[NAS 구축기 05] 시놀로지 기본 보안 설정, 귀찮아도 반드시 할 것들

작성자:

NAS를 처음 설치하고 나면 대부분 가장 먼저 하고 싶은 게 파일을 올려보는 것이다. 나도 그랬다. 하드 달고, DSM 설치하고, 드라이브 잡히는 거 확인하는 순간 뭔가 바로 써보고 싶어진다. 그런데 그 흥분을 잠깐 내려놓고 먼저 챙겨야 할 게 있다. 바로 시놀로지 기본 보안 설정이다. 귀찮다는 걸 알면서도 이 얘기를 꺼내는 이유는, 설정 안 하고 쓰다가 실제로 문제가 생기는 경우를 주변에서 봤기 때문이다. 시놀로지 DSM은 외부 접속이 가능한 구조로 운영되는 경우가 많아서, 아무 설정 없이 인터넷에 연결해두면 생각보다 빠르게 자동화된 공격 시도가 들어온다. 처음 한 번만 제대로 잡아두면 이후에는 거의 신경 쓸 일이 없다. 그게 이 글을 쓰는 이유다.

이 글은 NAS 구축기 시리즈 다섯 번째 글이다. 앞선 글에서 시놀로지 NAS 첫 설치 순서를 정리했는데, 설치가 끝났다면 이 보안 설정이 그다음 단계다. 순서를 바꾸지 않는 걸 권장한다.

기본 admin 계정, 그냥 두면 안 된다

시놀로지 DSM을 처음 설치하면 admin이라는 이름의 기본 관리자 계정이 자동으로 만들어진다. 문제는 이 계정 이름이 공개된 정보라는 것이다. 외부에서 NAS를 공격하는 자동화 프로그램들은 대부분 admin이라는 계정명을 먼저 시도한다. 계정 이름을 알고 있으면 비밀번호만 맞추면 되니까, 공격 난이도가 절반으로 줄어드는 셈이다.

해결 방법은 간단하다. 기본 admin 계정을 비활성화하고, 새로 만든 관리자 계정을 사용하는 것이다. DSM 제어판 → 사용자 및 그룹 → admin 계정 선택 → 편집에서 계정을 비활성화할 수 있다. 새 관리자 계정을 먼저 만들어두고 나서 admin을 비활성화해야 한다는 순서를 꼭 지켜야 한다. 순서를 반대로 하면 관리자 계정이 없어지는 상황이 생긴다.

새로 만들 계정 이름은 이메일 주소 앞부분, 실명, 생년월일 같은 것들은 피하는 게 좋다. 추측하기 어려운 조합이면 된다. 비밀번호는 길이가 중요하다. 복잡한 특수문자보다는 16자 이상의 무작위 조합이 현실적으로 더 안전하다. 외울 필요 없이 패스워드 매니저에 저장해두는 방식이 가장 편하고 안전하다.

2단계 인증, 선택이 아니라 기본값으로 생각하자

비밀번호가 아무리 복잡해도 유출될 수 있다. 피싱 메일, 다른 사이트에서 쓴 동일한 비밀번호, 브라우저 저장 정보 유출 등 경로는 다양하다. 비밀번호 하나만으로는 완전히 막기 어렵다는 걸 전제로 보안을 생각해야 한다.

그래서 필요한 게 2단계 인증(2FA)이다. 비밀번호를 맞게 입력해도 스마트폰 앱에서 생성된 일회용 코드를 추가로 입력해야 로그인이 완료되는 방식이다. 시놀로지는 자체 앱인 Secure SignIn을 제공하고, Google Authenticator나 Authy 같은 범용 OTP 앱도 사용할 수 있다.

설정 위치는 DSM 우측 상단 프로필 아이콘 → 개인 설정 → 2단계 인증이다. 처음 설정할 때 QR 코드를 스캔하고 앱을 연결하는 과정이 다소 번거롭게 느껴질 수 있는데, 실제로 해보면 5분이 채 안 걸린다. 이 5분이 이후 수개월의 보안 기반이 된다고 생각하면 충분히 할 만한 작업이다.

