“방화벽이 있으니 안전하겠지”라고 생각하기 쉽지만, 방화벽은 막는 대상에 따라 종류가 다릅니다. DDoS 방어와 웹 방화벽(WAF)은 가장 자주 혼동되는 두 가지입니다.
한눈에 비교
| 구분 | DDoS 방어 | 웹 방화벽(WAF) |
|---|---|---|
| 막는 대상 | 대량 트래픽으로 서비스를 마비시키는 공격 | 웹 요청 안에 숨은 공격 패턴 |
| 대표 공격 | UDP/SYN Flood, HTTP Flood | SQL 인젝션, XSS, 파일 인클루전 |
| 동작 계층 | 주로 L3/L4(네트워크·전송), L7 일부 | L7(애플리케이션) |
| 판단 기준 | 트래픽의 양과 패턴 | 요청 내용(URL, 파라미터, 헤더) |
| 못 막는 것 | 정상 요청처럼 보이는 취약점 공격 | 대역폭을 가득 채우는 대규모 트래픽 |
DDoS 방어는 “양”을 본다
DDoS는 서버나 회선이 처리할 수 있는 양을 넘겨서 정상 이용자가 접속하지 못하게 만드는 공격입니다. 방어는 비정상적으로 몰리는 트래픽을 걸러내는 것이 목적입니다. 요청 하나하나의 내용이 악의적인지보다 양과 패턴을 봅니다.
- L3/L4 공격(UDP·SYN·ICMP Flood): 네트워크 대역폭을 소진시킵니다. 회선 앞단에서 차단해야 합니다.
- L7 공격(HTTP Flood): 정상 요청처럼 보이는 요청을 대량으로 보내 웹 서버를 마비시킵니다.
자세한 구분은 DDoS 공격 유형과 DDoS 방어 원리에서 다룹니다.
웹 방화벽은 “내용”을 본다
WAF는 웹 서버 앞에서 HTTP 요청의 내용을 검사합니다. 요청 한 건은 정상 트래픽처럼 보여도, 파라미터 안에 공격 코드가 들어 있으면 걸러냅니다.
- SQL 인젝션: 입력값에 SQL 구문을 끼워 넣어 DB를 조작하는 공격
- XSS: 페이지에 악성 스크립트를 심어 방문자를 공격하는 공격
- 파일 인클루전·경로 조작: 서버의 다른 파일을 불러오게 하는 공격
- 악성 봇·취약점 스캐너: 알려진 취약점을 자동으로 찾아다니는 접속
일반적으로 OWASP에서 정리한 웹 취약점 목록(OWASP Top 10)과 공개된 규칙 집합(예: OWASP CRS)을 기준으로 알려진 공격 패턴을 막습니다.
WAF의 한계도 알아야 한다
- 알려진 패턴 중심입니다. 시그니처(규칙) 기반 탐지는 이미 알려진 공격에 강하고, 새로운 공격이나 교묘하게 변형한 공격은 놓칠 수 있습니다.
- 오탐이 생길 수 있습니다. 정상 요청을 공격으로 오인해 막는 일이 있어서, 처음에는 탐지만 하면서 오탐을 정리한 뒤 차단으로 전환하는 것이 안전합니다.
- 코드의 취약점을 고쳐 주지는 않습니다. WAF는 보호막일 뿐이고, 업데이트와 안전한 코딩이 여전히 필요합니다.
- 이미 침해된 서버는 막을 수 없습니다. 해킹 이후의 웹쉘 제거와 복구는 별도의 점검이 필요합니다.
둘은 서로 대체하지 않는다
한 서비스 앞에서 두 방어는 서로 다른 층에서 동작합니다.
인터넷 → [DDoS 방어: 트래픽 폭주 차단] → [WAF: 요청 내용 검사] → 웹 서버
- DDoS 방어만 있으면 SQL 인젝션 같은 공격은 그대로 통과합니다.
- WAF만 있으면 대규모 트래픽에 회선이 먼저 막혀 WAF까지 도달하지 못할 수 있습니다.
TCP-80.NET은 모든 서버에 네트워크 레이어 DDoS 방어를 기본으로 제공하고, 필요하면 웹 프록시·방어존·방화벽을 추가할 수 있습니다. 웹 방화벽은 해킹 복구·이전 서비스의 구성 요소로 제공합니다. 전체 구성은 보안 서비스 안내에서 확인하세요.