Imunify360 — 사고 및 오탐지 대응
cPanel/WHM + CloudLinux 서버. "Imunify가 나를 차단했다"는 요청에 대한 올바른 대응은 아무것도 비활성화하기 전에 차단을 유발한 원인을 이해하는 것입니다. 거의 항상 보호 기능을 끄는 것이 아니라 합법적인 것을 화이트리스트에 등록하고 예외를 문서화하는 것이 해결책입니다.
보안 규칙
- 호스트 확인 (
hostname -f) 후 조치. - 한 클라이언트의 문제를 해결하기 위해 전역 보안 모듈을 비활성화하지 마십시오. 가장 제한적인 예외(IP, 파일, 사용자)로 해결하십시오.
- 악성코드 정리, 복원 및 보호 기능 비활성화: 확인 후 실행.
- 모든 예외(화이트리스트, 비활성화된 규칙)는 사유와 일시를 문서화합니다.
0. 에이전트 상태
imunify360-agent version
systemctl status imunify360 # CL6에서는 service imunify360 status
imunify360-agent doctor # 에이전트 내부 진단
tail -100 /var/log/imunify360/console.log
1. 사고 내용 확인 (클라이언트를 차단한 것은?)
세부 정보는 UI의 Incidents 탭에 있으며, Sensor 필드가 출처를 알려줍니다. Active Response 및 PAM 차단은 OSSEC으로 표시됩니다. 규칙을 건드리기 전에 다음을 식별하십시오: WAF(ModSecurity), 무차별 대입 공격(OSSEC/PAM), 그레이리스트, 또는 악성코드?
# 클라이언트 IP가 어떤 목록에 있는지 확인
imunify360-agent ip-list local list --purpose white --by-ip 1.2.3.4
imunify360-agent ip-list local list --purpose black --by-ip 1.2.3.4
2. 합법적 IP 차단 → 화이트리스트
ip-list가 현재 명령어이며, whitelist/blacklist는 많은 버전에서 여전히 별칭으로
작동하지만 더 이상 사용되지 않습니다(deprecated).
# 추가/제거 (여전히 작동하는 실용적인 방법):
imunify360-agent whitelist ip add 1.2.3.4 --comment "클라이언트 X 사무실 IP - 2026-06"
imunify360-agent whitelist ip delete 1.2.3.4
imunify360-agent blacklist ip add 9.9.9.9 --comment "악성 스캐너"
# 목록 조회 (현재 방식):
imunify360-agent ip-list local list --purpose white
3. WAF / ModSecurity 오탐지
먼저 차단을 유발한 규칙을 찾습니다(사고 필드). IP가 합법적이면 화이트리스트에 등록(섹션 2)하는 것으로 충분한 경우가 많습니다. 임계값이나 규칙을 조정하려면:
주요 설정 파일 : /etc/sysconfig/imunify360/imunify360.config
PAM(BFM) 임계값 : /etc/pam_imunify/i360.ini
특정 사례 하나 때문에 전체 규칙 세트를 비활성화하지 마십시오. IP를 화이트리스트에 등록하거나 최소 예외를 생성하십시오. 이 파일들을 변경할 때는 확인하고 먼저 백업하십시오.
4. 계정 내 악성코드
# 계정 스캔 (maildir 제외로 속도 향상 및 잡음 감소):
imunify360-agent malware on-demand start --path=/home/USER --ignore-mask=/home*/*/mail
# 전체 스캔:
imunify360-agent malware on-demand start --path=/home*/*/ --ignore-mask=/home*/*/mail
# 악성 파일 목록 (기본 제한 50개):
imunify360-agent malware malicious list --limit 100
정리(확인 후): 악성 파일 목록을 검토하고 Imunify 작업(UI/cleanup)을 통해 정리하거나, 계정이 심하게 손상된 경우 감염 이전의 깨끗한 백업에서 복원하십시오. 맹목적으로 적용하기 전에 서버에서 현재 cleanup 구문을 확인하십시오. 정리 후: 비밀번호 변경, CMS/플러그인 업데이트 및 재스캔.
5. 합법적 파일이 악성코드로 오인됨 → 오탐지(false positive)
imunify360-agent submit false-positive --reason "자체 테마, 내부 코드" /home/USER/public_html/file.php
# 반대 경우 (악성코드가 깨끗한 것으로 통과):
imunify360-agent submit false-negative /full/path/to/file
스캐너가 파일/폴더를 안정적으로 무시하도록 하려면 스캐너 화이트리스트(JSON, path/reason/md5/recursive 포함)를 사용하십시오. 사유를 문서화하십시오.
6. "Captcha가 뜹니다 / 접속할 수 없습니다"
일반적으로 그레이리스트(클라이언트 IP가 의심스러운 행동으로 인해 회색 목록에 들어감) 또는 Active Response 때문입니다. 섹션 1로 확인하고, IP가 클라이언트의 것이라면 화이트리스트에 등록하십시오. 보이지 않는 Captcha와 OSSEC 시간 제한(기본 600초)은 설정에서 관리됩니다.
보호 기능을 비활성화하지 말아야 하는 경우
- "작동하게 하려면 WAF를 꺼야 하나요?"라는 의문이 들면 → 거의 항상 IP 화이트리스트 또는 파일 예외이며, 모듈 자체를 끄는 것이 아닙니다.
- HardenedPHP를 비활성화하거나 Imunify를 제거하면 Apache/PHP 업데이트가 손상될 수 있습니다: 절대 지원 편법으로 사용하지 마십시오.
상태를 변경하는 작업(정리, 복원, 설정 편집, 모듈 비활성화)은 제안되며 운영자의 명시적 OK가 있어야만 실행됩니다.