 대응할 수 없습니다. 다음과 같은 다층 방어(Defense in Depth) 전략이 권장됩니다:

IP 기반 필터링: 의심스러운 IP 주소 차단
WAF(웹 애플리케이션 방화벽): 비정상적인 요청 패턴 감지 및 차단
요청 속도 제한: 특정 시간 내 과도한 요청 제한
사용자 인증 강화: MFA(다중 인증) 구현
지속적 모니터링: 실시간 로그 분석 및 이상 징후 감지

5. 로그 분석의 비즈니스적 가치

로그 분석은 단순한 기술적 운영 업무가 아닌 비즈니스 보호를 위한 핵심 활동입니다. 이번 분석을 통해 다음과 같은 가치를 얻을 수 있었습니다:

위협 인텔리전스: 공격자의 전략과 기술에 대한 이해
취약점 식별: 공격자가 노리는 시스템 구성 요소 파악
인시던트 예방: 보안 침해가 발생하기 전 선제적 대응
규제 준수: 보안 감사 및 규정 준수 입증 자료

결론: 지속적인 경계의 필요성

오늘날의 사이버 위협은 지속적으로 진화하고 있습니다. nuuthang.com 서버 로그 분석 결과, 현재의 방어 시스템이 효과적으로 작동하고 있지만, 공격자들은 점점 더 정교한 방법을 시도할 것입니다.

서버 로그는 단순한 기술적 기록을 넘어 사이버 보안의 핵심 인텔리전스 소스입니다. 정기적인 로그 분석과 보안 조치 업데이트를 통해 변화하는 위협 환경에 대응해 나가야 할 것입니다.

이 보고서는 2025년 4월 9일 nuuthang.com 서버 로그 분석을 기반으로 작성되었습니다.

광고 차단 프로그램이 감지되었습니다