백업은 실제로 어디에 있습니까
웹사이트 백업이 같은 서버의 별도 폴더에만 있다면, 침입에 성공한 공격자는 그 폴더까지 암호화하거나 삭제할 수 있습니다. 3-2-1 규칙은 여전히 소규모 사업체의 실질적인 기준입니다. 사본을 세 개 보관하고, 서로 다른 저장 매체 두 가지를 사용하며, 사본 하나는 외부에 보관하십시오. 운영 서버를 한 번도 벗어나지 않는 백업은 백업이 아니라 디스크 공간만 차지하는 파일입니다.
UpdraftPlus, Duplicator Pro, cPanel Backup, JetBackup 같은 도구나 간단한 rsync와 cron 작업을 사용하십시오. 외부 사본은 AWS S3, Google Drive, Backblaze B2 또는 Hetzner Storage Box로 보내십시오. 업종 특성상 데이터를 특정 국가나 지역 안에 보관해야 한다면 클라우드 제공업체의 저장 위치를 확인하십시오. 일부 전문 직종 규정은 국외 데이터 이전을 제한하므로, 외부 저장소를 고르기 전에 규정 준수 담당 자문가와 확인하십시오.
복원 훈련이 없으면 백업도 없습니다
백업 파일이 존재하는 것과 백업이 복원되는 것은 다릅니다. 손상된 압축 파일, 불완전한 데이터베이스 덤프, 잘못된 파일 권한은 실제 복구 과정에서야 드러납니다. 그래서 테스트하지 않은 백업은 백업이라고 할 수 없습니다. 최소한 한 달에 한 번 스테이징 환경에 전체 복원을 수행하고 파일, 데이터베이스, 플러그인, 테마 설정을 함께 확인하십시오.
간단한 스크립트로 훈련을 자동화하십시오. 최근 백업을 가져와 테스트 영역에 풀고, 홈페이지가 HTTP 200을 반환하는지 확인하는 것입니다. 이 확인에 실패하면 백업 시스템을 적색 경보 상태로 표시하십시오. 복원 시간도 측정하십시오. 비상시에 두 시간 만에 복구되는 백업은 여덟 시간이 걸리는 백업보다 훨씬 가치가 큽니다.
업데이트 습관: 오래된 소프트웨어는 공격자를 부릅니다
구버전 WordPress, WooCommerce, Joomla 또는 맞춤 애플리케이션은 공격자가 자동으로 검색하는 알려진 취약점을 드러냅니다. 업데이트를 건너뛰는 사이트는 얼마 지나지 않아 예측 가능한 표적이 됩니다. 소규모 보안 패치는 자동 업데이트를 켜되, 주요 버전 업그레이드는 먼저 스테이징에서 테스트하십시오.
플러그인과 테마 목록을 관리하고, 쓰지 않는 것은 삭제하십시오. 비활성 상태라도 오래된 플러그인은 위험을 더합니다. 업데이트 전에 변경 내역을 읽고 알려진 충돌이 있는지 확인하십시오. 하지만 주의하십시오. 자동 업데이트가 맞춤 코드를 망가뜨려 사이트를 다운시킬 수 있습니다. 주요 업데이트를 운영 환경에 자동으로 적용하지 말고, 유지 보수 시간을 정해 롤백 계획과 함께 적용하십시오.
관리자 패널은 금고처럼 잠그십시오
공격자는 무차별 대입 공격으로 관리자 패널에 침입하는 경우가 많습니다. 기본 /admin 또는 /wp-admin 경로를 바꾸고, 로그인 시도 횟수를 제한하며, 2단계 인증을 의무화하십시오. 비밀번호 관리자로 생성한 길고 고유한 비밀번호를 사용하고, 이메일이나 다른 서비스와 같은 비밀번호를 절대 재사용하지 마십시오.
관리자 접근은 IP 허용 목록으로 제한하고, 원격 근무자에게는 VPN을 사용하게 하십시오. WordPress에서는 XML-RPC와 불필요한 REST 엔드포인트를 비활성화하십시오. Wordfence, Sucuri 또는 서버 측 Imunify360 같은 도구는 무차별 대입 공격과 악성 요청을 차단합니다. 역할도 분리하십시오. 콘텐츠 편집자에게 전체 관리자 권한을 주어서는 안 됩니다.
사이트 유형에 맞게 백업 주기를 정하십시오
하나의 백업 일정이 모든 웹사이트에 맞지는 않습니다. 온라인 쇼핑몰, 회원 시스템, 예약 모듈은 데이터가 끊임없이 바뀌므로 최소한 매시간 데이터베이스 백업과 매일 전체 파일 백업을 하십시오. 정적인 회사 소개 사이트라면 주 1회 전체 백업으로도 충분한 경우가 많습니다.
거래가 많은 사이트에는 증분 백업을 사용하십시오. 전체 백업에 매번 몇 시간이 걸린다면 매일 증분 백업과 주 1회 전체 백업을 조합하는 것이 합리적입니다. 예산이 제한적이라면 가장 중요한 데이터(주문, 사용자, 콘텐츠)를 따로 내보내십시오. 다만 모든 사이트에 매시간 자동 전체 백업이 필요한 것은 아닙니다. 자원을 소모하고 비용을 늘립니다. 먼저 목표 복구 시간을 정하는 것부터 시작하십시오.
백업과 보안 탐지를 함께 운영하십시오
백업만으로는 보안이 되지 않습니다. 백업은 공격을 막지 못하고 복구 수단을 제공할 뿐입니다. 침해 후 깨끗한 백업으로 복원하는 것만으로는 부족합니다. 취약점을 찾아 막지 않으면 공격자는 같은 문으로 다시 들어옵니다. 백업에 파일 무결성 모니터링, 악성코드 검사, 로그 검토를 함께 적용하십시오.
Sucuri SiteCheck, Wordfence, ClamAV 또는 서버 측 스캐너를 정기적으로 실행하십시오. Git 기반 버전 관리를 사용하면 사고 전후의 파일 변경을 비교할 수 있습니다. 소규모 팀을 위한 실용적인 루틴은 자동 백업 + 주간 보안 보고서 + 월간 복원 훈련입니다. 그러면 사이트가 해킹되기 전에 대응할 수 있습니다.