방화벽은 어떤 역할을 할까?
1. 이 주제를 정리하게 된 이유
이전 글에서 DoS와 DDoS, 정보보안의 3요소에 대해 정리하면서 서비스의 가용성과 접근 제어의 중요성을 알게 되었다.
보안에서 외부의 접근을 통제하는 대표적인 장치 중 하나가 방화벽이다. 방화벽이라는 용어는 자주 들어봤지만, 실제로 어떤 기준으로 트래픽을 허용하거나 차단하는지 명확히 알고 싶어 이번 글에서 정리해보려고 한다.
2. 방화벽이란?
방화벽은 네트워크를 오가는 트래픽을 확인하고, 정해진 보안 정책에 따라 허용하거나 차단하는 보안 장치이다.
쉽게 말하면 네트워크의 출입문 역할을 한다고 볼 수 있다.
외부에서 내부 시스템으로 들어오는 요청이나, 내부에서 외부로 나가는 통신을 확인한 뒤 허용할지 차단할지를 결정한다.
예를 들어 회사 내부 서버가 외부 인터넷과 연결되어 있다고 가정해보자. 모든 외부 요청을 그대로 허용하면 불필요한 접근이나 공격 시도가 내부 시스템까지 도달할 수 있다.
이때 방화벽은 미리 설정된 규칙에 따라 허용된 통신만 통과시키고, 허용되지 않은 통신은 차단한다.
즉, 방화벽의 핵심 역할은 네트워크 트래픽을 통제하여 내부 시스템을 보호하는 것이다.
3. 방화벽은 무엇을 기준으로 허용하고 차단할까?
방화벽은 단순히 모든 통신을 막는 것이 아니라, 정해진 조건을 기준으로 트래픽을 허용하거나 차단한다.
이때 방화벽은 네트워크를 통과하는 데이터의 기본 단위인 패킷(Packet)의 정보를 확인한다.
패킷에는 출발지와 목적지, 사용되는 프로토콜, 포트 번호와 같은 정보가 포함되어 있다.
방화벽은 이러한 패킷의 헤더 정보를 바탕으로 통신을 허용할지 차단할지 판단한다.
| 기준 | 설명 |
|---|---|
| 출발지 IP | 어떤 IP 주소에서 요청이 시작되었는지 |
| 목적지 IP | 어떤 IP 주소로 요청이 향하는지 |
| 출발지 포트 | 요청을 보낸 쪽의 포트 번호 |
| 목적지 포트 | 어떤 서비스 포트로 접근하려는지 |
| 프로토콜 | TCP, UDP, ICMP 등 어떤 통신 방식인지 |
네트워크 보안에서는 위와 같은 기준 중 출발지 IP, 목적지 IP, 출발지 포트, 목적지 포트, 프로토콜을 묶어 5-Tuple이라고 부르기도 한다.
예를 들어 SSH는 보통 22번 포트를 사용한다.
외부에서 서버의 22번 포트로 접근하는 것을 허용하면 SSH 접속이 가능하지만, 차단하면 외부에서 SSH로 접속할 수 없다.
또 다른 예로 웹 서비스는 일반적으로 80번 포트와 443번 포트를 사용한다. 따라서 외부 사용자가 웹사이트에 접속해야 한다면 해당 포트에 대한 접근은 허용해야 한다.
이처럼 방화벽은 IP 주소, 포트 번호, 프로토콜 등을 기준으로 네트워크 접근을 제어한다.
4. 방화벽의 주요 역할
4-1. 불필요한 접근 차단
방화벽은 외부에서 내부 시스템으로 들어오는 불필요한 접근을 차단한다.
예를 들어 외부에서 접근할 필요가 없는 관리용 포트나 내부 서비스 포트를 차단하면, 공격자가 해당 서비스에 직접 접근하는 것을 줄일 수 있다.
4-2. 허용된 서비스만 접근 가능하게 제한
서버에서 웹 서비스를 운영한다면 일반적으로 80번 포트와 443번 포트만 외부에 공개할 수 있다.
반면 SSH와 같은 관리용 포트는 모든 IP에 열어두기보다, 특정 IP에서만 접근할 수 있도록 제한하는 것이 좋다.
이렇게 필요한 서비스만 열어두고 나머지는 차단하면 공격자가 접근할 수 있는 범위, 즉 공격 표면을 줄일 수 있다.
4-3. 내부망 보호
방화벽은 외부 인터넷과 내부 시스템 사이에서 통신을 통제해 내부망을 보호한다.
외부의 모든 요청이 내부망으로 바로 들어오지 않도록 중간에서 통제하는 역할을 하며, 내부 시스템이 불필요하게 외부에 노출되는 것을 줄여준다.
4-4. 로그 기록
방화벽은 허용되거나 차단된 트래픽을 기록할 수 있다.
이 로그는 이후 보안 분석에 활용될 수 있다. 예를 들어 특정 IP에서 반복적으로 차단된 요청이 발생한다면, 비정상적인 접근 시도로 의심해볼 수 있다.
5. 방화벽이 모든 공격을 막을 수 있을까?
방화벽은 네트워크 접근을 통제하는 중요한 보안 장치이지만, 모든 공격을 막을 수 있는 것은 아니다.
예를 들어 웹 서비스를 운영하려면 80번이나 443번 포트는 열어두어야 한다. 그런데 공격자가 허용된 웹 포트를 통해 SQL Injection과 같은 웹 공격을 시도한다면, 일반적인 L3/L4 방화벽만으로는 이를 탐지하거나 차단하기 어려울 수 있다.
쉽게 말해 일반적인 L3/L4 방화벽은 주로 출발지/목적지 IP, 포트, 프로토콜 같은 정보를 기준으로 통신을 판단한다.
비유하자면 편지의 봉투 정보는 확인할 수 있지만, 편지 안의 내용물까지 자세히 검사하는 데는 한계가 있는 것이다.
따라서 웹 공격이나 애플리케이션 취약점을 이용한 공격에 대응하기 위해서는 WAF, IDS, IPS, 로그 모니터링 등 다른 보안 장치와 함께 사용하는 것이 필요하다.
6. 정리
방화벽은 네트워크 트래픽을 확인하고, 보안 정책에 따라 허용하거나 차단하는 보안 장치이다.
| 구분 | 내용 |
|---|---|
| 방화벽의 역할 | 네트워크 트래픽을 허용하거나 차단 |
| 판단 기준 | IP 주소, 포트 번호, 프로토콜 등 |
| 주요 목적 | 불필요한 접근 차단, 내부망 보호 |
| 한계 | 허용된 통신 안에서 발생하는 공격은 별도 대응 필요 |
방화벽은 네트워크의 출입문처럼 트래픽을 통제하는 보안 장치이다. 다만 모든 공격을 막을 수는 없기 때문에, WAF, IDS, IPS, 로그 모니터링 등 다른 보안 장치와 함께 사용해야 한다.
이번 글을 정리하면서 방화벽은 단순히 “막는 장치”가 아니라, 정해진 정책에 따라 필요한 통신은 허용하고 불필요한 접근은 차단하는 접근 제어 장치라는 점을 이해할 수 있었다.
또한 방화벽은 주로 패킷의 IP, 포트, 프로토콜 정보를 기준으로 통신을 판단하지만, 허용된 통신 안에서 발생하는 모든 공격까지 막을 수는 없다는 점도 알게 되었다.
