📚 네트워크 · 패킷 분석 › 06. 방화벽 · IDS 기초 — 300편
이전 글: 299. IDS Incident 분석 · 다음 글: 없음(시리즈 마지막 글)
1. 개념
방화벽, IDS, IPS는 각각 다른 질문에 답하는 장비입니다. SOC는 이 장비들의 로그를 한곳에 모아 서로의 빈틈을 메우는 하나의 탐지·대응 체계로 운영합니다. 네트워크 보안 장비의 배치 구조는 04 영역 197. 네트워크 보안 아키텍처, 장비 이벤트의 통합 분석은 200. SOC 관점의 네트워크 장비 이벤트 분석에서 다뤘습니다. 이 글은 06 영역을 마무리하며 탐지에서 대응, 개선까지의 순환을 정리합니다.
| 장비 | 답하는 질문 | 대표 로그 | 대응 시 역할 |
|---|---|---|---|
| Firewall | 이 연결은 허용되는가? 얼마나 오갔는가? | 허용·차단, 세션 바이트, NAT | 출발지·목적지·포트 차단, 발신 정책 강화 |
| IDS | 허용된 트래픽 안에 공격 흔적이 있는가? | 규칙 Alert, 프로토콜 메타데이터 | 탐지 범위 확대, 신규 규칙 |
| IPS | 이 공격을 지금 막을 수 있는가? | 차단 Alert(blocked) | 확인된 공격 패턴 차단(drop 전환) |
| HIDS·서버 로그 | 호스트에서 실제로 무슨 일이 일어났는가? | 인증·파일·프로세스 이벤트 | 결과 확인, 계정·호스트 조치 근거 |
2. 동작 원리
SOC에서 세 장비의 데이터가 흐르는 전체 순환입니다.
[탐지] Firewall 로그 ─┐
IDS Alert ─────┼─→ SIEM 수집·정규화 (시각·필드 통일)
IPS Alert ─────┤ ↓
HIDS·서버 로그 ─┘ 상관 규칙: 같은 출발지·같은 대상·시간 창으로 묶기
↓
[분석] 관제자 트리아지 → 방향·자산·판정 조합 → 정탐/오탐/사건 전환
↓
[대응] 대응 요청: 방화벽 차단 / IPS 규칙 drop 전환 / 호스트 격리·계정 조치
↓
[개선] 오탐 → 튜닝(suppress·규칙 수정) 미탐 → 규칙 작성·센서 보강
정책 허점 → 방화벽 정책 변경 모든 변경 → 기록·재검토 일정
↓
다시 [탐지]로 (개선된 규칙·정책으로 운영)SIEM 상관 규칙은 개별 장비가 볼 수 없는 조합을 찾습니다. 예를 들어 "IPS가 차단한 출발지가 10분 안에 방화벽에서 다른 포트로 허용된 연결을 만들었다", "IDS 웹 공격 Alert 대상 서버가 1시간 안에 처음 보는 외부 IP로 대량 송신했다"처럼 여러 장비의 이벤트를 하나의 시나리오로 묶습니다.
3. 주요 특징
대응 조치는 장비마다 속도·범위·위험이 다릅니다.
| 조치 | 적용 장비 | 속도 | 범위 | 위험 |
|---|---|---|---|---|
| 출발지 IP 차단 | Firewall | 빠름 | 해당 IP 전체 | 공유 IP 오차단, 공격자 IP 교체로 무력화 |
| 목적지(악성 인프라) 차단 | Firewall·프록시·DNS | 빠름 | 조직 전체 발신 | 공유 인프라 차단 시 업무 영향 |
| 규칙 drop 전환 | IPS | 중간(검증 필요) | 패턴 일치 트래픽 | 오탐 차단 |
| 신규 탐지 규칙 | IDS | 중간 | 패턴 일치 트래픽 | Alert 증가 |
| 호스트 격리·계정 조치 | 담당 조직 | 조직 절차에 따름 | 해당 자산 | 업무 중단 |
- 차단은 임시, 원인 제거는 근본입니다. 방화벽 차단으로 시간을 번 뒤 취약점 조치, 계정 초기화 같은 근본 조치가 이어져야 합니다.
- 모든 변경은 기록합니다. 긴급 차단 규칙이 기한 없이 남으면 정책이 복잡해지고, 억제 설정이 쌓이면 탐지 범위가 줄어듭니다.
