IDS vs IPS, 한 글자 차이가 만드는 모든 것 — 탐지부터 차단까지 완벽 정리

이미지
안녕하세요, 도담인사이트 입니다. 😊 지난 글에서 방화벽을 다루며 IPS·IDS 를 잠깐 언급했었죠. "방화벽이 있는데 IPS는 왜 또 필요해요?", "IDS랑 IPS는 글자 하나 차이인데 뭐가 다른가요?"라는 질문을 정말 많이 받습니다. 이번 글에서는 IDS와 IPS의 개념·차이, 탐지 방식, 배치 구조, 방화벽과의 관계, 그리고 Snort·FortiGate 기본 설정 까지 네트워크 입문자 눈높이에서 비유와 함께 정리해 드리겠습니다. 📑 목차 IDS·IPS란? — CCTV와 경비원 이야기 IDS vs IPS 핵심 차이 한 방에 정리 탐지 방식 — 시그니처 기반 vs 이상행위 기반 배치 구조 — 인라인 / 미러링, NIDS / HIDS 방화벽 · IDS/IPS · NGFW는 어떤 관계? 주요 IPS/IDS 벤더와 제품 기본 CONFIG 예제 (Snort & FortiGate) 함께 알아두면 좋은 연관 기능 (SIEM·EDR·NDR) Q&A — 초보자가 자주 묻는 질문 1. IDS·IPS란? — CCTV와 경비원 이야기 🎥 두 장비 모두 네트워크에서 일어나는 공격(침입)을 찾아내는 보안 장비입니다. 차이는 딱 하나, "발견한 다음 무엇을 하느냐" 입니다. 🎥 IDS Intrusion Detection System (침입 탐지 시스템) 침입을 발견하면 경보(알림)를 울리는 장비. 직접 막지는 못함. 관찰자 에 가까움. 🛡️ IPS Intrusion Prevention System (침입 방지 시스템) 침입을 발견하면 그 자리에서 즉시 차단 하는 장비. 실행자 에 가까움. 🏠 비유로 한 번에 이해하기 IDS =...

방화벽 완전정복 — 패킷 필터링부터 차세대(NGFW)까지 한 번에 끝내기

안녕하세요, 도담인사이트입니다. 😊
"방화벽(Firewall)"이라는 말은 다들 들어보셨죠? 그런데 막상 "방화벽이 정확히 뭐 하는 거예요?", "1세대·2세대·차세대(NGFW)는 뭐가 다른가요?"라고 물으면 설명하기가 은근히 어렵습니다.

이번 글에서는 방화벽의 개념부터 세대별 진화, 주요 벤더 비교, 그리고 기본 CONFIG 예제까지 네트워크 입문자 눈높이에서 비유와 함께 한 번에 정리해 드리겠습니다.

📑 목차
  1. 방화벽이란? — 우리집 현관 도어록 이야기
  2. 방화벽의 5가지 핵심 역할
  3. 방화벽의 진화 — 1세대부터 차세대(NGFW)까지
  4. 주요 방화벽 벤더 종류와 차이점
  5. 기본 CONFIG 예제 (Cisco ASA & FortiGate)
  6. 함께 알아두면 좋은 연관 기능 (DMZ·NAT·IPS·UTM·WAF)
  7. Q&A — 초보자가 자주 묻는 질문

1. 방화벽이란? — 우리집 현관 도어록 이야기 🚪

방화벽(Firewall)이란, 서로 신뢰 수준이 다른 두 네트워크 사이에 놓여, 미리 정해둔 규칙(정책)에 따라 통신을 허용하거나 차단하는 보안 장비/소프트웨어입니다.

비유하자면 아파트 정문의 경비실과 같습니다. 외부(인터넷)에서 단지 안(내부망)으로 들어오려는 모든 사람을 경비실에서 한 번 거르죠. "택배 기사님은 OK, 모르는 사람은 차단" 같은 규칙이 곧 방화벽 정책(Policy)입니다.

💡 이름의 유래
원래 "Firewall(방화벽)"은 건물에서 불이 번지지 못하게 막는 내화벽을 뜻합니다. 네트워크에서도 "위험(공격)이 내부로 번지지 못하게 막는 벽"이라는 의미로 그대로 빌려 쓴 것이죠.

