웹서버의 안전한 운영

문제2) 웹서버의 안전한 운영을 위해 다양한 방안을 고려할 수 있다. 다음을 설명하시오.

 

가. 리버스 프록시(Reverse Proxy)의 개념, 동작원리, 설정방법

나. DDoS 사이버대피소

 

답)

 

 

1. DDoS 공격 방어개요 및 리버스 프록시(Reverse Proxy)의 개념

 

개념	클라이언트가 서버를 호출할 때 리버스 프록시를 호출하게 되고 프록시 서버가 서버를 요청하여 받은 응답을 클라이언트에게 전달하는 방식의 장비
특징	로드밸런싱	리버스 프록시 뒤에 여러 대 서버 배치 함으로써, 사용자 요청 분산 역할에 따라 서버의 트래픽을 분산 가능
	성능향상	리버스 프록시의 캐싱 정보 활용 응답속도 향상
	보안	내부 IP 노출 방지 운영서버에 직접 접근하는 것 방지 (DMZ 위치)
리버스 프록시가 운영서버를 은닉 시킴으로써 DDoS 공격으로부터 서비스 보호

 

2. 리버스 프록시(Reverse Proxy)의 동작원리, 설정방법 설명

가. 리버스 프록시(Reverse Proxy)의 동작원리

 

구분	설명
개념도
절차	① 클라이언트 요청	클라이언트가 외부에 노출된 리버스 프록시 서버주소에 요청
	② 요청 전달	클라이언트 요청 받은 리버스 프록시 서버는 내부 망 서버에 클라이언트 요청 전달
	③ 응답 전달	내부망 서버는 전달된 요청을 처리 후 리버스 프록시를 통해 응답 전달
	④ 클라이언트 응답	프록시 서버는 내부망 서버로부터 받은 응답을 통해 클라이언트에 전달
WEB 서버 설정 변경 통해 트래픽을 리버스 프록시 서버로 우회시킴으로써 악성 트래픽 인입 차단

 

나. 설정방법

 

구분	설명
Apache	# 아파치 conf 설정 파일 수정 <VirtualHost *:80> ServerName xxx.xxx.kr <Location /> ProxyPass http://xxx.xxx.xxx.xxx:8080 ProxyPassReverse xxx.xxx.xxx.xxx:8080 </Location> </VirtualHost>
	1)Apache 설정파일 열기 2)리버스 프록시 경로 설정 3)Apache 서버 재 시작 4)리버스 프록시 서버 동작 확인	아파치 conf 설정파일 열기 VirtualHost 태그 내의 ProxyPass, ProxyPassReverse 항목을 리버스 프록시 서버의 경로로 설정 변경된 리버스 프록시 경로 적용 위해 Apache 서버 재 시작 설정한 리버스 프록시 서버 URL 로 우회 되는지 확인
Nginx	# nginx conf 설정 파일 수정 server { listen 80; server_name example-proxy.com; location / { proxy_pass http://프록시 주소 1/; } location /app { proxy_pass http://프록시 주소 2/; }
	1)Nginx 설정파일 열기 2)리버스 프록시 경로 설정 3)Nginx 설정적용 4)리버스 프록시 서버 동작 확인	nginx conf 설정파일 열기 location 경로 내의 proxy_pass 항목을 통해 리버스 프록시 서버의 경로 설정 위의 예제에서 / 주소로 접근 시 http://프록시 주소 1 로 연결 설정변경 사항 적용을 위해 nginx -s reload 명령수행 설정한 리버스 프록시 서버 URL 로 우회 되는지 확인
리버스 프록시보다 전문적인 DDoS 대응 위해서는 DDoS 사이버대피소로 트래픽 우회필요

 

3. DDoS 사이버 대피소 설명

가. DDoS 사이버 대피소 개념

 

구분	설명
정의	피해 웹사이트로 향하는 DDoS 트래픽을 대피소로 우회하여 분석, 차단함으로써 정상적으로 운영될 수 있도록 하는 KISA 의 중소기업 무료지원 서비스
서비스	서비스 대상	“중소기업기본법 제 2 조” 및 “중소기업기본법 시행령 제 3 조”에 해당 하 는 중소기업
	서비스 기간	방어 서비스 적용 후 1 개월을 기본으로 하며, 재공격이 예상되는 경우 지속적으로 1 개월 연장
	서비스 신청	사전등록 신청서, 사업자등록증 작성 후 신청
DDoS 사이버대피소는 KISA 에서 제공해주는 서비스로 3 단계의 필터링 통해 악성트래픽 차단

 

나. DDoS 사이버 대피소 구조

 

단계	대응장비	방어
1 차 필터링 (소모성 공격 방어)	DDoS 전용 대응장비	ISP 와 협업을 통해 전통적인 NW 자원 소모 성 공격 방어(UDP,ICMP Flooding 공격)
2 차 필터링 (사용자 구분)	QoS 장비	사이버대피소로 유입되는 발신지 IP 를 좀비 PC 와 정상사용자로 구분하여 적절한 가용량 할당
3 차 필터링 (가용성 확보)	L7 스위치와 웹 캐싱	트래픽을 단순화/부하 분산하여 공격 대상 웹 서버의가용성 확보
DDos 사이버 대피소는 중소기업기본법 제 2 조 및 중소기업기본법 시행령 제 3 조에 해당하는 중소기업이 활용가능한 서비스로 대응 구분에 따라 사전/긴급으로 구성되며 사전에 미 등록된 웹사이트도 이용가능

 

4. DDoS 사이버 대피소의 사전/긴급 대응 절차

 

사전 등록 신청을 통해 미리 DDoS 공격대비를 할 수 있지만 사전등록을 하지 않은 상황에서 공격이 시작됐다면 긴급대응 서비스를 통해 이용가능

---

 

공감과 댓글은 아이티신비에게 큰 힘이 됩니다.

블로그 글이 유용하다면 블로그를 구독해주세요.♥