AWS Firewall Manager · 조직 단위 보안 정책 · 규정 준수
AWS Firewall Manager는 AWS Organizations의 여러 계정과 리소스에 AWS WAF, Shield Advanced, 보안 그룹, 네트워크 ACL, Network Firewall, DNS Firewall 정책을 중앙에서 배포하는 관리 서비스입니다. 새 계정과 리소스가 생겨도 정책 범위에 들어오면 자동으로 적용합니다.
Root · management account → FMS 기본 관리자: security 계정
같은 정책이라도 범위와 자동 수정 여부에 따라 결과가 달라집니다. 위반 내용은 Security Hub CSPM findings로도 전달됩니다.
정책 유형 (WAF · Shield · SG · NACL · NFW · DNS FW · 서드파티 2종)
조직당 최대 관리자 계정 (기본 관리자 포함)
범위 조건 (계정 · OU, 리소스 유형, 태그)
적용 방식 (자동 수정 · 보고만)
Why Firewall Manager
계정마다 web ACL, 보안 그룹, 방화벽 규칙을 따로 관리하면 누락과 예외가 쌓입니다. Firewall Manager는 보안 팀이 기준선을 정책으로 정의하고, 애플리케이션 팀은 그 위에 자기 규칙을 더하는 구조를 만듭니다.
관리자 계정에서 정책을 만들면 범위 안의 모든 계정과 리소스에 같은 보호가 배포됩니다. 정책을 고치면 변경도 함께 전파됩니다.
조직에 계정이 들어오거나 범위에 맞는 리소스가 생기면 Firewall Manager가 평가해 바로 정책을 적용합니다.
정책별 규정 준수 대시보드로 위반 계정과 리소스, 그 이유를 확인합니다. 자동 수정 없이 보고만 받도록 시작할 수도 있습니다.
Prerequisites
Firewall Manager는 조직 단위 서비스입니다. 아래 준비를 순서대로 마쳐야 콘솔에서 정책을 만들 수 있습니다.
관리 대상 계정이 하나의 조직에 속해야 하며, 통합 결제만이 아니라 all features가 켜져 있어야 합니다.
관리 계정이 조직을 Firewall Manager에 온보딩하면서 default administrator를 지정합니다. 기본 관리자는 전체 범위를 갖고 서드파티 방화벽 정책도 관리합니다. 보통 별도 security 계정을 씁니다.
보호할 리소스가 있는 모든 멤버 계정과 리전에서 AWS Config를 켜야 합니다. Firewall Manager는 Config로 리소스 변경을 감지하고 규정 준수를 평가합니다.
Network Firewall과 DNS Firewall 정책은 AWS RAM의 조직 리소스 공유가 필요하고, 서드파티 방화벽 정책은 AWS Marketplace 구독과 연동 설정이 필요합니다. 기본 비활성 리전은 따로 켜야 합니다.
Administrators
관리 계정은 기본 관리자 외에 추가 관리자 계정을 만들 수 있습니다(조직당 최대 10개). 각 관리자에게 전체 또는 제한된 administrative scope를 주고, 제한 범위는 아래 조건을 조합해 정합니다.
관리자가 정책을 적용할 수 있는 계정이나 OU를 지정합니다. 사업부별 보안 팀이 자기 OU만 관리하게 할 때 씁니다.
OU = ProdAccount IDs관리자가 작업할 수 있는 리전을 제한합니다. 지역별 운영 조직이 나뉘어 있을 때 맞습니다.
us-east-2ap-northeast-2네트워크 팀은 Network Firewall · 보안 그룹 정책만, 웹 보안 팀은 AWS WAF 정책만 다루도록 나눕니다.
Security groupAWS WAFNetwork Firewall관리자 계정의 생성 · 수정 · 해제는 조직의 관리 계정만 할 수 있습니다. 최소 권한 원칙에 따라 꼭 필요한 범위만 주는 것을 권장합니다.
