방화벽 기본 옵션 활용 예시

방화벽 기본 옵션(방화벽 옵션, 상세 기능 설정)을 이용하여 방화벽 정책 내용 및 생성 방식을 정의합니다. 다음은 방화벽 운영자들이 자주 사용하는 기본 옵션 활용 예시입니다.

옵션명	설명
방화벽 Base Rule 선언하기	방화벽의 Base Rule이 있을 경우, FPMS에 등록하여 해당하는 정책만 반영 가능하게 설정 (Base Rule 룰셋, 방화벽 상세 기능 이용)
ZONE 설정에 기반한 정책 생성하기	신청 시스템 혹은 FPMS의 방화벽 자동 선택으로 룰셋이 생성되길 원할 경우 ZONE 설정 필요
방화벽 정책 순서 설정하기	방화벽 정책별 순서를 별도 지정해야 하는 경우
Address 객체 이름 커스터마이징하기	Address 객체 이름을 변경하고 싶을 때 사용
컴플라이언스 위반 정책 적용 제외하기	방화벽에 설정되지 않아야 할 룰을 사전 정의하여, 신청되더라도 허용을 막음
Brity for Firewall용 로그 검색 계정 설정하기	Brity for Firewall용 로그 검색을 위한 계정 설정
검토 커스터마이징하기	기본 제공 검토 결과 외에 관리자가 필요로 하는 검토 결과 추가
주소/서비스 그룹 객체 사용하기	사전 객체 동기화 후, 룰셋 추가 화면에서 수동 등록 시 입력 가능
자동 적용 스케줄 설정하기	원하는 시간에 방화벽 정책 적용(COMMIT)이 되도록 스케줄 설정
어플리케이션 객체 설정하기 (paloalto only)	특정 Protocol, Port인 룰에 Paloalto 방화벽의 application 설정
URL(FQDN) 사용하기	URL(FQDN) 기능을 위해 방화벽 장비와 신청 시스템 설정
ID 기반 정책 사용하기	ID 기반 정책을 위해 방화벽 장비·신청 시스템·FPMS 설정 (IP 기반 방화벽 해당 없음)
신청 내역 자동 변경하기	신청서 내용을 특정 규칙에 따라 일괄 변경

표. 방화벽 기본 옵션 활용 예시

방화벽 Base Rule 선언하기

방화벽의 Base Rule이 있을 경우, FPMS에 등록하여 해당하는 정책만 반영이 가능하게 설정할 수 있습니다. (Base Rule 룰셋, 방화벽 상세 기능 이용)

1. 최적화 옵션 해제: Base Rule 선언 시에는 방화벽의 신청 룰 최적화 옵션을 해제해야 합니다. “방화벽 수정” 페이지에서 최적화 옵션을 ‘최적화 사용 안 함’으로 설정하세요. (「방화벽 관리」의 최적화 옵션 설정 참고)

주의

Base Rule 선언 후 신청 룰 최적화 사용을 위해서는 반드시 다시 최적화 옵션을 ‘신청 룰 최적화’로 변경하세요.

2. Base Rule 룰셋 생성: “룰셋 등록하기” 페이지에서 Base Rule 정보를 입력한 후 룰셋을 생성하세요. (Base Rule을 선언할 방화벽 선택, 기간은 영구로 설정)

[Base Rule 예시]
1.1.1.0/24 → any: any 포트에 대해서는 제어하지 않음
1.1.1.0/24 → any: ssh(22), telnet(23) 포트에 대해서는 제어

3. Base Rule 룰셋 MANUAL 처리: “요청 작업 리스트"에서 생성한 Base Rule 룰셋을 클릭하고, “요청 작업 상세"에서 내용 확인 후 MANUAL을 클릭하세요. 완료되면 “작업 완료 리스트"에서 MANUAL 상태로 조회됩니다.

4. 방화벽 상세 기능 설정: “방화벽 상세 기능 생성” 페이지에서 다음 상세 기능을 설정하세요. (「방화벽 관리」의 방화벽 상세 기능 설정하기 참고)

베이스룰에 해당하는 경우 룰셋 생성 제외: null
그림. 베이스룰 룰셋 생성 제외 설정
거부 베이스룰에 해당하는 경우 해당 거부 정책 위에 정책 생성: null
그림. 거부 베이스룰 설정

5. 최적화 옵션 복원: 신청 룰 최적화를 사용한다면 반드시 “방화벽 수정” 페이지에서 ‘최적화 옵션’을 ‘신청 룰 최적화’로 변경하세요.

