웹 방화벽·IDS·IPS

왜 배우는가: 웹 방화벽, IDS, IPS는 네트워크 경계 방화벽이 막지 못하는 응용 계층 공격과 침입 탐지·차단 문제를 다루는 기본 보안 장비다. 실무에서는 심층방어 체계의 핵심 구성으로 설계와 운용 판단에 쓰인다. 시험에서도 4개 회차에 걸쳐 1교시 용어형과 2~4교시 논술형으로 반복 출제되었다.

출제 이력: 제134회 3교시 6번, 제129회 1교시 3번, 제119회 1교시 13번, 제110회 2교시 6번

1. 한 줄 정의와 핵심 키워드

웹 방화벽(WAF)은 HTTP/HTTPS 트래픽을 응용 계층에서 검사해 웹 공격을 차단하고, IDS는 침입을 탐지해 경보하며, IPS는 탐지와 함께 인라인으로 차단하는 보안 장비다.

• 핵심 키워드: 웹 애플리케이션 방화벽(WAF), 침입탐지시스템(IDS), 침입방지시스템(IPS), 응용 계층(L7), 오용탐지, 이상탐지, 인라인(Inline) 배치, 심층방어(Defense in Depth)

2. 개념 풀이

쉬운 말로 보면, 웹 방화벽은 웹 서비스 앞에 서서 요청 내용을 읽고 공격 문자열을 걸러 내는 문지기다. IDS는 건물 안팎을 살피다가 수상한 움직임을 발견하면 경보를 울리는 감시 카메라에 가깝다. IPS는 같은 감시를 하면서 수상한 사람을 직접 문 밖으로 내보내는 경비원에 해당한다.

웹 방화벽(WAF)은 HTTP 트래픽을 분석하여 SQL 삽입, 크로스사이트 스크립팅(XSS), 파일 포함 같은 웹 응용 계층 공격을 막는 장비다. OWASP는 이를 응용 계층에서 동작하는 보안 솔루션으로 정의한다. 웹 방화벽은 역방향 프록시(Reverse Proxy) 형태로 웹 서버 앞에 배치되어 클라이언트 요청이 서버에 닿기 전에 정책으로 검사한다. 정책은 시그니처(블랙리스트) 와 정상 행위 기반의 화이트리스트 를 병행하는 경우가 많다.

IDS(Intrusion Detection System)는 네트워크나 호스트의 트래픽과 로그를 감시하여 침입 징후를 찾고 관리자에게 알리는 시스템이다. 탐지만 하고 트래픽을 직접 바꾸지 않는 수동형(Passive) 장비다. 탐지 방식은 알려진 공격 패턴과 비교하는 오용탐지(Signature-based) 와 정상 행위 기준선에서 벗어남을 찾는 이상탐지(Anomaly-based) 로 나뉜다.

IPS(Intrusion Prevention System)는 IDS의 탐지 기능에 차단 기능을 더한 시스템이다. 네트워크 경로에 인라인(Inline) 으로 놓여 의심 패킷을 즉시 폐기하거나 세션을 끊는다. IDS는 경보만 주고 IPS는 대응까지 수행한다는 점이 핵심 차이다.

3. 등장 배경과 필요성

방화벽은 IP 주소와 포트 기준으로 트래픽을 허용하거나 막는다. 그러나 웹 서비스는 정상 포트인 80과 443을 열어 두어야 하므로, 포트만 보는 방화벽으로는 SQL 삽입이나 XSS 같은 응용 계층 공격을 구별하기 어렵다. 이 간극을 메우기 위해 요청 내용을 해석하는 웹 방화벽이 등장했다.

또 공격자가 경계 방화벽을 통과한 뒤의 내부 행위는 방화벽이 보지 못한다. 이를 알아채기 위해 침입탐지 장비가 필요해졌고, 탐지 결과를 실시간으로 실행하기 위해 침입방지 장비가 이어서 발전했다. 제로데이 취약점이나 패치가 어려운 레거시 시스템에서는 가상 패치(Virtual Patching) 가 웹 방화벽의 중요한 존재 이유가 된다. 공격 대상이 웹 응용으로 옮겨 가면서 WAF의 역할이 커졌다.