Nginx 로그 분석으로 공격 탐지하기

Nginx 로그 공격 탐지:

# 상위 IP (DDoS/스캔 탐지)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# 404 많은 IP (디렉토리 스캔)
awk '$9 == 404 {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head

# SQL Injection 시도
grep -iE "(union.*select|or.*1=1|drop.*table)" /var/log/nginx/access.log

# 웹쉘 접근 시도
grep -iE "\.(php|asp|jsp|cgi)\?" /var/log/nginx/access.log | grep -v "index.php"

# 봇/크롤러
grep -i "bot\|crawler\|spider\|scan" /var/log/nginx/access.log | awk '{print $1}' | sort -u

GoAccess(goaccess access.log -o report.html)로 시각화하면 더 편합니다.