관리자 계정에는 반드시 적용하고, 가족이나 외부 사용자 계정도 중요한 데이터에 접근할 수 있다면 동일하게 적용하는 편이 낫다. 한 가지 주의할 점은, 2단계 인증 설정 후 백업 코드를 반드시 안전한 곳에 저장해둬야 한다는 것이다. 스마트폰을 분실하거나 앱을 초기화하면 자신도 접속이 안 되는 상황이 생길 수 있다.

자동 차단 설정, 반복 공격을 걸러내는 가장 쉬운 방법

외부에서 NAS를 공격하는 방식 중 가장 흔한 것이 무차별 대입 공격(Brute Force Attack)이다. 사람이 직접 입력하는 게 아니라 자동화 프로그램이 수천, 수만 번씩 비밀번호를 대입해보는 방식이다. 비밀번호가 복잡해도 시간이 충분히 주어지면 언젠가 맞출 수 있다는 논리다.

이걸 막는 방법이 자동 차단 기능이다. 일정 횟수 이상 로그인에 실패하면 해당 IP 주소를 자동으로 차단해버리는 것이다. DSM 제어판 → 보안 → 계정 탭에서 설정할 수 있다.

  • 로그인 실패 허용 횟수: 5회 이하로 설정
  • 실패 횟수 집계 기간: 수 분 이내
  • 차단 유지 시간: 최소 몇 시간 이상, 가능하면 더 길게

한 가지 함정이 있다. 이 설정을 켜두면 자신이 비밀번호를 여러 번 틀렸을 때 자신의 IP가 차단될 수 있다. 이를 방지하려면 허용 목록에 자신의 집 IP나 자주 사용하는 VPN 대역을 미리 등록해두는 것이 좋다. 자신의 외부 IP는 포털에서 ‘내 IP 주소 확인’으로 쉽게 확인할 수 있다. 단, 집 인터넷 IP는 유동 IP인 경우가 많아서 주기적으로 바뀔 수 있다는 점도 알아두자.

HTTPS 설정, 통신 자체를 암호화한다

NAS에 접속할 때 사용하는 통신이 암호화되지 않으면 같은 네트워크에 있는 누군가가 데이터를 가로채는 것이 기술적으로 가능하다. 카페 와이파이에서 NAS에 접속한다고 생각해보면 감이 온다. HTTPS는 이 통신 자체를 암호화해서 중간에서 내용을 볼 수 없게 만드는 방식이다.

시놀로지는 Let’s Encrypt라는 무료 SSL 인증서 발급 서비스를 공식 지원한다. 자신만의 도메인이 있다면 별도 비용 없이 HTTPS를 적용할 수 있다. DSM 제어판 → 보안 → 인증서 탭에서 Let’s Encrypt 인증서를 발급받고, 같은 메뉴의 연결 탭에서 HTTP 연결을 HTTPS로 자동 리디렉션하도록 설정하면 된다.

도메인이 없고 QuickConnect만 사용하는 경우에도 내부적으로 SSL 통신이 적용되기는 한다. 다만 자체 도메인으로 직접 접속하는 환경이라면 인증서 관리를 직접 챙기는 편이 더 안전하다. Let’s Encrypt 인증서는 90일마다 갱신이 필요한데, DSM에서 자동 갱신을 켜두면 별도로 신경 쓸 필요가 없다.

계정 권한 분리, 사고가 났을 때 피해 범위를 줄인다

보안 사고가 발생했을 때 피해를 최소화하는 가장 현실적인 방법은 계정별 권한을 명확히 나눠두는 것이다. 관리자 계정 하나로 모든 작업을 처리하면 편하지만, 그 계정이 탈취되면 NAS 전체가 위험에 노출된다.

실제로 운영할 때는 이렇게 나누는 게 현실적이다.

  • 일상적인 파일 업로드·다운로드: 일반 사용자 계정 사용
  • 시스템 설정 변경, 패키지 설치 등: 관리자 계정으로만 접근
  • 가족 구성원: 각자 별도 계정 생성, 필요한 폴더만 접근 가능하게 설정

공유 폴더 단위로 읽기 전용과 읽기·쓰기 권한을 구분하는 것만으로도 데이터 보호 수준이 눈에 띄게 달라진다. 예를 들어 가족 사진 폴더는 전체가 읽기 가능하지만 쓰기는 특정 계정만 가능하게 설정하면, 실수로 파일을 지우거나 덮어쓰는 상황도 방지할 수 있다. 귀찮아 보이지만 한 번 잡아두면 이후에 건드릴 일이 거의 없다.

