Q06. 방화벽과 웹방화벽의 차이는 무엇인가요?

By PLURA

A. 두 장비는 보호 대상과 분석 수준이 완전히 다릅니다.

방화벽과 웹방화벽은 자주 혼용되지만,
실제로는 역할과 분석 범위가 명확히 구분됩니다.

※ 방화벽: Firewall
※ 웹방화벽: Web Application Firewall

방화벽 vs 웹방화벽 비교

구분 방화벽(Firewall) 웹방화벽(WAF)
분석 대상 IP 주소, 포트 웹 요청(Request)·응답(Response)
주요 기능 네트워크 접근 제어 웹 공격 탐지·차단
인식 범위 L3~L4 L7 (웹 애플리케이션)
SQLi/XSS 인지 불가 탐지 및 차단 가능
요청본문 분석 불가능 가능
HTTPS 복호화 후 분석 불가능 가능(구성에 따라)
API 보호 제한적 가능
핵심 역할 문을 지키는 수문장 내용물을 검사하는 검수원

일반적으로 방화벽에서는
웹 서버가 사용하는 443(HTTPS) 포트만 허용하고
그 외 트래픽은 모두 차단합니다.

이 구조에서는:

  • 방화벽은 포트 단위까지만 관여
  • 웹 패킷의 내용(Request/Response)은 분석하지 않음
  • 웹 공격은 웹방화벽에서만 식별 가능

웹방화벽은 웹 패킷만 선별·분석하고,
웹 트래픽이 아닌 데이터는 모두 버립니다.
그 결과 웹 서버는 웹방화벽이 검증한 웹 패킷만 전달받게 됩니다.

즉,

방화벽은 누가 들어오는지를 보고,
웹방화벽은 무엇을 보내는지를 봅니다.

왜 둘 다 필요한가요?

웹 서비스를 운영할 때
“443 포트만 열어두었으니 안전하다”고 생각하기 쉽습니다.

하지만 443은
웹 공격도 함께 들어오는 통로입니다.

예를 들어:

  • SQL Injection
  • XSS
  • 파일 업로드 공격
  • 인증 우회
  • API 악용
  • 비정상적인 요청 본문

과 같은 공격은
모두 정상적인 443 포트를 통해 들어옵니다.

따라서 웹 서비스를 보호하려면:

  • 방화벽으로 열어도 되는 통로를 제한하고
  • 웹방화벽으로 그 통로를 통해 들어오는 내용을 검사해야 합니다.

웹 서비스 보호를 위한 기본 구성도

flowchart LR
    USER["WEB 사용자"]
    FW["방화벽<br/>(IP·Port 제어)"]
    WAF["웹방화벽<br/>(웹 패킷 분석·차단)"]
    WEB["웹 서버"]
    LOG["로그/XDR 분석"]

    USER --> FW --> WAF --> WEB
    WAF --> LOG
    WEB --> LOG

Web Flow

이 구조에서:

  • 방화벽은 허용된 통로만 열어두고
  • 웹방화벽은 웹 요청을 분석해 차단 또는 통과시키며
  • 이후 로그는 XDR/SIEM으로 연결되어
    차단되지 않은 이상 행위까지 분석할 수 있습니다.

PLURA는 이 구조에서 어떤 역할을 하나요?

PLURA는 단순히 “WAF 하나”의 역할에 머물지 않습니다.

  • 웹방화벽에서 웹 공격을 차단하고
  • 요청·응답 로그를 정밀 분석하며
  • 이후 호스트·계정·시스템 이벤트와 연결해 XDR 관점에서 전체 공격 흐름을 볼 수 있도록 합니다.

즉,
방화벽과 웹방화벽의 차이를 이해하는 것은
단순한 제품 비교가 아니라,

웹 공격을 어디서 막고,
이후 어떤 로그로 끝까지 볼 것인가를 이해하는 출발점입니다.

정리하면

방화벽과 웹방화벽은
서로 대체하는 장비가 아닙니다.

  • 방화벽은 문을 지키는 역할
  • 웹방화벽은 내용을 검사하는 역할

입니다.

그리고 웹 서비스를 제대로 보호하려면
이 두 역할은 반드시 분리되어야 합니다.

웹 서비스를 운영한다면
443 포트를 여는 것만으로는 부족합니다.
그 안으로 들어오는 내용을 검사해야 합니다.

함께 읽을 글

📚 방화벽(Firewall)에 대한 올바른 이해 https://blog.plura.io/ko/column/understanding_firewall/

📚 ‘웹서버인 줄 모르는’ 보안·인프라 장비들 https://blog.plura.io/ko/column/hidden_web_surfaces/

📚 웹방화벽 우회 공격에 대응하기 https://blog.plura.io/ko/column/waf_dev_exception/

📚 웹방화벽(WAF)에 대한 이해 https://blog.plura.io/ko/column/onpremise_inline_waf/

Tags