페이지 주제

일반
6
AWS Firewall Manager 활성화
8
대시보드 및 가시성
3

일반

AWS Firewall Manager는 AWS Organizations의 여러 계정과 애플리케이션에 걸쳐 방화벽 규칙을 중앙에서 구성 및 관리할 수 있는 보안 관리 서비스입니다. Firewall Manager를 사용하는 경우, 새로운 애플리케이션이 생성될 때 새로운 애플리케이션 및 리소스가 공통 보안 규칙 세트를 손쉽게 준수하도록 할 수 있습니다. 이제 단일 서비스를 통해 방화벽 규칙을 수립하고, 보안 정책을 생성하며, 전체 인프라에 걸쳐 일관된 계층형 방식으로 이를 적용할 수 있게 되었습니다.

AWS Firewall Manager는 AWS Organizations와 통합되므로, 한 장소에서 여러 AWS 계정 및 리소스에 AWS WAF 규칙, AWS Shield Advanced 보호, VPC 보안 그룹, AWS Network Firewall, Amazon Route 53 Resolver DNS Firewall 규칙을 활성화할 수 있습니다. Firewall Manager는 생성된 새로운 리소스 또는 계정을 모니터링하여 이러한 리소스 또는 계정이 처음부터 필수 보안 정책 세트를 준수하도록 보장합니다. 규칙을 그룹화하고, 정책을 수립한 후, 이러한 정책을 전체 인프라에 걸쳐 중앙에서 적용할 수 있습니다. 예를 들어 여러 계정에 걸쳐 글로벌 보안 정책을 적용할 수 있는 기능을 유지하면서 한 계정 내에서 애플리케이션별 규칙 생성을 위임할 수 있습니다. 조직에 대한 위협이 있는 경우 보안 팀에 알림을 제공하므로, 공격에 대응하여 신속하게 이를 완화할 수 있습니다.

또한 Firewall Manager는 AWS WAF용 관리형 규칙과 통합되므로, 사전 구성된 WAF 규칙을 애플리케이션 앞에 손쉽게 배포할 수 있습니다.

보안 관리자는 Firewall Manager를 활용하여 Amazon VPC의 EC2 인스턴스, Application Load Balancer 및 ENI(탄력적 네트워크 인터페이스)에 대한 보안 그룹 규칙의 기준 세트를 적용할 수 있습니다. 이와 동시에, 단일 위치에서 VPC의 기존 보안 그룹을 감사하여 과도한 권한의 규칙이 있는지 확인하고 해결할 수 있습니다.

또한 Firewall Manager를 활용하여 중앙에서 조직의 여러 VPC에 AWS Network Firewall에 대한 규칙을 배포함으로써 네트워크의 들어오고 나가는 트래픽을 제어할 수 있습니다. 동시에 방화벽 관리자를 사용하여 계정 전체의 VPC를 Route 53 Resolver DNS Firewall 규칙과 연결하여 알려진 악의적인 도메인에 대해 만들어진 DNS 쿼리를 차단하고 신뢰할 수 있는 도메인에 대한 쿼리를 허용할 수도 있습니다.

AWS Firewall Manager를 사용하면 조직의 여러 계정 및 리소스에 대한 AWS WAF 규칙, AWS Shield Advanced 보호, Amazon Virtual Private Cloud(VPC) 보안 그룹 및 네트워크 액세스 제어 목록(ACL), AWS Network Firewall 및 Amazon Route 53 Resolver DNS Firewall 규칙을 중앙에서 구성할 수 있습니다.

AWS Firewall Manager를 사용할 경우, 

  • AWS Firewall Manager를 사용하면 Application Load Balancer, API Gateway 및 Amazon CloudFront 배포에 대한 AWS WAF 규칙을 중앙에서 손쉽게 적용할 수 있습니다. 
  • Application Load Balancer, ELB Classic Load Balancer, 탄력적 IP 주소 및 CloudFront 배포에 대한 AWS Shield Advanced 보호를 생성할 수 있습니다. 
  • 또한 Amazon Virtual Private Cloud(VPC) 보안 그룹을 구성하고, Amazon EC2, Application Load Balancer(ALB) 및 ENI 리소스 유형에 대한 기존 보안 그룹을 감사할 수 있습니다. 
  • 조직의 계정 및 VPC 간에 AWS Network Firewall을 배포할 수도 있습니다.
  • 마지막으로 AWS Firewall Manager를 사용하면 조직의 VPC 간에 Amazon Route 53 Resolver DNS Firewall 규칙을 연결할 수도 있습니다.
  • VPC 서브넷에 대한 새로운 Amazon Virtual Private Cloud(VPC) 네트워크 액세스 제어 목록(ACL)을 구성할 수 있습니다.

AWS Firewall Manager 요금은 여기를 참조하세요.

현재 AWS Firewall Manager가 제공되는 리전을 확인하려면 AWS 리전 표를 참조하세요.

AWS Firewall Manager 활성화

AWS Firewall Manager를 사용하려면 세 가지 필수 사전 조건과 한 가지 선택적 사전 조건을 충족해야 합니다.

