보안 설정

차단 IP 목록

존재하지 않는 경로(/admin, /dump, /.env, *.php 등)로 반복 접근한 IP 는 자동으로 등록되고, 관리자가 직접 수동 등록할 수도 있습니다.
차단된 IP 의 요청은 서버 진입 지점에서 바로 끊기므로 페이지·API 어디에도 도달하지 않습니다.

지금 접속 중인 IP : -

IP 수동 등록

	IP	구분	상태	사유 / 감지된 경로	감지	차단	등록일	만료	관리
불러오는 중...

자동 차단 설정

자동 차단은 404(존재하지 않는 경로)가 발생한 요청만 계산합니다. 정상적으로 서비스되는 주소는 아무리 많이 접속해도 계산되지 않으므로, 실제 이용자가 잘못 차단될 위험은 거의 없습니다.
다만 사무실·본사처럼 반드시 접속이 보장되어야 하는 IP 는 아래 차단 제외(화이트리스트)에 미리 넣어 두시길 권합니다.

서버가 여러 대(로드밸런서)인 경우 — 아래 감지 횟수는 각 서버가 따로 셉니다. 요청이 서버들에 흩어지면 최악의 경우 서버 대수만큼 더 두드려야 차단됩니다(4대면 5회 설정 시 최대 20회). 대신 한 번 등록된 차단은 30초 안에 모든 서버에 적용됩니다.
횟수를 서버마다 합산하려면 요청마다 DB 를 기록해야 해서(스캐너는 초당 수백 건을 보냅니다) 일부러 그렇게 하지 않았습니다. 엄격하게 잡으려면 감지 횟수를 서버 대수로 나눈 값으로 낮춰 주세요. (로그인 시도 제한은 시도 자체가 드물어 DB 로 합산합니다 — 서버가 몇 대든 설정한 횟수가 그대로 지켜집니다)

자동 차단	사용 끄면 자동 등록만 멈춥니다. 이미 등록된 IP(수동 포함)의 차단은 계속 동작합니다.
차단 기준	분 동안 의심 경로 회 이상 접근하면 차단 기본값 : 10분 / 5회
차단 유지 시간	기간이 지나면 자동으로 풀립니다. 목록에는 기록이 남습니다.
차단된 요청 처리	404 응답 (즉시 404 반환 · ALB 환경 권장) 평범한 404 로 보이게 합니다. 서버가 살아있다는 사실은 그대로 노출됩니다. 응답하지 않고 끊기 (request timeout) 연결만 붙잡고 있다가 초 뒤에 끊습니다. 스캐너 쪽에서는 timeout 으로 보여 재시도 속도가 크게 느려집니다. 동시에 붙잡는 연결은 500개로 제한되어 있어(초과분은 바로 끊음) 서버 부담은 사실상 없습니다. ALB 또는 프록시 환경에서는 HTTP 응답 없이 연결을 종료하므로 502로 기록될 수 있습니다. 즉시 연결 끊기 가장 가볍습니다. 스캐너에는 "연결 재설정"으로 보입니다. ALB 또는 프록시 환경에서는 HTTP 응답 없이 연결을 종료하므로 502로 기록될 수 있습니다.
일반 404 과다 접근	아래 경로 패턴에 걸리지 않는 404 도 과다하면 차단 판정 시간 동안 회 초과 시 차단 깨진 이미지 링크 등으로도 404 가 쌓일 수 있어 기본은 꺼져 있습니다. 켜실 경우 넉넉한 값(100회 이상)을 권합니다.

의심 경로 패턴

한 줄에 하나씩 씁니다. 404 가 난 경로가 아래 항목에 해당하면 의심 접근으로 셉니다. # 로 시작하는 줄은 주석입니다.

.php 처럼 점으로 시작 → 그 확장자로 끝나는 경로
/admin 처럼 / 로 시작 → 그것으로 시작하는 경로 (/log 는 /log/…·/log.… 만 잡고 /login 은 잡지 않습니다)
그 밖의 글자 → 경로 어디든 포함되면

차단 제외 (화이트리스트)

여기에 등록된 IP 는 자동 차단 대상이 되지 않고, 이미 차단 목록에 있더라도 통과합니다. 한 줄에 하나씩 씁니다.
203.0.113.45 (단일) · 10.0.0.0/8 (대역) · 192.168.* (앞자리 일치) 형식을 지원합니다.

