로그인 처리하기 - 세션 동작 방식 파트 질문입니다.
중요한 정보는 모두 서버에 저장해야 한다고 써있는데, 만약 서버가 공격받게 된다면 이 정보가 모두 노출될텐데, 서버가 공격받는 것은 어떻게 예방할 수 있나요? 예시 몇 가지만 들어주시면 감사하겠습니다.
답변 1
0
안녕하세요. timeisgold님, 공식 서포터즈 코즈위버입니다.
'범죄는 막을 수 없다. 확률을 낮출 뿐이다' 는 말이 있지요. 범죄 확률을 낮추기 위해선 '상대적으로 높은 보안'을 유지해야 합니다. 여기서 상대적이란 다른 웹 서버를 말합니다. 즉, 다른 웹 서버보다 우리 웹 서버가 보안수준을 높이면 범죄확률을 줄일 수 있습니다.
방화벽을 설치
가장 확실하고 효과적인 방법입니다.
소프트웨어 버전을 최신버전으로 유지
소프트웨어 취약점을 이용한 해킹을 방지합니다.
그러나 최신버전 자체가 버그를 품고 있을 위험도 있습니다.
'최소 공개'원칙
사용하지 않는 모든 포트는 항상 닫아둡니다.
권한 등의 설정도 항상 최소 공개를 원칙으로 운영합니다.
이를 위해 보안계에서는 다음의 원칙을 적용하라고 조언하기도 합니다.
일단 모든 권한을 폐쇄.
권한 개방을 요청하면, 최소한의 권한 개방
가령, 웹 서버 접속가능한 IP를 모두 차단
물론, 개발자가 접속할 수 있는 IP는 허용해야 합니다.
나까지 차단해버리면, 서버에서 바로 튕겨버리니 주의.
대한민국에서 서비스해야 하는 웹서비스 라면 '대한민국 IP'만 접근 허용.
이후 서비스가 일본등에 진출한다면 '일본IP'만 접근 허용 추가.
또 웹서버와 데이터베이스 서버를 분리
데이터베이스 서버 접속권한은 웹 서버만 허용 설정
감사합니다.
이미지 업로드와 db 트랜잭션 묶는법
0
40
1
Could not resolve org.springframework.boot:spring-boot-starter-validation:2.4.4
0
45
2
MessageSourceTest 코드
0
46
1
인터셉터 에러 설정
0
47
1
resolveArgument()메서드 질문
0
54
1
43강 검증1 에서 실패 로직 관련 질문있습니다.
0
52
2
타임리프 3.X 버전 rendering, serializer 에러 해결 방법
2
130
3
스프링 빈에 등록이 안되는거 같은데 어떻게 하면 좋을까요?ㅠㅠ
0
86
3
pdf 오타 문의
0
54
1
ItemUpdateForm 검증 관련 질문입니다.
0
46
1
22page 링크 주소 변경
0
55
2
특정 데이터와 파일을 함께 저장 시, 테이블 구조 질문
0
52
1
섹션3번 수업에 대한 질문입니다.
0
78
2
@Autowired 보다 더 좋은 방법이 어떤 걸까요?
0
84
2
타입컨버터 가 람다랑 비슷해 보이는데 저의 생각이 맞는지?.
0
63
1
자바스크립트 인라인에서 객체 직렬화 시 오류가 납니다
0
140
3
스프링부트 - 오류페이지2 에서 500.html 에서 쓰인 객체 질문
0
62
1
톰캣 에러 페이지가 안보입니다.
0
98
2
apiEceptionController에서 센드 에러 호출하면 안되는지?
0
80
1
세션 타임아웃시 쿠키 삭제 방법이 없나요?
0
116
2
ApiExceptionController 질문드립니다.
0
62
1
셀렉박스 챕터에서 option value에 ==배송 방식 선택== 이것을 넣은 이유가 궁금함, 이렇게 구상해도 되는지?
0
64
1
MemberRepository 필드의 fianl 선언 유무
0
83
2
혹시 index.html 에서는 fragment 사용이 안되는건가요
0
57
1