WAF는 방화벽과 무엇이 다를까?
1. 이 주제를 정리하게 된 이유
이전 글에서 방화벽과 IDS/IPS에 대해 정리하면서, 네트워크 보안 장비들이 각각 다른 역할을 가진다는 점을 알게 되었다.
방화벽은 주로 IP 주소, 포트 번호, 프로토콜 같은 정보를 기준으로 트래픽을 허용하거나 차단한다. 하지만 웹 서비스처럼 80번, 443번 포트를 열어두어야 하는 경우에는, 허용된 포트를 통해 들어오는 공격까지 방화벽만으로 모두 막기는 어렵다.
예를 들어 공격자가 정상적인 웹 요청처럼 보이는 형태로 SQL Injection이나 XSS 같은 공격을 시도한다면, 일반적인 방화벽만으로는 요청 안에 담긴 내용을 자세히 분석하기 어렵다.
이때 웹 애플리케이션을 보호하기 위해 사용되는 보안 장비가 WAF이다. 이번 글에서는 WAF가 무엇인지, 일반 방화벽과 어떤 차이가 있는지 정리해보려고 한다.
2. WAF란?
WAF는 Web Application Firewall의 약자로, 우리말로는 웹 애플리케이션 방화벽이라고 한다.
WAF는 웹 애플리케이션으로 들어오는 HTTP/HTTPS 요청을 검사하고, 공격으로 의심되는 요청을 탐지하거나 차단하는 보안 장비이다.
일반적인 방화벽이 네트워크 접근을 통제하는 역할에 가깝다면, WAF는 웹 애플리케이션을 대상으로 하는 공격을 탐지하고 차단하는 데 초점이 있다.
예를 들어 사용자가 웹사이트에 접속할 때 서버로 전달되는 요청에는 URL, 파라미터, 쿠키, 헤더와 같은 정보가 포함된다. WAF는 이러한 웹 요청 내용을 검사하여 악성 스크립트나 비정상적인 SQL 구문 등이 포함되어 있는지 확인할 수 있다.
최근 대부분의 웹사이트는 HTTPS를 사용하기 때문에 요청 내용이 암호화되어 전송된다. 이때 WAF가 SSL/TLS 종단 지점으로 구성되어 있다면, 암호화된 트래픽을 복호화한 뒤 HTTP 요청 내용을 검사할 수 있다. 이를 통해 일반 방화벽이 보기 어려운 웹 요청의 세부 내용을 분석할 수 있다.
즉, WAF의 핵심 역할은 웹 요청의 내용을 분석하여 웹 애플리케이션 공격을 탐지하고 차단하는 것이다.
3. 일반 방화벽과 WAF의 차이
일반 방화벽과 WAF는 모두 트래픽을 허용하거나 차단할 수 있다는 점에서 비슷해 보일 수 있다. 하지만 판단하는 기준과 보호 대상이 다르다.
일반 방화벽은 주로 IP 주소, 포트 번호, 프로토콜 같은 네트워크 계층 정보를 기준으로 통신을 제어한다. 예를 들어 특정 IP에서 오는 요청을 차단하거나, 특정 포트만 허용하는 방식이다.
반면 WAF는 웹 요청의 내용을 더 자세히 확인한다. URL, 파라미터, 쿠키, 헤더, 요청 본문 등을 분석하여 웹 공격 패턴이 포함되어 있는지 판단한다.
| 구분 | 일반 방화벽 | WAF |
|---|---|---|
| 의미 | 네트워크 방화벽 | 웹 애플리케이션 방화벽 |
| 작동 계층 | 주로 L3/L4 계층 | 주로 L7 계층 |
| 주요 기준 | IP, 포트, 프로토콜 | URL, 파라미터, 쿠키, 헤더, 요청 본문 |
| 보호 대상 | 네트워크 및 시스템 접근 | 웹 애플리케이션 |
| 주요 역할 | 허용되지 않은 네트워크 접근 차단 | 웹 공격 탐지 및 차단 |
| 대표 대응 | 불필요한 포트 차단 | SQL Injection, XSS 등 웹 공격 차단 |
정리하면, 일반 방화벽은 네트워크 접근을 통제하는 장비이고, WAF는 웹 애플리케이션 요청 내용을 분석해 웹 공격을 탐지하거나 차단하는 장비라고 볼 수 있다.
