웹 방화벽·IDS·IPS

한 줄 정의

웹 방화벽, IDS, IPS는 응용 계층 공격과 침입을 다루는 기본 보안 장비다.

웹 방화벽은 요청을 걸러 내는 문지기, IDS는 경보를 울리는 감시 카메라에 가깝다.

IPS는 탐지 기능에 더해 수상한 세션을 직접 차단하는 경비원에 해당한다.

웹 방화벽의 원리

웹 방화벽은 HTTP 트래픽을 응용 계층에서 검사하는 L7 장비다.

웹서버 앞에 리버스 프록시로 놓이며, 요청이 서버에 닿기 전에 정책으로 검사한다.

SQL 삽입과 XSS는 포트만 보는 방화벽으로 구별하기 어렵다. 그래서 요청 내용을 해석한다.

정책은 시그니처 블랙리스트와 정상 행위 화이트리스트를 함께 쓰는 경우가 많다.

IDS와 IPS의 차이

IDS는 침입을 탐지해 경보하는 시스템이다.

IDS는 수동형이다. 미러링된 트래픽을 보므로 정상 흐름에 영향을 주지 않는다.

IPS는 탐지 기능에 차단을 더한 장비다. 인라인에서 의심 패킷을 폐기하거나 세션을 끊는다.

그래서 IPS는 장애가 곧 서비스 장애로 이어지는 단일장애점 위험이 있다.

탐지 기법

IDS의 탐지 방식은 크게 오용탐지와 이상탐지로 나뉜다.

오용탐지는 공격 시그니처 DB와 비교해 알려진 공격을 정확히 찾는다.

이상탐지는 정상 행위 기준선에서 벗어난 행위를 찾아 신규 공격을 볼 수 있지만 오탐이 많다.

두 기법은 상호 보완적이므로 함께 쓰인다.

가상 패치와 심층방어

앞 문제의 정답은 오용탐지다. 시그니처 DB와 비교하는 방식이다.

가상 패치는 소스코드를 고치기 전에 정책으로 공격을 막는 임시 방어 수단이다. 근본 수정을 대신하지는 못한다.

IPS는 인라인에 놓이므로 오탐이 곧 정상 서비스 차단으로 이어진다. 그래서 탐지 모드로 먼저 검증한다.

세 장비는 서로 대체하지 않고 계층별로 함께 배치하며, IDS 결과는 통합 관제와 연계한다.

정리

정리하자. 웹 방화벽은 응용 계층, IDS는 탐지, IPS는 인라인 차단을 맡는다.

오용탐지는 시그니처, 이상탐지는 정상 기준선 이탈을 본다.

세 장비는 서로 대체하지 않고 심층방어 계층에서 함께 배치한다.