사내용 ZTNA(사설 애플리케이션용)

온프레미스 ZTNA는 ‘ zero trust network access ’를 배포한 형태로, 사내 애플리케이션에 대한 정책 적용 지점이 조직 자체의 데이터 센터 및 지사 내 인프라에서 실행됩니다. 다른 ZTNA와 마찬가지로 사용자와 시스템은 애플리케이션별로 인증 및 권한 부여를 받지만, 온프레미스 사용자와 온프레미스 애플리케이션 간의 트래픽은 공급업체의 클라우드를 경유하여 왕복할 필요가 없습니다.

이 기사는 ‘하이브리드 클라우드 보안’ 가이드의 일부입니다.

ZTNA의 작동 원리

ZTNA는 각 사용자의 신원, 기기 및 사용 상황을 확인한 후, 이를 네트워크가 아닌 단일 애플리케이션에 연결합니다.

NIST의 제로 트러스트 아키텍처인 SP 800-207은 정책 결정 지점(주체가 리소스에 접근할 수 있는지 여부를 결정하는 지점)과 정책 적용 지점(연결을 허용, 모니터링 및 종료하는 지점)을 분리합니다. ZTNA 제품은 사내 애플리케이션을 위해 이 모델을 구현합니다:

1. 사용자나 시스템이 애플리케이션에 대한 액세스를 요청합니다.
2. 요청은 일반적으로 게이트웨이, 브로커 또는 프록시와 같은 처리 지점에 도달합니다.
3. 이 정책은 신원, 그룹, 기기 상태, 위치, 위험도 및 요청된 특정 애플리케이션을 평가합니다.
4. 허용될 경우, 적용 지점은 해당 주체를 해당 애플리케이션에만 연결합니다. 네트워크의 나머지 부분은 보이지 않게 됩니다.
5. 이 세션은 모니터링되며, 상황이 변할 경우 종료될 수 있습니다.

2025년 6월에 발간된 NIST의 실무 지침서 SP 1800-35, 《제로 트러스트 아키텍처 구현》 은 온프레미스 및 클라우드 환경에서 24개 벤더를 활용해 구축된 19가지 구현 사례를 수록하고 있으며, 이러한 구성 요소들이 실제로 어떻게 결합되는지에 대한 유용한 참고 자료입니다.

클라우드 중개형 ZTNA 대 온프레미스 ZTNA

차이점은 적용 지점이 어디인지에 있습니다. 즉, 모든 세션의 경우 공급업체의 클라우드에서 적용되는지, 아니면 로컬 세션의 경우 고객사의 자체 게이트웨이에서 적용되는지 여부입니다.

일반적인 클라우드 중개 모델에서는 경량 커넥터 가상 머신이 애플리케이션과 함께 실행되며, 공급업체의 게이트웨이로 나가는 터널을 열어주므로 인바운드 방화벽 포트가 필요하지 않습니다. Skyhigh Private Access 는 원격 액세스를 위해 다음과 같은 방식으로 작동합니다. 클라이언트 트래픽은 SSE 접속 지점에서 제어되며, TLS 터널을 통해 애플리케이션과 동일한 데이터 센터, 프라이빗 클라우드 또는 퍼블릭 클라우드에 배포된 커넥터로 라우팅됩니다.

온프레미스 ZTNA는 로컬 적용 경로를 추가하여, 네트워크 내부의 사용자와 시스템이 건물 밖으로 나가지 않고도 애플리케이션별 동일한 제어 기능을 이용할 수 있도록 합니다.

지역 차원의 법 집행이 중요한 이유

로컬 적용 방식은 헤어핀 현상을 방지하고, 내부 및 AI 에이전트 트래픽에 접근할 수 있으며, 클라우드 서비스 중단 시에도 계속 작동합니다.

헤어핀 방식. 사무실 사용자의 트래픽을 클라우드 브로커로 보냈다가 복도 건너편 서버로 다시 되돌리는 방식은 보안상의 이점도 없이 지연 시간을 늘리고 인터넷 의존도를 높일 뿐입니다.

내부 트래픽. 제로 트러스트가 관리해야 할 트래픽의 상당 부분은 인터넷 경계 밖으로 나가지 않습니다. 관리자 세션, 애플리케이션 간 호출, OT 엔지니어링 액세스 등이 이에 해당합니다. 클라우드 전용 적용 방식으로는 이러한 트래픽을 감지할 수 없습니다.

AI 에이전트 및 서비스 계정. 자율 에이전트와 서비스 계정은 사용자 수준의 접근 권한을 보유할 수 있으며, 내부 시스템 간에 데이터를 기계 속도로 전송할 수 있습니다. Skyhigh는 이러한 데이터 흐름에 대한 통제 조치가 트래픽이 발생하는 네트워크 내부에서 이루어져야 한다고 주장합니다 (Skyhigh Security).

