Security

방화벽, 처리량 스펙보다 배치와 정책 설계가 우선입니다

처리량 숫자가 큰 장비를 들이는 것과, 네트워크 어디에 어떤 정책으로 배치할지 설계하는 것은 다른 문제입니다.
경계 방어부터 내부 세그멘테이션까지 하나의 체계로 설계합니다.
경계 방어 · Perimeter

인터넷 경계 통합 위협 차단

인터넷 연결 구간에서 IPS·안티바이러스·애플리케이션 제어를 한 번에 처리하는 통합 방어 구성입니다.

지사 · SD-WAN

지사 통합 보안 게이트웨이

지사·현장에 SD-WAN과 보안 기능을 하나의 장비로 통합해, 회선비용과 관리 부담을 함께 줄이는 구성입니다.

데이터센터 · 세그멘테이션

내부망 마이크로 세그멘테이션

서버 구간을 잘게 나누고 구간 사이 통신을 검사해, 한 곳이 뚫려도 내부로 번지지 않게 막는 구성입니다.

핵심 스펙, 왜 이게 중요한가
사양표만 보고는 판단하기 어려운 부분을, 실제 위협 대응 관점에서 짚어드립니다.
처리량 측정 기준 : Firewall vs Threat Protection
  • Firewall Throughput : 방화벽 기능만 켠 처리량, 카탈로그 대표 수치
  • Threat Protection : IPS·AV·앱 제어를 모두 켠 처리량
  • 용량 산정 : 실제 운영은 위협 방지 처리량 기준으로
카탈로그의 큰 숫자는 대부분 방화벽 단독 기준입니다. 보안 기능을 모두 켜면 처리량이 크게 줄어들기 때문에, 위협 방지 처리량(벤더에 따라 Threat Protection·Threat Prevention 등) 기준으로 용량을 계산해야 합니다.
세션 수 · 초당 신규 연결
  • Concurrent Sessions : 동시 세션 수, 사용자·서버 수에 비례
  • New Connections/sec : 초당 신규 세션 생성 속도
  • 세션 테이블 고갈 : 부족하면 정상 트래픽도 차단됨
대역폭이 충분해도 세션 수가 부족하면 접속이 끊깁니다. 웹서비스 프론트엔드처럼 짧은 연결이 잦은 환경은 초당 신규 연결 수를 먼저 확인해야 합니다.
SSL/TLS 복호화 처리 성능
  • 암호화 트래픽 검사 : 복호화해야 내용 기반 위협 탐지 가능
  • SSL Inspection 처리량 : 일반 처리량과 별도로 확인
  • TLS 1.3 : 최신 암호화 프로토콜 검사 지원 확인
웹 트래픽 대부분이 암호화된 요즘, 복호화 성능이 낮으면 검사 자체가 병목이 됩니다. 복호화를 켜면 처리량이 크게 떨어지므로 SSL Inspection 처리량을 따로 확인해야 합니다.
고가용성 구성 : Active/Active vs Active/Standby
  • Active/Standby : 장애 시 대기 장비로 전환, 구성 단순
  • Active/Active : 두 장비가 함께 처리, 처리 용량 증가
  • 세션 동기화 : 전환 시 기존 연결 유지 여부 결정
세션 동기화가 안 되는 이중화 구성은 장애로 전환될 때 모든 연결이 끊겨 다시 접속해야 합니다. 서비스 중단이 민감한 환경이라면 세션 동기화 지원 여부를 반드시 확인해야 합니다.

보안 인프라, 실제로는 이렇게 구성됩니다

외부 트래픽 유입부터 내부 보안 존까지 — 구성요소에 마우스를 올리면 아래 설명과 함께 강조됩니다.
인터넷 · 외부 지사 · 원격 근무
인터넷 회선
차세대 방화벽 (NGFW) · 이중화
방화벽 1트래픽 검사 · 정책 적용
방화벽 2대기 또는 동시 처리
세션 동기화 (HA)한 대가 멈춰도 기존 연결 유지
보안 검사 기능 방화벽 안에서 순서대로 동작합니다
SSL 복호화암호화 트래픽 해제
IPS · 안티바이러스침입·악성코드 차단
앱 · URL 제어업무 외 서비스 통제
통합 관리 · 로그 정책 일괄 배포, 위협 탐지 현황, 감사 로그 보관
정책 백업
존별 정책
적용
내부 보안 존
DMZ외부 공개 서버
업무망사용자 PC
서버망DB · 핵심 시스템
일반적인 경계 보안 구성 예시입니다. 실제 구성은 규모·트래픽·보안 규정에 맞춰 설계해 제안합니다.
이중화 (HA)
서비스 중단이 민감하다면 → 세션 동기화를 지원하는 이중화 구성을 문의하세요.
SSL 복호화
암호화 트래픽 비중이 높다면 → SSL Inspection 처리량을 문의하세요.
위협 방지
최신 공격 대응이 필요하다면 → 위협 정보 업데이트 방식과 주기를 확인해야 합니다.
내부 보안 존
내부 확산 방지가 필요하다면 → 존 분리와 마이크로 세그멘테이션 구성을 문의하세요.
용도별 구성 예시
같은 "방화벽"이라도 배치 위치와 트래픽 패턴에 따라 설계가 달라집니다. 대표적인 4가지 시나리오를 제안합니다.
경계 방어 · Perimeter

인터넷 경계 통합 방어

처리량 — Threat Protection 기준 산정 기능 — IPS·AV·App Control 통합 용도 — 인터넷 연결 구간 전체 트래픽 검사
카탈로그 처리량이 아니라 보안 기능을 모두 켠 처리량 기준으로 용량을 산정한 구성입니다.
지사 · SD-WAN

지사 통합 보안 게이트웨이

구성 — SD-WAN + 방화벽 통합 관리 — 중앙 통합 정책 배포 용도 — 다수 지사·현장 회선 최적화
본사에서 정책을 일괄 배포·관리할 수 있어 지사가 많을수록 운영 부담이 줄어드는 구성입니다.
데이터센터 · 세그멘테이션

내부망 마이크로 세그멘테이션

방식 — 존별 내부 방화벽 배치 처리량 — 저지연 고성능 요구 용도 — 서버 구간별 트래픽 통제
내부 서버 간 트래픽까지 검사해, 하나의 서버가 뚫려도 옆으로 번지지 않도록 막는 구성입니다.
고가용성 · HA

이중화 방화벽 클러스터

구성 — Active/Active 또는 Active/Standby 요구사항 — 세션 동기화 지원 용도 — 중단이 민감한 서비스 보호
세션 동기화가 되는 이중화 구성이어야 장애로 전환될 때도 기존 연결이 끊기지 않습니다.
함께 진행 가능한 파트너
방화벽부터 엔드포인트 보안까지, 아래 파트너로 우선 진행 가능하며 그 외 벤더도 협의를 통해 구성 가능합니다.
차세대 방화벽
Fortinet Palo Alto Networks SECUI Check Point SonicWall
엔드포인트 · 랜섬웨어 대응
ESET AhnLab ESTsecurity

귀사 환경에 맞는 보안 아키텍처가 궁금하신가요?

경계 방어부터 내부 세그멘테이션까지, 위협 대응 구조를 설계해드립니다.

도입 상담 문의하기