플랫폼 독립 방화벽 정책 표현

초록

본 논문은 다양한 방화벽 벤더의 고유 문법과 의미 차이를 추상화하여, 하나의 플랫폼‑독립 정책 언어와 모델을 정의한다. 정의된 모델을 구체적인 방화벽 구성으로 자동 컴파일하고, 검증·최적화 기법을 제시한다.

상세 분석

이 논문은 방화벽 관리자가 다중 벤더 환경에서 겪는 학습 비용과 실수 위험을 근본적으로 감소시키기 위해, 추상 방화벽 모델(Abstract Firewall Model)과 플랫폼‑독립 정책 언어를 설계하였다. 데이터 모델은 객체‑지향 구조를 채택해 네트워크 주소, 서비스, 인터페이스, 호스트, 방화벽, 정책, NAT 규칙, 그룹 등 다양한 보안 요소를 계층적으로 정의한다. 각 객체는 고유 ID 로 식별되며 XML 기반 DTD 로 기술돼, 인간이 읽기 쉬운 동시에 기계가 파싱하기 용이하도록 설계되었다.

핵심 설계 과제로는 ① 인터페이스 지정 방식(암시적 vs 명시적), ② 기본 정책(default policy)의 차이, ③ 규칙 매칭 순서(first‑match vs last‑match), ④ NAT와 방화벽 규칙 적용 순서, ⑤ 부정(Negation) 표현, ⑥ 주소 범위 에뮬레이션, ⑦ 동적 인터페이스 지원 등이 있다. 저자는 각각을 추상 모델에 통합하고, 구체적인 벤더 구현에 매핑하는 방법을 제시한다. 예를 들어, NAT와 방화벽 규칙 적용 순서는 벤더마다 다르지만, 추상 모델에서는 NAT → 방화벽 정책 순서를 고정함으로써 일관성을 확보한다.

처리 모델은 패킷이 NAT 규칙 집합을 먼저 통과하고, 그 다음 정책 규칙을 평가하는 두 단계 흐름을 정의한다. 규칙 매칭은 소스, 목적지, 서비스, 인터페이스, 방향, 시간 등 다중 필드를 지원하며, ‘Any’ 와 ‘Negation’ 옵션을 통해 복잡한 조건을 표현한다. 매칭 후 동작은 Accept, Drop, Reject, Count 로 구분되며, 기본 정책은 명시적으로 Drop 으로 설정한다.

정책 검증은 XML 구문 검증을 넘어 의미적 오류(예: 규칙 그림자, 불필요한 규칙, 충돌)를 탐지한다. 최적화 단계에서는 중복 규칙 제거, 범위 합치기, 순서 재배열 등을 수행해 컴파일된 방화벽 구성의 효율성을 높인다. 전체 흐름은 추상 정책 → 검증/최적화 → 플랫폼‑특정 컴파일러 → 구체적인 방화벽 규칙 파일 생성이다.

이러한 설계는 오픈소스 프로젝트 “Firewall Builder”에 구현돼 현재 다섯 개 주요 방화벽 플랫폼을 지원한다. 논문은 향후 정책 최적화 알고리즘, 정형 검증, 다중 벤더 정책 동기화 등 연구 방향을 제시하며, 플랫폼‑독립 보안 정책 관리의 실현 가능성을 입증한다.