Security Zone

방화벽 정책을 이해할 때 기준이 되는 두 가지 분류 축이 있다. 하나는 출발지와 목적지 IP를 아느냐 모르느냐(Known / Unknown 대역)이고, 다른 하나는 그 영역을 신뢰하느냐 마느냐(Trust / Untrust Zone)이다.

Known 대역과 Unknown 대역

조직이 식별·등록해서 관리 대상에 들어와 있는가를 기준으로 나뉜다.

Known 대역은 조직이 등록·관리하는 IP 범위이다. 출처가 분명해 명시적 허용·제어 규칙을 적용한다. 사내 사용자 LAN, 서버존, 지점 간 VPN 대역, 등록된 협력사 IP 등

Unknown 대역은 등록되지 않아 출처·용도를 모르는 IP 범위이다. 기본적으로 의심·차단하고 필요할 때만 예외 허용한다. 공인 인터넷 전 대역, 정체불명의 내부 IP 등

Trust Zone과 Untrust Zone

Trust / Untrust zone은 "이 영역을 우리가 믿고 통제하는가" 라는 신뢰(trust level)의 문제다. 여기서 Zone은 방화벽이 트래픽을 제어하는 신뢰 수준 기반의 논리적 영역이다.

Trust Zone(신뢰 영역) 은 조직이 통제권을 가지고 신뢰하는 내부 영역이다. 내부 사용자망, 사내 서버, 관리 네트워크 등이 해당한다. 상대적으로 완화된 규칙을 적용하지만, 제로 트러스트 관점에서는 "내부니까 무조건 신뢰"는 지양한다.

Untrust Zone(비신뢰 영역) 은 조직이 통제할 수 없고 신뢰하지 않는 외부 영역이다. 인터넷, 외부에서 들어오는 모든 연결이 여기 속한다. 기본 차단(default deny)을 적용하고, 명시적으로 허용된 트래픽만 통과시킨다.

이 둘 사이에는 DMZ 라는 완충 지대를 두기도 한다. 외부에 공개해야 하는 웹·메일·DNS 서버 같은 서비스를 배치하는 영역으로, 외부에서 접근은 가능하되 내부 Trust Zone으로의 직접 침투는 막는다.

두 개념의 관계

식별(Known / Unknown)과 신뢰(Trust / Untrust)은 독립적인 축이며 실제 보안 정책은 두 기준을 교차해서 설계한다.

여기서 주의할 점이 몇 가지 있다. 먼저 Known이 곧 Trust는 아니다. 알려진 대역이라고 무조건 신뢰하지 않는다. 예를 들어 등록된 외부 협력사는 Known이지만 Untrust일 수 있다. 또한 Unknown은 대체로 차단이 기본값이지만, Unknown이면서 Trust Zone 내부라면 "정체불명 내부 단말"로 보고 식별·격리를 우선한다.

실무에서 방화벽 정책은 보통 Zone(Trust / Untrust) 기준으로 큰 틀을 잡고, 그 안에서 대역(Known / Unknown) 기준으로 세부 허용·차단을 적용한다. 세부 필터링은 ACL의 5-tuple 규칙으로 구현된다.