[지디넷코리아]윈도우 파이어월이 네트워크를 안전하게 지켜줄 수 있을까? 마이크 뮬린스가 의문을 제기하고 나섰다. 시큐리티 솔루션 이번 글에서는 윈도우 파이어월에 대한 자세한 내용과 찬반양론을 다뤄봤다.

윈도우 파이어월은 윈도우 XP와 함께 선보였으며, 윈도우 XP 서비스팩 2에서부터 기본 기능으로 탑재됐다. 호스트 기반 파이어월인 윈도우 파이어월이 윈도우의 인터넷 커넥션 파이어월을 대체한 것이다.

이 기능의 기본 컨피그레이션은 사용자가 특별히 허용하지 않으면 외부에서 들어오는 IP 트래픽을 거부하도록 돼있다. 윈도우 파이어월 세팅을 구성하거나 적용하려면 시작/제어판에서 윈도우 파이어월 애플릿을 더블클릭하면 된다. 다양한 세팅 방법에 대해 좀 더 자세히 살펴보자.

옵션 파악하기
일반 탭에서는 윈도우 파이어월에 대한 사용/사용안함 설정을 위해 온/오프 버튼을 이용할 수 있다. 또 허용하지 않음 예외를 선택할 수도 있다.

예외 탭에는 네트워크로의 액세스를 허용하거나 제거하는 선택 옵션을 사용할 수 있는 프로그램과 서비스 리스트가 포함돼 있다. 또 TCP와 UDP 2개 포트를 모두 추가하거나 삭제할 수도 있다.

프로그램이나 포트를 추가할 때는 액세스의 범위를 제한하기 위해 다음 옵션을 사용할 수도 있다. 인터넷에 접속된 컴퓨터를 포함해 어떤 컴퓨터라도 IP 주소와 서브넷 혼합을 선택할 수 있도록 해주는 마이 네트워크 온리(My Network Only) 혹은 커스텀 리스트(Custom List)를 설정할 수 있다.

발전된 탭에서는 어떤 커넥션을 파이어월에 적용해 로깅 기능을 특화할 것인지를 선택할 수 있도록 돼있다. 또 일부 입도를 이용해 파이어월이 ICMP(Internet Control Message Protocol) 패킷을 조절하는 방식을 통제할 수도 있다.

마지막으로 컴퓨터가 인터넷 접속을 하지 못하도록 차단하는 설정을 완전히 잃어버리고 수정할 경우 디폴트 복구(Restore Defaults) 버튼을 클릭할 수 있다. 이 기능은 모든 수정 사항을 제거해 윈도우 파이어월이 MS 기본 상태로 돌아오도록 해준다.

세팅 적용 방법 이해하기
윈도우 파이어월 세팅을 수동으로 변경하려면 위에 언급한 방법을 사용할 수 있다. 그러나 엔터프라이즈 배치에 더 적합한 다양한 방법을 사용하는 것도 가능하다. 몇 가지 옵션을 소개한다.

･ Unattend.txt: 유사한 컨피그레이션을 갖고 있는 다중 시스템을 배치할 때 언어텐디드 셋업(unattended setup) 상황에서 이 텍스트 파일을 사용할 수 있다.

･ Netfw.ini: SMS(Systems Management Server)와 같은 로그인 스크립트나 제어 시스템을 통해 이 파일을 수정하고 배치할 수 있다. 이 파일은 windir\Inf 폴더에서 찾을 수 있다.

･ Netsh: 이 명령은 명령 프롬프트 혹은 로그인시 배치된 스크립트 배치 파일을 통해 실행할 수 있다.

･ 그룹 정책(Group Policy) : 액티브 디렉토리 환경에서 윈도우 파이어월 컨피그레이션을 배치하기 위해 그룹 정책을 사용할 수 있다. 기존의 그룹 정책 목표를 윈도우 XP SP2가 포함된 업데이트된 System.adm 템플릿에서 윈도우 파이어월 정책 세팅으로 업데이트하라. 이렇게 새로 설정된 세팅을 컴퓨터 컨피그레이션 | 관리 템플릿 | 네트워크 | 네트워크 커넥션에서 찾을 수 있다.

물론 앞에서 설명한 모든 활용가능한 컨피그레이션과 배치 옵션에도 의문점은 있다. 이러한 파이어월이 여러분의 컴퓨터를 적절하게 보호해줄 것인가 하는 점이다.

찬반 양론 평가하기
윈도우 파이어월은 아웃바운드 커넥션 요청에 대한 프록싱 인바운드 응답 업무와 여러분이 시동하지 않은 TCP 혹은 UDP 대화에 대한 인바운드 커넥션 요청 차단 업무를 원활하게 수행한다. 윈도우 파이어월은 여러분이 설정한 세팅에서 허용하지 않는 어떤 접속 시도도 차단한다. 그러나 이러한 업무는 파이어월이 기본적으로 담당해야 하는 업무의 절반 정도밖에 되지 않는다.

파이어월은 또 아웃바운드 커뮤니케이션의 모니터링, 감시, 프록시를 담당해야 한다. 그러나 윈도우 파이어월은 이 부분을 제대로 수행하지 못한다. 여러분의 컴퓨터에 설치된 모든 프로그램은 인터넷의 어떤 IP 주소에 대해서도 커넥션을 만들 수 있으며, 윈도우 파이어월은 수동으로 동작하면서 이 기능이 구현되도록 해야 한다.

어떤 프롬프트라도 여러분이 바보 취급을 당하지는 말라. 가령 프롬프트에서 어떤 프로그램이 인터넷 접속을 허용하느냐고 묻는다 하더라도 신경 쓸 필요는 없다. 인터넷에 이미 접속된 상태이기 때문이다. 그렇다면 왜 이런 질문을 하느냐고? 프로그램에 대한 인터넷 접속을 허용하는지를 묻는 것이다.

내가 우려하는 한 일방향으로 동작하는 파이어월 메커니즘은 보안 기능일 뿐이지 파이어월은 아니다. 매일매일 컴퓨터에 침입하는 바이러스, 웜, 트로이목마, 그리고 다른 말웨어와 스파이웨어 등으로 인해 여러분은 양방향에서 들어오는 커뮤니케이션을 통제해야 한다.

다이얼업, 이더넷, 무선 등 종류에 상관없이 네트워크에 접속된 컴퓨터라면 파이어월을 필요로 하며, 윈도우 파이어월은 이런 업무를 100% 수행하지 못한다. 무료 파이어월을 찾아보던지 아니면 신뢰성 있는 벤더의 제품을 구매해야 한다. 윈도우 파이어월이 여러분의 컴퓨터를 완벽하게 보호해줄 것이라고는 생각하지 말라. 파이어월 기능을 50% 정도 갖고 있다는 것은 파이어월을 아예 갖고 있지 않는 것이나 마찬가지다.@

보안 솔루션 아카이브를 확인하고, 마이크 뮬린스의 최근 컬럼을 찾아보기 바란다.
보안 이슈에 대해 궁금하다면? 매주 금요일 무료로 제공되는 보안 솔루션 뉴스레터를 신청하면 된다.

마이크 뮬린스는 미(美) 비밀 서비스 및 국방정보청(Defense Information Systems Agency) 어시스턴트 네트워크 관리자를 역임했으며, 현재는 STNO(Southern Theater Network Operations) 및 보안 센터 이사로 근무하고 있다.