보안 프레임워크·방화벽·WAF·IDS·IPS·VPN
보안 프레임워크와 솔루션을 구분하고 방화벽 구축 구조·WAF·IDS·IPS의 역할을 비교한다. 오탐과 미탐, IPsec의 AH·ESP·전송·터널 모드, VPN과 인가의 차이를 정리한다.
핵심 요약
보안 프레임워크는 보안 활동을 체계적으로 정리하는 구조이고, 보안 솔루션은 특정 통제를 실제로 수행하는 기술·제품이다. 방화벽·WAF·IDS·IPS·VPN은 서로 목적과 배치 위치가 다르며 한 제품이 모든 보안 문제를 해결하지 않는다.
문제를 읽을 때 접근 허용·거부인지, 웹 요청 검사인지, 침입 탐지인지, 실시간 차단인지, 보호된 통신 경로인지를 먼저 구분한다.
1. 보안 프레임워크의 역할
프레임워크는 자산·위험을 파악하고 보호·탐지·대응·복구 활동을 일관되게 연결하는 기준을 제공한다. 특정 제품을 설치하거나 체크리스트를 작성했다는 사실만으로 위험관리가 끝나는 것은 아니다.
예를 들어 NIST CSF 2.0은 Govern(거버넌스), Identify(식별), Protect(보호), Detect(탐지), Respond(대응), Recover(복구)의 여섯 기능으로 설명한다. 이는 하나씩 수행하고 영구히 종료하는 고정 개발 단계가 아니다. 조직 상황에 따라 활동을 반복하며 개선한다.
보안 정책은 무엇을 지켜야 하는지 정하고, 솔루션은 이를 집행·감시하는 수단이며, 로그와 시험 결과는 실제 통제가 동작하는지 판단하는 근거다.
2. 방화벽의 원리와 종류
방화벽은 정의된 정책에 따라 네트워크 통신을 허용·거부하는 접근통제 수단이다. 외부에서 내부로 들어오는 통신뿐 아니라 내부에서 외부로 나가는 통신도 통제 대상이 될 수 있다.
| 종류 | 주된 판단 정보·특징 |
|---|---|
| 패킷 필터링 | IP 주소·포트·프로토콜 등 패킷 헤더 중심 |
| 상태 기반 검사 | 연결·세션 상태를 추적하여 정상적인 통신 흐름인지 판단 |
| 회선 수준 게이트웨이 | 세션·연결 수준의 중계와 연결 통제 |
| 응용 계층 게이트웨이·프록시 | 응용 프로토콜을 이해하고 중계·검사 |
| 호스트 기반 방화벽 | 개별 서버·단말에서 해당 호스트의 통신 통제 |
| 차세대 방화벽 | 전통적인 접근통제에 응용 식별·침입 방지 등 기능 결합 |
검사 범위가 깊어지면 세밀한 판단이 가능하지만 처리 부하와 운영 복잡성도 고려해야 한다. 어떤 제품이 ‘차세대’라는 이름을 사용한다는 사실만으로 모든 공격을 차단한다고 단정하지 않는다.
NAT는 주소 변환이다. 접근 정책 집행이나 응용 공격 탐지와 동일한 기술이 아니므로 방화벽의 완전한 대체재로 보아서는 안 된다.
3. 고전적인 방화벽 구축 구조
| 구성 요소·구조 | 핵심 특징 |
|---|---|
| 배스천 호스트 | 외부 노출과 보안 중계 역할을 고려하여 강화한 호스트 |
| 듀얼 홈드 호스트 | 두 네트워크 인터페이스를 가진 호스트를 경계에 배치하고 직접 전달을 제한 |
| 스크린드 호스트 | 패킷 필터링 라우터와 배스천 호스트를 결합 |
| 스크린드 서브넷 | 외부·내부 사이에 별도 완충 네트워크를 두고 단계적으로 접근통제 |
| DMZ | 공개 서비스 등을 내부 업무망과 분리하여 배치하는 경계 구역 |
스크린드 서브넷은 공개 서비스 영역과 내부망 사이의 완충 구간이 핵심이다. 반드시 특정 개수의 물리 장비로만 구현해야 한다는 뜻은 아니다. DMZ에 배치된 서버가 침해될 수 있으므로 DMZ에서 내부망으로 가는 통신도 필요한 범위로 제한한다.
규칙은 기본 거부·필요한 통신의 명시적 허용을 중심으로 작성한다. 불필요하게 넓은 허용, 남아 있는 임시 규칙, 상위 규칙에 가려지는 하위 규칙은 정책 오류의 원인이 될 수 있다. 실제 규칙 평가 순서는 제품의 동작을 확인해야 한다.
4. WAF와 네트워크 방화벽
WAF(Web Application Firewall)는 HTTP 등 웹 트래픽의 내용을 분석하여 웹 공격을 탐지·차단하는 데 초점을 둔다. IP·포트 중심의 통제와 달리 URL·헤더·본문 등의 의미를 확인할 수 있다.
알려진 공격 패턴을 차단하는 방식과 허용된 정상 형식만 통과시키는 방식 등을 사용한다. 코드 수정이 준비되기 전에 임시로 공격 경로를 막는 가상 패치에 활용할 수 있지만 근본적인 코드 수정과 동일하지 않다.
HTTPS의 암호화된 내용을 검사하려면 해당 내용을 볼 수 있는 위치와 구성이 필요하다. WAF가 있다는 이유로 SQL 매개변수화, 출력 인코딩, 객체별 인가를 생략할 수는 없다. 특히 정상 형식의 요청을 이용하는 업무 권한 오류는 별도의 서버 통제가 필요하다.