Base Rule 동작 여부는 다음 신청 정보 예시로 확인할 수 있습니다.

[신청 정보 예시]
1.1.1.1 → 3.3.3.3: TCP/80
1.1.1.1 → 4.4.4.4: TCP/22
2.2.2.2 → 5.5.5.5: any

ZONE 설정에 기반한 정책 생성하기

신청 시스템 혹은 FPMS의 방화벽 자동 선택으로 룰셋이 생성되길 원할 경우 ZONE 설정을 반드시 해야 합니다.

참고

Zone 관리 활용 예시를 함께 참고하세요.

ZONE 설정 (「방화벽 관리」의 ZONE 주소 관리하기 참고): 정책 생성 시 Zone에 출발지, 목적지가 하나라도 해당되면 기본 생성됩니다.
그림. ZONE 설정에 따른 정책 생성
출발지/목적지 존이 동일할 경우 룰셋 생성 제외: null — 이 상세 기능을 등록하면 같은 Zone에 해당될 때 생성하지 않습니다.
그림. 출발지/목적지 동일 존 제외
출발/목적지 모두 ZONE 관리 = “Yes” — 이 옵션을 켜면 출발지, 목적지 모두 Zone에 해당되어야 생성됩니다.
그림. 출발/목적지 모두 Zone 관리

정책 요청 (SRC-DST)	기본	ignore_inner_zone	출발/목적지 모두 Zone 관리: Yes
INT – unkown	INT – EXT	INT – EXT	not created
INT – INT	INT – INT	not created	INT – INT
INT – DMZ	INT – DMZ	INT – DMZ	INT – DMZ
EXT – EXT	EXT – EXT	not created	EXT – EXT
Unkown – EXT	INT – EXT	INT – EXT	not created
Unkown – Unkown	not created	not created	not created

표. Zone 설정별 정책 생성 결과

유사 주소 디스커버리 가능 설정: null — 연관성이 높은 IP 대역도 rule로 입력받을 수 있게 설정합니다.
그림. 유사 주소 디스커버리 설정
[“유사 주소 디스커버리 가능 설정” 등록 시 rule 생성 예시]
- INT → 10.10.10.0/24
- Request: 10.10.10.3 → O
- Request: 10.10.0.0/16 → O (default is X)

방화벽 정책 순서 설정하기

방화벽 정책별 순서를 별도 지정해야 하는 경우 방화벽 상세 옵션을 통해 정책 순서를 설정할 수 있습니다.

구분	옵션명	내용	위치	우선순위 (1:low, 6:high)
기본값	SECUI: top / Paloalto: bottom / NSX: bottom			1
모든 정책^주1)	상단 정책 오더 설정 (기준 아이디 아래로 생성)	신규 정책이 기준 ID 위/아래에 위치하게 설정	top - after	2
모든 정책^주1)	하단 정책 오더 설정 (기준 아이디 위로 생성)	신규 정책이 기준 ID 위/아래에 위치하게 설정	bottom - before	2
거부 정책^주1)	거부 정책 상단 오더 설정 (기준 아이디 아래로 생성)	거부 정책이 기준 ID 위/아래에 위치하게 설정	top - after	3
거부 정책^주1)	거부 정책 하단 오더 설정 (기준 아이디 위로 생성)	거부 정책이 기준 ID 위/아래에 위치하게 설정	bottom - before	3
영구 정책^주1)	영구 정책 상단 오더 설정 (기준 아이디 아래로 생성)	영구 정책이 기준 ID 아래에 위치하게 설정	after	4
방화벽 Zone^주2)	Zone Address	방화벽 Zone 설정에서 Zone마다 기준 ID 아래에 위치하게 설정	after	5
Base Rule^주1)	거부 베이스룰에 해당하는 경우 해당 거부 정책 위에 정책 생성		before	6

표. 정책 순서 설정 옵션

주1) 모든 정책·거부 정책·영구 정책·Base Rule: 「방화벽 관리」의 방화벽 상세 기능 설정하기 참고 (설정값이 null이면 top을 의미)
주2) 방화벽 ZONE: 「방화벽 관리」의 ZONE 주소 생성하기 참고

Address 객체 이름 커스터마이징하기

Address 객체 이름을 변경하고 싶을 때 사용합니다. 기본으로 만들어지는 Address 객체 이름은 Secui MF2는 x.x.x.x_IH, 나머지 방화벽은 IP_x.x.x.x입니다.

