Wordfence Security를 대체하는 가벼운 워드프레스 방화벽 플러그인 BBQ
이 블로그에서는 보안을 위해 인기 워드프레스 보안 플러그인 중 하나인 iThemes Security를 사용해왔습니다. Wordfence Security나 iThemes Security 같은 보안 플러그인은 강력하고 포괄적인 보안 기능을 제공하지만, 사이트 성능에 안 좋은 영향을 미칠 수 있습니다.
이러한 종합적인 보안 기능을 제공하는 플러그인은 사이트 속도를 느리게 만드는 것으로 알려져 있고, 특히 보안 플러그인은 너무 많은 것에 변경하기 때문에 시스템이 불안정해지고 시스템과 충돌하는 경우가 많다고 합니다. Happist님 블로그에서는 이러한 플러그인을 사용하는 대신 서버단 방화벽을 강화할 것을 제시하고 있습니다.
악의적인 URL 요청으로부터 사이트를 보호하는 가벼운 보안 플러그인 - BBQ: Block Bad Queries
이 블로그에서 최근 iThemes Security를 비활성화하고 대신 BBQ (Block Bad Queries)라는 워드프레스 방화벽 플러그인을 설치했습니다. BBQ 플러그인은 무료 버전과 유료 버전이 있으며, 무료 버전에서는 설치한 후에 설정할 항목이 없으므로 그대로 사용하면 됩니다.
| 기능 | Free | Pro |
| 강력한 방화벽 보안 | ✓ | ✓ |
| 플러그 앤 플레이 기능 | ✓ | ✓ |
| 구성 필요 없음 | ✓ | ✓ |
| SSL/HTTPS에서 작동 | ✓ | ✓ |
| 모든 WP 지원 서버(예: Apache, Nginx, Windows)에서 작동 | ✓ | ✓ |
| .htaccess 불필요! | ✓ | ✓ |
| Blackhole Pro와 함께 작동 | ✓ | ✓ |
| 완전히 사용자 지정 가능한 방화벽 | ✓ | |
| 고급 방화벽 보안 | ✓ | |
| 차단된 요청을 이메일로 알려주는 Email Alerts | ✓ | |
| 규칙을 신속히 활성화/비활성화 | ✓ | |
| 로그인 사용자에 대해 BBQ 비활성화 | ✓ | |
| 과도하게 긴 요청(excessively long requests) 차단 | ✓ | |
| xml-rpc exploits 보호 | ✓ | |
| IP 주소 또는 IP 범위 차단 | ✓ | |
| 사용자 ID 피싱 보호 | ✓ | |
| 차단된 모든 요청 리디렉션 | ✓ | |
| 사용자 지정 메시지 표시 | ✓ | |
| 사용자 고유의 상태 코드(status code) 설정 | ✓ | |
| 완벽한 인라인 설명서 | ✓ | |
| 차단된 요청에 대한 통계 | ✓ | |
| 옵션 및 패턴 초기화 도구 | ✓ | |
| Powered by 5G/6G Blacklist | ✓ | |
| 규칙 추가/수정/제거/비활성화 | ✓ | |
| 원클릭 패턴 테스트 | ✓ | |
| IP 차단 해제 목록 | ✓ | |
| 광고 없음 | ✓ |
무료 버전을 설치하고 활성화하면 BBQ 방화벽 플러그인이 작동하면서 악의적인 URL 요청을 차단하게 됩니다. 플러그인을 활성화한 후 워드프레스 관리자 페이지 > 설정 > BBQ Firewall을 클릭하면 BBQ 플러그인 설정 페이지가 표시됩니다.
무료 버전에서는 플러그인에 대한 간단한 정보와 함께 BBQ Pro 버전으로의 업그레이드 링크와 배너가 표시됩니다. 유료 버전에서는 다양한 옵션이 제공되며 방화벽 규칙을 세부적으로 추가/편집/제거할 수 있습니다.
Pro 버전을 사용하는 경우 차단된 요청에 대하여 이메일로 알림을 받을 수 있습니다("Email Alerts" 옵션 활성화).
이메일 알림을 통해 차단된 요청을 살펴보면 취약점이 있는 플러그인의 특정 파일에 접근을 시도하는 경우를 자주 확인이 되는 것 같습니다. 알림 메일 예시:
Email alert provided by BBQ Pro, sent from WordPress Site.
A bad request was blocked on 2020-01-06 @ 23:00:22.
Request Details:
Blocked Count: 1
Pattern Match: ../
Request URI: /wp-content/plugins/wp-support-plus-responsive-ticket-system/includes/admin/downloadAttachment.php
The Request: /wp-content/plugins/wp-support-plus-responsive-ticket-system/includes/admin/downloadAttachment.php?path=../../../../../wp-config.php
Query String: path=../../../../../wp-config.php
Referrer:
Protocol: HTTP/1.1
IP Address: 51.79.XXX.XXX
User Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:64.0) Gecko/20100101 Firefox/64.0
위의 예시에서는 WP Support Plus Responsive Ticket System이라는 워드프레스 서포트 티켓 플러그인의 특정 파일에 액세스하려고 시도하고 있습니다. 이 플러그인은 과거 버전에서 보안 취약점이 발견된 적이 있어, 그러한 취약점을 노리는 악의적인 URL 요청 같습니다.
