기존 방화벽과 차세대 방화벽(NGFW) 이해하기 - 4계층 패킷 필터링부터 L7 애플리케이션 제어까지

이번 글에서는 네트워크 보안의 대표적인 장비인 기존 방화벽(Legacy/Stateful Firewall)과 차세대 방화벽(Next-Generation Firewall, NGFW)에 대해 알아보고자 한다.

네트워크 공부를 하다 보면 두 장비 모두 "외부의 공격을 막아주는 보안 장비"라고 설명되어 있어 정확히 어떤 차이가 있는지 헷갈리기 쉽다.

 

이 글의 핵심 질문은 다음과 같다.

기존 방화벽과 차세대 방화벽은 둘 다 패킷을 차단하는데, 정확히 무엇이 다르고 왜 NGFW가 등장했을까?

결론부터 말하면 검사하는 깊이(계층)와 제어 단위가 다르다.

기존 방화벽은 IP와 Port(L3~L4)만 확인하는 보안요원이고, 차세대 방화벽은 패킷의 속 내용과 애플리케이션(L7)까지 검사하는 종합 검역소다.

이해를 돕기 위해 비유를 들어보자.

회사 건물(내부 네트워크) 입구에 전달되는 택배 상자(Packet)를 검사하는 상황을 생각해보자.

• 기존 방화벽: 택배 상자 겉면에 적힌 보내는 사람 주소(IP)와 받는 부서 번호(Port)만 확인한다. 내용물이 무엇이든 주소만 맞으면 통과시킨다.
• 차세대 방화벽(NGFW): 택배 상자를 직접 개봉하여 내용물(Application Data)을 확인한다. 위험한 물품(악성코드)이 들어 있는지, 원래 부서 목적에 맞는 물건인지(웹 브라우징 vs P2P 파일 다운로드) 검사한 뒤 통과시킨다.

기존 방화벽 (Legacy / Stateful Firewall)

기존 방화벽은 주로 OSI 7계층 중 L3(네트워크 계층)와 L4(전송 계층) 정보에 기반하여 트래픽을 제어한다.

NIST에서는 방화벽을 서로 다른 보안 수준을 가진 네트워크 사이에서 트래픽의 흐름을 제어하는 장치로 정의한다.

가장 대표적인 방식은 Stateful Inspection(상태 기반 검사)이다.

Source IP      : 192.168.1.50
Destination IP : 142.250.196.142
Protocol       : TCP
Destination Port : 443 (HTTPS)

 

기존 방화벽은 이러한 헤더 정보를 바탕으로 미리 정의된 Rule(방화벽 정책)과 세션 상태 테이블(State Table)을 조회하여 통과 여부를 결정한다.

내부 PC ─────────> 기존 방화벽 ─────────> 외부 웹 서버
                  [Rule Check]
              IP / Port / Session OK
                     ↓
                   ALLOW

 

기존 방화벽의 한계

과거에는 특정 서비스가 특정 포트를 전용으로 사용했기 때문에(예: HTTP=80, HTTPS=443, SSH=22), 포트 번호만 막아도 보안 통제가 가능했다.

하지만 현대의 인터넷 환경에서는 다음과 같은 문제점들이 발생했다.

1. 포트 변조 및 우회: 악성코드나 P2P 프로그램이 방화벽을 우회하기 위해 80이나 443 같은 허용된 웹 포트를 악용한다.
2. 암호화 트래픽 증가: HTTPS(443 Port) 트래픽이 보편화되면서, 기존 방화벽은 443 포트라는 이유로 통과시킬 수밖에 없다. (패킷 내부의 악성 콘텐츠를 볼 수 없음)
3. 사용자 식별 불가능: IP 주소 기반으로만 제어하므로, 동일한 IP를 사용하는 환경에서 특정 "사용자 계정" 단위의 정책 적용이 불가능하다.

"포트 80과 443만 열어두면, 그 포트로 웹 접속만 들어오는지, 웹으로 위장한 P2P 파일 공유나 악성코드 전달이 들어오는지 알 수 없다."

이러한 한계를 극복하기 위해 등장한 것이 바로 차세대 방화벽(NGFW)이다.

