SSE의 사설 배포: 아키텍처 및 클라우드 종속성
- Private SSE는 고객이 관리하는 인프라에서 웹 게이트웨이 및 사내 애플리케이션 적용 기능을 실행하는 반면, 데이터 보호와 같은 데이터 서비스는 여전히 공급업체의 클라우드에서 제공될 수 있습니다. 각각의 역할을 구분해 보십시오.
- 데이터 플레인, 제어 플레인 및 지원 서비스를 각각 별도로 평가해야 합니다. 각 구성 요소는 온프레미스 환경이거나 클라우드 환경일 수 있기 때문입니다.
- 대부분의 자체 호스팅형 SSE는 여전히 어떤 부분에서는 공급업체의 클라우드에 의존하고 있으므로, 모든 외부 의존성을 파악해야 합니다.
- 텔레메트리는 데이터입니다. 어떤 로그, 샘플, 메타데이터가 환경을 벗어나며, 어디로 전송될지 결정하십시오.
- 온프레미스 및 클라우드 SSE는 함께 실행될 수 있으며, 온프레미스 적용은 이를 필요로 하는 사이트에 한해 제한적으로 사용됩니다.
프라이빗 SSE는 ‘ secure web gateway (SWG)’, ‘ zero trust network access (ZTNA)’, ‘ data loss prevention (DLP)’와 같은 Security Service Edge 기능이 고객이 호스팅하는 인프라에서 실행되는 배포 모델입니다. 이 모델은 트래픽 검사, 키 또는 로그를 자체 시설이나 관할 구역 내에 보관해야 하거나, 외부 클라우드에 의존하지 않고도 보안 기능을 지속적으로 운영해야 하는 조직에서 사용됩니다.
가트너는 SSE를 주로 클라우드를 통해 제공되는 것으로 정의하지만, 온프레미스 또는 에이전트 기반 구성 요소가 포함될 수도 있다고 밝히고 있습니다. 프라이빗 SSE는 이러한 구성 요소를 핵심으로 삼습니다.
이 기사는 ‘하이브리드 클라우드 보안’ 가이드의 일부입니다.
SSE 아키텍처의 세 가지 평면
클라우드이든 사설 환경이든 모든 SSE 배포에는 세 가지 논리적 계층이 있습니다.
SP 800-207 에 제시된 NIST의 제로 트러스트 모델 역시 정책 결정과 정책 적용을 동일하게 구분하고 있다.
데이터 플레인. 트래픽 경로에 위치하여 연결을 검사하거나 중개하는 구성 요소들: 웹 프록시, ZTNA 게이트웨이, TLS 검사, DLP 스캔, 악성코드 분석. 이곳에서 평문 데이터가 존재합니다.
제어 플레인. 관리자가 정책을 정의하고, ID 및 그룹을 관리하며, 적용 지점에 구성을 배포하는 곳입니다. 이는 온프레미스 콘솔, 공급업체 클라우드, 또는 둘 다일 수 있습니다.
지원 서비스. 단속 기관이 의사 결정을 내리는 데 활용하는 요소들: URL 분류, 위협 인텔리전스, 파일 평판, 샌드박싱, 소프트웨어 및 시그니처 업데이트, 라이선스 관리, 분석.
배치 수준은 그 구성 요소 중 가장 비공개적인 요소만큼만 비공개로 유지됩니다.
SSE 전용 배포 모델
Private SSE는 클라우드 관리가 포함된 사설 데이터 플레인부터 외부 의존성이 전혀 없는 완전한 사설 배포 환경에 이르기까지 다양한 형태를 제공합니다. 이는 평가용 모델이며, 가용성 및 운영 제한 사항은 선택한 제품에 따라 다릅니다.
| 모델 | 데이터 플레인 | 제어 계층 | 지원 서비스 | 일반적인 핏 |
|---|---|---|---|---|
| 클라우드 SSE | 벤더 클라우드 | 벤더 클라우드 | 벤더 클라우드 | 원격 근무 우선 조직 |
| 하이브리드 SSE | 고객 및 공급업체 클라우드 | 벤더 클라우드 또는 통합 콘솔 | 로컬 캐시가 포함된 벤더 클라우드 | 원격 근무 인력을 보유한 규제 대상 기업 |
| 전용 데이터 플레인 | 고객 인프라 | 벤더 클라우드 | 벤더 클라우드 | 현장 점검 필수, 클라우드 관리는 허용됨 |
| 완전히 비공개 | 고객 인프라 | 고객 인프라 | 고객 측에서 호스팅하는 업데이트 또는 오프라인 업데이트 | 에어갭 환경, 기밀 환경 또는 주권 환경 |
사설 데이터 플레인 모델이 가장 일반적입니다. 이 모델은 암호 해독 및 검사 작업을 로컬에서 수행하면서, 정책 및 분석에는 클라우드 콘솔을 활용합니다. 완전한 사설 배포 방식은 드문 편이며, 고객의 운영 팀에 더 많은 부담을 줍니다.
