공개 웹사이트를 위한 NAS 보안: Synology에서 사용하는 5가지 보안 계층

NAS 보안은 일반적으로 DSM 내의 스위치 목록으로 설명됩니다. 가족 사진만 저장하는 NAS라면 그 목록만으로도 충분할 수 있습니다. 하지만 저희는 훨씬 더 위험한 작업을 수행합니다. 16개 언어로 결제를 지원하는 온라인 쇼핑몰인 SynoPower Club를 저희 랙에 설치된 Synology NAS에서 호스팅하고 있기 때문에 인터넷상의 모든 스캐너와 봇넷이 침입할 수 있습니다. 따라서 단 하나의 설정으로는 이러한 상황에 필요한 NAS 보안을 확보할 수 없습니다. 이 NAS 호스팅 기초 가이드에서는 WordPress에 도달하기 전에 요청이 거치는 다섯 가지 계층과, 2026년 실제 공격 사례에서 각 계층이 어떤 취약점을 발견했는지, 그리고 공격자가 아닌 저희에게 피해를 준 사례들을 살펴봅니다.

SynoPower Club 포인트: 저는 Synology의 지원 업무를 수년간 담당했는데, 제가 본 해킹당한 NAS들은 대부분 교묘한 수법으로 뚫린 경우가 드물었습니다. 기본 관리자 계정이 그대로 활성화되어 있고, 관리 포트가 인터넷으로 포워딩되어 있으며, 2단계 인증도 되어 있지 않았습니다. 훌륭한 NAS 보안은 대부분 순서대로 진행하면 되는 지루한 작업입니다. 저희 매장을 직접 운영하기 시작하면서 놀랐던 점은 보안 작업의 상당 부분이 NAS 외부로 옮겨간다는 사실입니다. 현재 저희가 차단하는 대부분의 트래픽은 회선에 도달하기 전에 이미 차단됩니다.

NAS에서 웹사이트를 호스팅할 때 NAS 보안이란 무엇을 의미하는가? #

개인용 NAS는 보안 측면에서 단 하나의 임무만 수행합니다. 바로 낯선 사람이 로그인 페이지에 접근하지 못하도록 막는 것입니다. 하지만 공용 웹사이트를 호스팅하는 NAS는 정반대의 문제를 안고 있습니다. 낯선 사람들이 바로 고객이고, 매일 수천 명의 고객이 계정 없이 접속해야 합니다. 따라서 문제는 누가 접속할 수 있느냐가 아니라 접속자가 무엇을 요구할 수 있느냐로 바뀝니다.

그래서 우리는 NAS 보안을 제품 기능으로 생각하는 것을 멈추고, 하나의 로드맵으로 그려나가기 시작했습니다. 우리 매장에 대한 요청은 다음 다섯 가지 기준을 충족해야 하며, 각 매장은 이를 거부할 수 있습니다.

• 가장자리. Cloudflare는 모든 요청을 먼저 수신하고 자체 캐시에서 대부분의 요청에 응답합니다.
• 라우터. Synology 라우터는 Cloudflare에서 전달되는 데이터를 검사하여 필요한 포트만 포워딩합니다.
• 프런트 NAS. DSM 장비는 TLS 연결을 종료하고 리버스 프록시 및 메일 서버 역할을 합니다.
• Virtual DSM. WordPress는 다른 모든 것과 분리되어 자체 Virtual DSM 인스턴스 내의 컨테이너에서 실행됩니다.
• 해당 애플리케이션. 워드프레스 자체에서 방문자가 양식이나 로그인 페이지에서 무엇을 할 수 있는지 결정합니다.

어느 한 계층도 완벽하다고 믿을 수 없습니다. 각 계층은 바로 앞 계층이 잘못되었거나, 잘못 구성되었거나, 단순히 우회되었을 때를 대비하여 존재합니다.