Policy types
Firewall Manager 정책 하나는 한 가지 유형만 다룹니다. 여러 보호를 강제하려면 유형별로 정책을 만들고, 같은 유형의 정책도 여러 개 둘 수 있습니다. 정책은 리전 단위이며, CloudFront 대상 정책은 글로벌로 만듭니다.
L7 · Web
범위 안의 리소스에 Firewall Manager 관리 web ACL을 연결합니다. 정책의 first rule groups가 맨 앞에, last rule groups가 맨 뒤에 고정되고, 계정 소유자는 그 사이에 자기 규칙을 넣습니다. retrofit 옵션을 고르면 이미 연결된 web ACL에 정책 규칙을 덧붙입니다.
CloudFrontALBAPI Gateway RESTfirst · last rule groupsDDoS
조직의 지정 리소스 유형에 Shield Advanced 보호를 적용합니다. 범위 안 계정을 Shield Advanced에 구독시키고, 새로 들어온 계정도 자동 구독합니다. L7 자동 완화 설정도 정책으로 관리합니다.
CloudFrontALB · CLBElastic IPVPC · Security group
Common은 기준 보안 그룹을 범위 안 리소스에 복제해 연결합니다. Content audit은 보안 그룹 규칙이 허용 · 금지 기준을 지키는지 점검합니다. Usage audit은 쓰지 않거나 중복된 보안 그룹을 찾아 정리합니다.
EC2 instanceENIALB · CLBSecurity groupVPC · Subnet
서브넷의 네트워크 ACL에 first · last 규칙을 강제합니다. 번호는 Firewall Manager가 매기고, 계정의 기존 규칙은 그 사이에 남습니다. 기존 규칙과 충돌할 때 강제 수정할지는 first · last 각각 정합니다.
SubnetFirstEntriesLastEntriesL3–L7 · VPC
범위 안 VPC에 AWS Network Firewall 방화벽을 만들고 정책의 규칙 그룹을 배포합니다. 배포 모델은 분산형, 중앙형, 기존 방화벽 가져오기 중에서 고릅니다. 이 유형은 자동 수정이 항상 켜집니다.
DistributedCentralizedImport existingDNS
조직의 VPC에 DNS Firewall 규칙 그룹을 연결해 악성 도메인 질의를 막습니다. first 규칙 그룹(우선순위 1–100)은 계정이 직접 연결한 규칙 그룹(101–9900)보다 먼저, last 규칙 그룹(9901–10000)은 나중에 평가됩니다.
VPCDomain listRAM 공유Third-party
AWS Marketplace에서 구독한 파트너 방화벽을 VPC에 배포합니다. Palo Alto Networks Cloud NGFW 정책은 Cloud NGFW와 rulestack을, Fortigate CNF 정책은 Fortigate Cloud Native Firewall as a Service 보호를 적용합니다. 기본 관리자 계정이 관리합니다.
Palo Alto Cloud NGFWFortigate CNFAWS MarketplaceFeatures
Policy scope
조직 전체, 지정한 계정 · OU만, 또는 지정한 계정 · OU를 뺀 나머지에 적용합니다. 리소스는 유형을 고르고, 태그를 모두 가졌는지(AND) 하나라도 가졌는지(OR)로 포함 · 제외합니다. resource set으로 리소스를 직접 묶을 수도 있습니다.
Remediation
위반 리소스를 자동으로 고치거나, 바꾸지 않고 보고만 받도록 고릅니다. 범위를 벗어난 리소스에서 보호를 떼고 Firewall Manager가 만든 리소스를 정리하는 옵션도 있습니다.
Compliance
정책마다 범위 안 계정 수와 준수 계정 수를 보여 주고, 위반 계정 → 리소스 → 위반 이유까지 내려가 확인합니다. Amazon SNS 채널로 새 위반을 실시간 알림받습니다.
