무차별 로그인 시도 차단, 횟수 제한·잠금·알림 설정 5가지
무차별 로그인 시도 차단은 같은 계정이나 IP의 로그인 실패 횟수를 제한하고, 기준을 넘으면 일정 시간 잠그며, 이상 로그인을 관리자에게 알리도록 설정하는 것이 기본입니다. 이 글에서는 5가지 차단 방법의 차이와 설정 순서, 정상 사용자가 불편하지 않게 하는 기준을 정리했습니다.
무차별 로그인 시도란 무엇인가
무차별 로그인 시도는 자동 프로그램이 아이디와 비밀번호 조합을 쉬지 않고 바꿔 넣으며 로그인을 시도하는 것을 말합니다. 흔히 쓰는 비밀번호를 차례로 넣어 보거나, 다른 사이트에서 유출된 아이디·비밀번호 목록을 그대로 넣어 보는 방식이 많습니다.
그래서 비밀번호를 여러 사이트에 같이 쓰면 우리 사이트가 직접 털리지 않아도 계정이 넘어갈 수 있습니다. 차단 설정과 함께 관리자 비밀번호 관리 원칙을 지키는 것이 출발점입니다.
로그인 시도가 몰리고 있다는 신호
- 로그인 실패 기록이 평소보다 크게 늘었다.
- 존재하지 않는 아이디나 admin처럼 흔한 아이디로 시도한 기록이 많다.
- 같은 IP나 해외 IP에서 짧은 간격으로 시도가 반복된다.
- 회원이 "비밀번호를 바꾸지 않았는데 잠겼다"고 문의한다.
무차별 로그인 시도 차단 방법 5가지 비교
아래 표는 로그인 시도를 막는 다섯 가지 방법이 무엇을 막고 운영할 때 무엇을 조심해야 하는지 비교한 것입니다.
| 방법 | 효과 | 주의할 점 |
|---|---|---|
| 실패 횟수 제한 | 같은 계정이나 IP의 연속 실패를 일정 횟수에서 멈춤 | 기준이 너무 낮으면 정상 사용자가 자주 막힘 |
| 일시 잠금 | 기준을 넘은 계정이나 IP를 정해진 시간 동안 잠금 | 영구 잠금은 악용되면 정상 사용자를 일부러 잠글 수 있어 시간제 잠금이 관리하기 쉬움 |
| 지연과 사람 확인 | 실패가 쌓일수록 응답을 늦추거나 사람 확인 단계를 추가 | 사람 확인 단계가 너무 잦으면 이용이 불편해짐 |
| 로그인 알림 | 새 기기·새 장소 로그인이나 실패 급증을 관리자에게 알림 | 알림을 받는 사람과 확인 절차를 정해 두어야 함 |
| 2단계 인증 | 비밀번호가 맞아도 추가 확인 없이는 로그인되지 않음 | 인증 기기를 잃어버렸을 때의 복구 방법이 필요함 |
다섯 가지는 함께 쓸수록 효과가 큽니다. 특히 관리자 계정은 횟수 제한만으로 부족하므로 2단계 인증을 반드시 함께 켜는 것이 좋습니다. 설정 방법은 관리자 계정 2단계 인증에서 다룹니다.
로그인 차단 설정 순서
홈페이지 프로그램에 기본 기능이 있는 경우도 있고, 보안 플러그인이나 서버 설정으로 추가해야 하는 경우도 있습니다. 어느 쪽이든 아래 순서로 진행하면 정상 사용자를 막는 실수를 줄일 수 있습니다.
- 로그인 창구 확인: 관리자 로그인, 회원 로그인, 비밀번호 찾기처럼 계정을 확인하는 화면을 모두 찾습니다.
- 현재 기록 확인: 로그인 성공·실패 기록이 남는지, 며칠 동안 실패가 얼마나 있었는지 봅니다.
