# 방화벽 규칙 (Firewall Rules)

## 1. 개요
방화벽 규칙이란 네트워크 트래픽의 유입과 유출을 제어하기 위해 방화벽 장비나 소프트웨어에 설정하는 일련의 필터링 기준을 의미합니다. 방화벽은 미리 정의된 규칙 세트를 바탕으로 패킷(Packet, 네트워크 전송 기본 단위)을 검사하여, 해당 트래픽을 통과시킬지 혹은 차단할지를 결정함으로써 내부 네트워크를 외부의 위협으로부터 보호하는 역할을 수행합니다.

방화벽 규칙의 핵심 동작(Action)은 크게 세 가지로 구분됩니다.
*   **허용 (Allow/Accept):** 조건에 부합하는 트래픽을 통과시켜 목적지로 전달합니다.
*   **거부 (Deny/Reject):** 트래픽을 차단하고, 송신측에 차단되었다는 응답 메시지(예: ICMP Destination Unreachable)를 보냅니다.
*   **드롭 (Drop):** 트래픽을 단순히 폐기하며, 송신측에 아무런 응답을 보내지 않습니다. 공격자에게 포트의 개방 여부조차 알리지 않기 위해 보안상 주로 사용됩니다.

## 2. 방화벽 작동 원리

### 2.1 트래픽 방향성: 인바운드와 아웃바운드
방화벽 규칙을 설정하기 전, 트래픽이 흐르는 방향을 정의하는 것이 기본입니다.
*   **인바운드 (Inbound):** 외부 네트워크에서 내부 네트워크(또는 서버)로 들어오는 트래픽입니다. 외부의 공격을 막기 위해 엄격한 제한이 필요합니다.
*   **아웃바운드 (Outbound):** 내부 네트워크에서 외부 네트워크로 나가는 트래픽입니다. 내부 시스템이 악성 서버와 통신하는 것을 방지하기 위해 제어합니다.

### 2.2 5-Tuple 기반 패킷 필터링
방화벽은 패킷의 헤더 정보를 분석하여 규칙과 대조합니다. 이때 판단 기준이 되는 다섯 가지 핵심 정보를 **5-Tuple**이라고 합니다.

**[패킷 구조 및 5-Tuple 개념도]**
```text
+-----------------------------------------------------------------------+
| IP Header | TCP/UDP Header                                            |
+-----------+-----------------------------------------------------------+
| [Src IP]  | [Src Port]  [Dst Port]  [Protocol]                        |
| [Dst IP]  |                                                           |
+-----------+-----------------------------------------------------------+
     ^             ^            ^            ^
     |             |            |            |
     +-------------+------------+------------+---- 5-Tuple 정보 추출
```

1.  **출발지 IP 주소 (Source IP):** 패킷을 보낸 기기의 주소
2.  **목적지 IP 주소 (Destination IP):** 패킷이 도달하려는 기기의 주소
3.  **출발지 포트 (Source Port):** 송신측에서 사용하는 임의의 포트 번호
4.  **목적지 포트 (Destination Port):** 수신측 서비스가 대기 중인 포트 번호 (예: HTTP 80, HTTPS 443)
5.  **프로토콜 (Protocol):** 전송 계층 프로토콜 (예: TCP, UDP, ICMP)

### 2.3 First-Match 원리와 기본 정책
방화벽은 설정된 규칙 리스트의 **최상단(Top)부터 하단으로 순차적으로** 패킷을 검사합니다. 조건에 일치하는 첫 번째 규칙을 발견하면 즉시 해당 액션을 수행하고 검사를 종료하는 **'First-Match'** 원리를 따릅니다.

따라서 규칙의 순서 배치가 매우 중요하며, 모든 규칙에 해당하지 않는 나머지 트래픽을 처리하기 위해 리스트의 가장 마지막에 **기본 정책(Default Policy)**을 설정합니다. 보안 표준은 모든 트래픽을 기본적으로 차단하고 필요한 것만 허용하는 'Implicit Deny(암시적 거부)' 정책을 권장합니다.

### 2.4 상태 기반 필터링 (Stateful Inspection)
전통적인 패킷 필터링(Stateless)이 개별 패킷만을 독립적으로 검사했다면, **상태 기반 필터링(Stateful Inspection)**은 연결의 상태(State)를 추적합니다.

*   **작동 방식:** TCP 3-Way Handshake와 같은 연결 설정 과정을 기억하여 '상태 테이블(State Table)'에 저장합니다.
*   **특징:** 한 번 허용된 연결에 대한 응답 패킷은 별도의 규칙이 없어도 자동으로 허용됩니다. 이를 통해 규칙의 수를 획기적으로 줄이고 보안성을 높일 수 있습니다.

## 3. 규칙 구성 요소 및 설정 방법

방화벽 규칙을 설정할 때는 다음과 같은 세부 항목을 정의해야 합니다.

| 항목 | 설명 | 예시 |
| :--- | :--- | :--- |
| **Priority/Order** | 규칙이 적용되는 우선순위 (숫자가 낮을수록 우선 적용) | 10, 20, 100 |
| **Source IP** | 트래픽이 시작되는 지점의 IP 또는 네트워크 대역 | `192.168.1.10`, `10.0.0.0/24` |
| **Destination IP** | 트래픽이 도달하려는 목적지 IP 또는 대역 | `172.16.0.5`, `Any` |
| **Protocol** | 사용되는 통신 프로토콜 | `TCP`, `UDP`, `ICMP` |
| **Destination Port** | 목적지 서버에서 열려 있어야 하는 포트 | `80`, `443`, `22` |
| **Action** | 조건 일치 시 수행할 동작 | `Allow`, `Deny`, `Drop` |
| **Description** | 규칙의 용도 및 관리자를 위한 메모 | "웹 서버 HTTPS 접속 허용" |

