안녕하세요, 14일 무료 체험을 시작했고 지금까지의 모습에 만족하고 있습니다. 보안에 대해 질문이 있습니다:
예전에는 웹사이트에 연결된 “Simple Machines” 포럼을 사용했는데, 스팸이 포럼을 백도어로 이용해 제 사이트에 접근한 후 사이트를 크래시시키는 등 막대한 보안 위험이 되어서 더 이상 사용하지 않았습니다.
저는 Discourse가 호스팅하는 Standard Discourse 계정을 사용하려고 합니다. (제가 이해한 대로 맞나요?)
Discourse 포럼과 제 웹사이트 사이에 어떤 종류의 방화벽이 존재하나요?
제 사이트는 Squarespace에서 호스팅하고 있습니다.
도움과 조언을 미리 감사드립니다.
Discourse는 많은 대형 기술 기업에서 사용되고 있습니다.
이것은 견고한 시스템입니다. Squarespace에서 Discourse 사이트를 호스팅할 수 없으며, Discourse가 자체 서버에서 호스팅합니다. 여러분이 지불하는 대가는 바로 이것이며, 이는 별도의 엔티티가 됩니다.
HackerOne 버그 바운티 프로그램도 운영 중입니다:
전반적으로 Discourse는 보안을 간과하지 않으며, 이를 매우 중요하게 여기고 그에 상응하는 조치를 취하고 있습니다.
몇 년 전 우리의 물리적 서버가 해킹을 당했습니다(구식 Confluence 사이트 때문이 99%였습니다). Discourse를 제외하고 거의 모든 것이 파괴되었습니다. 지난 10년 동안 스팸 공격자는 4명 정도에 불과했습니다. 하지만 우리는 유명하지 않습니다. 지난 3개월간 Discourse Meta 자체에서 포럼에 게시물을 올리기까지 온갖 방법을 동원한 스팸 공격자를 약 2명 목격했습니다. Discourse는 처음부터 스팸에 강하게 설계되었다고 생각합니다. 사실 그것이 그들이 처음부터 지향했던 기본 아이디어라고 생각합니다.
사이트가 Squarespace라면 워드프레스 사이트인가요? 사이트 임베딩을 위한 통합 방법은 Docs 카테고리에서 확인하실 수 있습니다.
Discourse AI는 Gemini Flash와 같은 무료 AI를 사용할 수 있으며, 호스팅 환경에 따라 다른 AI 옵션이 제공될 수도 있습니다.
AI 플러그인 스위트에는 AI 스팸 감지 기능이 포함되어 있어 필요하신 경우 활용할 수 있습니다.
꿈꾸는 밤의 악몽이 포럼을 다른 사이트(예: WordPress)에 댓글 시스템으로 임베드할 때의 통합 문제에서 비롯된 것이라면, [호스팅 포럼에 그런 기능이 있는지는 모르겠지만] 저는 기술적인 설명을 드릴 수 없습니다. 하지만 저는 Discourse를 그렇게 사용하고 있고, 많은 다른 사용자들도 문제없이 그렇게 하고 있습니다.
만약 (그리고 언제?) 여러분이 대부분의 사용자처럼 Discourse를 독립적으로 사용하고 있다면, 여러분의 메인 사이트는 단순히 Discourse 내부의 또 다른 링크일 뿐입니다. 그러면 물론, 해당 사이트/서버의 보안은 거기서 일어나는 일에 따라 결정됩니다. 그리고 호스팅된 Discourse의 보안은 CDCK의 문제이지 여러분의 문제가 아닙니다.
하지만 CDCK보다 자가 호스팅 인스턴스가 더 많을 것이라고 생각하며, 역시 다른 사용자들이 더 확실한 정보를 드릴 수 있겠지만, 저는 해킹당하거나 깨진 Discourse 인스턴스에 대해 들어본 적이 없습니다.
Squarespace는 호스팅형 사이트 빌더이지, 워드프레스 사이트를 호스팅하는 곳이 아닙니다. 하지만 코드 블록과 임베드 블록을 통해 외부 소스를 임베드할 수 있는 기능을 제공합니다.
SamM이 *“스패머들이 포럼을 백도어로 이용해 제 사이트에 접근한 뒤 사이트를 충돌나게 만들었다”*는 표현에서 정확히 무엇을 의미하는지는 명확하지 않습니다. 스패머들은 사이트를 충돌나게 만들기를 원하지 않습니다. 그들은 그저 쓰레기 광고와 클릭베이트로 사이트를 넘치게 하려는 것뿐입니다. 만약 그런 일이 발생했다면, 아마도 Simple Machines에는 스팸을 제어하기 위한 Discourse의 도구가 부족했을 것입니다.
