[Infra Ops] 계정 권한 관리, 보안 헤더, TLS 강화 실무

# root 직접 SSH 로그인 차단 (/etc/ssh/sshd_config)
grep "PermitRootLogin" /etc/ssh/sshd_config
# 변경: PermitRootLogin no
sudo sed -i 's/#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
sudo systemctl reload sshd

# 활성 계정 목록 확인
awk -F: '$3 >= 1000 {print $1, $3, $7}' /etc/passwd
# UID 1000 이상 = 일반 사용자 계정

# 불필요 계정 잠금 (삭제보다 잠금 권장 — 파일 소유자 관계 유지)
sudo usermod -L testuser        # 계정 잠금
sudo passwd -S testuser         # 상태 확인 (L = Locked)

# 로그인 시도 실패 기록 확인
sudo last -F | grep "failed"
sudo lastb | head -20           # 로그인 실패 기록

# /etc/nginx/conf.d/app.conf

server {
    listen 80;
    server_name example.com;

    # 관리자 경로 — 내부 IP만 허용
    location /admin {
        allow 10.0.0.0/8;      # 내부 사설 IP 대역
        allow 192.168.0.0/16;  # 사무실 IP 대역
        deny all;              # 나머지 전부 차단
    }

    # Spring Boot Actuator — 내부만 허용 (민감 정보 노출 방지)
    location /actuator {
        allow 127.0.0.1;
        allow 10.0.0.0/8;
        deny all;
    }

    # 숨김 파일/디렉터리 접근 차단 (.git, .env 등)
    location ~ /\. {
        deny all;
        return 404;
    }

    # 특정 파일 확장자 차단
    location ~* \.(sql|bak|log|conf|env)$ {
        deny all;
        return 404;
    }

    # 일반 요청
    location / {
        proxy_pass http://localhost:8080;
    }
}

# /etc/nginx/conf.d/security-headers.conf
# 또는 server 블록 내부에 추가

# Clickjacking 방지 — iframe에서 이 페이지를 로드 차단
add_header X-Frame-Options "SAMEORIGIN" always;

# MIME 스니핑 방지 — 브라우저가 Content-Type을 변경하지 못하게 함
add_header X-Content-Type-Options "nosniff" always;

# 구형 브라우저용 XSS 필터 (최신 브라우저는 CSP로 대체)
add_header X-XSS-Protection "1; mode=block" always;

# HSTS — HTTPS 연결 강제 (1년)
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# Content Security Policy — 리소스 출처 제한
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'" always;

# Referrer Policy — 외부 링크 클릭 시 Referer 헤더 제어
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Permissions Policy — 브라우저 기능 접근 제한 (카메라, 마이크 등)
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

# 보안 헤더 적용 확인
curl -I https://example.com \
  | grep -E "X-Frame|X-Content|Strict|Content-Security|Referrer"

# 특정 출처만 허용하는 CORS 설정
map $http_origin $cors_origin {
    default "";
    "https://www.example.com"     $http_origin;
    "https://app.example.com"     $http_origin;
    "https://admin.example.com"   $http_origin;
}

server {
    location /api/ {
        if ($cors_origin) {
            add_header "Access-Control-Allow-Origin" $cors_origin always;
            add_header "Access-Control-Allow-Methods" "GET, POST, PUT, DELETE, OPTIONS" always;
            add_header "Access-Control-Allow-Headers" "Authorization, Content-Type" always;
            add_header "Access-Control-Allow-Credentials" "true" always;
        }

        # Preflight 요청 처리
        if ($request_method = "OPTIONS") {
            add_header "Access-Control-Max-Age" 1728000;
            add_header "Content-Length" 0;
            return 204;
        }

        proxy_pass http://localhost:8080;
    }
}

# Nginx에서 Proxy를 통해 쿠키에 보안 속성 추가
# (애플리케이션이 Set-Cookie를 발급할 때 속성이 없으면 Nginx에서 추가)
proxy_cookie_flags ~ secure httponly samesite=strict;

# application.yml
server:
  servlet:
    session:
      cookie:
        secure: true       # HTTPS에서만 전송
        http-only: true    # JavaScript에서 접근 불가 (XSS 방어)
        same-site: strict  # 외부 사이트 요청에 쿠키 미포함 (CSRF 방어)

# /etc/nginx/conf.d/ssl.conf (또는 server 블록 내)

# TLS 버전 — 1.2와 1.3만 허용 (1.0, 1.1 제거)
ssl_protocols TLSv1.2 TLSv1.3;

# 강화된 Cipher Suite (ECDHE 기반, 순방향 암호화)
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384';

# 서버가 cipher 선택권을 가짐 (클라이언트가 약한 것 선택하지 못하도록)
ssl_prefer_server_ciphers on;

# ECDH 파라미터 최적화
ssl_ecdh_curve secp384r1;

# OCSP Stapling (인증서 유효성 검증 빠르게)
ssl_stapling on;
ssl_stapling_verify on;

# DH 파라미터 (Diffie-Hellman 키 교환)
ssl_dhparam /etc/nginx/ssl/dhparam.pem;

# DH 파라미터 생성 (최초 한 번만)
openssl dhparam -out /etc/nginx/ssl/dhparam.pem 2048

# 설정 적용 후 TLS 버전 확인
openssl s_client -connect example.com:443 -tls1   2>&1 | grep "handshake failure"
# TLS 1.0이 비활성화됐으면 handshake failure 출력됨

openssl s_client -connect example.com:443 -tls1_2 2>&1 | grep "Cipher"
# TLS 1.2는 정상 접속됨