## 4. 방화벽 규칙 설계 전략

### 4.1 최소 권한 원칙 및 화이트리스트
보안성을 극대화하기 위해 **최소 권한 원칙(Least Privilege)**을 적용해야 합니다. 이는 서비스 운영에 반드시 필요한 최소한의 통로만 개방하는 전략입니다.
*   **화이트리스트(Whitelist) 방식:** 기본적으로 모든 접속을 차단하고, 신뢰할 수 있는 IP와 포트만 명시적으로 허용하는 방식입니다. 블랙리스트 방식(허용 후 특정 대상만 차단)보다 훨씬 안전합니다.

### 4.2 규칙 우선순위 결정 기준
규칙의 순서를 결정할 때는 효율성과 보안성을 동시에 고려해야 합니다.

| 우선순위 | 규칙 유형 | 이유 |
| :--- | :--- | :--- |
| **최상위** | 긴급 차단 규칙 (Blacklist) | 공격 IP 등 즉각적인 차단이 필요한 트래픽을 먼저 처리 |
| **중간** | 구체적인 허용 규칙 (Specific Allow) | 특정 IP $\rightarrow$ 특정 포트와 같이 범위가 좁은 규칙 우선 적용 |
| **하위** | 일반적인 허용 규칙 (General Allow) | 네트워크 대역 단위의 넓은 허용 규칙 적용 |
| **최하위** | 기본 거부 규칙 (Default Deny) | 위 모든 조건에 맞지 않는 모든 트래픽 차단 |

### 4.3 관리 팁
*   **명확한 주석 작성:** 규칙 생성 시 생성일, 요청자, 목적을 기록하여 추후 불필요한 규칙을 식별할 수 있게 합니다.
*   **범위 최적화:** `Any` 설정은 가급적 피하고, 구체적인 서브넷 마스크를 사용하여 범위를 제한합니다.

## 5. 규칙 적용 예시

### 5.1 일반적인 보안 시나리오
실무에서 자주 사용되는 보안 설정 예시는 다음과 같습니다.

| 시나리오 | 출발지 (Source) | 목적지 (Destination) | 포트 (Port) | 액션 (Action) | 비고 |
| :--- | :--- | :--- | :--- | :--- | :--- |
| **웹 서비스 개방** | `Any` | `Web Server IP` | `80, 443` | `Allow` | 일반 사용자 접속 허용 |
| **관리자 SSH 접속** | `Admin IP` | `Any Server` | `22` | `Allow` | 특정 관리자만 원격 접속 |
| **DB 서버 보호** | `Web Server IP` | `DB Server IP` | `3306` | `Allow` | 웹 서버를 통한 DB 접근만 허용 |
| **외부 DB 접근 차단** | `Any` | `DB Server IP` | `Any` | `Drop` | 외부에서 DB 직접 접근 원천 차단 |

### 5.2 설정 명령어 예시 (Linux ufw/iptables 기준)

```bash
# 1. 기본 정책 설정: 모든 유입 트래픽 차단, 모든 유출 트래픽 허용
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 2. 웹 서버 서비스 허용 (HTTP, HTTPS)
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# 3. 특정 관리자 IP에 대해서만 SSH 허용
sudo ufw allow from 203.0.113.10 to any port 22 proto tcp

# 4. 특정 내부 네트워크 대역 차단
sudo iptables -A INPUT -s 192.168.100.0/24 -j DROP
```

## 6. 유지보수 및 최적화

### 6.1 불필요한 규칙 제거
시간이 지남에 따라 사용하지 않는 규칙이 쌓이면 성능 저하와 보안 홀이 발생합니다.
*   **Shadowed Rules (가려진 규칙):** 상위 규칙에 의해 하위 규칙이 절대 실행되지 않는 경우입니다. (예: 상위에서 `Any` 허용 후 하위에서 특정 IP 차단 설정 시 하위 규칙은 무용지물)
*   **Redundant Rules (중복 규칙):** 동일한 효과를 내는 규칙이 여러 개 존재하는 경우입니다.

### 6.2 로그 기록 및 모니터링
규칙의 적절성을 검증하고 침입 시도를 탐지하기 위해 로그 설정이 필수적입니다.
*   **로그 설정:** 특히 `Deny` 또는 `Drop` 액션이 발생하는 트래픽에 대해 로그를 남겨, 어떤 IP에서 어떤 포트로 공격 시도가 있는지 분석합니다.
*   **모니터링 도구:** SIEM(Security Information and Event Management) 솔루션이나 ELK 스택을 통해 방화벽 로그를 시각화하고 이상 징후를 탐지합니다.

### 6.3 변경 관리 및 롤백 전략
방화벽 규칙 변경은 서비스 중단(Outage)으로 이어질 위험이 큽니다.
1.  **사전 검토:** 변경 전 영향도 분석 및 테스트 환경 적용.
2.  **단계적 적용:** 한 번에 많은 규칙을 바꾸지 않고 순차적으로 적용.
3.  **백업 및 롤백:** 변경 전 현재 설정 파일을 백업하고, 문제 발생 시 즉시 복구할 수 있는 롤백 스크립트를 준비합니다.
4.  **정기 감사(Audit):** 분기별 또는 반기별로 전체 규칙 리스트를 검토하여 최신화합니다.