참고

블루맥스의 경우 IP_x.x.x.x로 인해 zone mismatch로 실패하는 경우가 있습니다. 이 경우 해당 옵션을 추가하여 해결할 수 있습니다.

「방화벽 관리」의 방화벽 상세 기능 설정하기 1~4단계를 수행하세요.
“방화벽 상세 기능 생성” 페이지의 추가 기능 목록에서 “주소 객체 이름 커스터마이징"을 선택하세요.
다음 표를 참고하여 설정값을 입력하세요. (입력하지 않으면 동작하지 않음)

설정값	설정값 예시
${IP}	1.1.1.1 / x.x.x.x / www.samsung.com
${ZONE}	I / E / D (zone의 앞글자 대문자)
${ZONE_FULL}	internal / external / dmz / trust 등 zone 이름
${TYPE}	H / N / F

표. 커스터마이징 설정값

다음은 옵션 설정 예시입니다.

설정값	Address 객체 이름	신청값
${IP}_${ZONE}${TYPE}	1.1.1.1_IH	1.1.1.1 internal host
${IP}_${ZONE}${TYPE}	2.2.2.2_24_IN	2.2.2.2/24 internal network
${IP}_${ZONE}${TYPE}	2.2.2.2_2.2.2.3_DN	2.2.2.2-2.2.2.3 dmz network
${IP}_${ZONE}${TYPE}	www.samsung.com_DF	www.samsung.com dmz domain
${ZONE_FULL}_${IP}	internal_1.1.1.1	1.1.1.1 internal host
${ZONE_FULL}_${IP}	trust_2.2.2.2	2.2.2.2 trust host

표. 옵션 설정 예시

컴플라이언스 위반 정책 적용 제외하기

방화벽에 설정되지 않아야 할 룰을 사전 정의하여, 신청 시스템에서 신청되더라도 정책이 허용되는 것을 막습니다. 영구룰로 정책을 사전 정의해 FPMS 방화벽에 등록한 후, “베이스룰에 해당하는 경우 룰셋 생성 제외” 설정을 통해 사전 차단된 정책은 NOT_ALLOWED 상태가 되어 방화벽에 적용되지 않습니다.

1. 영구룰로 정책 사전 등록: “룰셋 등록하기” 페이지에서 영구룰을 입력한 후 룰셋을 생성하고, “요청 작업 상세"에서 내용 확인 후 MANUAL을 클릭하세요.

[영구룰 예시] 22, 3389를 허용하지 않는 망분리 폐쇄망
any → any: TCP/22
any → any: TCP/3389

2. 방화벽 상세 기능 설정: “방화벽 상세 기능 생성"에서 “베이스룰에 해당하는 경우 룰셋 생성 제외: null"을 설정하세요. 이 상세 기능을 통해 사전 차단된 정책은 NOT_ALLOWED 상태가 되어 방화벽 적용이 되지 않습니다.

3. 컴플라이언스에 위반된 정책이 신청된 경우: 미리 정의된 정책에 해당하는 정책이 신청되면 NOT_ALLOWED 상태로 자동 전환됩니다. 정책 match 기준은 src, dst, port, protocol 모두 포함되는 것을 찾습니다.

Brity for Firewall용 로그 검색 계정 설정하기

Brity for Firewall용 로그 검색을 위한 계정을 설정합니다. “방화벽 상세 기능 생성"에서 “방화벽 Read 사용자 아이디 설정: Brity 로그 연동 계정"을 설정하세요.