📖 먼저 알아둘 핵심 용어

용어 쉬운 설명
패킷(Packet)네트워크를 오가는 데이터 한 조각. "택배 상자 하나"라고 생각하면 됩니다.
세션/상태(Session/State)"누가 누구와 대화 중인지"에 대한 연결 정보. 통화 한 통이라고 보면 됩니다.
인바운드/아웃바운드밖→안으로 들어오는 트래픽 / 안→밖으로 나가는 트래픽.
정책(Policy)/룰(Rule)"이건 허용, 저건 차단"을 적어둔 규칙표. 경비실 출입 지침서.
OSI 계층통신을 7개 층으로 나눈 모델. 3계층=IP주소, 4계층=포트, 7계층=실제 내용(앱).

2. 방화벽의 5가지 핵심 역할 🛡️

방화벽은 단순히 "막기"만 하는 게 아닙니다. 다음과 같은 역할을 합니다.

  1. 접근 통제(Access Control) — 허용된 통신만 통과, 나머지는 기본 차단(Default Deny).
  2. 네트워크 분리(Segmentation) — 외부망 / 내부망 / DMZ를 구획으로 나눠 위험 확산을 막음.
  3. 로깅과 감사(Logging) — 누가 언제 무엇을 시도했는지 기록 → 사고 추적의 핵심.
  4. NAT(주소 변환) — 내부 사설 IP를 외부 공인 IP로 바꿔, 내부 구조를 숨기고 IP를 절약.
  5. 위협 차단 — (차세대 방화벽 한정) 악성코드·침입·악성 앱 트래픽까지 탐지·차단.
🔑 가장 중요한 원칙 = "기본 차단(Default Deny)"
좋은 방화벽 설정의 기본은 "명시적으로 허용한 것 외에는 전부 막는다"입니다. 경비실로 치면 "초대 명단에 없으면 무조건 출입 금지"인 셈이죠. 반대(기본 허용)로 하면 빈틈이 너무 많아집니다.

3. 방화벽의 진화 — 1세대부터 차세대(NGFW)까지 🧬

방화벽은 공격 기법이 발전함에 따라 함께 진화해 왔습니다. 세대 구분은 벤더·기관마다 조금씩 다르지만, 일반적으로 아래처럼 나눕니다. "경비원이 점점 더 꼼꼼해지는 과정"이라고 생각하면 이해가 쉽습니다.

🥇 1세대 — 패킷 필터링 (Packet Filtering)

  • 검사 범위: OSI 3~4계층 (출발지/목적지 IP 주소, 포트 번호, 프로토콜)
  • 특징: 상태를 기억하지 않음(Stateless). 패킷 하나하나를 독립적으로 검사.
  • 한계: "이 패킷이 정상 응답인지, 갑자기 들어온 공격인지" 구분 못 함. 라우터 ACL과 비슷한 수준.
🏠 비유: 명단에 적힌 이름과 주소만 확인하고 통과시키는 경비원. 이 사람이 아까 나갔다가 돌아오는 건지, 처음 보는 사람인지는 기억하지 못합니다.

📌 실무 예: 라우터/L4 스위치의 ACL, Piolink PAS-K의 "패킷 필터링 방화벽" 기능이 이 계열입니다.

🥈 2세대 — 스테이트풀 인스펙션 (Stateful Inspection)

  • 검사 범위: 3~4계층 + 연결 상태(세션) 추적
  • 특징: 내부에서 나간 요청을 세션 테이블(State Table)에 기록 → 그에 대한 응답만 자동 허용.
  • 장점: 일일이 응답용 룰을 안 만들어도 되고, 비정상 패킷(상태에 안 맞는 패킷)을 걸러냄. 오늘날 방화벽의 기본기.
📒 비유: 출입대장을 쓰는 경비원. "201호 주민이 10시에 외출"이라고 적어두면, 그 주민이 돌아왔을 때 "아, 아까 나가신 분"이라며 바로 통과시킵니다. 반면 나간 적도 없는데 들어오려는 사람은 막죠.

📌 실무 예: Check Point FW-1, 초기 Cisco PIX/ASA. 1990년대에 등장해 사실상 표준이 됨.