고객이 호스팅하는 구성 요소
비공개 또는 하이브리드 SSE 배포 환경에서 고객은 일반적으로 다음을 포함하는 적용 및 핵심 구성 요소를 호스팅하고 운영합니다:
- 로컬 TLS 검사 및 웹 정책 적용을 위한 웹 게이트웨이 어플라이언스(물리적, 가상 또는 컨테이너형)
- 사내 애플리케이션에 대한 액세스를 중개하는 ZTNA 게이트웨이 또는 커넥터
- DLP 스캔: 공급업체가 온프레미스 환경에서 제공하는 경우; Skyhigh는 게이트웨이가 전달하는 트래픽에 대해 자사의 클라우드를 통해 데이터 보호를 적용합니다.
- 민감한 파일을 위한 온프레미스 샌드박싱
- CA 및 키 저장소 검사. 단, 지원되고 검증된 경우에만 하드웨어 기반 보관 방식을 적용
- 이벤트를 로컬에 저장하고 선택된 데이터를 전달하는 로그 수집기
고객은 해당 구성 요소의 용량, 가용성, 패치 적용 및 물리적 보안을 책임져야 합니다.
매핑할 클라우드 종속성
대부분의 사설 SSE 구축 환경은 여전히 어떤 부분에서든 공급업체의 클라우드에 의존하고 있으므로, 각 종속성과 그에 따른 장애 시 동작 방식을 나열하십시오.
어떤 사설 SSE 아키텍처를 평가하기 전에, 공급업체에 고객이 호스팅하는 구성 요소에서 발생하는 모든 외부 연결을 나열해 달라고 요청하고, 각 연결이 사용 불가능할 경우 어떤 일이 발생하는지 확인하십시오:
| 의존성 | 물어야 할 질문 | 확인해야 할 사항 |
|---|---|---|
| 정책 및 구성 | 콘솔에 연결할 수 없는 경우에도 ‘마지막으로 알려진 정책’에 따라 적용이 계속되나요? | 정의된 동작을 가진 캐시된 정책 |
| URL 분류 및 평판 | 조회는 로컬, 클라우드, 아니면 하이브리드 방식인가요? | 클라우드 기반 갱신 기능을 갖춘 로컬 데이터베이스 |
| 위협 인텔리전스 및 시그니처 | 업데이트는 어떻게 배포되며, 단계적으로 배포하거나 오프라인에서 배포할 수 있나요? | 단계별 업데이트; 연결이 끊긴 사이트를 위한 오프라인 옵션 |
| 샌드박싱 | 파일은 클라우드 샌드박스로 전송되나요? | 온프레미스 샌드박스 옵션 |
| 인증 | 접근 권한은 클라우드 ID 서비스에 따라 달라지나요? | 지역별 ID 대체값 또는 캐시된 토큰 |
| 라이선스 | 면허 확인에 문제가 생기면 단속이 중단되나요? | 유예 기간 |
| 로그 기록 및 분석 | 무엇이 전송되며, 어디에 저장되며, 이 기능을 비활성화할 수 있나요? | 설정 가능한 필드 및 영역 |
| 지원 이용 | 공급업체 직원이 고객이 호스팅하는 구성 요소에 접근할 수 있습니까? | 고객이 관리하고 감사를 거친 접근 권한 |
각 종속성에 대해 기본 동작을 그대로 사용할지, 아니면 로컬 대안을 적용해야 할지 결정하십시오.
텔레메트리 흐름
사설 단속 지점에서 수집된 원격 측정 데이터는 그 자체로 하나의 데이터이며, 여기에는 다음이 포함될 수 있습니다:
- 접속 로그: 사용자, 기기, URL, 카테고리, 작업
- DLP 사고(때로는 콘텐츠의 일부 발췌문이나 전체 사본이 포함된 경우)
- 위협 분석을 위한 파일 해시 또는 샘플
- 성과 및 건강 지표
- 라이선스 발급을 위한 사용 데이터
이 중 일부는 무해하지만, 일부는 규제 대상 데이터입니다. 각 데이터 흐름과 그 내용, 전송 대상, 보존 기간을 기록하는 텔레메트리 맵을 구축하십시오. 이는 종종 데이터 주권 검토가 통과되는지와 지연되는지의 차이를 결정짓는 요소입니다. ‘하이브리드 클라우드 보안에서의 데이터 주권’을 참조하십시오.