방화벽과 알림 설정, 마지막 점검 항목

위의 설정들을 모두 마쳤다면 방화벽과 알림 설정을 마지막으로 점검한다. 이 두 가지는 보안의 ‘마무리 레이어’ 역할을 한다.

방화벽은 DSM 제어판 → 보안 → 방화벽에서 설정할 수 있다. 특정 국가나 IP 대역의 접근 자체를 차단할 수 있어서, 실제로 접속할 일이 없는 지역에서 오는 트래픽을 원천 차단하는 데 효과적이다. 규칙을 잘못 설정하면 자신의 접속도 막힐 수 있으니, 처음에는 허용 규칙을 먼저 추가하고 나머지를 차단하는 순서로 설정하는 것이 안전하다.

알림 설정은 DSM 제어판 → 알림에서 이메일이나 앱 푸시 알림을 활성화할 수 있다. 로그인 실패가 반복되거나 IP가 차단될 때, 디스크 상태에 이상이 생길 때 즉시 알림이 오도록 설정해두면 문제가 생겼을 때 빠르게 대응할 수 있다. 알림이 너무 잦으면 무감각해지니까, 처음에는 중요한 이벤트 위주로 골라서 켜두는 게 현실적이다.

한 번에 다 하기 어려우면 이 순서로

설정이 많아 보여서 막막하게 느껴질 수 있는데, 우선순위를 정해서 하나씩 하면 된다. 아래 순서대로 하면 가장 중요한 것부터 챙길 수 있다.

  1. 기본 admin 계정 비활성화 + 새 관리자 계정 생성
  2. 새 계정에 2단계 인증 적용
  3. 자동 차단 기능 활성화
  4. HTTPS 설정 (도메인이 있는 경우)
  5. 가족/외부 계정 권한 분리
  6. 방화벽 기본 규칙 설정
  7. 이메일 또는 앱 알림 활성화

1번부터 3번까지만 해도 기본적인 보안 수준은 크게 달라진다. 나머지는 시간이 날 때 순서대로 추가하면 된다. 완벽하게 다 하고 나서 쓰겠다는 생각보다는, 중요한 것부터 하나씩 적용하면서 사용하는 게 현실적이다.

보안 설정 후에도 놓치기 쉬운 것들

설정을 다 마쳤다고 해서 완전히 끝난 건 아니다. 몇 가지 습관도 함께 가져가는 게 좋다.

  • DSM 업데이트를 미루지 않는다. 보안 패치가 포함된 업데이트가 자주 나오는데, 미루다 보면 알려진 취약점을 그냥 열어두는 것과 같다.
  • 패키지도 최신 버전을 유지한다. Synology Photos, Drive 같은 패키지도 개별적으로 업데이트가 필요하다.
  • 사용하지 않는 서비스는 꺼둔다. 텔넷, SSH가 필요 없다면 비활성화해두는 게 낫다. 열려 있는 문이 많을수록 공격 표면이 넓어진다.
  • 로그를 가끔 확인한다. DSM 제어판 → 로그 센터에서 접속 기록을 볼 수 있다. 이상한 IP에서 접속 시도가 반복된다면 방화벽 규칙을 추가로 검토할 필요가 있다.

보안은 한 번 설정하고 끝내는 것이 아니라 가끔씩 확인하는 습관이 함께해야 의미가 있다. 그렇다고 매일 들여다볼 필요는 없다. 한 달에 한 번 로그 확인하고, 업데이트 알림 왔을 때 바로 적용하는 정도면 충분하다.

외부 접속을 설정했는데 잘 안 된다면 보안 설정보다 네트워크 구성이 문제인 경우도 많다. NAS 외부 접속이 안 될 때 흔한 실수 5가지를 함께 확인해보면 원인을 찾는 데 도움이 된다.

보안 설정이 어느 정도 갖춰졌다면 이제 NAS를 실제로 활용하는 단계로 넘어갈 준비가 된 것이다. 다음 글에서는 파일 정리와 공유, 백업 효율을 실질적으로 높이는 운영 방법을 구체적으로 다룬다.

같이 보면 좋은 글

시리즈 글 모아보기

댓글 남기기