레이어 1: 클라우드플레어는 대부분의 공격을 당사에 도달하기 전에 차단합니다. #

훌륭한 NAS 보안은 NAS 자체에 있는 것이 아니라, 그 이면에서 시작됩니다. 가장 방어하기 쉬운 요청은 아예 오지 않는 요청입니다. 이 글을 작성하기 전 24시간 동안 Cloudflare는 저희 도메인에 대한 78,690건의 요청을 처리했습니다. 그중 57,620건은 캐시에서 응답했고, 5,590건은 원치 않는 요청으로 간주하여 차단했으며, 나머지 15,470건만 원본 서버로 전송했습니다. 즉, 5건 중 4건은 NAS의 CPU 자원을 전혀 사용하지 않은 것입니다.

저희는 프로 플랜을 사용 중이며 15개의 사용자 지정 방화벽 규칙과 2개의 속도 제한 규칙을 실행하고 있습니다. 이 규칙들은 모두 특정 시점의 문제가 발생했기 때문에 만들어진 것입니다. 다음 세 가지 예시를 통해 그 패턴을 보여드리겠습니다.

• 웹셸 헌터, 7월 20일. 17시간 동안 14개 주소에서 535개의 서로 다른 PHP 파일 이름에 대해 950건의 프로브를 기록했습니다. 주소 차단으로는 이를 감당할 수 없었기 때문에 논리를 바꿔 WordPress가 실제로 사용하는 몇 개의 PHP 진입점만 허용하고 나머지는 모두 차단했습니다.
• 신분증 스캐너, 8월 29일. 클라우드 호스팅 네트워크에서 구성 파일과 비밀 파일을 1,400번 이상 요청하는 트래픽이 발생했습니다. 해당 파일은 존재하지 않았지만, 요청이 있을 때마다 WordPress는 전체 오류 페이지를 표시하고, 로드 평균은 46까지 치솟았으며, 컨테이너를 재시작해야 했습니다. 이제 이러한 경로는 완전히 차단되었으며, 대규모 클라우드 네트워크에서 오는 검증되지 않은 트래픽은 브라우저에서 차단됩니다.
• 장바구니 담기 봇넷, 8월 31일. 한 시간 안에 거의 같은 수의 서로 다른 주소에서 258건의 장바구니 추가 요청이 들어왔는데, 주소당 약 1건의 요청이었으므로 주소별로 차단할 만한 것은 없었습니다. 해당 작업에 대한 관리형 보안 검사를 통해 차단했으며, 실제 브라우저는 이를 알아채지 못하고 통과합니다.

Cloudflare Turnstile은 방화벽이 차단할 수 없는 양식(회원가입, 비밀번호 재설정, 댓글 작성, 문의 양식)을 보호합니다. 이 모든 기능을 제어하는 계정과 도메인 등록기관의 계정 모두 2단계 인증을 요구합니다. DNS를 변경할 수 있는 공격자는 NAS를 해킹할 필요가 없습니다.

2단계: Synology 라우터의 위협 방지 #

클라우드플레어를 통해 전달되는 모든 데이터는 SRM이 실행되는 Synology 라우터에 도달하며, 이는 두 번째 NAS 보안 계층입니다. 이 계층이 바로 이 기사의 원래 메모에 언급되었던 계층입니다. 위협 방지 기능으로 또 다른 공격을 차단합니다.. 이는 패킷을 알려진 공격 시그니처와 비교하는 침입 방지 시스템으로, 저희 시스템은 심각도가 높은 일치 항목을 단순히 로그에 기록하는 대신 자동으로 차단하도록 설정되어 있습니다.

2026년 8월 2일, 한 주소에서 Windows 서버에만 영향을 미치는 PHP 취약점을 이용해 116번의 공격 시도가 있었습니다. 하지만 우리 서버에는 절대 영향을 미치지 않았을 것이며, 이것이 바로 이 이야기의 핵심입니다. 위협 방지 시스템이 모든 공격 시도를 차단했고, 이후 웹 서버 로그를 확인해 본 결과 해당 주소는 전혀 기록에 남아 있지 않았습니다. 공격은 라우터에서 종료되었습니다.

동일한 장치에 있는 세 가지 간단한 설정은 검사 엔진만큼이나 NAS 보안에 효과적입니다.