Security Hub
위반 리소스와 탐지된 공격을 findings로 Security Hub CSPM에 보냅니다. Firewall Manager를 쓰고 있으면 통합이 자동으로 켜지며, 다른 보안 서비스 결과와 함께 우선순위를 정합니다.
Managed lists
보안 그룹 정책에서 허용 · 금지할 포트와 프로토콜을 managed list로 정의해 재사용합니다. AWS가 제공하는 목록과 직접 만든 목록을 함께 씁니다.
Logging
AWS WAF 정책에 로깅을 켜면 범위 안 모든 계정의 web ACL 로그를 한 계정의 Amazon Data Firehose나 S3로 모읍니다. 민감한 필드는 정책에서 가립니다.
최근 업데이트: AWS WAF L7 Anti-DDoS 관리형 규칙 그룹을 정책에 추가 가능(2025년 6월), AWS PrivateLink 인터페이스 엔드포인트로 Firewall Manager API 호출(2025년 7월), Asia Pacific (Taipei) 리전(2025년 9월) · Asia Pacific (New Zealand) 리전(2026년 3월) 출시. AWS WAF 정책의 retrofit existing web ACLs로 애플리케이션 팀이 만든 web ACL을 그대로 두고 정책 규칙만 덧붙일 수 있습니다.
Policy comparison
자동 수정 동작은 유형마다 다릅니다. 보안 그룹 audit 정책처럼 리소스를 지우거나 바꾸는 정책은 보고만 모드로 영향을 먼저 확인하세요.
| 정책 유형 | 강제하는 것 | 자동 수정 시 동작 |
|---|---|---|
| AWS WAF | web ACL의 first · last 규칙 그룹, 기본 액션, 로깅 설정 | 관리 web ACL을 만들어 범위 안 리소스에 연결. retrofit이면 기존 web ACL에 규칙을 덧붙임 |
| Shield Advanced | 리소스별 Shield Advanced 보호, L7 자동 완화 | 범위 안 계정 구독과 리소스 보호 추가 |
| 보안 그룹 · Common | 기준(primary) 보안 그룹의 연결 | 기준 보안 그룹을 계정에 복제해 리소스에 연결. 옵션으로 다른 보안 그룹 연결 해제 |
| 보안 그룹 · Content audit | 보안 그룹 규칙이 허용 · 금지 기준을 지키는지 | 기준을 어긴 규칙 제거 |
| 보안 그룹 · Usage audit | 미사용 · 중복 보안 그룹 | 미사용 그룹 삭제, 중복 그룹을 하나로 교체 |
| 네트워크 ACL | 서브넷 NACL의 first · last 규칙 | 관리 NACL에 규칙 반영. 기존 규칙과 충돌하면 force remediation 설정에 따라 수정 또는 위반 표시 |
| Network Firewall | VPC의 방화벽 존재와 방화벽 정책 · 규칙 그룹 | 항상 자동. 방화벽 · 엔드포인트 생성, 규칙 그룹 공유. 라우팅은 Monitor로 위반만 보고 |
| DNS Firewall | VPC의 DNS Firewall 규칙 그룹 연결 | first · last 규칙 그룹을 RAM으로 공유하고 VPC에 연결 |
| 서드파티 방화벽 | Palo Alto Cloud NGFW · Fortigate CNF 보호 | 파트너 방화벽 엔드포인트와 정책(rulestack 등)을 VPC에 배포 |
Network Firewall via FMS
Network Firewall 정책은 firewall management type에 따라 방화벽을 어디에 만들지 정합니다. 규칙 그룹은 관리자 계정에서 미리 만들어 두고, AWS RAM 조직 공유로 멤버 계정에 배포합니다.
범위 안 계정의 VPC마다 방화벽을 만들고 AZ별 방화벽 서브넷에 엔드포인트를 둡니다. 라우팅은 Monitor 모드로 위반만 알리거나 Off로 둡니다.
