InfraGuard

1. 개요

2. 등장 배경

• 인프라 운영팀: 예전에는 서버, 스토리지, 백업을 따로 봤다. → 이제는 한 콘솔에서 부하와 메모리, RAID 물리 디스크 지도, 랙 배치도, 백업 일정과 실행 결과까지 확인한다.
• 보안팀: 경보는 쌓이는데 막는 일은 사람 손이었다. → 탐지되면 평판을 조회하고 차단이 방화벽까지 자동으로 이어지며, 이미 막힌 위협은 배지로 구분된다. 서버마다 A–F 보안 등급이 매겨져 전담팀이 없어도 보안 상태가 보인다.
• 개발팀: 장애를 고객 문의로 먼저 알았다. → 웹 가동 상태와 TLS 인증서 만료를 카드로 먼저 보고, 애플리케이션 예외는 API로 들어와 문제 해결 사례로 남는다.
• IT 책임자: 판단의 기준이 흩어져 있었다. → 가용성과 보안 두 점수, 그리고 KPI가 한 화면에 모인다.

3. 3대 가치

4. 주요 수치

5. 특징

5.1. 설치형(self-hosted)과 데이터 주권

5.2. Docker 한 줄 배포

git clone <infraguard> && cd infraguard
cp .env.docker .env
docker compose up -d
  ✓ infr-redis      healthy
  ✓ infr-app        started
  ✓ infr-nginx      started
  ✓ infr-queue      started
  ✓ infr-scheduler  started
  ✓ infr-reverb     started

InfraGuard is ready → http://localhost:8788

5.3. 에이전트리스 지향 수집 구조

5.4. 역할 우선 정보 구조

• Overview – 가용성과 보안을 합친 통합 헬스 랜딩
• Infrastructure – 서버·스토리지·트래픽·경보 등 가용성 관제
• Service – 운영 중인 서비스(웹·DB·세션 등)의 라이브 관제와 인시던트 관리
• Security – 위협·탐지·차단으로 이어지는 방어 서사
• Backup & Recovery – 백업 스케줄, 스크립트 빌더, 보관소, 복구
• Assets – 인스턴스·하드웨어·스토리지·인벤토리 자산 대장
• Administration – 사용자, 수집기, 정책, 외부 연동(관리자 전용)

5.5. 실시간 갱신

5.6. 테마와 다국어

6. 기능 상세

6.1. Overview (통합 관제 랜딩)

• 융합 합성 스코어 2개: 비보안 수집 정보 전체를 가중 합성한 가용성 게이지와 최근 24시간 탐지 근거를 가중 합성한 보안 게이지를 나란히 배치한다.
• KPI 카드: 서버 수, 부하 피크, 메모리 피크, 네트워크 피크, 위협, 백업, 그리고 데이터가 있을 경우 웹 서비스와 데이터베이스까지 최대 8개.
• 탐지 도넛(24h): IDS 경보 / AI 이상탐지 / 웹 공격 / 스캔·차단의 4분류.
• 서비스 성능 패널: 웹·DB 중 개별 서비스 하나를 골라 게이지로 표시.
• 풀폭 서버 스트립: Load·Memory·Network·Storage 시계열. 6시간·24시간·3일 시간창, 화면 분할, 높이 조절, 선형/로그 스케일 전환을 지원한다.

6.2. Infrastructure (가용성 관제)

6.2.1. Health (인프라 헬스 보드)

6.2.2. Servers (부하 시계열)

6.2.3. Storage & RAID

6.2.4. Connectivity & Traffic

• 포트 연결(PORT OVERVIEW): 운영 정책에 등록한 감시 포트(80, 443, 22, 3306 등)마다 카드를 띄우고, 서버별로 TCP 세션을 ESTABLISHED·LISTEN·SYN_RECV·TIME_WAIT 등 상태별 100% 스택바로 쪼개 보여준다. 고유 소스 IP 수와 상위 3개 소스 IP도 표시해 SYN 플러드나 연결 누수를 빠르게 파악할 수 있다.
• IP 연결: 서버를 축으로 붙어 있는 원격 IP들을 연결 강도순으로 나열한다. IP를 클릭하면 접속 분포, 연결 이력, 지역/ASN/ISP 정보, 외부 평판 링크, 차단 딥링크가 담긴 조사 팝업이 열린다.
• 트래픽: 서버별 인바운드·아웃바운드 바이트·패킷 처리량을 1h/6h/24h 시계열로 보여준다. 야간 백업 전송, 대용량 다운로드, DDoS 유입 같은 대역폭 급증을 확인하는 데 쓴다.

6.2.5. Alerts (경보 정책)

6.3. Service (서비스 관제)

6.3.1. 서비스 개요 (큐레이션 라이브 보드)

6.3.2. Web (웹 서비스 관제)

• 수동(passive) 신호: nginx-vts 모듈 카운터로 RPS, 대역폭, 에러율, 평균 응답시간, 캐시 적중률을 계산한다.
• 능동(active) 합성 프로브: 매분 각 사이트 URL에 직접 HTTP 요청을 보내 실제 도달성을 판정한다. 트래픽이 전혀 없는 상태의 다운, 리다이렉트 뒤에 숨은 5xx 등도 잡아낸다.

