
인프라공방 - 그럴듯한 서비스 만들기
이동규
₩55,000
초급 / 네트워크, Linux, Spring Boot, AWS, MySQL
5.0
(15)
400+
본 과정은 현업과 비슷하게, 인프라를 구성해가며 필요한 지식을 학습하고 적용하는 단계로 진행합니다.
초급
네트워크, Linux, Spring Boot

서버를 맡았는데 보안은 어디서부터 해야 할지 막막하다면, 공격이 들어오는 흐름을 눈으로 보고 내 서버와 Spring·Express 코드에서 하나씩 직접 막아 보세요. SSH 하드닝부터 인젝션, 인증, 정보유출 방지, 사고 대응까지 54개 실습으로 끝냅니다.
1명 이 수강하고 있어요.
난이도 초급
수강기한 무제한
인터넷에 열린 내 서버를 SSH 키 인증·자동 패치·방화벽·중앙 로그로 하드닝하는 능력
SQL·NoSQL 인젝션, SSRF, 파일 업로드 공격을 직접 재현하고 Spring·Express 코드로 막는 능력
세션·JWT·OAuth(PKCE)·패스키를 안전하게 설계하고 IDOR 같은 권한 결함을 찾아 고치는 능력
시크릿·KMS 암호화·로그 마스킹·백업으로 개인정보 유출을 막는 개발 기준
고친 취약점이 다시 생기지 않게 막는 공격 재현 테스트와 CI 보안 검사(SAST·SCA·DAST)
침해사고 첫 한 시간 대응 절차와, 악용 중인 취약점(KEV)을 72시간 안에 반영하는 운영 루틴
수업별 체크리스트·명령어 정리·실습 따라 하기 가이드, 그대로 돌아가는 예제 저장소
서버를 맡게 됐는데, 보안은 어디서부터 해야 할까요?
로그를 열어 보니 처음 보는 IP에서 수천 번의 로그인 시도가 찍혀 있습니다. 보안 점검 보고서에는 "SQL 인젝션 가능", "불필요한 포트 개방"이 줄줄이 적혀 있는데, 정작 내 코드의 어느 줄을 고쳐야 하는지는 아무도 알려 주지 않습니다.
이 강의는 그 막막함을 순서가 정해진 54개 실습으로 바꿉니다. 공격이 들어오는 흐름을 눈으로 보고, 내 서버와 내 Spring·Express 코드에서 하나씩 직접 막고, 막았다는 것을 테스트로 남깁니다.
- 서버를 처음 맡아 SSH·방화벽·패치를 어디서부터 손대야 할지 모르겠다
- 웹 해킹 강의는 공격자 시점이라 내 서비스에 바로 적용하기 어려웠다
- 보안 점검·ISMS-P에서 받은 지적을 개발 쪽에서 어떻게 고쳐야 할지 모르겠다
- 사고가 나면 무엇부터 해야 하는지, 신고는 언제까지인지 알지 못한다
하나라도 해당된다면, 이 강의가 바로 그 지점에서 시작합니다.
왜 지금 서버 보안인가
2025년 8월 통신사 유심 해킹 사고에 1,347억 9,100만 원, 2026년 6월에는 약 3,750만 명의 개인정보가 유출된 커머스 사고에 6,246억 8,100만 원(관련 위반 포함)의 과징금이 부과됐습니다.
2026년 9월 11일 시행된 개정 개인정보보호법은 원칙 상한(전체 매출의 3%)에 더해 중대하거나 반복된 위반에는 최대 10%까지 매길 수 있게 했습니다. 보호 조치에 미리 투자한 사실이 인정되면 최대 40%까지 감경합니다(고의·중과실 제외). 유출 가능성만 확인돼도 알려야 하는 의무도 새로 생겼습니다.