- 기준 정하기: 몇 번 실패하면 몇 분 잠글지, 계정 기준인지 IP 기준인지 정합니다.
- 차단 기능 적용: 프로그램 기능, 보안 플러그인, 서버 설정 가운데 사이트에 맞는 방법으로 적용합니다.
- 오류 문구 통일: 아이디가 없을 때와 비밀번호가 틀렸을 때 같은 안내 문구를 보여 계정 존재 여부가 드러나지 않게 합니다.
- 알림 연결: 실패 급증이나 새 장소 로그인을 받을 관리자 메일이나 메신저를 정합니다.
- 잠금 해제 절차 마련: 정상 사용자가 잠겼을 때 누가 어떻게 풀어 줄지 정해 둡니다.
그림의 첫 단계처럼 비밀번호 찾기 화면도 로그인 창구에 포함해야 합니다. 로그인 화면만 막고 다른 계정 확인 화면을 열어 두면 그쪽으로 시도가 옮겨 갈 수 있습니다.
설정 뒤 점검 체크리스트
차단 기능은 켜 두는 것으로 끝나지 않습니다. 다음 항목을 월 1회 정도 확인하면 설정이 실제로 작동하는지 알 수 있습니다.
- 정한 횟수만큼 일부러 틀렸을 때 실제로 잠기는지 시험해 보았다.
- 잠금 시간이 지나면 정상적으로 다시 로그인되는지 확인했다.
- 로그인 실패 기록이 남고 관리자가 볼 수 있다.
- 알림이 정해진 사람에게 실제로 도착한다.
- 관리자 계정에 2단계 인증이 켜져 있다.
- 쓰지 않는 계정과 흔한 아이디의 관리자 계정을 정리했다.
체크리스트의 마지막 항목처럼 admin 같은 흔한 아이디를 관리자 계정으로 쓰고 있다면 개인별 계정으로 바꾸는 것이 좋습니다. 아이디를 짐작할 수 없으면 대입해야 할 조합이 크게 늘어납니다.
디코랩이 돕는 방식
디코랩은 운영 중인 사이트의 유지보수와 개선을 맡고 있습니다. 로그인 제한과 알림처럼 프로그램과 서버 설정을 함께 봐야 하는 작업은 사이트 환경을 확인한 뒤 적용 방법과 범위를 상담 후 제안합니다. 운영 중인 사이트의 요청은 유지보수 접수 게시판에 비밀글로 남길 수 있습니다.
자주 묻는 질문
몇 번 실패하면 잠그는 것이 좋나요?
모든 사이트에 맞는 정답은 없습니다. 회원이 실수로 틀리는 횟수보다는 넉넉하게, 자동 프로그램이 많이 시도하기 전에는 멈추도록 정하고, 기록을 보며 조정하세요.
IP를 차단하면 공격이 멈추나요?
한 곳에서 반복되는 시도는 줄일 수 있지만, 여러 IP를 바꿔 가며 시도하면 IP 차단만으로는 부족합니다. 계정 기준 제한과 2단계 인증을 함께 쓰세요.
회원이 잠겨서 로그인을 못 한다고 하면 어떻게 하나요?
본인 확인을 거친 뒤 잠금을 풀고, 비밀번호 변경을 안내합니다. 같은 계정이 반복해서 잠긴다면 누군가 그 계정을 노리고 있을 수 있으므로 기록을 함께 확인하세요.
관리자 로그인 주소를 숨기면 차단 설정은 필요 없나요?
주소를 숨기면 시도가 줄어들 수는 있지만, 주소가 알려지면 효과가 사라집니다. 횟수 제한과 2단계 인증은 그대로 유지하세요.
우리 사이트의 로그인 화면에 차단 설정이 되어 있는지 확인이 필요하다면 사이트 주소와 사용 중인 프로그램을 적어 디코랩 프로젝트 문의로 보내 주세요.
댓글0
댓글 작성 권한이 없습니다