운영 품질을 보는 지표도 함께 관리합니다.
| 지표 | 의미 |
|---|---|
| 탐지까지 시간(MTTD) | 공격 시작부터 탐지까지 |
| 대응까지 시간(MTTR) | 탐지부터 조치 완료까지(정의는 조직마다 다름) |
| 오탐 비율 | 규칙·출발지별 오탐 판정 비율 → 튜닝 우선순위 |
| 탐지 공백 건수 | 사건 분석에서 확인된 미탐 단계 수 |
4. 예시
세 장비 이벤트를 하나의 시나리오로 묶는 상관 규칙을 의사 코드 형태의 형식 예시로 나타낸 것입니다(특정 SIEM 문법 아님, 값은 환경마다 다름).
# 형식 예시 — 상관 규칙: IPS 차단 후 우회 연결
rule "IPS block followed by allowed connection from same source"
when
e1: ips.alert where action == "blocked" as blocked
e2: firewall where action == "allow" and src_ip == e1.src_ip
and (dest_port != e1.dest_port or dest_ip != e1.dest_ip)
within 10 minutes after e1
then
create case severity=high
title = "IPS 차단 출발지의 다른 경로 연결"
fields = e1.src_ip, e1.signature_id, e2.dest_ip, e2.dest_port분석 방법 — 이 규칙이 만든 사건은 284. IPS Alert의 우회 확인과 296. Alert와 Firewall Log 연계의 판정 조합 해석을 자동화한 것입니다. 관제자는 e2 연결이 IDS 검사 구간이었는지, 서버 응답과 세션 크기는 어떤지 확인하고, 필요하면 299. IDS Incident 분석 절차로 전환합니다.
5. 보안 관점
- 각 장비의 약점은 다른 장비가 보완합니다. 방화벽은 내용을 모르고, IDS는 막지 못하며, IPS는 좁게 막고, 호스트 로그는 네트워크 전체를 보지 못합니다. 한 장비의 침묵을 안전의 증거로 보지 않습니다.
- 장비 상태(센서 드롭, IPS 바이패스, 로그 수집 중단)도 탐지 대상입니다. 로그가 끊긴 장비는 그 시간 동안 탐지 체계에서 빠집니다.
- 자동 대응(자동 차단)은 속도를 높이지만, 오탐·위조 출발지로 인한 자기 차단 위험이 있어 예외 목록과 해제 절차가 필요합니다.
6. SOC 관점
관제자가 통합 체계에서 확인할 질문
- 이 사건을 어느 장비가 보았고, 어느 장비가 보지 못했는가?
- 대응 조치는 어떤 장비에 어떤 범위로 반영되었고, 기한과 해제 조건은?
- 이번 사건에서 나온 오탐·미탐은 어떤 튜닝·규칙·정책 변경으로 이어졌는가?
- 모든 장비의 로그 수집 상태는 정상인가?
사건 종료 시 점검
↓ 장비별 관찰 여부 표 작성 (Firewall / IDS / IPS / HIDS)
↓ 적용된 대응 조치 목록 (장비·범위·기한)
↓ 개선 항목: 튜닝 / 신규 규칙 / 센서·로그 보강 / 정책 변경
↓ 재검토 일정 등록 → 다음 탐지 순환에 반영오탐 주의: 여러 장비가 같은 사건을 각각 Alert로 보고하면 사건이 여러 건처럼 보입니다. 상관 규칙과 사건 단위 묶음으로 중복을 줄입니다. 네트워크 스캔 사건의 탐지·분석·대응 흐름은 05 영역 249. Detection → Analysis → Response에서도 정리했습니다.
7. 핵심 정리
- 방화벽은 허용과 규모, IDS는 허용된 트래픽 안의 공격 흔적, IPS는 즉시 차단, 호스트 로그는 실제 결과를 알려 줍니다.
- SIEM은 장비 로그를 정규화하고 상관 규칙으로 개별 장비가 볼 수 없는 조합을 찾아냅니다.
- SOC 운영은 탐지 → 분석 → 대응 → 개선의 순환이며, 개선 결과가 다시 탐지 규칙과 정책에 반영됩니다.
- 대응 조치는 장비별 속도·범위·위험이 다르므로 임시 차단과 근본 조치를 구분하고 모든 변경을 기록합니다.
- 한 장비의 침묵을 안전의 증거로 보지 않고, 장비 상태와 로그 수집 상태까지 탐지 대상으로 관리합니다.