[Brity for Firewall 연동 및 동작 방식]
Brity for Firewall에서 src/dst/port를 입력합니다.
Brity for Firewall 연계 계정이 가입된 FPMS 워크그룹 내 방화벽을 검색합니다. (방화벽의 워크그룹 변경 시 Brity 연계 계정 가입 필요)
검색된 방화벽의 ‘적용 룰 리스트’에서 SYNCHRONIZED 상태 및 만료되지 않은 룰을 확인한 후, 방화벽에 로그 검색을 수행하고 결과를 Brity for Firewall에 응답합니다.

Secui MF2: Level3 계정은 SSH 접속을 한 개 session만 허용하는 문제로 인해 Brity for Firewall 로그 검색 계정을 별도 설정합니다. (Level1 계정, FPMS 연동 계정과 동일한 비밀번호 설정. 해당 기능 사용을 위해서는 패치 필요) 기능 확인 방법은 해당 계정으로 접속하여 다음 명령 수행 후 정상 출력을 확인합니다.

# execute logconv -c fw4_allow -l 3

Secui BlueMax: 별도의 read-only 계정을 만들 경우 시크릿 키가 다르게 생성되어 동일한 비밀번호 설정이 불가능합니다. “방화벽 상세 기능 생성"의 “방화벽 Read 사용자 아이디 설정"에 설정값을 {secret id 32자리}:{secret key 64자리} 형식으로 입력하세요.

Bluemax secret 설정 — 그림. Bluemax Read 계정 설정

검토 커스터마이징하기

FPMS는 룰셋의 실질적인 상태를 확인할 수 있는 지표인 검토 항목을 제공합니다. (“요청 작업 리스트” 페이지에서 조회 가능) 기본 제공 검토 결과 외에 관리자가 필요로 하는 경우 다양한 검토 결과를 추가할 수 있으며, 이는 방화벽의 특정 문구 검출 정보 설정(「방화벽 관리」 참고)을 이용하여 추가합니다.

다음은 검토 결과의 색상(검출 레벨)별 기본 검토 결과와 커스텀 활용 예시입니다.

색상 (검출 레벨)	기본 검토 결과	커스텀 검토 결과 예시 (특정 문구 검출 기능 사용)
success (녹색)	특이사항 없음 / 기간만 영구인 경우
info (하늘색)	요청룰에 ID, USER가 있는 경우 / 신청룰에 URL이 있는 경우
warning (주황색)	기간·대역 등 별도 확인 필요 / 만료 삭제(방화벽 Rule 비활성화)	예) 재택근무가 많아져 재택근무 신청 건에 대해서만 warning 레벨로 설정
danger (빨간색)	Action이 DENY인 Rule 등록 / 만료 후 배치 작업에 의해 삭제 / 만료 1개월 전 사용 이력이 있는 RuleSet / 해지 신청에 의해 해지	예) 영구 등록 신청 건 및 재택근무 관련 정책을 danger 레벨로 별도 분류
default (회색)	룰셋 내 모든 요청룰의 상태가 NOT ALLOWED와 INVALID만 있는 경우
primary (파란색)		예) 방화벽 합의자가 ‘별도로 진행하지 않습니다’ 코멘트를 남기는 경우 MANUAL로 분류

표. 검토 결과 색상별 예시

주소/서비스 그룹 객체 사용하기

주소/서비스 그룹 객체를 사용하려면 사전에 객체 동기화 기능으로 방화벽의 객체가 FPMS와 정상적으로 동기화되어 있어야 합니다. 주소/서비스 그룹 객체는 FPMS 룰셋 추가 화면에서 수동으로 룰을 등록할 때만 입력 가능합니다.

객체를 지원하는 방화벽인지 확인하세요. (「객체 관리」의 방화벽 벤더별 지원 객체 참고)
방화벽과 FPMS 간 객체를 동기화하세요.
- 배치 객체 동기화: 객체를 지원하는 방화벽인 경우 새벽마다 객체 동기화가 진행됩니다.
- 온라인 객체 동기화: FPMS 관리자가 동기화 작업을 생성하여 요청합니다. (「정책 관리」의 방화벽 객체 동기화하기 참고)
“룰셋 등록하기” 페이지(요청 작업 리스트 > 생성하기 > 룰셋 추가 STEP2)에서 주소/서비스 그룹 객체를 입력하세요. (엑셀 업로드, 텍스트 입력은 미지원)

룰셋에 주소 그룹 입력하기 (지원 방화벽: Paloalto, Secui MF2, Secui Bluemax, Cisco, Fortinet): 주소 유형 목록에서 GROUP을 선택하고 주소란에 주소 그룹 객체 이름을 입력합니다.

