개발자의 일상

1. 목적/배경
   1. 서비스를 운영하다보면 봇 등의 공격이 있을 수 있습니다.
   2. 특정 IP를 차단해도 IP를 변경해가면서 공격이 들어옵니다. 이때 효과적인 차단 방법 중 하나입니다.
2. 제한 사항
   1. AWS의 CloudFront를 사용해야합니다.
   2. CloudFront에서 헤더 추가를 활성화해서 nginx에서 JA3헤더를 얻을 수 있어야합니다.(참고 링크)
3. 참고
   1. 서버에서 tcpdump -s 0 -A 'tcp dst port 80' 등으로 인입되는 헤더의 CloudFront-Viewer-JA3-Fingerprint 를 분석
      1. AWS JA3헤더 관련 참고 링크
         1. 상세 셋팅 방법은 하단 참고
      2. ja3 fingerprint란? 링크
4. nginx 설정 방법
   1. 확인된 나쁜 JA3 Fingerprint값을 아래 nginx 설정에 추가해서 1(true)로 설정 -> 403리턴

map $http_cloudfront_viewer_ja3_fingerprint $block_fingerprint {
        default 0;
        "차단할 CloudFront-Viewer-JA3-Fingerprint값" 1;
        "차단할 CloudFront-Viewer-JA3-Fingerprint값" 1;
}

server
{
        if ($block_fingerprint) {
           return 403;
        }

        .......

}

 
추가로, API 요청이었고 rate limit 처리해서 429 리턴 json으로 처리해야하는 경우 아래처럼 작업 가능

error_page 429 /429.json;
location /429.json {
    add_header 'Content-Type' 'application/json charset=UTF-8';
    return 429 '{"success":false, "errorCd":"RATE_LIMITED","msg":"Too Many Requests(rate limit nginx)"}';
}

참고- AWS Cloud Front 헤더 셋팅 방법

1. CloudFront -> Distributions -> 대상 CloudFront -> Edit behavior
   1.  

2. Custom policies 생성

자주 잊어버려서 메모

nginx location 기본 문법
 - https://lahuman.github.io/nginx_location_options/
-----

# 정확하게 일치 
location = / {
    [ configuration A ]
}

# 지정한 패턴으로 시작
location / {
    [ configuration B ]
}

# 지정한 패턴으로 시작
location /documents/ {
    [ configuration C ]
}

# 지정한 패턴으로 시작 패턴이 일치 하면 다른 패턴 탐색 중지( 정규식 아님 )
location ^~ /images/ {
    [ configuration D ]
}

# 정규식 표현 일치 - 대소문자 구분
location ~ \.(gif|jpg|jpeg)$ {
    [ configuration E ]
}

# 정규식 표현 일치 - 대소문자 구분 안함
location ~* \.(gif|jpg|jpeg)$ {
    [ configuration F ]
}

nginx 설정시 이정도는 알아야함

 - https://www.nginx.com/blog/avoiding-top-10-nginx-configuration-mistakes/

 - 참고링크: https://news.hada.io/topic?id=6041

1. 워커당 File Descriptor가 충분하지 않음
2. error_log off 는 없음
   access_log 는 off가 되지만, error_log는 off가 되지 않음. 이러면 off 이름을 가진 에러 로그 파일이 생성
3. 업스트림 서버 연결에는 Keepalive를 활성화할 것
4. 지시문 상속이 동작하는 방식 제대로 알기
5. proxy_buffering off 사용 금지
6. if 지시문의 잘못된 사용
7. 과도한 헬스 체크 금지
8. Metric 접근에 보안 설정하기
9. 모든 트래픽이 같은 /24 CIDR 블록에서 오는 경우에는 ip_hash 대신 hash $binary_remote_addr consistent 사용
10. 업스트림 그룹의 장점 활용하기

1. 목적 : 서버가 어떤 웹서버를 사용하는지 감춰서 해킹을 시도하는 유저에게 정보 제공을 줄임

2. 방법

 -  proxy_pass_header Server; 를 추가

* 응답 헤더 server: nginx 가 없어짐

• 7.3버전 http://ftp.daumkakao.com/centos/7.3.1611/isos/x86_64/
• 7.7버전:  http://mirror.kakao.com/centos/7.7.1908/isos/x86_64/

1. 재 부팅시 네트웤 자동 시작하도록 설정
• nmcli d 명령어로 랜카드ID 확인
• vi /etc/sysconfig/network-scripts/ifcfg-위명령어에서 확인된 랜카드ID  후에 마지막라인 ONBOOT의 값을 yes로 변경해 줌
  
  
2. 네트웤 재 시작
• systemctl restart network
  
  
3. ssh서버 설치 : 필요시

4. 추가 설치 및 튜닝

CentOS 7 기준

시간동기화처리

# ntpd

systemctl enable ntpd.service

systemctl start ntpd.service