admin을 지금 당장 숨겨야 하는 이유

공격자가 어떻게든 URL을 알아내고 IP 제한도 우회했다면, 이제 브루트 포스 공격을 막아야 합니다.

🤔 WHY: 왜 시도 횟수를 제한해야 할까?

브루트 포스 공격은 'admin' 같은 흔한 계정 ID에 대해 수천, 수만 개의 비밀번호를 자동으로 대입합니다. django-axes 같은 패키지는 "짧은 시간 내에 5회 이상 로그인 실패 시, 해당 IP 또는 계정을 일정 시간 동안 잠금"과 같은 규칙을 만듭니다.

이는 자동화된 스크립트를 거의 무용지물로 만듭니다.

HOW: django-axes 사용하기

django-axes는 이 작업을 위한 가장 표준적인 패키지입니다.

1. 설치: pip install django-axes

2. settings.py 등록:

INSTALLED_APPS = [
    # ...
    'axes', # 다른 앱들보다 위에 두는 것을 권장
    # ...
    'django.contrib.admin',
]

AUTHENTICATION_BACKENDS = [
    # AxesBackend는 맨 앞에 위치해야 합니다.
    'axes.backends.AxesBackend',
    # 기본 Django 인증 백엔드
    'django.contrib.auth.backends.ModelBackend',
]

# 5회 실패 시 10분간 잠금 (기본값)
AXES_FAILURE_LIMIT = 5
AXES_COOLOFF_TIME = 0.166 # 0.166 * 60 = 약 10분

1. 마이그레이션: python manage.py migrate

이제 누군가 로그인 시도를 5회 연속 실패하면, axes가 해당 시도를 기록하고 정해진 시간 동안 해당 IP/계정의 로그인을 차단합니다.

4. 이중 잠금: 2단계 인증 (2FA)

비밀번호가 뚫렸을 때를 대비한 최후의 보루입니다.

🤔 WHY: 왜 2FA가 필요한가?

관리자 계정의 비밀번호가 유출되거나, 너무 쉬운 비밀번호를 사용했을 수 있습니다. 2단계 인증(Two-Factor Authentication)은 "내가 아는 것(비밀번호)"과 "내가 가진 것(스마트폰 OTP)"을 모두 요구합니다.

해커가 비밀번호를 훔쳐도, 관리자의 스마트폰 없이는 절대 로그인할 수 없습니다.

HOW: django-otp 사용하기

django-otp는 Django에 2FA를 통합하는 핵심 패키지입니다.

1. 설치: pip install django-otp

2. settings.py 등록:

INSTALLED_APPS = [
    # ...
    'django_otp',
    'django_otp.plugins.otp_totp', # Google Authenticator 등 지원
    # ...
]

MIDDLEWARE = [
    # ...
    'django_otp.middleware.OTPMiddleware', # SessionMiddleware 다음에
    # ...
]

django-otp는 기본 골격이며, 이를 어드민에 쉽게 통합해주는 django-two-factor-auth 같은 패키지를 함께 사용하면 사용자가 직접 QR코드를 스캔하고 등록하는 전체 프로세스를 손쉽게 구현할 수 있습니다.

5. 함정 설치: 허니팟(Honeypot)과 Fail2Ban 연동

가장 적극적인 방어책입니다. 공격자의 /admin 스캔 시도를 역으로 이용해 서버에서 영구 추방합니다.

🤔 WHY: 왜 함정을 파야 할까?

어차피 공격자들은 /admin을 계속 스캔할 것입니다. 그렇다면 이 경로를 가짜 함정(Honeypot) 으로 만들어서, 여기에 한 번이라도 접근을 시도하는 IP는 무조건 악의적인 것으로 간주하고 즉시 차단해버리는 것입니다.

HOW: 가짜 Admin + Fail2Ban

이 방법은 다소 복잡하지만 매우 효과적입니다.

1. 가짜 Admin 뷰 생성: 실제 관리자 URL은 1번처럼 my-secret-admin-portal-b7x9z/로 숨깁니다. 그리고 버려진 /admin/ 경로에 가짜 뷰를 연결합니다.

# urls.py
from django.urls import path
from . import views # 가짜 뷰 import

urlpatterns = [
    path('my-secret-admin-portal-b7x9z/', admin.site.urls), # 진짜
    path('admin/', views.admin_honeypot), # 가짜 (함정)
]

# views.py
import logging
from django.http import HttpResponseForbidden

# honeypot 전용 로거 설정 (settings.py에 'honeypot' 로거 정의 필요)
honeypot_logger = logging.getLogger('honeypot')

def admin_honeypot(request):
    # 접근 시도자의 IP를 'honeypot' 로그에 기록
    ip = request.META.get('REMOTE_ADDR')
    honeypot_logger.warning(f"HONEYPOT: Admin access attempt from {ip}")

    # 공격자에게는 그냥 403 오류를 보여줌
    return HttpResponseForbidden()

1. Fail2Ban 설정: Fail2Ban은 서버 로그 파일을 실시간으로 감시하다가 특정 패턴(예: "HONEYPOT: ...")이 감지되면, 해당 로그를 생성한 IP를 iptables(리눅스 방화벽)에 추가하여 차단하는 도구입니다.

   • Django가 honeypot.log 파일에 로그를 남기도록 설정합니다.

   • Fail2Ban이 honeypot.log를 감시하도록 설정합니다.

   • 누군가 /admin/에 접근하면 views.py가 로그를 남기고, Fail2Ban이 이를 감지하여 해당 IP의 모든 접속(SSH, HTTP 등)을 즉시 차단합니다.

요약

Django 관리자 페이지 보안은 여러 겹의 방어막을 치는 것이 핵심입니다.

• (필수) 1. URL 변경: 지금 당장 5분 투자해서 하세요.

• (권장) 2. IP 제한: 고정 IP가 있다면 가장 강력합니다.

• (권장) 3. django-axes: 브루트 포스 공격을 막습니다.

• (강력 권장) 4. 2FA: 관리자 계정 탈취를 원천 차단합니다.

• (고급) 5. 허니팟: 공격적인 방어로 서버 전체를 보호합니다.

/admin을 그대로 방치하는 것은 보안에 대한 태만입니다. 지금 바로 여러분의 urls.py를 확인해 보세요.