윈도우 서버는 화면이 보이니 리눅스보다 다루기 편합니다. 그런데 바로 그 편의성 때문에 원격 데스크톱을 열어두고 쓰는 경우가 많아요. 문제는 이 RDP가 랜섬웨어 침투 경로로 가장 많이 지목되는 통로라는 점입니다. 관리 화면이 인터넷에 그대로 노출돼 있는 셈이니까요.
RDP를 그대로 열지 않는 방법
가장 확실한 건 RDP를 인터넷에 직접 노출하지 않는 것입니다. VPN으로 먼저 내부망에 들어온 뒤 접속하게 하면, 외부에서는 RDP 포트 자체가 보이지 않아요. 이것만으로 무작위 대입 시도가 사라집니다.
VPN 구성이 어렵다면 차선책이 있습니다. 방화벽에서 접속 허용 IP를 지정해 사무실이나 담당자 회선에서만 열어두는 방식이에요. 여기에 기본 포트 변경, 계정 잠금 정책(연속 실패 시 일정 시간 차단), 그리고 관리자 계정명을 기본값에서 바꾸는 조치를 더하면 훨씬 나아집니다.
다단계 인증을 붙일 수 있다면 그게 가장 강력합니다. 비밀번호가 유출돼도 한 겹이 더 남으니까요. 그리고 접속 계정에 굳이 관리자 권한을 줄 필요가 없다면 일반 권한으로 낮춰두세요. 뚫렸을 때 피해 범위가 완전히 달라집니다.
업데이트를 미루지 마세요
윈도우 서버는 재부팅이 필요한 업데이트가 많아서 미루기 쉽습니다. 하지만 취약점이 공개되면 공격 도구에 반영되는 속도가 훨씬 빨라요. 패치를 미루는 기간이 그대로 노출 기간이 됩니다.
현실적인 방법은 정기 점검 창을 미리 정해두는 것입니다. 트래픽이 적은 시간대를 골라 매달 고정 일정으로 잡아두면, 그때그때 판단하느라 미루는 일이 줄어듭니다. 중요한 서버라면 패치 전 스냅샷을 떠두고 진행하면 문제가 생겨도 되돌릴 수 있어요.
그리고 윈도우 서버에 기본 탑재된 백신 기능을 꺼두지 마세요. 성능 때문에 끄는 경우가 있는데, 필요하다면 특정 폴더만 검사에서 제외하는 방식으로 조정하는 게 맞습니다.
이벤트 로그가 사고의 실마리입니다
윈도우는 로그인 성공과 실패를 이벤트 로그에 남깁니다. 사고가 났을 때 언제 어디서 들어왔는지 추적할 수 있는 거의 유일한 단서예요. 그런데 로그 보관 크기가 작게 잡혀 있으면 오래된 기록부터 덮어써져서, 정작 필요할 때 그 시점 기록이 없는 경우가 많습니다.
보안 로그의 최대 크기를 넉넉히 늘려두고, 가능하면 별도 서버로 로그를 모아두세요. 공격자가 침입 후 로그를 지우는 경우도 있는데, 외부에 복사본이 있으면 그것까지는 못 지웁니다.
평소에 어떤 로그인이 정상인지 감을 잡아두는 것도 도움이 됩니다. 업무 시간 외 접속이나 낯선 국가의 IP처럼 평소와 다른 패턴이 보이면 그때 확인할 수 있으니까요.
윈도우 서버 운영이 부담스러우시면 TIDC 서버관리 서비스를 살펴보세요. 원격 접속 구성부터 패치 일정, 로그 관리까지 전담 엔지니어가 맡아드립니다.