그런데 큰 사고도 대부분 기본적인 빈틈에서 시작됩니다. 비밀번호로 열려 있던 SSH, 패치가 늦은 서비스, 필요 없이 열린 포트, 입력을 그대로 쿼리에 붙인 코드, 저장소에 남은 키. 이 강의는 그 기본을 백엔드 개발자의 손으로 닫는 방법을 다룹니다.
이 강의의 특징
1. 공격 흐름을 눈으로 봅니다
공격을 다루는 수업마다 하나의 다이어그램 위에서 정상 요청 → 공격 시작 → 피해 발생 → 방어 적용 → 같은 공격 실패가 단계별로 움직입니다. 어디서 뚫리고 어디서 막히는지 한눈에 들어옵니다.
2. Spring과 Express를 나란히 봅니다
보안 기본값이 켜진 Spring Security(Spring Boot 4)와 필요한 미들웨어를 직접 조립하는 Express 5가 같은 공격에 어떻게 다르게 대응하는지, 취약한 코드와 고친 코드를 나란히 비교합니다.
3. 영상 그대로 따라 할 수 있는 예제 저장소
GitHub 예제 저장소에는 공격이 통하는 수정 전 코드(/lab)와 고친 코드(/api)가 함께 들어 있습니다. 내 PC에서 영상과 같은 공격을 재현하고, 같은 요청이 고친 코드에서 막히는 것을 직접 확인합니다. 영상의 명령은 실제로 돌려 보고 검증한 것입니다.
4. 서버와 코드를 한 강의에서
SSH·패치·방화벽·로그·OS 기준·nginx 같은 서버 하드닝부터 인젝션·인증·API·데이터 보호 같은 애플리케이션 보안, 그리고 취약점 점검·공급망·컨테이너·쿠버네티스·클라우드·침해사고 대응까지 백엔드 개발자가 실제로 맡는 범위를 그대로 잇습니다.
5. 막았다는 것을 테스트로 증명합니다
공격 재현 테스트(JUnit·MockMvc, Jest·supertest)를 만들고 CI에 붙여, 리팩터링으로 같은 취약점이 다시 생기면 병합 전에 잡히게 합니다. SAST·SCA·DAST를 PR과 스테이징에 붙이는 방법도 다룹니다.
6. 바로 쓰는 체크리스트와 운영 습관
모든 수업은 체크리스트로 끝나고, 마지막 수업에서는 내 서비스의 현재 수준을 초급·중급·고급·운영 네 단계로 진단합니다. 실제로 악용 중인 취약점(KEV)을 72시간 안에 반영하는 운영 루틴과 자동 대조 스크립트까지 가져갑니다.
커리큘럼 한눈에 보기
8개 섹션, 54개 수업, 총 5시간 9분입니다. 수업 하나는 3~8분으로, 한 주제를 끊지 않고 끝까지 따라 할 수 있는 길이입니다.
- 0. 오리엔테이션 (22분): 최근 유출 사고의 공격 경로, 개정 개인정보보호법, 위협 모델링, 실습 환경
- 1. 서버 하드닝 (48분): SSH 키 인증, 계정·sudo, 패치 자동화, 방화벽, 로그, OS 기준 하드닝, nginx, PHP 웹셸
- 2. 입력은 모두 의심하라 (43분): OWASP 지도, 입력 검증, SQL·NoSQL 인젝션, 커맨드 인젝션·경로 조작, 파일 업로드, SSRF, 역직렬화, 공격 재현 테스트
- 3. 인증과 인가 (40분): 비밀번호 저장, 세션 vs JWT, OAuth·OIDC, IDOR·BOLA, 무차별 대입, MFA·패스키, 인가 테스트
- 4. API 보안 (27분): Mass assignment와 모바일 백엔드 검증, XSS·CSP, 웹훅 서명, Rate limiting·멱등성 키, CORS·CSRF
- 5. 데이터 보호와 정보유출 방지 (41분): TLS, KMS 암호화, 시크릿 관리, 개인정보 개발 기준, 이그레스 통제, 백업, 유출 사고 재구성