• 필요한 포트만 포트 포워딩됩니다. 웹 및 메일 포트는 프런트 NAS로 연결됩니다. DSM 관리 포트와 SSH는 다른 곳으로 포트 포워딩되지 않습니다.
• 방화벽의 국가별 규칙. 당사가 판매하지 않는 지역 목록은 신청서가 접수되기 전에 미리 검토 및 거부됩니다.
• 안전한 접근. DNS와 웹 필터링은 네트워크 내부의 컴퓨터들이 알려진 악성 도메인과 통신하는 것을 차단하는데, 이는 이미 시스템이 감염된 경우에 매우 중요합니다.

레이어 3: DSM 내 NAS 보안, 2단계 인증부터 자동 차단까지 #

프런트 NAS는 외부 패킷이 도달할 수 있는 최초의 Synology 시스템이므로, 일반적인 NAS 보안 권고 사항이 완전히 적용되는 부분입니다. 저희 설정은 의도적으로 독창적이지 않습니다.

• 기본 계정은 비활성화되어 있습니다. 둘 다 관리자 그리고 손님 꺼져 있습니다. 모든 자동 로그인 공격은 이 두 이름으로 시작됩니다.
• 관리자는 비밀번호만으로는 로그인할 수 없습니다. 관리자 그룹 전체에 대해 2단계 인증이 적용되며, 적응형 MFA는 로그인 시도가 비정상적으로 보일 경우 추가적인 인증을 요구합니다.
• 자동 차단 기능이 켜져 있습니다. 5분 안에 10번 로그인에 실패하면 해당 주소가 차단되며, 차단은 자동으로 해제되지 않습니다.
• DSM 방화벽이 활성화되었습니다. 라우터 규칙 위에 추가되는 것이므로 한 기기에서 오류가 발생해도 두 기기 모두에 문제가 생기지 않습니다.
• 보안 업데이트는 자동으로 설치됩니다. 이 기기에서는 그렇지 않습니다. 쇼핑몰 운영에 사용되는 Virtual DSM 서버에서는 알림만 받고, 스냅샷을 찍은 후 수동으로 업데이트합니다.

NAS 보안에 있어 스위치만큼이나 중요한 두 가지 습관이 있습니다. 첫째, 외부에서 DSM에 접근할 때는 QuickConnect를 사용하거나 아예 접근하지 않습니다. 따라서 관리 포트를 열 필요가 없습니다. 둘째, 임시 직원에게는 임시 계정을 부여합니다. 계약자나 AI 에이전트가 관리자 권한이 필요할 경우, 이름이 지정된 계정을 생성하고 작업이 완료되면 당일 바로 비활성화합니다.

4단계: 손상을 포함하는 Virtual DSM #

WordPress는 프런트 NAS에서 실행되지 않습니다. Virtual DSM 내부의 컨테이너에서 실행되며, Virtual Machine Manager에서 호스팅되는 DSM의 완전한 두 번째 복사본입니다. 따라서 메일, 리버스 프록시 및 쇼핑몰은 별도의 계정과 스토리지를 사용하는 별개의 시스템에서 운영됩니다.

격리는 NAS 보안에서 침입 자체를 막으려는 것이 아니라, 침입으로 인한 피해를 최소화하는 데 중점을 둡니다. 예를 들어, WordPress 플러그인이 해킹당하더라도 공격자는 메모리 용량이 제한된 컨테이너, 즉 메일함이나 백업 파일이 없는 가상 머신에 접근하게 됩니다. 또한, 전체 시스템이 Virtual Machine Manager 백업 방식으로 단일 파일로 관리되기 때문에 위험한 변경 작업을 하기 전에 스냅샷을 생성하는 데는 몇 초밖에 걸리지 않지만, 롤백하는 데는 몇 분밖에 걸리지 않습니다.

Virtual Machine Manager에는 지원되는 모델에서 Virtual DSM 인스턴스 하나가 무료로 제공되므로 이 레이아웃을 사용해 볼 수 있습니다. 추가 인스턴스는 각각 라이선스가 필요합니다.