(-)

세션 유지 시간

설정한 시간 동안 접속(활동)이 없으면 세션이 자동으로 해제되어 다시 로그인해야 합니다.
([무제한] 으로 설정하면 자동 해제하지 않습니다.)

일반 유저
조사원

동시 접속 차단

같은 계정으로 여러 곳에서 동시에 접속할 수 없도록 합니다.
체크하면 새로 로그인했을 때 기존 접속(세션)은 자동으로 해제됩니다.

일반 유저	동시 접속 차단 사용
조사원	동시 접속 차단 사용

보안 옵션

아래 항목은 모두 관리 화면과 로그인에만 관계됩니다. 응답자 참여 화면(/Join)과 질문지에 작성한 스크립트 동작에는 영향을 주지 않습니다.

로그인 시도 제한

비밀번호·인증번호를 반복해서 찍어 보는 시도를 막습니다. 잠금은 시간이 지나면 저절로 풀리며, 로그인에 성공하면 그 계정의 실패 기록은 즉시 지워집니다.
적용 대상 : 관리자·일반 유저 로그인, 2차 인증(6자리 코드) 검증. 조사원 로그인은 이미 좌석(IP) 등록 확인으로 막혀 있어 제외했습니다.

사용	로그인 시도 제한 사용 현재 잠겨 있는 건수 : -
판정 시간	분 동안의 실패를 합산 기본값 : 10분
계정별 제한	같은 IP 에서 한 계정에 회 실패하면 분 잠금 기본값 : 5회 / 5분. 다른 계정 로그인은 막지 않습니다.
IP별 제한	같은 IP 에서 계정을 바꿔가며 회 실패하면 분 잠금 기본값 : 30회 / 10분. 계정을 훑는 시도를 막습니다. 사무실처럼 여러 사람이 같은 IP 를 쓰는 경우를 감안해 넉넉히 잡혀 있습니다.

관리 화면 프레임 보호

사용	외부 사이트가 관리 화면을 iframe 으로 감싸지 못하게 함 클릭재킹(투명한 화면을 덧씌워 관리자의 클릭을 가로채는 공격) 방지입니다. 같은 도메인 안에서 쓰는 iframe(질문지 미리보기, 포털 설정 등)은 그대로 동작합니다. 적용 경로 : /System · /Manage · /Project · /Login · /Cati · /Tools · /Board · /Contact · /Listdata · /Monitor · /Assistant 응답자 참여·검증·리포트 공유·포털 경로에는 적용하지 않습니다 — 고객사 홈페이지에 설문을 삽입하는 사용을 막지 않기 위함입니다.

사용

외부 사이트가 관리 화면을 iframe 으로 감싸지 못하게 함

클릭재킹(투명한 화면을 덧씌워 관리자의 클릭을 가로채는 공격) 방지입니다. 같은 도메인 안에서 쓰는 iframe(질문지 미리보기, 포털 설정 등)은 그대로 동작합니다.
적용 경로 : /System · /Manage · /Project · /Login · /Cati · /Tools · /Board · /Contact · /Listdata · /Monitor · /Assistant
응답자 참여·검증·리포트 공유·포털 경로에는 적용하지 않습니다 — 고객사 홈페이지에 설문을 삽입하는 사용을 막지 않기 위함입니다.

접속기록(LOG) 보관기간

보관 일수	접속기록은 쌓이기만 하고 지워지지 않아 디스크를 계속 차지합니다. 기간을 정하면 지난 기록이 자동으로 정리됩니다. 지워진 기록은 되돌릴 수 없습니다. 그래서 기본값은 [사용 안 함]입니다. 로그인 이력(LOGIN_HISTORY)·관리 이력은 이 설정과 무관하며 그대로 남습니다.