안녕하세요,
비슷한 내용을 검색해 보았지만, 제가 정확히 찾고 있는 것을 찾지는 못했습니다.
저는 관리자 계정을 보호하는 방법을 찾고 있습니다. 제가 사용자 가이드 등을 게시할 때 사용하는 계정 이름이 공개되어 있기 때문에, 누군가가 이 관리자 계정 이름을 계속 시도하여 몇 번만 시도하면 제가 잠금 해제되지 않는 동안에도 잠겨 버릴 수 있다는 점이 우려됩니다. 이것이 영구적으로 잠금 처리되지는 않다는 것은 알고 있지만, 아예 이런 상황을 피하고 싶습니다.
2FA(2단계 인증)를 활성화하면 이런 문제를 방지할 수 있을까요?
또한, 모더레이션(관리)을 위해 모더레이터 계정을 하나 가지고, 모든 관리자 관련 작업을 수행하기 위해 관리자 계정을 따로 두는 것이 모범 사례인가요?
제 혼란은 포럼을 처음 설정했을 때 ‘system’ 계정이 모든 것을 처리했고, 메시지를 게시하면 'system’에서 온 것으로 표시되었던 것에서 비롯된 것 같습니다.
감사합니다.
누군가가 내 계정에 브루트포스 공격을 시도하는 경우, 내 계정이 아니라 해당 IP 주소가 차단될 가능성이 가장 높습니다(기억이 맞다면).
2단계 인증(2FA)을 사용하면 악의적인 행위자를 크게 억제할 수 있으므로 매우 도움이 됩니다.
가정 네트워크에서 정적 IP를 사용 중이라면, 자신의 IP 주소를 화이트리스트에 등록하여 계정 잠금으로 인해 접속이 차단되는 상황을 방지할 수 있습니다.
매우 긴 비밀번호를 사용하는 것도 브루트포스 공격을 억제하는 데 꽤 좋은 방법입니다.
누군가가 당신으로 로그인하려고 한다면, 당신이 계정을 설정할 때 사용한 이메일 주소를 알아야 합니다. 만약 당신이 비밀번호를 잊었다면, 비밀번호 재설정을 받기 위해 그 사람의 이메일 계정에 접근할 수 있어야 합니다… 재설정이 실제로 가능한 경우라면요.
당신은 관리자로 로그아웃하나요? 만약 그렇지 않다면, 당신이 포럼에 접속할 때마다 당신의 IP 주소와 쿠키가 인식되어 자동으로 로그인됩니다. 로그아웃을 한 경우, 그때는 포럼을 생성할 때 사용한 이메일 주소와 비밀번호를 입력하여 다시 로그인해야 합니다.
당신의 설명을 들어보면, 실제로 일어난 일이 아니라 잠재적으로 발생할 수 있는 상황에 대해 우려하고 있는 것으로 보입니다.
별개의 moderator(모더레이터) 계정과 Admin(관리자) 계정에 대해 말씀하시려면: 모더레이터 계정을 관리자 권한도 있는 계정으로 만들지 않는 한, 모더레이터로서는 관리자 기능을 접근할 수 없습니다. 저는 관리자이지만 별도의 모더레이터 계정은 없습니다. 제가 신뢰하는 모더레이터 중 한 명을 관리자 권한도 있는 계정으로 만들었지만, 그 사람은 관리자 업무에는 손을 대지 않습니다(포럼을 망칠까 봐 두려운 건가요? 
). 하지만 만약 저에게 무슨 일이 생기더라도 - 저는 102세까지 살 계획을 세우고 있으니 아직 35년이 남았지만 - 이 모더레이터가 업무를 인수할 수 있습니다. 제 다른 모더레이터는 "단순한 모더레이터"입니다.
'system’은 포럼 소프트웨어입니다. 포럼을 설정할 때 당신을 위한 계정도 설정하셨죠? 그것이 필수 요건이었을 것 같습니다. 당신이 무언가를 게시하면, 시스템이 게시한 것이 아니라 당신 이름으로 게시된 것으로 표시되어야 합니다. 당신의 게시글이 당신의 사용자 이름이 아닌 "system"으로 표시되는 것은 이상해 보입니다.
그것은 정확하지 않습니다. 사용자 이름으로 로그인할 수 있습니다.
2단계 인증(2FA)은 비밀번호가 도난당했지만 컴퓨터에 멀웨어가 설치되지 않은 경우, 그 비밀번호가 재사용되는 것을 막아줍니다.
최악의 경우에도 서버에 대한 SSH 접근 권한이 여전히 있으므로, 그곳에서 접근 권한을 복구할 수 있습니다.
말씀이 맞습니다. SSH 접근 경로를 잊고 있었네요. 
시간 내어 답변해 주셔서 감사합니다. 정말 도움이 되는 답변들이네요.
결국 2FA(2단계 인증)는 항상 좋은 생각이고, 만약 문제가 생기더라도 적어도 SSH 접근 권한은 있으니 다행입니다. 일리가 있네요.
그리고,
말씀이 정확합니다. 저는 Admin 계정을 설정해 두었고, system 계정이 아닌 그 계정으로 게시글을 작성하고 있었습니다. 제 실수였습니다.
사용자 이름 로그인을 허용하지 않고(즉, 이메일 로그인을 강제하는) 설정을 변경할 수 있는지 아시는 분 계신가요?
다시 한번 감사합니다.
맞습니다. 그리고 이것은 Discourse에만 국한되지 않고 어디에나 적용됩니다. 사용하는 사이트가 2FA를 지원한다면 반드시 설정해야 합니다.