5단계: 워드프레스가 아직 스스로 해야 할 일 #

외부 NAS 보안 계층은 패킷과 요청을 평가합니다. 애플리케이션만 요청의 의미를 알 수 있으므로 WordPress에는 몇 가지 방어 기능이 있어야 합니다.

• 모든 관리자 로그인에 대한 2차 인증, DSM에서와 동일한 규칙이 적용됩니다.
• 비밀번호 재설정에 대한 조용한 제한. 한 계정에 대한 반복적인 재설정 요청은 오류 메시지 없이 거부됩니다. 이는 공격자에게 해당 계정이 이미 존재한다는 사실을 알려주는 오류 메시지가 표시되기 때문입니다.
• 낯선 사람을 위한 사용자 목록은 없습니다. 워드프레스 사용자 이름을 나열하는 기존 방식은 더 이상 사용할 수 없습니다.
• Tor는 신청서에서 거부됩니다. 지난 9월, 누군가 저희 문의 양식을 악용하여 다른 사람들에게 확인 이메일을 대량으로 발송했는데, 모든 제출물이 Tor 네트워크를 통해 전송되었습니다. Tor 네트워크를 통해 사이트를 보는 것은 여전히 가능하지만, 양식 제출은 되지 않습니다.
• 저렴한 오류 페이지. 존재하지 않는 것을 요청하면 148킬로바이트 크기의 테마 페이지 전체가 아닌 1킬로바이트 크기의 응답만 받게 됩니다.

Tor 사건에 대한 자세한 내용은 별도의 기사에서 확인할 수 있습니다. 문의 양식을 통한 이메일 폭탄 공격.

NAS 보안을 4단계로 강화하기 (외부에서부터 내부로) #

기본 설정으로 된 NAS를 사용하는 경우, NAS 보안 작업 순서가 도구보다 훨씬 중요합니다. 외부에서부터 내부로 순차적으로 작업을 진행하고, 각 단계를 완료한 후에는 반드시 사이트를 테스트하십시오.

다섯 번째 단계는 앞의 네 단계를 완료한 사람이라면 누구나 거쳐야 할 단계입니다. 바로 라우터에서 웹 포트를 Cloudflare에서 제공하는 주소 범위로 제한하는 것입니다. 이는 NAS 보안에서 가장 나중에 고려되는 부분입니다. 이 단계를 완료하기 전까지는 프록시 사용을 권장할 뿐입니다. 실제 회선 주소를 알게 된 사람은 프록시를 우회하여 내부 네트워크에만 접근할 수 있기 때문입니다.

NAS 보안 규칙이 오히려 해를 끼치는 경우 #

공격자를 막는 모든 규칙은 고객을 막을 수도 있으며, 그 실패는 소리 없이 드러납니다. 저희가 NAS 보안 설정을 잘못해서 손해를 본 세 가지 사례를 소개합니다.

7월에 크롤러를 겨냥한 규칙이 구글이 쇼핑 상품 목록을 검토하는 데 사용하는 검사 도구까지 차단하면서, 두 사건이 연관되기 전까지 39개의 상품 목록이 승인 거부되었습니다. 그 이후로 모든 봇 규칙에는 인증된 검색 크롤러에 대한 명시적인 예외 조항이 포함되었습니다.

9월에 미국의 한 기업 고객이 이틀에 걸쳐 네 번이나 결제를 시도했지만, 양쪽 모두 오류 없이 매번 실패했습니다. 해당 회사는 모든 웹 트래픽을 클라우드 보안 게이트웨이를 통해 처리하기 때문에, 저희 방화벽에서는 이 고객을 8월에 발생했던 공격의 스캐너로 인식하여 결제 도중 차단했습니다. 기업 구매자들은 공격자들이 이용하는 것과 동일한 클라우드 네트워크를 통해 접속하는 경우가 많습니다. 저희는 이미 쇼핑 중인 고객에게는 아무런 문제가 발생하지 않도록 규칙을 조정했습니다.

그리고 8월 2일에 아주 잘 작동했던 위협 방지 엔진이 그 폭증 사태 이후 메일 서버로 나가는 트래픽을 차단하기 시작했습니다. 라우터를 재시작할 때까지 메일이 대기열에 쌓였습니다. 경로상의 검사 엔진은 고장 날 수 있는 또 다른 요소이며, 우리 엔진이 고장 났을 때는 제대로 작동하지 않고 종료되었습니다.