5. IDS와 IPS
| 구분 | IDS | IPS |
|---|---|---|
| 주된 목적 | 침입 징후 탐지·경보 | 침입 탐지와 실시간 차단 |
| 대표 배치 | 복사된 트래픽을 관찰하는 수동형 | 실제 통신 경로의 인라인형 |
| 정상 통신 영향 | 분석 자체가 경로를 직접 막지 않는 구성이 일반적 | 오탐·장비 장애가 정상 통신에 영향 가능 |
| 핵심 과제 | 가시성·경보 분석·오탐 관리 | 탐지 품질과 함께 지연·가용성·차단 정책 관리 |
실제 제품은 다른 장비에 차단을 요청하는 IDS나 탐지만 하는 IPS 모드 등을 제공할 수 있다. 시험에서는 탐지·경보 중심과 경로상 예방·차단 중심이라는 대표 차이를 구분한다.
NIDS는 네트워크 트래픽을, HIDS는 호스트의 로그·파일·시스템 활동 등을 분석한다. 암호화 트래픽의 내용, 관찰되지 않는 내부 통신, 손실된 패킷은 네트워크 탐지의 한계가 될 수 있다.
| 탐지 방식 | 장점 | 한계 |
|---|---|---|
| 시그니처 기반 | 알려진 공격의 특징을 명확하게 탐지 | 새로운 공격·변형에 약할 수 있음 |
| 이상행위 기반 | 정상 기준에서 벗어나는 행위 탐지 | 정상 변화도 공격으로 판단할 수 있음 |
| 상태 기반 프로토콜 분석 | 프로토콜의 기대 상태·동작과 비교 | 처리 부담과 지원 범위 고려 |
오탐(FP)은 정상을 공격으로 판단한 것이고, 미탐(FN)은 공격을 정상으로 판단하여 놓친 것이다. 공격을 맞게 탐지하면 TP, 정상을 맞게 판단하면 TN이다. 탐지 임계값을 지나치게 완화하거나 강화하면 다른 오류와 업무 영향이 커질 수 있다.
6. VPN과 IPsec
VPN은 비신뢰 네트워크 위에서 논리적인 사설 통신 경로를 제공하는 기술이다. 보안 VPN은 인증·암호화·무결성 보호 등을 적용한다. 단순 터널링과 암호화는 같은 뜻이 아니다.
| 연결 형태 | 대표 사용 |
|---|---|
| 사이트 간 VPN | 본사와 지사 네트워크 연결 |
| 원격 접속 VPN | 외부 사용자가 조직 자원에 접근 |
| 호스트 간 VPN | 두 호스트 사이의 보호 통신 |
IPsec은 IP 계층에서 통신을 보호하는 프로토콜 체계다.
| 구성 | 핵심 기능 |
|---|---|
| AH | 무결성·데이터 출처 인증 등 제공, 기밀성 암호화는 제공하지 않음 |
| ESP | 기밀성 보호와 구성에 따른 무결성·출처 인증 등 제공 |
| IKE | 통신 상대 인증과 키·보안 설정 협상 지원 |
전송 모드는 원래 IP 패킷의 상위 계층 데이터를 중심으로 보호하고, 터널 모드는 원래 IP 패킷 전체를 새 IP 패킷 안에 넣어 보호한다. AH·ESP는 보호 프로토콜의 구분이고 전송·터널은 동작 모드의 구분이므로 같은 분류 축이 아니다.
GRE·L2TP는 터널링 자체가 암호화를 자동 제공하지 않는다. L2TP는 IPsec과 결합하여 사용하는 구성이 대표적이다. TLS VPN은 TLS 기반의 보호 경로를 이용한다. PPTP는 역사적인 VPN 용어로 구분하되 현재의 새로운 보안 원격 접속을 위한 우선 선택으로 삼지 않는다.
VPN 접속 성공이 내부 모든 자원에 대한 접근 허용은 아니다. MFA·최소 권한·단말 상태·세션 관리를 결합해야 한다.
7. 함께 구분할 보안 솔루션
| 솔루션 | 주요 목적 |
|---|---|
| UTM | 방화벽·침입 방지 등 여러 보안 기능의 통합 |
| NAC | 사용자·장치의 네트워크 접속 조건 통제 |
| DLP | 중요 데이터의 저장·사용·전송 중 유출 탐지·통제 |
| EDR | 단말의 행위 탐지·조사·대응 |
| SIEM | 여러 로그의 수집·정규화·상관분석·경보 |
| SOAR | 대응 절차의 연계·자동화 |
이들은 역할이 겹칠 수 있지만 서로 완전히 같은 기술은 아니다. 로그가 전혀 수집되지 않는 행동을 SIEM이 자동으로 모두 관찰할 수는 없으며, 자동화된 대응도 올바른 조건·권한·절차가 필요하다.
보안 프레임워크와 장비를 구별하는 기준
NIST CSF 2.0의 Govern
CSF 2.0은 Govern·Identify·Protect·Detect·Respond·Recover의 여섯 기능으로 이해한다. Govern은 사이버보안 위험관리의 전략·정책·역할·책임·감독과 연결된다. 사건을 탐지하는 개별 장비 기능과 조직의 의사결정·책임을 정하는 거버넌스는 다르다. 이전 CSF의 다섯 기능 설명과 2.0의 여섯 기능을 혼합하지 않는다.