- 6. 탐지·공급망·클라우드·사고 대응 (1시간 7분): 취약점 점검, 이상 탐지·자동 차단, SAST·SCA·DAST, 공급망, 컨테이너·쿠버네티스, 클라우드 IAM, 위협 헌팅, 침해사고 대응과 신고
- 7. 운영 (22분): 보안 정보원 구독(KISA·CVE·KEV·EPSS), 72시간 반영 워크플로, KEV 자동 대조 스크립트, 레벨 진단
수강생 자료
- 예제 저장소(GitHub): Spring Boot 4·Java 25 / Express 5·Node 24 예제 서비스(게시판·파일 업로드·결제 웹훅·로그인). 수정 전 코드, 고친 코드, 공격 재현 테스트, 운영 스크립트 포함
- 실습 따라 하기 가이드(PDF): 영상의 명령을 내 PC·실습 VM의 명령으로 바꿔 단계별로 안내. 예상 결과, 확인 포인트, 자주 막히는 곳까지
- 수업별 체크리스트(PDF): 섹션별 8권 + 전체 합본, 맨 앞에 레벨 진단 체크리스트
- 명령어 빠른 참조(PDF): 영상에 나온 명령을 수업 순서대로
- 요약 교재(PDF): 수업별 핵심 정리, 강의 내용, 코드와 설정
- 섹션별 중간 퀴즈(PDF): 37문항, 정답과 해설 포함
수강 전 확인해 주세요
- 선수 지식: 리눅스 터미널 기본 명령, Spring Boot 또는 Express로 간단한 API를 만들어 본 경험. Docker(Compose) 경험이 있으면 좋습니다.
- 실습 환경: Docker가 되는 PC와 실습용 가상 서버(Ubuntu 24.04, RHEL 9 계열, 각 2코어·4GB 정도). 준비 방법은 0-5 수업에서 안내합니다. AWS 계정은 없어도 되며, 일부 클라우드 실습은 계정이 있을 때만 선택으로 따라 합니다.
- 안전한 실습: 예제의 수정 전 코드는 일부러 취약하게 만든 코드입니다. 내 PC나 내가 관리하는 실습 서버에서만 실행하세요. 허가받지 않은 시스템에 수업의 공격을 시험하는 것은 불법입니다.
- 법률 관련 내용: 개인정보보호법·신고 의무는 개발자가 알아야 할 범위로 설명합니다. 법률 자문이 아니며, 적용 전에는 최신 법령과 고시 원문을 확인하세요.
- AI 음성: 이 강의의 나레이션은 AI 음성으로 제작했습니다. 화면, 대본, 예제 코드는 지식공유자가 직접 설계하고 실제 실행으로 검증했습니다.
학습 대상은
누구일까요?
서버를 맡게 됐는데 SSH·방화벽·패치를 어디서부터 손대야 할지 막막한 백엔드 개발자
보안 점검·ISMS-P에서 지적을 받았지만 내 코드의 어디를 고쳐야 할지 모르는 개발자
웹 해킹 강의는 들었는데 공격자 시점이라 내 Spring·Express 서비스에 적용하지 못한 분
스타트업·소규모 팀에서 인프라와 백엔드를 혼자 맡아 사고가 나면 어쩌나 불안한 분
개정 개인정보보호법과 유출 신고 72시간을 개발자로서 무엇부터 준비해야 할지 모르는 분
선수 지식,
필요할까요?
리눅스 터미널 기본 명령(cd, ls, sudo, 편집기)을 쓸 수 있어야 합니다.
Spring Boot 또는 Express로 간단한 API를 만들어 본 경험이 필요합니다.
Docker(Compose)로 컨테이너를 띄워 본 경험이 있으면 좋습니다.
커리어인증
전체
54개 ∙ (5시간 6분)
해당 강의에서 제공:
13. PHP 취약점과 웹셸 찾기
05:07
같은 분야의 다른 강의를 만나보세요!