OPNsense IDS를 AI로 30분 만에 실전 차단으로 — 방화벽 켜놓고 방치하지 않기

1방화벽을 켜놓기만 하면 끝인가

OPNsense에는 Suricata 기반의 IDS/IPS가 내장되어 있습니다. 메뉴에서 활성화하고 ruleset을 다운받으면 알림이 쌓이기 시작합니다. 여기까지만 하고 넘어가는 경우가 많습니다.

문제는 IDS는 탐지(Detection)만 하고, 차단(Prevention)은 별도 설정이 필요하다는 겁니다. 기본 상태에서는 의심스러운 패킷을 발견해도 로그에만 남길 뿐 통과를 허용합니다. 수개월간 IDS를 켜놓고도 실질적인 차단이 전혀 없었던 이유가 여기 있었습니다.

2IDS를 켜놓고도 안 막히는 이유 3가지

3준비 — SSH 키 등록과 API 접근

AI가 OPNsense를 직접 제어하려면 두 가지 접근 방법이 필요합니다. SSH를 통한 직접 명령 실행과, REST API를 통한 설정 변경입니다.

SSH 키 등록

서버에서 공개키를 확인한 뒤, OPNsense 웹 GUI의 System → Access → Users → root → Authorized keys에 붙여넣으면 됩니다. 간단해 보이지만 OPNsense가 FreeBSD 기반이라 몇 가지 주의가 필요합니다.

API 키 생성

OPNsense 웹 GUI에서 System → Access → Users의 API 탭에서 API Key와 API Secret을 생성합니다. 생성 즉시 다운로드되며, 이후에는 Secret을 다시 확인할 수 없습니다.

4OPNsense API 활용

OPNsense는 대부분의 기능을 REST API로 제어할 수 있습니다. AI에게 API_KEY와 API_SECRET 변수를 환경변수로 전달하면, curl 한 줄로 방화벽 상태를 조회하고 설정을 변경할 수 있습니다.

# 기본 설정
API="https://192.168.1.1/api"
AUTH="$API_KEY:$API_SECRET"

# 펌웨어 상태 확인
curl -sk "$API/core/firmware/status" -u "$AUTH"

# IDS 알림 조회 (최근 100건)
curl -sk "$API/ids/service/queryAlerts" \
  -u "$AUTH" -X POST \
  -d '{"current":1,"rowCount":100}'

# 규칙 업데이트 적용
curl -sk "$API/ids/service/updateRules" \
  -u "$AUTH" -X POST

# IDS 서비스 재시작
curl -sk "$API/ids/service/restart" \
  -u "$AUTH" -X POST

AI가 이 API들을 순서대로 호출하면서 현재 상태를 파악하고, 변경 사항을 적용하고, 결과를 검증하는 흐름으로 진행됩니다. 사람이 GUI를 클릭하는 것보다 훨씬 빠르고 일관성 있게 처리됩니다.

5AI가 수행한 과정

AI에게 API 접근 정보를 주고 “방화벽 보안 상태를 점검하고 실전 차단 체계를 만들어달라”고 요청했습니다. 약 30분의 대화 동안 아래 순서로 진행됐습니다.

6설정 후 결과

설정 전후를 비교하면 변화가 명확합니다. 65건 전부 통과에서 22건 차단, 15건 정상 허용으로 정리됐습니다.

Suppress 설정 예시

sig_id 2001978은 “ET POLICY SSH session in progress on non-standard port” 규칙입니다. 외부 백업 서버 2대가 SSH로 접속하는 트래픽이 이 규칙에 걸렸습니다. 정상 트래픽이므로 해당 목적지 IP만 예외 처리했습니다.

# OPNsense IDS Suppress 설정
suppress gen_id 1, sig_id 2001978, track by_dst, ip 14.51.225.150   # 외부 백업 서버 A
suppress gen_id 1, sig_id 2001978, track by_dst, ip 211.213.5.223   # 외부 백업 서버 B
suppress gen_id 1, sig_id 2001978, track by_dst, ip 20.200.245.247  # GitHub SSH

7차단된 실제 공격

DROP 규칙 적용 직후부터 실제 공격이 차단되기 시작했습니다. 공인 IP(218.48.87.25)로 향하는 트래픽 중 아래 공격들이 IDS에 의해 차단됐습니다.

차단된 공격 (blocked)

정상 트래픽 (allowed 유지)

8방화벽 관리 팁

emerging-policy.rules는 DROP에 넣지 말 것

Emerging Threats의 emerging-policy.rules는 SSH 세션 감지, ZIP 내 EXE 파일 감지 등 정보성 규칙을 포함합니다. 이 규칙셋을 DROP 정책에 포함하면 정상적인 SSH 접속과 파일 다운로드가 차단됩니다. 반드시 Alert 또는 제외 처리해야 합니다.

# 정보성 규칙셋 — Alert만 설정, DROP 제외
emerging-policy.rules   → Action: Alert (DROP 아님)
emerging-exploit.rules  → Action: Drop  (실제 공격 탐지)
emerging-scan.rules     → Action: Drop  (포트 스캔 탐지)

점검 결과를 날짜별 마크다운으로 저장

방화벽 점검 결과를 날짜별 마크다운 파일로 기록해두면 두 가지 장점이 있습니다. 추후 보안 감사 때 바로 꺼내 쓸 수 있고, 시간에 따른 공격 패턴 변화를 추적할 수 있습니다.

# 점검 기록 파일 예시
firewall-review/
├── 2026-04-06.md  ← IDS 활성화, DROP 규칙 2310개, suppress 3건
├── 2026-05-01.md
└── 2026-06-01.md

IDS 점검 주기

정리

IDS는 켜놓는 것과 실제로 작동하는 것 사이에 꽤 큰 차이가 있습니다. Policy 변경 후 규칙 재적용, cron 활성화, suppress 처리 — 이 세 단계가 빠지면 IDS는 로그 수집 도구에 불과합니다.

AI와 API를 활용하면 이 과정을 30분 만에 완료할 수 있습니다. 알림 분류도, suppress 설정도, cron 활성화도 AI가 순서대로 처리합니다. 월 1회 점검 루틴에 AI를 포함시키면 방화벽 관리 부담을 크게 줄일 수 있습니다.