그러므로 워드프레스, 테마 및 플러그인을 항상 최신 버전으로 업데이트하는 것이 중요하며, 출처를 알 수 없는 곳에서 다운로드한 테마나 플러그인은 설치하지 않는 것이 안전합니다. 그리고 오랫동안 업데이트가 안 되고 있는 방치된 플러그인은 제거하는 것이 바람직합니다. 이외에도 비밀번호를 난해하게 설정하는 등 일반적인 보안 관행도 준수하시기 바랍니다.
마치며
Wordfence나 iThemes Security 같은 보안 플러그인은 강력하고 포괄적인 보안 기능을 제공하지만, 이러한 플러그인 때문에 사이트 속도가 느려지거나 사이트가 불안정해지는 경우, 또는 다른 플러그인과 충돌하는 경우 이 글에서 소개하는 BBQ(Block Bad Queries) 플러그인을 설치하여 사이트 속도에 미치는 영향을 살펴볼 수 있을 것 같습니다.
Block Bad Queries (BBQ)는 심플하면서 매우 가벼운 플러그인으로 사이트를 악의적인 URL 요청으로부터 보호합니다. BBQ는 모든 유입 트래픽을 체크하여 eval(, base64_, 과도하게 긴 요청 문자열과 같은 보안에 위협이 되는 것이 포함된 불량 쿼리(요청)를 조용히 백그라운드에서 차단합니다. 특히 강력한 .htaccess 방화벽을 사용할 수 없는 사이트에 심플하면서도 견고한 솔루션이 될 수 있습니다.
이 플러그인을 설치하여 사용하는 경우 다음 글을 참고하여 추가적인 보안 조치를 할 수 있는 경우 조치를 하면 보안 강화에 도움이 될 것입니다.
그리고 무엇보다 정기적으로 백업을 받아서 PC나 클라우드 스토리지에 저장하는 것이 최선의 방책입니다. 웹호스팅에서 백업 방법을 제공하지 않는 경우 워드프레스 플러그인을 사용하여 백업하여 컴퓨터로 다운로드할 수 있습니다. (플러그인을 사용하는 경우 웹서버에 충분한 공간이 있어야 합니다.)
워드프레스 쇼핑몰에 쓰기 적합한 보안플러그인을 하나 추천해주실 수 있을까요?
wordfence를 쓰고 있었는데 체감될 정도로 무거워서 바꿨으면 합니다.
소개해주신 BBQ가 완벽히 wordfence를 대체할 수 있을까요?
안녕하세요, 한기 님.
wordfence와 비슷한 플러그인으로 iThemes Security가 있습니다.
이 블로그에 iThemes Security를 한동안 사용했습니다.
속도면에서는 Wordfence보다는 괜찮은 것 같습니다.
다음 글을 참고해보세요:
https://www.thewordcracker.com/basic/%EC%9B%8C%EB%93%9C%ED%94%84%EB%A0%88%EC%8A%A4-%EB%B3%B4%EC%95%88-%ED%94%8C%EB%9F%AC%EA%B7%B8%EC%9D%B8-ithemes-security/
iThemes로도 눈에 띄게 속도가 느려진다면 BBQ를 고려해볼 수 있을 것입니다. BBQ는 방화벽 기능만 있고, 다른 보안 기능은 제공하지 않습니다.
무엇보다 1) 워프, 테마, 플러그인을 최신 버전으로 유지하고, 2) 정기적으로 백업을 실시하는 것이 중요합니다. 또한, 강력한 비밀번호를 사용하는 등의 일반적인 보안 관행도 준수하시기 바랍니다.
감사합니다!
잘 보고 갑니다..
워드님의 말씀이 맞는 것 같습니다
너무 많은 것을 포함 시켜서 속도에 영향이 있는 요인 중에 하나인 것은 분명한 것 같아요..^^
좋은 플러그인 소개 감사합니다.
Wordfence Security나 iThemes Security 같은 플러그인이 강력하고 포괄적인 보안 기능을 제공하기 때문에 좋은 플러그인이지만 한편으로는 사이트 속도에 영향을 미칠 수밖에 없는 것 같습니다. 저는 Wordfence Security보다 iThemes Security가 더 가벼운 것 같아서 오랫동안 사용하다가 최근 이 글에 소개된 플러그인으로 바꾸었습니다.
좋은 글 감사합니다. 저두 서버단에서 몇가지 보안강화를 해야 하는데 시간 내기가 요즘은 쉽질 않네요. 윈도우10 업그레이드 기간이 지나면 날잡아서 테스트 및 보안 강화를 해줘야 할 듯 합니다.
가벼운 플러그인 소개 감사합니다.
네. 서버를 직접 운영하는 경우에는 서버단에서 보안 강화를 해주는 것이 성능이 가장 좋은 것 같습니다.
저는 보안 플러그인을 굳이 깔 필요는 없을 것 같지만... 그래도 보안 플러그인을 설치하면 마음의 위안(?)이 되는 것 같습니다.ㅎ