1. 자동화된 봇 공격
가장 흔합니다.
인터넷에 공개된 IP와 포트를 무작위로 스캔하면서 SSH, RDP, 웹서버 등을 찾습니다.
22번 포트 SSH 스캔
흔한 계정(root, admin, ubuntu) 로그인 시도
유출된 아이디·비밀번호 조합 대입
취약한 웹 서비스 탐색
대부분 사람이 직접 공격하는 게 아니라 봇이 24시간 자동으로 돌면서 공격합니다.
2. Brute Force / Credential Stuffing
로그인 기능을 노리는 공격입니다.
Brute Force는 비밀번호를 무작위로 계속 대입하고,
Credential Stuffing은 다른 곳에서 유출된 아이디·비밀번호 조합을 가져와 시도합니다.
그래서 SSH 비밀번호 로그인이 열려 있으면 공격 로그가 계속 쌓이는 경우가 많습니다.
3. 취약점 스캐너
서버에서 어떤 서비스가 돌아가는지 확인한 다음 알려진 취약점을 자동으로 검사합니다.
예를 들어
IP → 열린 포트 확인 → 서비스/버전 확인 → 취약점 확인 → 공격 시도
이런 순서로 움직입니다.
4. 웹 애플리케이션 공격
웹서버가 있다면 특히 많이 들어옵니다.
SQL Injection
XSS
파일 업로드 취약점
경로 탐색(Path Traversal)
인증 우회
RCE(Remote Code Execution)
특히 WordPress, 오래된 패키지, 관리 페이지 등이 자주 노려집니다.
5. 공급망 공격
직접 서버를 공격하는 대신 서버에서 사용하는 패키지나 라이브러리를 노리는 방식입니다.
예를 들어 npm, PyPI 등의 패키지가 탈취되면 개발자가 정상적인 패키지라고 생각하고 설치하는 순간 악성 코드가 서버에 들어올 수 있습니다.
6. 서버 장악 후 행동
공격에 성공하면 바로 티가 나는 행동만 하는 것은 아닙니다.
보통은
침투 → 권한 상승 → 지속성 확보 → 내부 탐색 → 정보 탈취/악성코드 설치
같은 흐름으로 진행될 수 있습니다.
특히 서버를 장악한 뒤 암호화폐 채굴기, 프록시, 봇넷 에이전트 등을 몰래 설치하는 경우도 있습니다.
개인 서버에서 기억할 패턴
가장 현실적으로는 이것만 기억해도 됩니다.
인터넷 공개 → 자동 스캔 → 로그인 공격 → 취약점 탐색 → 침투 → 권한 상승 → 내부/외부 확산
그래서 하드닝도 이 흐름을 역으로 막는 방식입니다.
불필요한 포트 차단 → 인증 강화 → 서비스 최소화 → 취약점 패치 → 네트워크 접근 제한 → 로그/모니터링
그리고 중요한 건 공격 시도가 들어오는 것 자체는 이상한 일이 아니라는 것입니다. 인터넷에 서버를 하나 공개해두면 자동화된 스캐너가 상당히 빠르게 찾아옵니다. 중요한 건 "공격이 안 들어오게 만드는 것"보다 들어와도 뚫리지 않도록 여러 방어 레이어를 만드는 것입니다.
보통 서버 뚫리면 cpu 과잉, 모네로 채굴기 설치등으로 감지 할 수 있고, 그서버가 숙주가 되면서 다른 서버를 부르트포스로 감염시킵니다. 이게 기본적으로 기본 포트나 공개주소 쓰면 스캐너가 항상 돕니다. (깃허브도 마찬가지)
npm은 콘텐츠 자동화 수준 아니면 일반적으로는 해당사항이 없습니다. 현실적으로 할 수 있는건 위 기본 하드닝 + 트위터에 보안관련 채널들 팔로우하고 윈도우 관련 취약점이 자주 나오는데 CVE 뉴스글 뜨면 자기 인프라에 해당사항 있는지 확인하고 패치해달라고하면 됩니다.