신규 Linux 서버 초기 보안 설정 — 처음 10분 체크리스트

# 신규 서버의 실제 로그인 시도 확인
sudo journalctl -u ssh --since "1 hour ago" | grep "Failed password" | wc -l

sudo apt update && sudo apt upgrade -y

# 불필요한 패키지 정리
sudo apt autoremove -y && sudo apt autoclean

# 재부팅이 필요한지 확인
cat /var/run/reboot-required 2>/dev/null && echo "재부팅 필요" || echo "재부팅 불필요"

# 필요하면 재부팅
sudo reboot

# 새 사용자 생성
sudo adduser deploy

# sudo 권한 부여
sudo usermod -aG sudo deploy

# 전환 후 sudo 동작 확인
su - deploy
sudo whoami   # root 출력되어야 함

# 내 로컬 PC에서 실행
ssh-keygen -t ed25519 -C "my-server"
# 저장 경로: ~/.ssh/id_ed25519 (기본값 엔터)
# 패스프레이즈: 설정 권장

# 공개키 확인
cat ~/.ssh/id_ed25519.pub

# 방법 1: ssh-copy-id (가장 간편)
ssh-copy-id -i ~/.ssh/id_ed25519.pub deploy@서버IP

# 방법 2: 수동 등록 (서버에서)
mkdir -p ~/.ssh && chmod 700 ~/.ssh
echo "공개키_내용을_여기에_붙여넣기" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

# 새 터미널에서 키로 접속 테스트 (비밀번호 없이 접속되어야 함)
ssh -i ~/.ssh/id_ed25519 deploy@서버IP

sudo nano /etc/ssh/sshd_config

# root 직접 로그인 차단
PermitRootLogin no

# 비밀번호 인증 비활성화 (키 접속 확인 후!)
PasswordAuthentication no

# 빈 패스워드 허용 금지
PermitEmptyPasswords no

# 인증 시도 횟수 제한
MaxAuthTries 3

# 로그인 대기 시간 제한 (30초)
LoginGraceTime 30

# 사용할 사용자 명시 (선택 사항)
AllowUsers deploy

# 설정 문법 검사
sudo sshd -t

# 문제 없으면 적용
sudo systemctl reload ssh

# 현재 세션 유지한 채 새 터미널로 접속 테스트
ssh deploy@서버IP

# UFW 설치 확인
sudo apt install -y ufw

# 기본 정책: 들어오는 연결 차단, 나가는 연결 허용
sudo ufw default deny incoming
sudo ufw default allow outgoing

# SSH 허용 (현재 접속 끊기지 않도록 먼저!)
sudo ufw allow ssh          # 22번 포트

# 웹서버 운영 시 추가
sudo ufw allow http         # 80
sudo ufw allow https        # 443

# UFW 활성화
sudo ufw enable             # y 입력

# 상태 확인
sudo ufw status verbose

sudo apt install -y fail2ban

# 로컬 설정 파일 생성 (원본을 직접 수정하지 않음)
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local

[DEFAULT]
# 10분 내 5번 실패 시 1시간 차단
findtime  = 600
maxretry  = 5
bantime   = 3600

[sshd]
enabled = true
port    = ssh

sudo systemctl enable --now fail2ban

# 차단 현황 확인
sudo fail2ban-client status sshd

# 특정 IP 차단 해제
sudo fail2ban-client set sshd unbanip 1.2.3.4

sudo apt install -y unattended-upgrades

# 설정 확인 및 활성화
sudo dpkg-reconfigure -plow unattended-upgrades

# 설정 파일 확인
cat /etc/apt/apt.conf.d/20auto-upgrades

# /etc/apt/apt.conf.d/20auto-upgrades
APT::Periodic::Update-Package-Lists "1";      # 매일 목록 갱신
APT::Periodic::Unattended-Upgrade "1";        # 매일 보안 업데이트 설치
APT::Periodic::AutocleanInterval "7";         # 7일마다 캐시 정리

# SSH 키 인증만 허용되는지 확인
sudo sshd -T | grep -E "permitrootlogin|passwordauthentication|maxauthtries"

# 방화벽 상태
sudo ufw status verbose

# fail2ban 동작 여부
sudo systemctl is-active fail2ban

# 자동 업데이트 활성화 여부
cat /etc/apt/apt.conf.d/20auto-upgrades

# 최근 로그인 기록
last | head -10