🥉 3세대 — 애플리케이션 검사 / 프록시 & UTM

  • 검사 범위: 최대 7계층(애플리케이션)까지. 패킷 "내용물"을 들여다봄.
  • 방식 1 — 프록시/ALG: 방화벽이 대리인이 되어 통신을 대신 받고 검사 후 전달.
  • 방식 2 — UTM(통합 위협 관리): 방화벽 + 안티바이러스 + IPS + 웹필터링 등을 한 장비에 통합.
🧳 비유: 가방을 열어서 내용물까지 검사하는 검색관. 신분증(IP)만 보는 게 아니라 "안에 뭐가 들었는지"를 확인합니다. UTM은 여기에 더해 여러 명의 전문 검사관(백신·침입탐지·웹필터)을 한 부스에 모아둔 것이라고 보면 됩니다.

🏆 차세대 방화벽 (NGFW, Next-Generation Firewall)

흔히 말하는 "4세대" 또는 "차세대" 방화벽입니다. 2세대의 스테이트풀 기능을 기본으로 깔고, 7계층 지능형 기능을 통합한 것이 핵심입니다. 2008년 무렵 Gartner가 정의했습니다.

  • 애플리케이션 인식(App-ID): 포트가 아니라 "실제 앱"을 식별. (예: 80번 포트라도 웹서핑인지 우회 프로그램인지 구분)
  • 사용자 인식(User-ID): IP가 아닌 "누구(계정)"를 기준으로 정책 적용.
  • 통합 IPS: 침입 시도를 실시간 탐지·차단.
  • SSL/TLS 복호화 검사: 암호화된 HTTPS 트래픽 안까지 점검.
  • 위협 인텔리전스 연동: 최신 악성 IP/도메인 DB와 실시간 대조.
🛂 비유: 공항 보안검색대입니다. 여권 확인(IP)은 기본이고, X-ray로 짐 내용물 검사(애플리케이션), 얼굴 인식(사용자), 위험물 데이터베이스 대조(위협 인텔), 수상한 행동 분석(IPS)까지 하나의 게이트에서 한꺼번에 처리하죠.

📊 세대별 한눈에 비교

구분 검사 계층 상태 추적 핵심 능력
1세대 패킷필터링L3~L4❌ 없음IP·포트로 허용/차단
2세대 스테이트풀L3~L4✅ 세션 기억연결 상태 기반 검사
3세대 프록시/UTML7까지내용 검사 + 기능 통합
차세대 NGFWL3~L7App/User 인식+IPS+SSL검사

※ "3세대 = UTM, 4세대 = NGFW"로 보는 분류도 있고, UTM과 NGFW를 같은 흐름으로 보는 견해도 있습니다. 세대 숫자보다 "어디까지 검사하고, 무엇을 추가로 하느냐"의 흐름을 기억하세요.

4. 주요 방화벽 벤더 종류와 차이점 🏢

🌐 글로벌 벤더

벤더 / 제품 특징 한 줄 요약
Palo Alto Networks
(PA 시리즈)
NGFW 대표주자. App-ID·User-ID가 강점. 트래픽을 한 번만 스캔해 모든 검사를 처리하는 Single-Pass 구조.
Fortinet
(FortiGate)
전용 칩(ASIC) 기반으로 가성비·성능이 좋아 시장 점유율이 매우 높음. UTM/NGFW 통합.
Cisco
(ASA / Firepower=FTD)
전통의 강자. 보안 레벨(Security-Level) 개념이 특징. 구형 ASA → 차세대 FTD로 전환 중.
Check Point스테이트풀 인스펙션을 처음 상용화한 원조. 정책 관리 GUI가 강력.
Juniper
(SRX)
Zone 기반 정책. 라우팅·통신사 환경에서 강세.

🇰🇷 국산 벤더 (공공·금융 등 국내 환경에서 자주 만남)

벤더 / 제품 비고
SECUI (시큐아이) — MF2, BLUEMAX국내 방화벽 점유율 상위. 공공/금융에 다수 도입.
AhnLab (안랩) — TrusGuardUTM/NGFW. 백신 연동 보안에 강점.
WINS (윈스) — SNIPERIPS/방화벽. 고성능 트래픽 처리.
🤔 그래서 뭐가 다른가요?
기능은 결국 비슷해졌습니다(NGFW로 수렴). 실제 차이는 ① 트래픽 처리 방식(Single-Pass vs 순차 검사), ② 전용 하드웨어/칩 유무(성능), ③ 정책 관리 UI의 편의성, ④ 라이선스 체계와 위협 DB 품질, ⑤ 국내 인증(CC, 보안적합성 검증) 보유 여부에서 갈립니다.