지정한 계정의 검사 VPC 하나에 방화벽 하나를 만듭니다. Transit Gateway로 스포크 VPC 트래픽을 모아 검사하는 구조에 맞고, 라우팅은 직접 구성합니다.
이미 운영 중인 방화벽을 하나의 정책으로 가져와 관리하고, 조직 기준 규칙을 더해 표준을 맞춥니다.
규칙 평가 순서: 정책에서 stateful 규칙의 strict order 또는 action order를 고릅니다. Firewall Manager API의 StatefulEngineOptions.RuleOrder는 생략하면 DEFAULT_ACTION_ORDER로 문서화되어 있으니, Network Firewall 콘솔의 기본값인 strict order를 쓰려면 명시하세요.
Reference architecture
관리 계정이 security 계정을 Firewall Manager 관리자로 지정합니다. 관리자는 정책을 만들어 OU별로 배포하고, 각 멤버 계정의 AWS Config가 변경을 감지하면 Firewall Manager가 규정 준수를 다시 평가합니다. 위반은 대시보드와 Security Hub CSPM에 모입니다.
좁은 화면에서는 다이어그램을 좌우로 밀어서 보세요.
Getting started
Organizations all features를 켜고, 관리 계정에서 security 계정을 기본 관리자로 지정합니다.
보호할 리소스가 있는 모든 계정 · 리전에서 Config를 켭니다. 필요하면 RAM 조직 공유도 켭니다.
정책 유형과 리전(CloudFront는 Global)을 고르고 규칙 그룹 · 기준 보안 그룹 등 내용을 채웁니다.
계정 · OU, 리소스 유형, 태그로 범위를 정하고 자동 수정은 끈 채 위반 내역을 검토합니다.
영향을 확인한 뒤 자동 수정을 켜고, Security Hub CSPM과 SNS로 위반을 계속 추적합니다.
Pricing
Firewall Manager 정책마다 리전별 월 요금이 붙고, 정책이 만든 AWS Config 규칙과 실제 보호를 제공하는 하위 서비스 요금이 더해집니다. 최소 요금이나 선약정은 없습니다.
| 과금 항목 | 과금 기준 | 참고 |
|---|---|---|
| 보호 정책 | 정책당 · 리전당 월 요금 | WAF, 보안 그룹, Network Firewall, DNS Firewall, 서드파티 정책에 적용. 리전에 따라 단가가 다릅니다 |
| AWS Config | 구성 항목 기록 · 규칙 평가 건수 | Firewall Manager가 계정마다 만드는 Config 규칙이 AWS Config 요금으로 청구됩니다 |
| AWS WAF | web ACL · 규칙 · 요청 수 | 정책이 만든 web ACL과 규칙은 AWS WAF 요금으로 청구됩니다 |
| Network Firewall | 엔드포인트 시간 · 처리 GB | 분산형은 VPC · AZ마다 엔드포인트가 생기므로 범위가 넓을수록 비용이 커집니다 |
| DNS Firewall · 서드파티 | 하위 서비스 요금 | DNS Firewall 규칙 그룹은 Route 53 Resolver 요금, Palo Alto · Fortinet 방화벽은 AWS Marketplace 요금 |
| Shield Advanced 고객 | 구독에 포함 | Shield Advanced 정책과 AWS WAF 정책의 정책 요금, 정책이 만든 web ACL · 규칙이 추가 요금 없이 포함. AWS Config 요금은 별도 |
단가와 포함 범위는 바뀔 수 있습니다. 최신 내용은 AWS Firewall Manager 요금 페이지에서 확인하세요.
Next step
OU 구조, 계정 수, 보호할 리소스 유형, 애플리케이션 팀에 맡길 범위를 정리해 오시면 정책 유형 구성과 보고만 → 자동 수정 전환 계획을 함께 검토합니다. 관련 서비스: AWS WAF · Network Firewall · Shield · Route 53 · VPC