연속성. 공급업체의 클라우드 또는 인터넷 연결에 장애가 발생하더라도, 로컬 세션은 로컬에서 적용되는 정책에 따라 계속 진행됩니다. 지원되는 연결 중단 기간 및 보안 상태 및 신원 확인 기능의 동작에 대해서는 공급업체에 확인하십시오.

주권. 온프레미스 애플리케이션 트래픽은 고객 인프라 내에서 처리될 수 있습니다. 정책 결정, 신원 확인 및 세션 메타데이터가 처리되고 저장되는 위치를 기록합니다. Skyhigh 세션에 클라우드 기반 데이터 보호가 필요한 경우, 해당 콘텐츠는 동일한 정책에 따라 검사를 받기 위해 Skyhigh 클라우드로 전달됩니다.

신원 확인

온프레미스 ZTNA는 원격 액세스와 동일한 수준의 신원 확인 기준을 적용해야 합니다:

• 피싱 방지 다단계 인증(MFA)을 통해 기업 ID 제공자를 통한 인증
• 장치 상태: 관리 대상 상태, OS 버전, 디스크 암호화, 엔드포인트 보호
• 애플리케이션별 권한에 매핑된 그룹 및 역할
• 컨텍스트: 위치, 시간, 행동 분석을 통한 위험 점수
• 비인간 접근에 대한 워크로드 및 에이전트 신원
• 지속적인 평가를 실시하며, 자세나 위험 요인이 변할 경우 세션을 종료한다

흔히 발생하는 문제점 중 하나는 사내 사용자를 기기 보안 상태 점검 대상에서 제외하는 것입니다. 기업 LAN에 연결되어 있다는 사실 자체가 보안 상태를 보장하는 것은 아닙니다.

커넥터 및 게이트웨이 배치

게이트웨이는 보호 대상 애플리케이션 근처에 배치하고, 중복 구성을 갖춘 그룹으로 구성하며, 주변을 세분화하여 관리해야 합니다.

• 게이트웨이는 보호 대상 애플리케이션과 가까운 곳, 즉 동일한 세그먼트 내 또는 인접한 세그먼트에 배치하여, 보호 대상 애플리케이션에 게이트웨이를 통해서만 접근할 수 있도록 해야 합니다.
• 처리 능력과 가용성을 확보하기 위해 그룹 단위로 배포하고, 애플리케이션을 개별 게이트웨이가 아닌 그룹에 연결하십시오.
• 클라우드 중개 경로의 경우 아웃바운드 전용 연결만 허용하여, 애플리케이션이 인바운드 연결에 노출되지 않도록 하십시오.
• 고객이 관리하는 네트워크 분할 기능을 사용하여, 보안이 침해된 게이트웨이가 관련 없는 시스템에 접근하는 것을 차단하십시오.
• 지점 계획을 수립하십시오. 각 지점에 로컬 게이트웨이를 배치할지, 아니면 지역 게이트웨이에 연결할지 결정하십시오.

로컬 액세스 경로

하이브리드 ZTNA 설계에는 세 가지 명시적인 액세스 경로가 필요하며, 이 모든 경로는 하나의 정책에 의해 관리됩니다:

1. 온프레미스 사용자 → 온프레미스 애플리케이션: 로컬 게이트웨이, 클라우드를 거치지 않음.
2. 원격 사용자 → 온프레미스 애플리케이션: 클라우드 브로커 → 로컬 커넥터 또는 게이트웨이.
3. 온프레미스 사용자에서 클라우드 호스팅 애플리케이션으로: 로컬 게이트웨이 또는 클라우드 브로커를 통해 클라우드 환경 내 커넥터로 연결됩니다.

세 가지 모두 하나의 정책 정의를 사용해야 하므로, 사용자의 권한이 위치에 따라 달라지지 않습니다.

하이브리드 클라우드를 위한 제로 트러스트 아키텍처 사례

이 예시에서 볼 수 있듯이, 하이브리드 제로 트러스트 아키텍처는 단일 신원 및 정책 계층 아래에서 온프레미스 및 클라우드 기반 적용을 결합합니다.

본사 데이터 센터, 40개 지점, IaaS 환경, 그리고 원격 근무 인력을 보유한 금융 서비스 회사를 생각해 봅시다.