  • AWS Organizations - 계정이 AWS Organizations에 속해 있고 모든 기능이 사용 가능해야 합니다. 자세한 내용은 AWS Organizations 설명서를 참조하세요.
  • AWS Firewall Manager 관리자 계정 설정 - Firewall Manager가 AWS Organizations의 관리 계정에 연결되어 있거나 적절한 권한이 있는 멤버 계정에 연결되어 있어야 합니다. Firewall Manager와 연결하는 계정을 Firewall Manager 관리자 계정이라고 부릅니다. 자세한 내용은 설명서 가이드를 참조하세요.
  • 계정에 대해 AWS Config 사용 - 조직 내 각 멤버 계정에 대해 AWS Config를 사용합니다. AWS Config 설명서를 참조하세요.
  • AWS Resource Access Manager 활성화(선택 사항) - Firewall Manager가 AWS Network Firewall을 중앙에서 구성하거나 Amazon Route 53 Resolver DNS Firewall 규칙을 계정 및 VPC 간에 연결할 수 있도록 하려면 먼저 AWS Resource Access Manager를 사용하여 리소스 공유를 활성화해야 합니다.
  • 첫째, 위에 언급된 사전 조건을 갖춥니다.
  • 둘째, AWS WAF, AWS Shield Advanced, VPC Security Group, AWS Network Firewall 또는 Amazon Route 53 Resolver DNS Firewall에 대한 정책 유형을 생성합니다.
  • 셋째, 정책에 따라 규칙 또는 보호 세트를 지정합니다. 예를 들어 AWS WAF에 대한 정책의 경우 여러 계정에 배포할 규칙 그룹(사용자 지정 또는 관리형)을 지정합니다. 마찬가지로, VPC 보안 그룹 정책의 경우 계정 내의 각 리소스에 복제할 보안 그룹을 참조합니다. AWS Network Firewall의 경우 계정의 여러 VPC에 배포할 규칙 그룹(상태 저장 및 상태 비저장)을 지정합니다. Amazon Route 53 Resolver DNS 방화벽의 경우 계정의 VPC와 연결할 규칙 집합(규칙 그룹)을 지정합니다.
  • 넷째, 계정, 리소스 유형 및 필요한 경우 정책을 배포할 위치에 대한 리소스 태그를 선택하여 정책의 범위를 지정합니다.
  • 마지막으로 정책을 검토 및 생성합니다. Firewall Manager는 계정 전체의 모든 리소스에 규칙 및 보호를 자동으로 적용합니다. 완료되면 Firewall Manager의 규정 준수 대시보드에 비준수 및 준수 상태의 계정/리소스가 표시됩니다.

예. Firewall Manager 정책을 2가지 모드로 구성할 수 있습니다.

  • 자동 수정을 사용하면 자동으로 정책 변경 사항을 모니터링하고 규정 비준수 리소스에 규칙을 적용합니다.
  • 수동 수정을 사용하면 각 계정에 새로운 정책 및 관련 규칙/보호를 생성하지만 계정의 리소스에 해당 규칙을 적용하지는 않습니다. 수동 수정으로 정책이 생성된 후, 각 로컬 계정에 대해 수동으로 작업하도록 선택하거나, 언제든 자동으로 수정하도록 정책을 변경할 수 있습니다.

각 Firewall Manager 정책의 범위에는 최대 2,500개 계정이 포함될 수 있습니다. 이는 AWS Organizations의 계정 수 기본 한도와 같습니다.

현재 AWS Firewall Manager에서 관리할 수 있는 리소스의 수에는 제한이 없습니다.

아니요. AWS Firewall Manager 보안 정책은 리전별로 구성됩니다. 각 Firewall Manager 정책은 지정된 AWS 리전에서 사용할 수 있는 리소스만 포함할 수 있습니다. 운영하는 리전별로 새로운 정책을 생성할 수 있습니다.

예. 계정을 제외할 수 있습니다. 태그를 사용하여 정책 범위에서 제외해야 하는 리소스를 지정할 수도 있습니다.

Firewall Manager 보안 정책은 고객이 각 방화벽 유형에 따라 사용자 지정된 추가 구성 없이도 방화벽 규칙 세트를 연결해야 하는 계정 및 리소스를 지정할 수 있도록 지원하는 구성 세트입니다. 현재 Firewall Manager는 AWS WAF, AWS Shield Advanced, VPC 보안 그룹, AWS Network Firewall, Amazon Route 53 Resolver DNS Firewall 및 AWS Marketplace 서드 파티 방화벽을 지원합니다.

대시보드 및 가시성

Firewall Manager에서 정책 범위에 포함된 계정 수와 해당 계정 중 규정을 준수하는 계정 수를 확인하면 각 정책에 대한 규정 준수 상태를 신속하게 파악할 수 있습니다. 또한, Firewall Manager에 구성된 각 정책에 대해 규정 준수 대시보드가 제공됩니다. 중앙 규정 준수 대시보드를 사용하면 특정 정책에 대해 어떤 계정과 리소스가 비준수 상태인지 볼 수 있으며, 특정한 리소스가 비준수 상태인 이유에 대한 정보도 볼 수 있습니다. AWS Security Hub에서도 각 계정에 대한 비준수 이벤트를 확인할 수 있습니다.

예. 새로운 비준수 리소스가 발견되면 실시간 알림을 수신하도록 새로운 SNS 알림 채널을 생성할 수 있습니다. 마찬가지로, Firewall Manager 정책 범위에 포함된 각 계정은 AWS Security Hub에서 비준수 이벤트에 대한 알림을 받을 수 있습니다.

생성된 각 Firewall Manager 정책에 대해, 규칙 그룹 내 규칙별로 전체 조직에서 허용되거나 차단된 요청 수를 보여주는 CloudWatch 지표를 집계할 수 있습니다. 따라서 조직 전체의 위협에 대한 알림을 한곳에서 설정할 수 있게 됩니다.