NAS 보안에서 얻을 수 있는 교훈은 보안 계층을 제거하는 것이 아닙니다. 각 규칙이 존재하는 이유를 기록하고, 첫 주 동안 어떤 항목을 차단했는지 살펴보고, 실제 사람이 접근할 가능성이 있는 경우에는 차단보다는 이의 제기를 선호하는 것입니다.

백업은 다른 모든 시스템이 실패한 후에 작동하는 계층입니다. #

아무리 NAS 보안을 강화해도 복구는 선택 사항이 될 수 없습니다. 하드웨어 고장, 업데이트 오류, 그리고 새벽 1시에 접속한 관리자는 대부분의 봇넷보다 더 위험할 수 있습니다. 저희는 세 가지 유형의 백업을 유지합니다. 빠른 롤백을 위한 NAS 스냅샷, 클라우드 스토리지와 동기화되는 전체 가상 머신의 예약된 내보내기, 그리고 별도의 오프사이트 데이터 백업입니다.

가상 머신 내보내기는 다음에서 단계별로 설명됩니다. VMM 백업을 Google Drive에 저장, 그리고 이 모든 것을 호스팅하는 클러스터는 다음과 같습니다. 저희의 3노드 VMM Pro 구성.

이 NAS 보안 설정의 한계점 #

이것은 표준이 아니라, 한 소규모 회사가 운영하는 방식을 설명하는 것입니다. 몇 가지 솔직한 한계점은 다음과 같습니다.

저희 NAS 보안은 클라우드플레어에 의존하고 있습니다. 클라우드플레어 네트워크에 문제가 생기면 저희 서비스에도 영향을 미치는데, 유료 플랜 비용은 사이트 월 운영비에 포함되어 있습니다.

이 시스템은 사후 대응 방식으로 구축되었습니다. 대부분의 규칙은 사건 발생 다음 날에 작성되었습니다. 규모가 더 큰 팀이었다면 먼저 위협 모델링을 수행하여 공격자보다 먼저 이러한 허점을 발견했을 것입니다.

NAS 보안에는 유지 관리가 필요합니다. 특정 경로 또는 네트워크를 나열하는 규칙은 시간이 지나면 효력을 잃고, 아무도 기억하지 못하는 규칙은 향후 장애로 이어질 수 있습니다. 사이트 구조가 변경될 때마다 규칙 목록을 검토합니다.

그리고 이는 은행이 아닌 상점을 보호하는 것입니다. 의료 기록이나 카드 번호를 NAS에 저장한다면, 이 기사만으로는 부족하며 전문가 검토부터 시작해야 합니다.

자주 묻는 질문 #

참고 자료 및 비디오 튜토리얼 #

• Synology: NAS 보안을 강화하는 방법, 계정, 방화벽 및 업데이트에 대한 공식 체크리스트입니다.
• Synology SRM 위협 방지 도움말, 심각도 수준과 자동 삭제 정책에 대해 설명합니다.
• Synology DSM 2단계 인증 도움말, 여기에는 그룹 차원에서 이를 시행하는 방법도 포함됩니다.
• Cloudflare WAF 사용자 지정 규칙, 에지 레이어 뒤에 있는 규칙 언어입니다.
• 클라우드플레어 IP 범위, 출처를 잠글 때 라우터에서 허용할 목록입니다.

이 Synology 비디오 시리즈는 일반적인 체크리스트부터 2차 인증 및 사용자 권한에 이르기까지 NAS 보안의 DSM 측면을 다룹니다.

NAS에서 비즈니스를 호스팅하는 방법에 대한 이 시리즈의 다른 글들을 읽어보세요. SMTP 릴레이를 사용하여 거부된 메일을 수정하기. 저희처럼 서비스를 분리하고 싶으신가요? 다음으로 시작하세요. Virtual DSM 라이선스, 또는 모든 라이선스를 찾아보세요 SynoPower Club.