• 신원: 다단계 인증(MFA)을 지원하는 단일 신원 제공자; 엔드포인트 관리를 통한 기기 상태 정보.
• 본사: 현지 ZTNA 게이트웨이는 핵심 뱅킹 관리 인터페이스와 내부 도구에 대한 진입점 역할을 합니다. 현장에 있는 직원들은 현지 게이트웨이를 통해 직접 연결합니다.
• 지점: 지점 게이트웨이는 지점 시스템에 대한 액세스를 제어하며, 중앙 애플리케이션의 경우 본사 게이트웨이로 트래픽을 전달합니다.
• IaaS: 클라우드 환경 내의 커넥터가 워크로드를 처리하며, 원격 및 온사이트 사용자는 적절한 브로커를 통해 이에 접속합니다.
• 원격 근무자: 클라우드 접속 지점(PoP)을 통해 데이터 센터 및 IaaS 애플리케이션 모두에 대한 액세스를 중개합니다.
• AI 에이전트: 내부 AI 어시스턴트의 서비스 ID에는 애플리케이션별로 권한이 부여되며, 이는 로컬에서 적용됩니다.
• 정책: 모든 경로는 단일 콘솔에서 배포되는 하나의 규칙 세트로 관리됩니다.

인터넷 연결이 끊어지더라도 본사 및 지사 직원들은 로컬 애플리케이션을 통해 업무를 계속 수행하며, 지원되는 오프라인 운영 시간 동안에는 현지에서의 업무 수행이 계속됩니다.

평가해야 할 배포 요건

공급업체를 최종 후보로 선정하기 전에, 온프레미스 ZTNA가 이러한 요구 사항을 충족하는지 평가하십시오.

• 클라우드 헤어핀 연결을 사용하지 않는 온프레미스 사용자에 대한 로컬 적용
• 로컬 경로와 원격 경로에 대해 동일한 정책 및 권한 적용
• 현장 사용자에 대한 기기 사용 정책 적용
• 비인간 정체성 및 AI 에이전트에 대한 지원
• 지원 프로토콜: 웹, SSH, RDP, 데이터베이스 및 레거시 TCP/UDP
• 고가용성 및 커넥터 그룹
• 공급업체 클라우드 또는 ID 제공자에 연결할 수 없는 경우의 정의된 동작
• 로그 기록 위치 및 SIEM 통합
• 웹 게이트웨이 및 DLP와의 연동을 통해 사내 애플리케이션 세션의 데이터가 보호되도록 합니다

하이브리드 클라우드를 위한 제로 트러스트 아키텍처 소프트웨어

ZTNA는 하이브리드 제로 트러스트 아키텍처의 구성 요소 중 하나입니다.

이 솔루션은 ID 제공자, 엔드포인트 관리, 웹 게이트웨이, CASB, DLP 및 세그멘테이션과 연동되어 작동합니다. ZTNA를 독립형 VPN 대체 수단이 아닌, 나머지 정책을 시행할 플랫폼의 일부로 평가하십시오. ‘하이브리드 클라우드 보안 솔루션: 공급업체 비교 방법’을 참조하십시오.

Skyhigh가 온프레미스 ZTNA를 제공하는 방식

Skyhigh는 하이브리드 SSE 메쉬(Hybrid SSE Mesh) 내의 로컬 게이트웨이를 통해 온프레미스 ZTNA를 제공하며, 이와 함께 클라우드 중개 방식의 ZTNA( Private Access)도 제공합니다.

Skyhigh Hybrid SSE Mesh에서는 로컬 ZTNA가 벤더가 운영하는 로컬 노드가 아닌, 조직이 소유하고 자체적으로 제어하며 변경할 수 있는 인프라 상의 조직 자체 온프레미스 및 지사 게이트웨이에서 실행되어, 제로 트러스트 적용 범위를 내부 사용자, 리소스 및 AI 에이전트까지 확대합니다. Skyhigh Private Access 는 계속해서 Skyhigh 접속 지점을 통해 원격 액세스를 중개하며, 두 솔루션 모두 SWG, CASB, DLP와 함께 단일 콘솔 및 정책 엔진 하에서 관리됩니다.

출처

1. NIST. SP 800-207: 제로 트러스트 아키텍처 (2020년 8월). https://csrc.nist.gov/pubs/sp/800/207/final
2. NIST NCCoE. SP 1800-35: 제로 트러스트 아키텍처 구현 (2025년 6월). https://csrc.nist.gov/pubs/sp/1800/35/final
3. CISA. 제로 트러스트 성숙도 모델, 버전 2.0. https://www.cisa.gov/zero-trust-maturity-model
4. Skyhigh Security. “Skyhigh Private Access 의 작동 원리.” https://success.skyhighsecurity.com/docs/how-skyhigh-private-access-works
5. Skyhigh Security. “Skyhigh Hybrid SSE Mesh를 활용한 시만텍 엣지 Secure Web Gateway 현대화” (2026년 7월 15일). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html