AWS Firewall Manager · 보안 정책 관리

멀티 계정 환경의 방화벽 규칙, 한 곳에서 관리하고 자동으로 적용하세요

AWS Firewall Manager는 AWS Organizations에 속한 여러 계정과 리소스의 방화벽 규칙을 중앙 관리자 계정에서 일괄 구성합니다. 새 계정이나 리소스가 추가되면 정의된 보안 정책이 자동으로 적용되어 조직 전체의 규정 준수 상태를 유지합니다. AWS WAF, AWS Shield Advanced, VPC 보안 그룹, AWS Network Firewall, Route 53 Resolver DNS Firewall 등 다양한 보호 정책을 지원합니다.

지원하는 보호 정책 유형 (AWS WAF, AWS Shield, VPC 보안 그룹, AWS Network Firewall, Route 53 Resolver DNS Firewall, 서드파티 방화벽): 6종
정책당 적용 가능한 최대 계정 수 (AWS Organizations 기본 한도): 2,500개

Customer challenges

멀티 계정 방화벽 관리의 과제

계정별 개별 방화벽 규칙 관리의 복잡성

AWS Organizations에 속한 수십~수백 개 계정에 방화벽 규칙을 개별적으로 설정하면 일관성을 유지하기 어렵고, 새 계정이 추가될 때마다 수동으로 보안 정책을 적용해야 합니다.

신규 리소스에 대한 보안 정책 적용 누락

새로 생성된 리소스에 보안 정책이 자동으로 적용되지 않으면 보호 공백이 발생합니다. 수동 점검에 의존하면 비준수 리소스를 발견하기까지 시간이 걸립니다.

보안 그룹의 과도한 권한 및 미사용 규칙 감사 부재

VPC 보안 그룹이 과도하게 허용적이거나 사용되지 않는 규칙이 남아 있어도, 여러 계정에 걸쳐 이를 지속적으로 감사하고 정리하는 체계가 없으면 보안 위험이 증가합니다.

Benefits

AWS Firewall Manager를 선택하는 이유

Centralization

중앙 관리자 계정에서 조직 전체 방화벽 규칙을 일괄 관리

Firewall Manager는 AWS Organizations와 통합되어 중앙 관리자 계정에서 AWS WAF, Shield Advanced, VPC 보안 그룹, Network Firewall, Route 53 Resolver DNS Firewall 규칙을 여러 계정에 걸쳐 한 곳에서 구성하고 배포합니다.

Automation

기존 및 신규 리소스에 보안 정책 자동 적용

보안 정책을 정의하면 현재 존재하는 리소스뿐 아니라 향후 생성되는 리소스에도 자동으로 적용됩니다. 자동 교정 모드와 수동 교정 모드를 선택할 수 있습니다.

Compliance

규정 준수 대시보드와 실시간 알림으로 가시성 확보

Firewall Manager는 비준수 계정과 리소스를 시각적 대시보드에서 확인할 수 있게 합니다. SNS 알림과 AWS Security Hub 연동을 통해 비준수 이벤트를 실시간으로 통보받을 수 있습니다.

How it works

AWS Firewall Manager 핵심 개념

Security Policy (보안 정책)

Firewall Manager 보안 정책은 방화벽 규칙과 연결할 계정 및 리소스를 지정하는 구성 집합입니다. AWS WAF, AWS Shield Advanced, VPC 보안 그룹, AWS Network Firewall, Route 53 Resolver DNS Firewall, AWS Marketplace 서드파티 방화벽 유형을 지원합니다.
Firewall Manager Administrator Account

Firewall Manager는 AWS Organizations의 관리 계정 또는 적절한 권한이 있는 멤버 계정과 연결해야 합니다. 이 계정이 Firewall Manager 관리자 계정이 되어 조직 전체의 보안 정책을 생성하고 관리합니다.
Hierarchical Rule Enforcement (계층적 규칙 적용)

중앙에서 글로벌 보안 규칙을 적용하면서 개별 계정에 애플리케이션별 규칙 생성을 위임할 수 있습니다. 중앙 적용 규칙은 실수로 제거되거나 변경되지 않도록 지속적으로 모니터링됩니다.
Auto-remediation과 Manual-remediation

자동 교정 모드는 정책 위반을 감지하면 비준수 리소스에 규칙을 자동 적용합니다. 수동 교정 모드는 정책과 규칙을 각 계정에 생성하되 리소스에 강제 적용하지 않으며, 이후 수동 조치하거나 자동 교정으로 전환할 수 있습니다.

