SSH 서버 보안 강화

인터넷에 노출된 SSH 서버는 자동화된 공격의 끊임없는 표적이 됩니다. 기본 설정은 봇이 집요하게 조사하는 여러 진입점을 그대로 열어 둡니다.

보안 강화란 서버 측 구성을 더 엄격하게 조정하여 공격자가 서버를 발견하더라도 무차별 대입으로 침입할 수 없게 만드는 것입니다.

서버 측 SSH 동작은 /etc/ssh/sshd_config에서 제어합니다. 이는 앞에서 구성한 클라이언트 구성(~/.ssh/config)과 다릅니다.

항상 root 권한으로 편집하고, 변경하기 전에 백업을 보관하십시오.

root 계정은 공격자가 가장 먼저 시도하는 대상입니다. root 직접 로그인을 비활성화하면 공격자는 유효한 사용자 이름도 추측해야 합니다.

PermitRootLogin을 no로 설정하십시오. 관리자는 일반 사용자로 로그인한 다음 sudo를 사용해야 합니다.

키 기반 인증이 작동하면 비밀번호를 완전히 끄십시오. 추측할 비밀번호가 없어지므로 무차별 대입 공격을 완전히 차단할 수 있습니다.

경고: 이 설정을 적용하기 전에 키 로그인이 작동하는지 확인하십시오. 그렇지 않으면 시스템에 접근하지 못할 수 있습니다.

AllowUsers 또는 AllowGroups를 사용하여 SSH를 사용할 수 있는 계정을 정확히 허용 목록에 지정할 수 있습니다. 목록에 없는 사용자는 유효한 키가 있어도 거부됩니다.

다중 사용자 서버에서 사용할 수 있는 강력하고 간단한 제어 방법입니다.

SSH를 포트 22에서 다른 포트로 옮겨도 실제 보안이 강화되지는 않지만, 로그에 기록되는 자동화된 스캐너의 잡음을 크게 줄일 수 있습니다.

표준이 아닌 포트를 선택하고, 방화벽에서 해당 포트를 열며 클라이언트에도 포트 정보를 알려 주십시오.

다음 지시어는 공격자가 활동할 수 있는 시간을 줄입니다.

• MaxAuthTries — 연결이 끊기기 전 허용되는 실패 시도 횟수
• LoginGraceTime — 인증에 허용되는 시간(초)
• MaxSessions — 연결당 동시 세션 수

편집한 후 다시 시작하기 전에 sshd -t로 구문을 검증하십시오. 오타로 인해 서비스가 시작되지 않아 시스템에 접근하지 못할 수 있습니다.

그런 다음 서비스를 다시 불러오십시오. 현재 세션은 열어 둔 상태로 새 연결을 테스트한 후 기존 세션을 종료하십시오.

Fail2ban은 인증 기록을 감시하고, 너무 많이 실패한 IP를 일시적으로 차단합니다. sshd 설정에 동적인 방화벽 계층을 추가합니다.

Fail2ban을 설치하고 SSH 감옥을 활성화하십시오. 기본값은 대부분의 서버에 적합합니다.

이제 서버가 비활성화한 항목을 거부하는지 확인하십시오. 자세한 출력으로 연결을 시도하여 서버가 제공하는 인증 방법을 확인하십시오.

보안이 강화된 서버는 publickey만 알리고 비밀번호 로그인과 root 로그인을 거부해야 합니다.

시간이 지나도 SSH 서버를 안전하게 유지하십시오:

• 키 로그인을 테스트하기 전에 PasswordAuthentication no를 절대 적용하지 마십시오
• 설정을 변경하는 동안 열려 있는 세션을 하나 유지하십시오
• 편집할 때마다 sshd -t를 사용하십시오
• sshd 보안 강화 설정을 방화벽 및 Fail2ban과 함께 사용하십시오

/etc/ssh/sshd_config를 통해 SSH 서버의 보안을 강화했습니다:

• root 로그인과 비밀번호 로그인 비활성화
• AllowUsers로 허용된 사용자 지정
• MaxAuthTries 및 LoginGraceTime 조정
• 동적인 무차별 대입 공격 방어를 위해 Fail2ban 추가

sshd -t로 확인하고, 세션을 종료하기 전에 항상 테스트하십시오.