5. 기본 CONFIG 예제 ⌨️

실무에서 가장 자주 보게 되는 두 가지, Cisco ASA(스테이트풀의 정석)와 FortiGate(NGFW 스타일)의 기본 설정을 살펴봅시다.

① Cisco ASA — 보안 레벨 기반 기본 구성

ASA의 핵심은 Security-Level(0~100)입니다. 숫자가 높을수록 신뢰하는 구역이고, 높은 곳 → 낮은 곳 통신은 기본 허용, 낮은 곳 → 높은 곳은 기본 차단(허용하려면 ACL 필요)입니다.

! ===== 기본 정보 =====
hostname ASA-FW
domain-name dodam.local

! ===== 인터페이스 (보안레벨: 높을수록 신뢰) =====
interface GigabitEthernet0/0
 nameif outside
 security-level 0
 ip address 203.0.113.1 255.255.255.0
 no shutdown
!
interface GigabitEthernet0/1
 nameif inside
 security-level 100
 ip address 192.168.10.1 255.255.255.0
 no shutdown
!
interface GigabitEthernet0/2
 nameif dmz
 security-level 50
 ip address 172.16.10.1 255.255.255.0
 no shutdown

! ===== 기본 라우팅 (외부로 나가는 길) =====
route outside 0.0.0.0 0.0.0.0 203.0.113.254 1

! ===== NAT : 내부(사설IP) -> 외부(공인IP) PAT =====
object network INSIDE-NET
 subnet 192.168.10.0 255.255.255.0
 nat (inside,outside) dynamic interface

! ===== DMZ 웹서버를 외부에 공개 (Static NAT + 허용 룰) =====
object network DMZ-WEB
 host 172.16.10.10
 nat (dmz,outside) static 203.0.113.10
access-list OUTSIDE-IN extended permit tcp any object DMZ-WEB eq www
access-group OUTSIDE-IN in interface outside

! ===== 스테이트풀 검사 정책 =====
policy-map global_policy
 class inspection_default
  inspect icmp
  inspect http
service-policy global_policy global
🔎 읽는 법: inside(100)에서 outside(0)로 나가는 건 별도 허용 없이 통과(스테이트풀이 응답까지 자동 허용). 반대로 outside에서 안으로 들어오려면 위처럼 NAT + access-list를 명시해야만 뚫립니다.

② FortiGate — NGFW 정책(보안 프로파일 결합)

FortiGate는 인터페이스 사이에 정책(policy)을 만들고, 그 정책에 안티바이러스·IPS·앱컨트롤 같은 보안 프로파일을 붙이는 방식입니다. 바로 이 부분이 NGFW의 특징이죠.

# ===== 인터페이스 설정 =====
config system interface
    edit "wan1"
        set mode static
        set ip 203.0.113.1 255.255.255.0
        set allowaccess ping https ssh
    next
    edit "internal"
        set ip 192.168.10.1 255.255.255.0
        set allowaccess ping https
    next
end

# ===== 내부 -> 외부 정책 + NGFW 보안 프로파일 적용 =====
config firewall policy
    edit 1
        set name "Internal-to-WAN"
        set srcintf "internal"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
        set utm-status enable
        set av-profile "default"
        set ips-sensor "default"
        set application-list "default"
        set ssl-ssh-profile "certificate-inspection"
    next
end
🔎 핵심 차이: ASA는 "통과/차단"이 주 역할이라면, FortiGate 정책엔 av-profile(백신), ips-sensor(침입탐지), application-list(앱제어)가 함께 붙습니다. "통과시키되, 통과하는 동안 내용도 검사한다"가 NGFW의 정수입니다.