Key features

주요 기능

AWS Network Firewall 중앙 배포

Firewall Manager를 통해 AWS Network Firewall 엔드포인트와 규칙을 여러 계정과 VPC에 중앙에서 배포합니다. 중앙에서 구성한 규칙 변경 사항이 자동으로 배포되며, Network Firewall 보호가 누락된 VPC와 계정을 보고합니다.

출처

AWS WAF 규칙 자동 적용

Application Load Balancer, API Gateway, Amazon CloudFront에 AWS WAF 규칙과 Managed Rules for AWS WAF를 자동으로 적용합니다. 신규 리소스 생성 시 자동 적용하거나 알림을 받도록 선택할 수 있습니다.

출처

AWS Shield Advanced 보호 배포

Application Load Balancer, Classic Load Balancer, 탄력적 IP 주소, CloudFront 배포에 AWS Shield Advanced 보호를 적용합니다. Shield Advanced 고객은 Firewall Manager 정책 비용이 추가로 부과되지 않습니다.

출처

VPC 보안 그룹 중앙 관리 및 감사

EC2 인스턴스, ALB, ENI에 공통 보안 그룹 규칙을 중앙에서 배포합니다. 기존 보안 그룹의 과도한 권한 규칙을 지속적으로 감사하고, 미사용 또는 중복 보안 그룹을 정리할 수 있습니다.

출처

Route 53 Resolver DNS Firewall 규칙 연결

여러 계정의 VPC에 Route 53 Resolver DNS Firewall 규칙 그룹을 중앙에서 연결합니다. 알려진 악성 도메인에 대한 DNS 쿼리를 차단하고 신뢰할 수 있는 도메인의 쿼리를 허용합니다.

출처

Cross-account Protection Policies

AWS Organizations와 통합하여 조직 내 계정 목록을 자동으로 가져옵니다. 정책 범위를 특정 계정 집합 또는 전체 계정으로 지정할 수 있으며, 계정이나 태그 기반으로 제외할 수 있습니다.

출처

Multi-account Resource Groups

계정, 리소스 유형, 태그별로 리소스를 그룹화할 수 있습니다. 보안 팀은 특정 그룹 내 모든 리소스 또는 조직 전체 계정에 대한 정책을 생성할 수 있습니다.

출처

Compliance Dashboard 및 SNS 알림

시각적 대시보드에서 비준수 리소스를 확인하고 조치할 수 있습니다. SNS 알림 스트림을 통해 구성 변경 시 실시간 알림을 받으며, AWS Security Hub에서도 비준수 이벤트를 확인할 수 있습니다.

출처

AWS Marketplace 서드파티 방화벽 지원

AWS Marketplace에서 구독한 서드파티 클라우드 방화벽을 조직 내 모든 VPC에 중앙에서 배포하고 모니터링합니다. AWS 네이티브 방화벽과 서드파티 방화벽을 단일 관리 솔루션에서 관리합니다.

출처

CloudWatch 메트릭 기반 위협 집계

Firewall Manager 정책별로 규칙 그룹 내 각 규칙의 CloudWatch 지표를 집계하여 조직 전체에서 허용 또는 차단된 요청 수를 확인할 수 있습니다. 이를 통해 위협에 대한 중앙 알림을 설정할 수 있습니다.

