기업 방화벽 정책 설계 실전: 기본 차단에서 업무 화이트리스트까지

기본 차단은 구호가 아니라 모든 장비의 출고 기본값입니다

베이징의 한 크로스보더 전자상거래 기업의 전산실에서 우리는 가장 전형적인 ‘관대한 정책’의 참사를 목격한 적이 있습니다. 빠르게 성장하던 80명 규모의 회사였는데, 편의를 위해 IT 매니저가 방화벽 정책에 ‘Any to Any’ 허용 규칙을 그대로 추가하고 ‘업무 중단 방지’라는 그럴듯한 이름을 붙였습니다. 그 결과 3개월 후 랜섬웨어가 무역 관련 이메일 첨부파일을 타고 침투해 핵심 주문 데이터베이스를 암호화했고, 손실은 45만 위안에 달했습니다. 이 뼈아픈 교훈은 방화벽의 근간이 반드시 ‘기본 차단’이어야 함을 보여줍니다. 이것은 기술자의 오만이 아니라 업무 안전에 대한 경외심입니다. 진정한 보안 정책은 베이징 자금성의 해자와 같아야 합니다. 기본 상태에서는 모든 물의 흐름이 차단되고, 특정 ‘통행증’을 가진 데이터 패킷만 통과할 수 있습니다.

기본 차단을 시행하는 것은 한 번에 이루어지지 않으며, 네트워크 트래픽을 ‘유죄 추정’으로 간주하는 자세가 필요합니다. 50~100명 규모의 기업에서는 업무가 비교적 집중되어 있어 일반적으로 OA 사무, 메일 시스템, ERP, 일부 외부용 웹 서비스를 포함합니다. 우리는 무작정 전부 허용하지 않고, 먼저 불필요한 모든 인바운드 및 아웃바운드 트래픽을 차단합니다. 내부 직원의 인터넷 접속에 대해서는 HTTP/HTTPS 등 기본 웹 서비스만 개방하고, 445, 3389와 같은 고위험 포트의 인터넷 접속은 차단합니다. 이러한 ‘화이트리스트’ 사고방식은 운영 담당자가 업무 아키텍처를 완전히 파악하여 누가 언제 어디에 접속하는지 알아야 함을 요구합니다. 이는 단순한 방화벽 설정이 아니라 기업 업무 프로세스에 대한 심층 점검입니다.

계층형 정책과 업무 화이트리스트: 블록을 쌓듯 안전망 구축하기

많은 중소기업이 방화벽을 구성할 때 ‘일괄 적용’ 방식을 선호하여 모든 규칙을 경계 방화벽에 쌓아두고, 그 결과 정책 라이브러리가 비대해지고 규칙 충돌까지 발생합니다. Siwenlide의 서비스 체계에서는 계층형 정책 설계를 권장하며, 보안 방어선을 경계, 영역, 호스트의 세 계층으로 구분합니다. 60명 규모의 제조업 기업을 예로 들면, 네트워크를 사무 구역, 생산 구역, 서버 구역, 방문객 구역으로 나눕니다. 경계 방화벽은 외부 공격을 차단하고, 영역 간 방화벽은 서로 다른 부서 간의 횡적 이동을 통제하며, 호스트 수준의 정책은 마지막 방어선 역할을 합니다. 이러한 아키텍처에서는 해커가 경계를 돌파하더라도 내부 네트워크를 마음대로 돌아다닐 수 없습니다.

업무 화이트리스트의 수립은 이 작업의 핵심입니다. 우리는 업무 부서에 깊이 들어가 재무부는 ERP의 특정 포트에만 접속할 수 있고, 연구개발부는 코드 저장소에 접속할 수 있지만 출처가 불분명한 다운로드 사이트에는 접속이 엄격히 금지되며, 방문객 Wi-Fi는 인터넷만 접속할 수 있고 내부 자원에는 절대 접근할 수 없다는 점을 명확히 파악해야 합니다. Siwenlide가 제공하는 IT 운영 아웃소싱 서비스에서는 고객이 이 ‘업무 여권’을 정리하도록 지원합니다.네트워크 장비 패키지 서비스는 하드웨어 제공뿐만 아니라 이 정책의 지속적인 최적화도 포함합니다. 계층적 통제를 통해 우리는 위험을 최소 단위로 격리하여 특정 구역이 뚫리더라도 눈사태 효과가 발생하지 않도록 보장합니다. 이러한 정밀한 관리는 14년간 축적된 소중한 자산입니다.

로그 감사와 안티패턴: 보안이 ‘눈먼 상태’가 되지 않게 하라

많은 기업이 방화벽을 도입한 후 로그 감사의 중요성을 간과하거나, 저장 공간을 절약하기 위해 아예 로그 기능을 꺼버립니다. 이는 커다란 오해입니다. 로그가 없으면 방화벽은 ‘눈’을 잃은 것이며, 사고가 발생하면 원인을 추적조차 할 수 없습니다. 50-100명 규모의 기업 환경에서 로그 감사는 규정 준수 요구사항일 뿐만 아니라 잠재적 위협을 발견하는 핵심입니다. 우리는 로그 보존 기간을 최소 180일로 설정하고 정기적으로 비정상 트래픽을 분석할 것을 권장합니다. 예를 들어, 특정 사무용 PC가 새벽 3시에 외부 IP 연결을 빈번히 시도한다면 이는 채굴 트로이 목마에 감염되었을 가능성이 매우 높으며, 로그가 즉시 경고를 보낼 수 있습니다.

흔한 안티패턴에 대응하여 우리는 반드시 피해야 할 다섯 가지 함정을 정리했습니다:

1. 정책 일반화: ‘Any’를 출발지 또는 목적지 주소로 사용하는 것을 피하고, IP 대역 심지어 단일 IP까지 정확히 지정해야 합니다.
2. 포트 광범위 개방: 편의를 위해 전체 포트 범위를 개방하지 말고, 업무에 필요한 특정 포트만 개방하십시오.
3. 업데이트 소홀: 방화벽 펌웨어와 시그니처 라이브러리는 최신 상태를 유지해야 하며, 그렇지 않으면 새로운 취약점을 방어할 수 없습니다.
4. 훈련 부족: 사고가 발생한 후 후회하기보다 정기적으로 모의 공격을 통해 정책의 유효성을 테스트하십시오.
5. 권한 남용: 관리자 권한은 반드시 등급별로 관리하고, 한 사람이 과도한 권한을 가져 오작동을 일으키는 것을 피해야 합니다.

더 높은 보안 등급을 추구하는 기업에는 제로 트러스트 아키텍처 도입을 권장합니다. 전통적인 경계 방어는 복잡한 내부 위협과 원격 근무 환경에 대응하기 어렵습니다. 우리의 파생 제품인 sTrust 제로 트러스트 솔루션은 신원과 장치 상태를 지속적으로 검증하여 ‘절대 신뢰하지 않고, 항상 검증한다’를 실현합니다.sTrust 제로 트러스트는 기존 방화벽 정책에 원활하게 통합되어 핵심 업무에 추가적인 보안 해자를 제공할 수 있습니다. 14년의 실무에서 우리는 세부 사항을 간과하여 막대한 대가를 치른 기업을 너무 많이 보았습니다. 보안에 사소한 일은 없으며, 정책 최적화 한 번 한 번이 기업 자산을 강화하는 일입니다.