차세대 방화벽 (NGFW, Next-Generation Firewall)

차세대 방화벽은 기존 L3/L4 기반의 방화벽 기능에 L7(애플리케이션 계층) 심층 검사 기능과 다양한 보안 기술이 일체화된 장비다.

Gartner에 따르면 NGFW는 기존 방화벽 기능 외에 Application Awareness(애플리케이션 인지), IPS(침입 방지 시스템), 사용자 ID 식별, 외부 위협 정보 연동 등을 통합 제공해야 한다고 정의한다.

728x90

 

 

[ 패킷 입력 ]
        ↓
┌─────────────────────────────────────────┐
│ 차세대 방화벽 (NGFW)                     │
│                                         │
│ 1. IP / Port / Session 검사 (L3/L4)     │
│ 2. Application Identification (L7)      │
│ 3. User Identity Check (AD/SSO 연동)    │
│ 4. Deep Packet Inspection & IPS       │
└─────────────────────────────────────────┘
        ↓
    ALLOW / DENY

 

NGFW의 핵심적인 차별점 3가지를 정리하면 다음과 같다.

 

1. Application Identification (애플리케이션 제어)

NGFW는 포트 번호에 의존하지 않고, 패킷의 페이로드(Payload) 시그니처를 분석하여 실제 어떤 애플리케이션 통신인지 식별한다.

예를 들어 똑같이 TCP 443(HTTPS) 포트를 사용하는 트래픽이라도 NGFW는 이를 구분해낸다.

Port 443 (HTTPS) 트래픽 분석 결과:
 ├─ KakaoTalk 메시지  → 허용
 ├─ KakaoTalk 파일전송 → 차단
 └─ Torrent P2P 통신  → 차단

기존 방화벽이라면 443 포트를 모두 열거나 모두 막아야 했지만, NGFW는 "포트는 허용하되, 특정 애플리케이션의 특정 기능(파일 업로드 등)만 차단"하는 세밀한 제어가 가능하다.

2. Deep Packet Inspection (DPI) & IPS 통합

DPI(심층 패킷 분석) 기술을 통해 패킷의 헤더뿐만 아니라 데이터 본문(Payload)에 악성코드, 랜섬웨어 시그니처, 취약점 공격 코드(Exploit)가 포함되어 있는지 검사한다.

기존에는 방화벽 뒤에 별도의 IPS(침입 방지 시스템) 장비를 두어 2중으로 처리해야 했지만, NGFW는 이를 하나의 엔진에서 전용 하바드/소프트웨어 가속을 통해 처리한다.

[ 기존 네트워크 구조 ]
인터넷 ───> 기존 방화벽 (L4) ───> IPS (L7) ───> 내부망

[ NGFW 도입 구조 ]
인터넷 ─────────> NGFW (L4 + L7 + IPS 통합) ─────────> 내부망

 

3. User Identity (사용자 기반 제어)

IP 주소는 DHCP 환경에서 유동적으로 변하거나, NAT 뒤에 숨겨질 수 있다.

NGFW는 사내 인증 서버(Active Directory, LDAP, SSO 등)와 연동하여 "192.168.1.50 이라는 IP"가 아닌 "개발팀 홍길동"이라는 사용자 단위로 정책을 적용한다.

Rule 예시:
- [영업팀 그룹] → 웹 서핑 허용, Cloud Storage 접속 차단
- [개발팀 그룹] → GitHub 접속 허용, SSH 접속 허용

 

 

기존 방화벽과 차세대 방화벽의 차이점을 표로 정리하면 아래와 같다.

구분	기존 방화벽 (Legacy Firewall)	차세대 방화벽 (NGFW)
주요 동작 계층	L3 ~ L4 (네트워크/전송 계층)	L3 ~ L7 (애플리케이션 계층까지)
식별 기준	IP, Port, Protocol, Session State	Application, User, Content, IP, Port
포트 우회 대응	불가능 (포트 번호로만 판단)	가능 (패킷 내부 시그니처 분석)
보안 기능	패킷 필터링, 세션 관리	DPI, IPS, Anti-Virus, URL 필터링 통합
처리 성능	단순 구조로 리소스 소모 적음	깊은 패킷 검사(DPI)로 고성능 칩셋 필요