Production 환경의 Attack Surface 최소화를 위한 다층 방어 체계 구축

Context

기본 설정의 Linux 서버는 Root 계정 노출과 기본 포트 사용으로 인한 Brute-force 공격에 취약함. 관리되지 않는 패키지와 불필요한 서비스 활성화로 인한 보안 홀 발생 가능성이 상존하는 구조임.

Technical Solution

• Root 계정 직접 접속 차단 및 sudo 권한 분리를 통한 권한 오남용 방지 설계
• SSH 기본 포트 변경 및 UFW 기반의 Whitelist 접근 제어를 통한 네트워크 진입 장벽 강화
• Fail2Ban 도입을 통한 반복적 인증 실패 IP의 자동 차단 및 Brute-force 공격 무력화
• Unattended-upgrades 설정을 통한 보안 패치 자동화로 Zero-day 취약점 대응 시간 단축
• 불필요한 서비스 비활성화를 통한 시스템 Attack Surface의 물리적 감소
• Docker 컨테이너의 Root 실행 금지 및 Trusted Image 사용을 통한 런타임 격리 보안 강화