6. 함께 알아두면 좋은 연관 기능 🔗

DMZ외부에 공개할 서버(웹·메일)를 두는 완충 지대. "집 안은 못 들어와도, 마당(DMZ)까지는 손님이 들어올 수 있게" 하는 영역.
NAT사설 IP ↔ 공인 IP 변환. 내부 구조를 숨기고 공인 IP를 아껴 씀. 방화벽의 단골 기능.
IPS / IDS침입을 탐지(IDS)만 하거나 탐지+차단(IPS)까지. NGFW에 통합되어 있음. "수상한 행동을 잡아내는 보안요원".
UTM방화벽+백신+IPS+웹필터를 한 박스에 통합. 중소규모에서 가성비로 인기.
VPN암호화 터널로 원격지를 내부망처럼 연결. 방화벽에 기본 탑재되는 경우 많음(IPsec·SSL VPN).
WAF웹 애플리케이션 전용 방화벽. 일반 방화벽이 못 막는 SQL Injection·XSS 같은 웹 공격을 방어. NGFW와 역할이 다름(보완 관계).
💬 NGFW vs WAF, 헷갈리지 마세요!
NGFW는 네트워크 전반을 폭넓게 지키는 "정문 경비", WAF는 웹서버 앞에 특화된 "웹 전담 경호원"입니다. 둘은 경쟁 관계가 아니라 함께 쓰는 보완 관계입니다.

❓ Q&A — 초보자가 자주 묻는 질문

Q1. 방화벽만 있으면 보안은 끝인가요?
아닙니다. 방화벽은 보안의 1차 관문일 뿐입니다. 백신, IPS, EDR, 접근통제, 직원 보안교육 등 여러 계층이 함께 작동하는 다층 방어(Defense in Depth)가 정석입니다.
Q2. ACL(접근제어목록)이랑 방화벽은 같은 건가요?
비슷하지만 다릅니다. ACL은 보통 상태를 기억하지 않는(Stateless) 단순 필터로 1세대에 가깝고, 방화벽(2세대 이상)은 세션 상태를 추적하며 훨씬 정교합니다. "ACL은 방화벽의 가장 기초 버전"이라고 보면 됩니다.
Q3. UTM과 NGFW 중 뭘 골라야 하나요?
규모와 성능 요구가 기준입니다. 중소 규모에서 가성비로 여러 기능을 한 번에 쓰려면 UTM, 대규모·고성능 환경에서 App/User 단위의 정밀 제어가 필요하면 NGFW가 유리합니다. 요즘은 경계가 많이 흐려졌습니다.
Q4. HTTPS(암호화) 트래픽도 방화벽이 검사할 수 있나요?
NGFW의 SSL/TLS 복호화 검사 기능을 켜면 가능합니다. 다만 복호화는 성능 부하가 크고 개인정보·인증서 이슈가 있어, 실무에선 검사 대상을 신중히 정해 적용합니다.
Q5. 방화벽 정책은 순서가 중요한가요?
매우 중요합니다! 대부분의 방화벽은 위에서부터 순서대로 룰을 비교하다 처음 일치하는 룰을 적용합니다. 그래서 구체적인 룰을 위에, 포괄적인 룰을 아래에 두는 것이 원칙입니다(맨 아래엔 보통 "전부 차단"이 위치).
📝 오늘의 핵심 정리
  • 방화벽 = 신뢰도가 다른 망 사이의 출입 통제소, 기본 원칙은 "기본 차단".
  • 진화: 패킷필터링(1) → 스테이트풀(2) → 프록시·UTM(3) → NGFW(차세대).
  • 오늘날 표준은 스테이트풀이 기본, NGFW가 대세 (App/User 인식 + IPS + SSL검사).
  • 벤더 차이는 처리방식·하드웨어·관리 UI·라이선스·국내인증에서 갈린다.

#방화벽 #Firewall #차세대방화벽 #NGFW #패킷필터링 #PacketFiltering #스테이트풀인스펙션 #StatefulInspection #네트워크보안 #NetworkSecurity #CiscoASA #FortiGate #PaloAlto #UTM #IPS #DMZ #NAT #CCNA #네트워크기초 #NetworkBasics #방화벽설정 #FirewallConfig #도담인사이트 #DodamInsight

댓글

이 블로그의 인기 게시물

네이버 아이디 탈퇴, "서비스 해지 후 가능"이라고 뜨는 이유 (2026년 최신)

VPN이란 무엇인가? 사용 이유와 장단점 쉽게 설명

듀얼모니터 연결 및 설정 방법 초보자 가이드