4. WAF가 탐지하거나 차단할 수 있는 대표적인 공격
WAF는 웹 애플리케이션을 대상으로 하는 공격을 탐지하고 차단하는 데 사용된다. 대표적인 공격으로는 SQL Injection, XSS, 파일 업로드 공격 등이 있다.
4-1. SQL Injection
SQL Injection은 공격자가 입력값에 악성 SQL 구문을 삽입해 데이터베이스에 비정상적인 쿼리를 실행시키려는 공격이다.
WAF는 요청 파라미터에 비정상적인 SQL 패턴이 포함되어 있는지 확인하고, 공격으로 판단되면 차단할 수 있다.
4-2. XSS
XSS는 Cross-Site Scripting의 약자로, 웹 페이지에 악성 스크립트를 삽입하는 공격이다.
공격자가 게시글, 댓글, 입력 폼 등에 스크립트를 삽입하면 다른 사용자의 브라우저에서 해당 스크립트가 실행될 수 있다.
WAF는 요청값에 스크립트 태그나 이벤트 핸들러처럼 의심스러운 패턴이 포함되어 있는지 검사할 수 있다.
4-3. 파일 업로드 공격
파일 업로드 기능이 있는 웹 서비스에서는 공격자가 악성 파일을 업로드하려고 시도할 수 있다.
예를 들어 웹쉘과 같은 악성 파일이 서버에 업로드되고 실행된다면, 공격자가 서버를 원격으로 조작할 위험이 있다.
WAF는 업로드 요청의 파일 확장자, Content-Type, 요청 패턴 등을 검사하여 비정상적인 업로드 시도를 탐지할 수 있다.
5. WAF만 있으면 안전할까?
WAF는 웹 공격을 탐지하고 차단하는 데 유용하지만, WAF만 있다고 해서 웹 서비스가 완전히 안전해지는 것은 아니다.
첫째, WAF는 설정된 정책이나 탐지 패턴을 기준으로 동작한다. 따라서 새로운 공격 기법이나 우회 기법이 사용되면 탐지하지 못할 수 있다.
둘째, 오탐이 발생할 수 있다. 정상적인 요청을 공격으로 잘못 판단해 차단할 수도 있고, 반대로 공격 요청을 정상 요청으로 판단할 수도 있다.
셋째, HTTPS 트래픽을 검사하려면 SSL/TLS 복호화 구성이 필요할 수 있다. 이 과정에서 인증서 관리, 복호화 구간의 보안, 성능 부담 등을 함께 고려해야 한다.
넷째, 애플리케이션 자체의 취약점이 해결되는 것은 아니다. WAF는 공격 요청을 막아주는 보안 장치이지만, 근본적으로 취약한 코드나 잘못된 인증·인가 로직을 수정해주는 것은 아니다.
따라서 WAF는 웹 애플리케이션 보안을 강화하는 중요한 장비이지만, 모든 공격을 완벽하게 막아주는 것은 아니므로 안전한 개발, 입력값 검증, 인증·인가 관리, 로그 모니터링, 취약점 점검 등과 함께 사용해야 한다.
6. 정리
WAF는 웹 애플리케이션을 대상으로 하는 공격을 탐지하고 차단하기 위한 보안 장비이다.
- 일반 방화벽: IP, 포트, 프로토콜 등을 기준으로 네트워크 접근을 통제한다.
- WAF: URL, 파라미터, 쿠키, 헤더, 요청 본문 등 HTTP/HTTPS 요청 내용을 분석해 웹 공격 여부를 판단한다.
대표적으로 WAF는 SQL Injection, XSS, 파일 업로드 공격과 같은 웹 공격을 탐지하거나 차단하는 데 활용될 수 있다.
다만 WAF만으로 모든 웹 보안 문제를 해결할 수는 없다. WAF는 웹 공격을 줄이는 데 도움을 주는 보안 장비이지만, 안전한 코드 작성, 입력값 검증, 취약점 점검, 로그 모니터링과 함께 사용해야 더 효과적인 웹 보안 체계를 구성할 수 있다.
이번 글을 정리하면서 일반 방화벽과 WAF는 이름은 비슷하지만, 보호하는 대상과 판단 기준이 다르다는 점을 알 수 있었다. WAF는 웹 요청 내용을 분석해 웹 애플리케이션 공격을 줄이는 데 도움을 주는 보안 장비라고 이해할 수 있다.