룰셋에 서비스 그룹 입력하기 (지원 방화벽: Paloalto, Secui Bluemax, Cisco, Fortinet): 서비스 유형 목록에서 GROUP을 선택하고 포트/그룹란에 서비스 그룹 객체 이름을 입력합니다. (서비스 유형 GROUP + APP은 서비스 그룹 & application을 입력해야 하며 app을 지원하는 벤더만 가능)

자동 적용 스케줄 설정하기

원하는 시간에 방화벽 정책 적용(COMMIT)이 되도록 스케줄(00:00~24:00)을 설정합니다.

“방화벽 수정” 페이지에서 다음 내용을 설정하세요.

[방화벽 정책 적용 스케줄 예시] 오후 4시, 오후 6시 20분 1일 2번 적용

‘자동 COMMIT 사용’을 ‘Yes’로 설정하세요. (「방화벽 관리」의 정책 적용 관리 참고)
‘자동 COMMIT 레벨’을 설정하세요. (자동 COMMIT 대상은 레벨에 따라 하위 레벨을 포함한 룰셋)
‘방화벽 정책 적용 스케줄’을 추가하세요. (설정하지 않으면 “즉시 적용"으로 적용, 복수 설정 가능)

어플리케이션 객체 설정하기 (paloalto only)

특정 Protocol, Port인 룰에 Paloalto 방화벽의 application을 설정합니다. “방화벽 상세 기능 생성"에서 “어플리케이션 포트 맵핑 설정 (프로토콜:포트:어플리케이션)“을 protocol:port번호:application이름 형식으로 설정하세요. (예: TCP:25:smtp, TCP:587:smtp, TCP:465:pop3, TCP:995:pop3, TCP:110:pop3)

설정 방법

설정되는 application의 이름은 방화벽 장비에 미리 설정된 application 이름(Paloalto pre-defined 또는 custom application 이름)과 동일해야 합니다.
필요한 룰을 분리하여 설정된 포트 번호만 application을 등록합니다.
- tcp:25:smtp만 설정하려는데 룰 포트가 tcp 23~~28로 들어온 경우 → tcp 23~~24, tcp 25, tcp 26~28 룰로 나누어 25번 포트에만 smtp 설정
- tcp:25:smtp만 설정하려는데 룰 포트가 all(tcp+udp) 25로 들어온 경우 → tcp 25, udp 25 룰로 나누어 tcp 25 포트에만 smtp 설정
- tcp:25:smtp만 설정하려는데 all(tcp+udp) 23~28로 들어온 경우 → tcp와 udp로 나눈 후 tcp 룰의 port를 나누어 tcp 25인 룰에만 smtp 설정

URL(FQDN) 사용하기

URL(FQDN) 기능을 사용하기 위해 방화벽 장비와 신청 시스템을 설정합니다.

1. 방화벽 장비 설정: URL(FQDN)을 지원하는 방화벽인지 확인하고 OS 및 방화벽 장비를 설정하세요.

Secui 방화벽: 「방화벽 벤더별 설정 가이드」의 Secui_MF2 > 방화벽 장비 설정하기 > URL(FQDN) 설정 참고
PaloAlto 방화벽: 「방화벽 벤더별 설정 가이드」의 Paloalto > 방화벽 장비 설정하기 > URL(FQDN) 설정 참고

2. 신청 시스템 설정: 신청 시스템의 지원 여부나 설정 방식에 따라 URL 사용 여부를 설정하세요. (신청 시스템 설정 상세는 「참고 자료」의 URL(FQDN) 사용을 위한 신청 시스템 설정하기 참고)

참고

목적지 주소의 URL(FQDN) 사용 규칙

호스트명, 호스트명 + 최상위 도메인(TLD), 호스트명 + 서브도메인 + 최상위 도메인(TLD) (예: host1, host1.example.com, host1.infra.example.com)
wildcard 문자(, ?)는 ‘‘만 지원(’?‘는 사용 불가) (예: *.example.com, *.abc.example.com)