출처

Compare

Firewall Manager 보호 정책 유형별 비교

정책 유형	보호 대상 리소스	주요 기능	Shield Advanced 고객 정책 비용
AWS WAF	ALB, API Gateway, CloudFront	WAF 규칙 및 Managed Rules 자동 배포	포함 (추가 비용 없음)
AWS Shield Advanced	ALB, Classic LB, 탄력적 IP 주소, CloudFront	DDoS 보호 자동 적용	포함 (추가 비용 없음)
VPC 보안 그룹	EC2, ALB, ENI	공통 보안 그룹 배포 및 감사	별도 과금
AWS Network Firewall	VPC	Network Firewall 엔드포인트 및 규칙 중앙 배포	별도 과금
Route 53 Resolver DNS Firewall	VPC	DNS Firewall 규칙 그룹 연결	별도 과금
서드파티 방화벽	VPC	AWS Marketplace 서드파티 방화벽 중앙 배포	별도 과금

Use cases

사용 사례

EC2 인스턴스 호스팅 애플리케이션 보호

공통 보안 그룹 정책으로 기본 보안 그룹 규칙을 적용하면서, 애플리케이션별 규칙도 함께 배포합니다. 계층적 규칙 적용을 통해 중앙 규칙과 애플리케이션별 규칙을 분리하여 관리할 수 있습니다.

AWS 제품 페이지에서 보기 ↗

조직 전체 데이터 보호를 위한 방화벽 대규모 배포

AWS Organizations 구조 내 여러 계정과 VPC에 걸쳐 공통 보안 정책으로 방화벽을 생성, 구성, 유지합니다. 새 계정과 VPC가 생성되면 자동으로 방화벽 배포와 규칙 연결, VPC 라우팅 구성이 수행됩니다.

AWS 제품 페이지에서 보기 ↗

보안 그룹 지속적 감사 및 정리

미사용 또는 중복 보안 그룹을 감사하고 정리합니다. 과도하게 허용적인 보안 그룹 규칙을 식별하여 고위험 규칙을 통제합니다. 자동 교정을 통해 비준수 상태를 직접 해결할 수 있습니다.

AWS 제품 페이지에서 보기 ↗

악성 도메인 DNS 쿼리 차단

Route 53 Resolver DNS Firewall 규칙을 여러 계정의 VPC에 중앙에서 연결하여, 알려진 악성 도메인에 대한 DNS 쿼리를 차단하고 신뢰할 수 있는 도메인만 허용합니다.

AWS 제품 페이지에서 보기 ↗

Reference architecture

레퍼런스 아키텍처

멀티 계정 환경에서 Firewall Manager를 통한 중앙 보안 정책 적용 구조

1. AWS Organizations 관리 계정 또는 위임된 멤버 계정을 Firewall Manager 관리자 계정으로 지정합니다. 2. 관리자 계정에서 보안 정책(AWS WAF, Shield Advanced, VPC 보안 그룹, Network Firewall, DNS Firewall 등)을 생성하고, 정책 범위를 특정 계정 또는 전체 조직으로 지정합니다. 3. Firewall Manager가 AWS Organizations에서 계정 목록을 자동으로 가져와 범위 내 각 계정의 리소스에 보호 규칙을 배포합니다. 4. 새 계정이나 리소스가 추가되면 Firewall Manager가 자동으로 정책을 적용합니다. 5. 각 계정에서 AWS Config 규칙이 리소스 구성 변경을 모니터링하고, 비준수 리소스가 발견되면 Compliance Dashboard에 표시되며 SNS 알림과 Security Hub를 통해 통보됩니다. 6. CloudWatch 지표를 통해 조직 전체의 허용/차단 요청을 집계하여 위협을 모니터링합니다.

출처

Pricing

비용 항목

AWS Firewall Manager는 보호 정책당 리전별 월정액이 부과됩니다. 6가지 정책 유형(AWS WAF, AWS Shield, VPC 보안 그룹, AWS Network Firewall, Route 53 Resolver DNS Firewall, 서드파티 방화벽)을 지원하며, 각 정책에서 생성하는 AWS Config 규칙과 하위 서비스(WAF WebACL, Network Firewall 엔드포인트 등)에 대한 비용이 별도로 발생합니다. AWS Shield Advanced 고객은 WAF 및 Shield 정책에 대해 Firewall Manager 정책 비용이 포함되어 추가 비용이 없습니다. 최소 요금이나 사전 약정은 없습니다.

