「탐지해서 알림하기」만으로는 부족합니다 #

기존의 BASTION은 로그를 분석하여 이상을 탐지하고 Slack으로 알림하는 구조였습니다(제1회 참조). 그러나 알림을 받은 후의 조치——공격 출발지 IP의 방화벽 차단——는 사람이 수동으로 OPNsense 관리 화면을 열어 작업해야 했습니다.

새벽 3시에 알림이 오면 다음날 아침 로그인해서 차단합니다. 그 사이 6시간 동안 공격자는 마음대로 스캔할 수 있습니다.

그래서 BASTION에 반응형 방어를 구현했습니다. AI가 공격을 탐지하면 방화벽 차단 추가를 자동으로 제안하고, Slack에서 승인만 하면 OPNsense에 즉시 규칙이 적용됩니다.

전체 흐름 #

실제 동작 #

1. 차단 제안이 Slack에 도착 #

15분마다의 정기 분석에서 severity: HIGH가 탐지되면 공격 출발지 IP의 차단 제안이 자동으로 Slack에 게시됩니다.

1회 분석에서 최대 3건까지 제안됩니다. 차단 횟수가 많은 순으로 상위 IP가 선택됩니다.

2. 승인하면 방화벽에 즉시 반영 #

Slack에서 승인 명령을 보내면 fw-action.sh가 OPNsense의 API를 호출하여 차단 목록에 IP를 추가합니다.

OPNsense 측에서는 BASTION_AutoBlock이라는 Alias에 IP가 추가됩니다. 이 Alias를 참조하는 WAN 차단 규칙이 사전에 설정되어 있어, API로 Alias에 IP를 추가하기만 하면 즉시 차단이 활성화됩니다.

3. 24시간 후 자동 해제 #

auto-expire.sh가 매시 cron으로 실행되어 기한이 만료된 차단을 자동 해제합니다.

해제 후 동일한 IP가 다시 스캔을 수행하면 다음 분석에서 다시 제안됩니다.

안전 메커니즘 #

AI에게 방화벽을 조작하도록 하는 이상, 오판으로 정상적인 통신을 차단하지 않기 위한 안전 메커니즘이 필요합니다. 5단계 방어를 구축했습니다.

화이트리스트 조회 구현 #

화이트리스트 조회는 Python의 ipaddress 모듈로 구현되어 있습니다. CIDR 표기(10.0.0.0/8 등)를 지원하며, 프라이빗 IP·루프백·링크 로컬·멀티캐스트·예약된 주소는 내장 검사로 자동 제외됩니다.

# 화이트리스트 조회 흐름
1. 내장 검사: is_private / is_loopback / is_link_local / is_multicast / is_reserved
2. 파일 조회: block-whitelist.txt의 각 줄(IP 단독 or CIDR)에 대해 판정
3. 결과: exit 0=차단 금지 / exit 1=차단 가능

OPNsense API 연동 #

차단의 실체는 OPNsense의 Alias(IP 주소 그룹)입니다. 사전에 “BASTION_AutoBlock”이라는 Alias를 만들고, 이 Alias를 Source로 하는 WAN 차단 규칙을 설정해 둡니다.

# IP 추가(차단 실행)
curl -k -u "${API_KEY}:${API_SECRET}" \
  -X POST "${OPNSENSE}/api/firewall/alias_util/add/BASTION_AutoBlock" \
  -d '{"address":"공격원 IP"}'

# IP 삭제(차단 해제)
curl -k -u "${API_KEY}:${API_SECRET}" \
  -X POST "${OPNSENSE}/api/firewall/alias_util/delete/BASTION_AutoBlock" \
  -d '{"address":"공격원 IP"}'

alias_util은 런타임 테이블을 직접 조작하기 때문에 API 호출 하나로 즉시 차단이 활성화됩니다. 방화벽 규칙을 다시 로드할 필요가 없습니다.

감사 로그 #

모든 차단·해제·승인·거부·타임아웃은 감사 로그에 기록됩니다.

2026-04-23 13:31:33 [PROPOSE] new block-20260423-003 ip=xxx.xxx.119.51 reason=port_scan count=3003
2026-04-23 13:37:14 [BLOCK]   approved block-20260423-003 ip=xxx.xxx.119.51 expires=2026-04-24T13:37:14
2026-04-24 00:00:03 [EXPIRE]  auto-expire block-20260423-003 ip=xxx.xxx.119.51 api=done

grep으로 태그([PROPOSE] / [BLOCK] / [EXPIRE] 등)를 지정하면 특정 작업만 추출할 수 있습니다.

단계적 자율화 #

현재는 Slack 승인 게이트 방식이지만, 실적을 축적하여 단계적으로 자율화하는 설계입니다.

요약 #

BASTION의 리액티브 방어는 로그 분석→차단 제안→Slack 승인→OPNsense API 차단→24시간 자동 해제의 플로우를 전자동으로 실행합니다. 5층의 안전 메커니즘(화이트리스트, 승인 게이트, 속도 제한, 자동 해제, 긴급 플러시)을 통해 오판으로 인한 업무 영향을 최소화합니다.

현재는 Slack 승인 게이트 방식으로 운영 중이지만, 실적 데이터를 축적하여 단계적으로 자율화해 나가는 설계입니다. “탐지→알림”으로 끝나던 모니터링 시스템이 “탐지→판단→대응→자동 해제”의 루프를 완성했습니다.