ID 기반 정책 사용하기

ID 기반 정책을 사용하기 위해 방화벽 장비, 신청 시스템, FPMS를 설정합니다. (IP 기반 방화벽은 해당 사항 없음)

1. 방화벽 장비 설정: ID 기반 정책을 지원하는 방화벽의 OS 버전을 확인하고 방화벽 장비를 설정하세요. (「방화벽 벤더별 설정 가이드」 참고)

Secui 방화벽: ID 기반 라이센스 구매 후 ID 기반 인증 방화벽 설정
Fortinet 방화벽: ID 기반 인증 방화벽 설정
PaloAlto 방화벽: PAN-OS v7.0 이상은 통합 User-ID Agent 설정, v7.0 미만은 Windows 기반 User-ID Agent 설정

2. 방화벽 오픈 신청: 정책 제어 시스템과 방화벽 오픈을 해주세요.

Secui 방화벽: 정책 제어 시스템(Provisioner) (182.198.81.74, 75) → 방화벽 (포트: TCP/6514)
Fortinet 방화벽: 정책 제어 시스템(Provisioner) (182.198.81.74, 75) → 방화벽 (포트: UDP/1813)
PaloAlto 방화벽: 정책 제어 시스템(Provisioner) (182.198.81.74, 75) → 방화벽 (포트: TCP/6514)

3. 신청 시스템 설정: 신청 시스템의 지원 여부나 설정 방식에 따라 ID 기반 정책 사용 여부를 설정하세요. (상세는 「참고 자료」의 ID 기반 정책 사용을 위한 신청 시스템 설정하기 참고)

4. FPMS 설정: FPMS의 ‘관리 > 방화벽’에서 ID 기반 방화벽 설정을 합니다. (「방화벽 관리」의 ID 기반 방화벽 설정 참고)

신청 내역 자동 변경하기

신청서의 내용을 특정 규칙에 따라 일괄 변경할 수 있습니다. Rule 규칙이 적용되면 신청 시스템의 내용이 Rule 규칙에 의해 변경된 요청 룰로 생성됩니다.

규칙 그룹을 생성하세요. (「정책 규칙 관리」의 규칙 그룹 생성하기 참고)
Rule 규칙을 생성하세요.
Rule 규칙의 조건문을 생성하세요.
Rule 규칙의 수행문을 생성하세요.
Rule 규칙은 여러 개 정의할 수 있으며 2~4단계를 반복합니다. 적용 순서는 우선순위에 따라 결정됩니다.
방화벽에 규칙 그룹을 설정하세요. (「정책 규칙 관리」의 방화벽에 규칙 그룹 설정하기 참고)

Rule 규칙 적용 예시 1: 목적지 10 A클래스로 신청된 정책들은 모두 deny 액션으로 변경.

일반 신청의 경우 (Rule 규칙 미적용)
그림. Rule 규칙 미적용
Rule 규칙
그림. Rule 규칙 설정
Rule 규칙으로 변경된 신청
그림. Rule 규칙 적용 결과

Rule 규칙 적용 예시 2: TCP 8 신청에 대해 모두 ICMP any로 변경 등록.

조건: [프로토콜 equal TCP], [포트번호 equal 8]
수행: [프로토콜: ICMP], [포트번호: any]

Rule 규칙 적용 예시 3: AAA 컴파트먼트의 IP로 신청이 들어올 경우 “tempUntrust” 인터페이스에 등록.

1번 규칙 — 조건: [출발지 컴파트먼트 이름 equal AAA], 수행: [출발지 인터페이스 이름: tempUntrust]
2번 규칙 — 조건: [목적지 컴파트먼트 이름 equal AAA], 수행: [목적지 인터페이스 이름: tempUntrust]

Rule 규칙 적용 예시 4: 영구 정책은 검토를 OK로 받고 싶은 경우.

조건: [만료일 greaterOrEqual permanent]
수행: [상태값: REQUESTED]

정책 규칙 활용 예시

Zone 관리 활용 예시