6.3.3. Database (DB 부하 분석)

6.3.4. Sessions (Redis)

6.3.5. 서비스 카탈로그

6.3.6. 프로젝트

6.3.7. 문제 해결 (인시던트 케이스)

6.4. Security (보안)

6.4.1. 보안 개요 (방어 퍼널)

6.4.2. Threats (IDS 위협 트리아지)

6.4.3. Detections (탐지 · AI · JA3)

• Kitsune – 네트워크 트래픽 기반 머신러닝 이상탐지
• srct 휴리스틱 – 스캔·요청률 기반 휴리스틱 탐지
• nginx 의심 요청 – 웹 요청 패턴 기반 탐지
• JA3 – TLS 클라이언트 지문 분석

6.4.4. 탐지 룰셋 라이브러리

6.4.5. Firewall (공격 표면 지도)

6.4.6. Blocklist & Reputation (차단 관리)

6.4.7. Whitelist (차단 면책)

6.4.8. IP 평판 조회

6.4.9. 자동 차단 파이프라인

• ① 수집기 자동 차단: 각 호스트의 수집기가 Suricata L7 경보와 Kitsune ML 판정을 근거로 /24 대역을 차단 목록에 올린다.
• ② 스케줄러 자동 차단: InfraGuard 앱이 주기적으로 IDS 심각도 트리거(창 내 치명 경보 건수)와 JA3 로테이션 트리거(서로 다른 JA3 지문 수)를 평가해 개별 IP 또는 대역을 차단한다. 기본값은 꺼져 있으며 관리자가 켜야 동작한다.

6.4.10. 보안 진단 (A–F 등급)

6.4.11. 보안 문제 해결

6.5. Backup & Recovery (백업·복구)

6.5.1. 백업 스크립트 빌더

6.5.2. 백업 스크립트 / 스케줄 보드

6.5.3. 보관소 (Vaults)

6.5.4. 복구 & 검증

6.6. Assets (자산 관리)

6.6.1. 인스턴스 (OS 인스턴스 CMDB)

• [ssh] 브라우저 SSH 터미널: 별도 클라이언트 없이 콘솔에서 접속하는 진짜 PTY 터미널로, top·vi·less·sudo·htop 같은 대화형 프로그램이 그대로 동작한다. 개인키는 암호화 보관되고 접속 시에만 전달된다.
• [ver] 버전 원장: PHP·Node·nginx·MySQL·Docker·Jenkins 등 49종의 소프트웨어 버전을 기록하고 최신/구버전/지원종료(EOL)/취약/미상 상태로 표시해 패치 우선순위를 판단한다.
• [env] 인스턴스 변수: 인스턴스별 DB 접속 정보, 로그 경로 등을 암호화 저장하며, 스크립트의 `{{PLACEHOLDER}}` 토큰을 실제 값으로 치환하는 사전 역할을 한다.
• [param] 서버 파라미터 스냅샷: nginx.conf, my.cnf, sysctl, php.ini, haproxy.cfg 등의 설정값을 웹·DB·커널·애플리케이션·기타 5개 영역으로 보관해 AI 튜닝 진단의 근거로 쓴다.
• [fw] 방화벽 규칙 대장: iptables·firewalld·ufw 규칙을 정규화해 기록하며, Security ▸ Firewall의 노출 지도가 이 데이터를 사용한다.

6.6.2. 원격 에뮬레이트 (프로브 배포)

6.6.3. 하드웨어 (CMDB · 랙 배치도)