하지만 *“Discourse 포럼과 제 웹사이트 사이에 어떤 종류의 방화벽이 존재합니까?”*라는 질문은 Squarespace에 하는 것이 더 적절해 보입니다. 그들은 코드 주입이 그들의 통제 범위를 벗어난 표시 문제를 일으킬 수 있다고 경고하지만, 임베드된 포럼 게시글이 그 이상의 피해를 줄 것이라고는 생각하지 않습니다.
조금 주제에서 벗어난 이야기지만, 몇 년 전 워드프레스에서 실제로 발생했던 문제였습니다. 첫 번째 스팸 공격은 성공했지만, 잘 알려진 취약점 때문에 수백 건의 추가 공격이 이어졌고 결국 서버가 충돌했습니다. 또는 같은 취약점이 시스템을 완전히 탈취하려는 스크립트 키디들에 의해 악용되었는데, 그들은 대부분 단순히 코드를 복붙하는 수준이었기 때문에 그들의 낮은 코딩 기술과 역량 부족으로 인해 모든 것이 무너졌습니다.
현실의 한 가지는 스패머 중 소수만이 기생충처럼 행동하는 반면, 대다수는 세균이나 바이러스처럼 행동한다는 것입니다.
디스코urs의 경우 그런 상황은 아닙니다. 하지만 저는 그런 상황이 이 우려의 배경에 있다고 생각합니다.
사실 모르는 것이 많습니다. 예를 들어, 그들이 사용했던 포럼 소프트웨어에는 실질적인 스팸 감지/차단 기능이 전혀 없었던 것일까요? 그리고 물론 사이트 빌더를 사용하는 경우 Squarespace가 어떤 기능을 제공하는지도 궁금합니다.
질문자(OP)에게 더 명확한 설명이 필요합니다.
우리는 데이터 보안에 매우 엄격한 태도를 가지고 있습니다. 인증서와 테스트 결과는 discourse.org/forms에서 확인할 수 있습니다.
이 질문에 대한 완전한 답은 말 그대로 보안 관련 책 한 권을 채울 수 있을 것입니다.
하지만 먼저 귀하에게 발생한 상황에 대해 몇 가지 점을 명확히 한 후, 여기에서 거의 완전한 답변을 드리겠습니다:
이것은 '스패머’가 아니라 '공격자’가 Simple Machines 포럼의 취약점을 악용하여 사이트가 호스팅된 서버에 원격으로 접근할 수 있었다는 것을 의미합니다. (참고: 스패머는 단순히 스팸을 게시할 뿐입니다.) 사이트를 마비시키는 것은 접근을 허용하는 것이 아니라 오히려 접근을 차단하는 결과만 초래합니다.
아마도 이 서버에는 다른 서비스나 데이터도 함께 호스팅되었거나 포함되어 있었을 것입니다?
이것을 이해하는 가장 좋은 방법은 '영향 범위(blast radius)'라는 개념을 사용하는 것입니다. 누군가가 포럼에 부적절한 관리자 권한으로 접근하게 된 경우, 포럼 내의 모든 데이터에 접근할 수 있게 됩니다.
특히 PII(개인 식별 정보)뿐만 아니라 구성 정보나 기타 API 비밀 키도 포함됩니다. 예를 들어, 도메인 내의 다른 서비스가 이 사이트를 인증에 의존하고 있다면, 공격자가 그 다른 서비스로 공격을 확장(pivot)할 수 있게 될 것입니다.
가장 나쁜 경우, 공격자가 백엔드 서버에 접근하게 되는 경우(일반적으로 원격 코드 실행이라고 함), 영향 범위는 해당 서비스가 실행되는 사용자 계정에서 접근할 수 있는 모든 것을 포함하게 됩니다. 컨테이너화나 비관리자 자격 증명 사용과 같이 이러한 영향 범위를 제한하기 위한 다양한 보호 조치도 해당 노출 범위를 줄이는 데 도움이 됩니다.
요약하자면, 관리형 서비스에 호스팅하는 것이 시스템 보안에 대한 책임이 우리에게 있으므로 귀하의 사이트에 가장 안전한 방법입니다.