Protection Policy 월정액: 보호 정책 1개당 리전별 월정액이 부과됩니다. Shield Advanced 고객은 WAF 및 Shield 정책에 대해 추가 비용이 없습니다.
AWS Config Rules: Firewall Manager가 정책당, 계정당 2개의 AWS Config 규칙을 생성합니다. 구성 항목 변경 및 규칙 평가에 따라 AWS Config 요금이 부과됩니다.
하위 서비스 비용: 정책 유형에 따라 AWS WAF WebACL/Rule, AWS Network Firewall 엔드포인트, Route 53 Resolver DNS Firewall, 서드파티 방화벽 등 하위 서비스 비용이 각 서비스의 요금 기준에 따라 별도 부과됩니다.

리전별 가격표 공식 요금 페이지

Getting started

시작하기

사전 요구 사항 충족

AWS Organizations에서 모든 기능을 활성화하고, 각 멤버 계정에서 AWS Config를 활성화합니다. Network Firewall 또는 DNS Firewall을 사용하려면 AWS Resource Access Manager에서 리소스 공유를 활성화합니다.
Firewall Manager 관리자 계정 지정

AWS Organizations 관리 계정 또는 적절한 권한이 있는 멤버 계정을 Firewall Manager 관리자 계정으로 설정합니다. 이 계정에서 모든 보안 정책을 생성하고 관리합니다.
보안 정책 생성 및 규칙 정의

AWS WAF, Shield Advanced, VPC 보안 그룹, Network Firewall, DNS Firewall 중 필요한 정책 유형을 선택합니다. 정책 유형에 따라 규칙 그룹(사용자 지정 또는 관리형), 보안 그룹, 상태 저장/상태 비저장 규칙 등을 지정합니다.
정책 범위 설정 및 배포

정책을 적용할 계정, 리소스 유형, 리소스 태그를 지정합니다. 자동 교정 또는 수동 교정 모드를 선택합니다. 정책을 검토하고 생성하면 Firewall Manager가 범위 내 모든 리소스에 규칙을 자동 적용합니다.
규정 준수 모니터링 및 운영

Compliance Dashboard에서 비준수 계정과 리소스를 확인합니다. SNS 알림과 Security Hub를 통해 비준수 이벤트를 실시간으로 모니터링합니다. CloudWatch 지표로 조직 전체의 위협 상황을 파악하고 알림을 설정합니다.

Next steps

참고 자료

이 페이지는 아래 AWS 공식 자료를 바탕으로 정리했습니다. 마지막 갱신 2026-10-17.

멀티 계정 환경의 방화벽 규칙, 한 곳에서 관리하고 자동으로 적용하세요

멀티 계정 방화벽 관리의 과제

계정별 개별 방화벽 규칙 관리의 복잡성

신규 리소스에 대한 보안 정책 적용 누락

보안 그룹의 과도한 권한 및 미사용 규칙 감사 부재

AWS Firewall Manager를 선택하는 이유

중앙 관리자 계정에서 조직 전체 방화벽 규칙을 일괄 관리

기존 및 신규 리소스에 보안 정책 자동 적용

규정 준수 대시보드와 실시간 알림으로 가시성 확보

AWS Firewall Manager 핵심 개념

Security Policy (보안 정책)

Firewall Manager Administrator Account

Hierarchical Rule Enforcement (계층적 규칙 적용)

Auto-remediation과 Manual-remediation

주요 기능

AWS Network Firewall 중앙 배포

AWS WAF 규칙 자동 적용

AWS Shield Advanced 보호 배포

VPC 보안 그룹 중앙 관리 및 감사

Route 53 Resolver DNS Firewall 규칙 연결

Cross-account Protection Policies

Multi-account Resource Groups

Compliance Dashboard 및 SNS 알림

AWS Marketplace 서드파티 방화벽 지원

CloudWatch 메트릭 기반 위협 집계

Firewall Manager 보호 정책 유형별 비교

사용 사례

레퍼런스 아키텍처

멀티 계정 환경에서 Firewall Manager를 통한 중앙 보안 정책 적용 구조

비용 항목

시작하기

사전 요구 사항 충족

Firewall Manager 관리자 계정 지정

보안 정책 생성 및 규칙 정의

정책 범위 설정 및 배포

규정 준수 모니터링 및 운영

다음 단계

참고 자료