유용한 방식 중 하나는 고객 환경 내에서 민감한 데이터의 지문을 생성하고, 서비스 측에는 해시값만 전송함으로써 보호 대상 콘텐츠 자체가 외부로 유출되지 않도록 하는 것입니다. 각 공급업체에 정확한 데이터 일치 및 문서 일치를 위한 지문이 어디에서 생성되며, 어떤 정보가 전송되는지 문의하십시오. Skyhigh는 자사 클라우드 내에서 데이터 보호 일치 처리를 생성하고 적용합니다.
민간 SSE가 타당할 때
규제, 연결성, 운영 기술, 트래픽 양 또는 레거시 시스템 교체로 인해 현지 차원의 집행이 필요한 경우, 사설 SSE를 도입하는 것이 타당합니다.
- 규정이나 계약에 따라 복호화된 트래픽, 키 또는 로그를 해당 국가 내 또는 온프레미스에 보관해야 합니다.
- 네트워크는 에어갭 방식으로 분리되어 있거나, 기밀 등급이 지정되어 있거나, 간헐적으로 연결되어 있습니다.
- 외부 정전 상황에서도 운영 기술 또는 핵심 인프라는 계속 가동되어야 합니다.
- 내부 트래픽 양으로 인해 클라우드 검사 비용이 많이 들거나 속도가 느려집니다
- 이 조직은 온프레미스 프록시를 교체하고 있으며, 강제적인 클라우드 전환 없이 현대화를 추진하고 싶어 합니다.
이러한 경우 중 어느 것도 해당되지 않을 때, 클라우드 SSE는 대개 운영 부담이 더 적습니다.
운영상의 상충관계
SSE(Private SSE)는 규모 조정, 중복 구성, 패치 적용, 업데이트 스테이징 및 문제 해결과 같은 책임을 고객에게 돌려줍니다.
이를 통해 얻을 수 있는 이점은 평문, 키 및 로그에 대한 통제권과, 공급업체의 클라우드에 접속할 수 없을 때의 서비스 연속성입니다. 하이브리드 아키텍처를 통해 조직은 사내 적용 범위를 실제로 필요한 사이트와 트래픽으로 제한할 수 있습니다.
Skyhigh가 프라이빗 및 하이브리드 SSE를 지원하는 방법
Skyhigh는 클라우드 서비스와 동일한 콘솔을 통해 관리되는 온프레미스 데이터 플레인을 통해 프라이빗 및 하이브리드 SSE를 지원합니다.
Skyhigh Hybrid SSE Mesh는 2026년 3월에 도입된 로컬 TLS 검사 및 컨테이너화된 어플라이언스 아키텍처를 통해 고객사의 온프레미스 게이트웨이에서 secure web gateway 및 제로 트러스트 액세스 정책을 적용하며, 게이트웨이가 전달하는 트래픽에 대해 Skyhigh 클라우드의 데이터 보호, CASB 및 기타 데이터 서비스를 적용합니다. 이 모든 과정은 단일 콘솔에서 작성된 하나의 정책 하에 이루어집니다. 제어 플레인은 클라우드를 통해 제공되므로 정책 작성, 보고 및 로그 전달은 클라우드 접근 가능 여부에 좌우되지만, 해당 경로가 차단되더라도 웹 및 사내 애플리케이션 정책의 로컬 적용은 현장에서 계속됩니다. Skyhigh는 FedRAMP High 인증을 보유하고 있습니다.
출처
- 가트너. Security Service Edge (SSE), 정보 기술 용어집. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NIST. SP 800-207: 제로 트러스트 아키텍처 (2020년 8월). https://csrc.nist.gov/pubs/sp/800/207/final
- Skyhigh Security. “Skyhigh Security , 혁신적인 범용 SSE 플랫폼을 강화할 새로운 솔루션 발표” (2026년 3월 24일). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. “Skyhigh Hybrid SSE Mesh를 활용한 시만텍 엣지 Secure Web Gateway 현대화” (2026년 7월 15일). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. “Skyhigh SSE 플랫폼으로 하이브리드 도입이 한층 더 쉬워졌습니다” (2024년 10월 3일). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html