AWS WAF

1. 서비스 개요
2. 고객 과제
3. 주요 이점
4. 동작 방식
5. 주요 기능
6. 비교와 선택 기준
7. 사용 사례
8. 레퍼런스 아키텍처
9. 비용
10. 시작하기
11. 다음 단계

AWS WAF는 SQL 인젝션, XSS 등 일반적인 웹 공격 패턴을 차단하는 규칙을 생성할 수 있는 웹 애플리케이션 방화벽입니다. Bot Control로 봇 트래픽을 모니터링·차단·속도 제한할 수 있으며, 가이드 기반 설정으로 구성 단계를 최대 80% 줄일 수 있습니다.

80%

가이드 설정을 통한 구성 단계 감소율

20분

가이드 설정을 통한 구현 소요 시간

99.8%

IP 주소-국가 매핑 정확도

1. 1

   웹 ACL(Web Access Control List)

   웹 ACL은 보호할 AWS 리소스에 연결하는 규칙의 집합입니다. 요청이 들어오면 웹 ACL의 규칙에 따라 허용(Allow), 차단(Block), 카운트(Count) 등의 동작을 수행합니다. 각 웹 ACL에는 여러 규칙과 규칙 그룹을 추가할 수 있습니다.

2. 2

   Rules와 규칙 그룹

   규칙은 IP 주소, HTTP 헤더, HTTP 본문, URI 문자열 등의 조건을 기반으로 웹 요청을 필터링합니다. Rate-based Rule은 5분 간격으로 클라이언트 IP당 허용되는 요청 수를 제한합니다. 규칙 그룹은 여러 규칙을 묶어 여러 웹 ACL에서 재사용할 수 있습니다.

3. 3

   Managed Rules

   Managed Rules는 AWS 또는 AWS Marketplace 서드파티가 관리하는 사전 구성된 규칙입니다. OWASP, 봇, CVE 등 일반적인 위협에 대한 보호를 제공합니다. 기존 사용자 지정 규칙과 함께 사용할 수 있으며, Count 모드로 먼저 테스트한 후 적용할 수 있습니다.

4. 4

   Bot Control과 Fraud Control

   Bot Control은 스크래퍼, 스캐너, 크롤러 등 봇 트래픽을 모니터링·차단·속도 제한하는 관리형 규칙 그룹입니다. Fraud Control은 Account Takeover Prevention과 Account Creation Fraud Prevention으로 구성되어 로그인 및 회원가입 페이지를 보호합니다.

사용자의 HTTP/HTTPS 요청이 Amazon CloudFront 엣지 로케이션에 도달합니다. CloudFront에 연결된 AWS WAF 웹 ACL이 요청을 검사합니다. 웹 ACL의 규칙(사용자 지정 규칙, Managed Rules, Bot Control, Fraud Control 등)에 따라 요청을 허용, 차단, 또는 카운트합니다. 허용된 요청만 오리진 서버(Application Load Balancer, Amazon API Gateway, 또는 사용자 지정 오리진)로 전달됩니다. Amazon CloudWatch가 실시간 지표를 수집하고, AWS Firewall Manager가 여러 계정의 WAF 정책을 중앙에서 관리합니다.

사용자의 요청이 Application Load Balancer(ALB)에 도달합니다. ALB에 연결된 AWS WAF 웹 ACL이 요청을 검사합니다. Rate-based Rule로 특정 IP의 과도한 요청을 제한하고, Managed Rules로 일반적인 공격 패턴을 차단합니다. 허용된 요청만 ALB 뒤의 오리진 웹 서버(EC2, ECS 컨테이너 등)로 전달됩니다. 이 구성은 인터넷 대면 리소스뿐 아니라 내부 리소스 보호에도 사용할 수 있습니다.

AWS WAF는 생성한 웹 ACL 수, 웹 ACL당 추가한 규칙 수, 수신한 웹 요청 수를 기준으로 과금됩니다. 선불 약정은 없으며, 월별 요금은 시간 단위로 비례 배분됩니다. Bot Control, Fraud Control, DDoS Protection 등 추가 보안 기능은 별도로 과금됩니다.

Web ACL

생성한 웹 ACL 수에 따라 과금됩니다. 월별 요금은 시간 단위로 비례 배분됩니다.

Rules

웹 ACL당 추가한 규칙 수에 따라 과금됩니다. 사용자가 생성한 규칙 그룹 내부의 규칙과 관리형 규칙 그룹 추가 시에도 각각 과금됩니다.

Requests

웹 ACL이 처리한 웹 요청 수에 따라 과금됩니다. 기본 1,500 WCU를 초과하는 경우와 기본 본문 검사 한도(16KB)를 초과하는 경우 추가 요금이 발생합니다.

Bot Control

Common Bot Control은 월 첫 1,000만 건, Targeted Bot Control은 월 첫 100만 건의 요청이 무료입니다. 구독료와 초과 요청에 대한 요금이 별도로 부과됩니다. AI 트래픽 수익화는 추가 비용 없이 사용할 수 있습니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/waf/pricing/

Fraud Control

Account Takeover Prevention과 Account Creation Fraud Prevention으로 구성됩니다. 웹 ACL당 월별 구독료와 분석된 총 요청 수에 따른 요청 요금이 부과됩니다.

CAPTCHA 및 Challenge

CAPTCHA 시도 횟수와 Challenge 응답 횟수에 따라 과금됩니다. Allow, Block, Count 등 표준 규칙 동작에는 추가 비용이 없습니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/waf/pricing/

1. 1

   1단계: 보호 대상 리소스 식별

   AWS WAF를 적용할 리소스를 결정합니다. Amazon CloudFront, Application Load Balancer, Amazon API Gateway, AWS AppSync, Amazon Cognito, AWS App Runner, AWS Verified Access, AWS Amplify, Amazon Bedrock AgentCore Gateway 중 보호가 필요한 리소스를 선택합니다.

2. 2

   2단계: 가이드 설정으로 웹 ACL 생성

   가이드 설정 마법사를 사용하여 웹 ACL을 생성합니다. 애플리케이션 유형(API, PHP 애플리케이션, WordPress 사이트 등)을 선택하면 사전 구성된 보안 기본값이 자동으로 적용됩니다. Protection Packs(Essentials, Recommended, You Build It) 중 적합한 수준을 선택합니다.

3. 3

   3단계: 규칙 구성 및 테스트

   Managed Rules, Bot Control, Fraud Control 등 필요한 규칙을 추가합니다. 사용자 지정 규칙과 Rate-based Rule도 필요에 따라 구성합니다. Count 모드로 먼저 테스트하여 정상 트래픽이 차단되지 않는지 확인한 후 Block 모드로 전환합니다.

4. 4

   4단계: 모니터링 및 알림 설정

   통합 대시보드에서 실시간 지표를 모니터링합니다. Amazon CloudWatch와 연동하여 임계값 초과 또는 특정 공격 발생 시 사용자 지정 알람을 설정합니다. 샘플 웹 요청을 확인하여 규칙의 효과를 검증합니다.

5. 5

   5단계: 다중 계정 관리 및 지속적 최적화

   AWS Firewall Manager를 사용하여 여러 AWS 계정에 걸쳐 WAF 정책을 중앙에서 관리합니다. AWS WAF의 지속적인 보호 권장 사항을 활용하여 규칙을 최적화하고, 새로운 위협에 대응하여 보안 태세를 지속적으로 개선합니다.