6.6.4. 스토리지 & 파일

6.6.5. Inventory ("주머니")

6.7. Administration (관리)

• 수집기(Collectors): 기존 수집기의 하드코딩된 자격증명과 호스트 맵을 DB로 외부화한 레지스트리. web(원격 에이전트), database(DB 직접 연결), agent(내부망 대표 수집기) 방식으로 추상화된다.
• 운영 정책: DB 자동 수집 모드(콘솔 사용자가 있을 때만 수집하는 economy 또는 상시), DB 상태 임계값, 화폐 단위, 트래픽 감시 포트, 내부망 화이트리스트, 자동 차단 스위치 등 전역 설정.
• API 발급: 외부 앱·호스트가 InfraGuard로 데이터를 보내기 위한 키를 발급한다. 평문 키는 발급 시 한 번만 노출되고 DB에는 해시만 저장된다. 인시던트 리포터(Laravel)와 보안 진단 스캔 리포터(호스트 크론)의 연동 코드를 함께 제공한다.
• 규칙 임계: Suricata·Kitsune 탐지 수집기의 윈도우, 휴리스틱 임계, 학습, 차단 확정 조건 등을 화면에서 조정한다.
• 평판 API: AbuseIPDB 키를 여러 개 등록해 우선순위대로 라운드로빈 소비한다.
• AI 어댑터: Anthropic, OpenAI, Google, Moonshot, DeepSeek, 로컬 모델 등 LLM 공급자를 등록하고 우선순위를 정한다. 공급자를 등록하지 않아도 휴리스틱 기반으로 튜닝 조언이 동작한다.
• 메일 어댑터: Mailgun, SendGrid, Postmark, Resend, SMTP 등.
• SMS 어댑터: Solapi, 알리고, NHN, LINE, Aliyun, Twilio, Vonage, Infobip, Sinch 등 국가별 게이트웨이를 지원하며, 관리자 언어에 따라 국내 게이트웨이가 우선 표시된다.
• 다국어: 노출할 언어와 순서를 지정한다. 맨 위 언어가 사이트 기본 언어가 된다.
• 사용자 · 팀: 사용자와 팀 관리. 본인 강등·삭제 불가, 마지막 관리자 보호 같은 안전장치가 있다.
• 감사 로그: 차단·복원·규칙 변경, 자산 변경, 사용자·키 관리 등 파괴적·보안 작업을 변경 전후 값과 함께 append-only로 기록한다.
• 개발 · 관측: 최고 관리자 전용. Laravel Pulse 기반의 슬로우 쿼리·예외·캐시·서버 지표 관측과 DB 연결 누수 점검 도구를 제공한다.

7. 보안 설계와 권한 체계

7.1. 인증

7.2. 권한 등급

7.3. 비밀 관리 원칙

• 비밀번호, API 키, 개인키 등은 모두 암호화 저장되며, 상당수는 쓰기 전용(write-only)이라 브라우저로 원문이 반환되지 않는다.
• 프로젝트·보관소 등에는 비밀 값을 직접 저장하지 않고 금고 참조만 둔다.
• 비밀 열람은 반드시 감사 로그에 남는다.
• 백업 아티팩트는 웹으로 내려받을 수 없게 해 유출 경로를 차단한다.

8. 활용 시나리오

• 아침 점검: Overview에서 가용성·보안 점수를 확인하고, Health에서 전 노드 온라인 여부를, 백업 보드에서 어젯밤 백업 성공 여부를, Threats에서 지난 24시간 가장 많이 건드린 IP를 훑는다.
• 디스크 장애 대응: Storage & RAID에서 Degraded 상태의 어레이와 빠진 물리 디스크 슬롯을 확인하고, 하드웨어 랙 배치도에서 장비 위치를 찾아 교체한다.
• DB 지연 장애: Database 화면에서 연결 포화·동시 실행 폭증·slow query 증가 여부를 판별하고, 교육 팝오버와 서버 파라미터 스냅샷을 근거로 조치한 뒤, 문제 해결 케이스에 원인과 재발 방지책을 기록한다.
• 침입 시도 대응: 탐지된 IP를 평판 조회로 판정하고 차단하면 방화벽(ipset)까지 반영된다. 오탐이면 화이트리스트로 면책한다.
• 신규 서버 편입: 인스턴스로 등록 → 원격 프로브로 버전·파라미터·방화벽 수집 → 보안 진단으로 베이스라인 하드닝 등급 확인 → 백업 빌더로 백업 계획 수립.
• 랜섬웨어·재해 대비: 정기적으로 격리 환경에 복구 리허설을 하고 체크섬 검증 결과를 남겨 "실제로 복원되는 백업"을 확보한다.

9. 기술 스택

• 백엔드: PHP Laravel, Laravel Reverb(WebSocket), Laravel Pulse·Horizon, MySQL/MariaDB, Redis
• 프런트엔드: Vue, ECharts, CodeMirror, Konva(네트워크 토폴로지·랙 뷰), xterm.js(브라우저 SSH)
• 수집기·러너: Node.js 기반 수집기와 pm2 러너, ssh2 기반 SSH 브리지
• 보안 엔진: Suricata IDS, Kitsune ML 이상탐지, JA3 TLS 지문, nginx-vts, AbuseIPDB 평판, 커널 ipset/iptables
• 배포: Docker Compose

10. 사용 설명서

11. 도입

12. 여담

• 공식 한국어 홍보 영상의 제목은 "운영 · 보안 · 복구, 아직 따로 보십니까? — 인프라가드(InfraGuard) 설치형 통합 관제"로, 약 2분 분량에 인프라 운영팀·보안팀·개발팀·IT 책임자 관점의 사용 장면을 담았다.
• 매뉴얼은 메뉴에서 "도메인"이라는 단어를 오직 웹 도메인(예: aaa.bbb.com)을 가리킬 때만 쓰고, 업무 구분은 "역할/영역"이라고 부르는 등 용어 정의가 엄격한 편이다.
• 공개 랜딩 페이지는 콘솔과 별도 번들로 빌드되어, 콘솔 번들(약 1,283KB)에 비해 약 24KB로 가볍게 유지된다.

13. 외부 링크

• 공식 홈페이지
• 공식 사용 설명서
• 한국어 홍보 영상 (YouTube)