ZTNA(제로 트러스트 네트워크 액세스)

ZTNA(제로 트러스트 네트워크 액세스)란?

• 제로 트러스트 기반: ZTNA는 사용자 또는 시스템이 연결하는 위치나 방법과 상관없이 모든 사용자 또는 시스템을 기본적으로 신뢰하지 않는 제로 트러스트 원칙을 바탕으로 합니다. 모든 액세스 요청은 완전한 인증, 승인, 암호화를 거친 후에만 액세스가 허용됩니다.
• 애플리케이션 중심 액세스: 네트워크에 대한 액세스를 허용하는 기존의 네트워크 액세스와 달리 ZTNA는 특정 애플리케이션에 대한 액세스만 허용하도록 보장합니다. 이는 아웃바운드 전용 연결을 통해 구현되며 기업의 네트워크가 인터넷에 노출되지 않아 공격 표면이 감소합니다.
• 최소 권한 액세스: ZTNA는 사용자가 작업을 효과적으로 수행하는 데 필요한 최소한의 액세스를 제공하는 방식으로 최소 권한의 원칙을 적용합니다. 이는 사용자의 위치와 상관없이 조직 전반에서 일관되게 전역적으로 적용되는 세밀한 액세스 정책을 통해 구현됩니다.
• 속도와 확장성을 위한 클라우드 네이티브: 빠르고 안정적인 액세스를 보장하기 위해 ZTNA는 클라우드 인프라를 활용합니다. 이를 통해 우수한 확장성으로 다양한 대역폭 요구 사항을 충족하고 사용자가 보안을 저해하지 않으면서 필요한 애플리케이션에 즉시 연결하도록 보장할 수 있습니다.

• ID 기반 액세스: ZTNA는 액세스를 허용하기 전에 사용자와 장치의 ID를 확인 및 검증하고 기존 IDP 공급자의 인증 및 권한 부여를 사용하여 합법적인 사용자만 리소스에 액세스할 수 있도록 보장합니다.
• 세분화된 액세스 제어: ZTNA는 네트워크에 대한 일괄적인 액세스 권한을 부여하는 대신 사용자 역할, 장치 상태, 상황적 요인을 바탕으로 특정 애플리케이션이나 서비스에 대한 세분화된 액세스를 적용합니다.
• 최소 권한 원칙: 작업을 수행하는 데 필요한 최소한으로 사용자의 액세스 권한을 제한하여 공격 표면을 최소화합니다.
• 애플리케이션 세분화: ZTNA는 인증받은 특정 리소스에만 사용자와 장치의 액세스를 보장함으로써 복잡한 네트워크 세분화가 아닌 제로 트러스트 정책에 따라 네트워크에서의 측면 이동을 방지합니다.
• 지속적인 검증: ZTNA는 사용자 활동과 장치 상태를 지속적으로 모니터링하고 검증합니다. 사용자의 세션이 의심스러워지거나 장치의 보안 태세가 변경되면 액세스가 취소될 수 있습니다.
• 원격 및 하이브리드 근무 지원: ZTNA는 원격 또는 하이브리드 근무 환경을 갖춘 조직에 이상적이며, 사용자의 물리적 위치와 관계없이 애플리케이션에 안전하게 액세스할 수 있게 해줍니다.
• 클라우드 네이티브: ZTNA는 클라우드 기반인 경우가 많으며 SaaS 애플리케이션, 퍼블릭 클라우드, 프라이빗 클라우드, 프라이빗 데이터 센터를 포함한 최신 엔터프라이즈 환경과 통합됩니다.

ZTNA는 사용자의 장치와 사용자가 액세스해야 하는 프라이빗 애플리케이션 또는 서비스 사이에 안전하고 암호화된 연결을 생성합니다. 일반적으로 포함되는 항목은 다음과 같습니다.

• 인증: 사용자가 자격 증명을 제공하면 MFA(다중 인증) 또는 IdP(ID 공급자)를 통해 ID가 검증됩니다.
• 장치 검증: 해당 장치의 보안 정책(예: OS 버전, 바이러스 백신 상태 등) 준수 여부를 평가합니다.
• 정책 적용: 인증이 완료되면 사용자의 역할, 장치 보안, 위치 및 기타 상황적 요소를 고려하는 사전 정의된 제로 트러스트 정책에 따라 액세스 권한이 부여됩니다.
• 애플리케이션별 액세스: ZTNA는 사용자가 인증받은 애플리케이션만 보고 액세스하도록 보장하며 네트워크의 나머지는 보거나 액세스할 수 없습니다.

ZTNA의 구현 방식은 벤더마다 다르지만, 많은 벤더들이 ZTNA를 도입하는 최적의 방법은 준비 단계에서 시작하여 운영 단계로 마무리하는 단계별 프로그램이라고 말합니다. 

• 1단계 – 계획 수립 및 준비: 프라이빗 애플리케이션과 사용자 집단을 모두 파악한 후에 대표적으로 사용하는 애플리케이션을 ZTNA로 전환하거나 VPN을 대체하는 등 초기에 적용할 가치가 높은 사용 사례를 결정합니다. 다음으로 ID, 장치, 애플리케이션 민감도와 같은 액세스 정책 입력값을 정의합니다.
• 2단계 – 구성 및 활성화: ZTNA 컨트롤 플레인/정책 계층을 구축하고 IdP(ID 공급자)를 통합하며 정책 및 로깅/가시성을 포함한 구조화된 접근 방식을 통해 ZTNA를 관리 가능한 SSE 구성요소로 구성합니다. 
• 3단계 – 배포 및 트랜지션: 첫 번째 애플리케이션 및 사용자 세트를 온보딩하고 워크플로를 VPN 방식 네트워크 액세스에서 애플리케이션별 액세스로 마이그레이션하며 최종 사용자 경험 및 액세스 결과를 검증합니다.
• 4단계 – 발견, 구성, 반복: 커버리지를 점진적으로 확장하고 추가 애플리케이션/흐름을 발견하며 학습된 교훈을 적용하고 스케일아웃하는 동안 최소 권한 액세스를 지속적으로 강화합니다. 
• 5단계 – 운영: ZTNA가 특별 프로젝트가 아닌 ‘액세스 작동 방식’이 되도록 프로세스(정책 라이프 사이클, 온보딩 런북, 모니터링, 사고 대응 후크)를 표준화합니다.

보안 태세 측면에서 ZTNA는 ‘원격 액세스’의 의미를 네트워크를 확장하는 방식에서 애플리케이션별 정책 기반으로 중개하는 액세스 방식으로 변경하여 조직의 보안 기준을 향상합니다. 내부 자산은 공격 표면 감소, 측면 이동 감소, 여러 위치에서 더욱 일관된 정책 적용이라는 세 가지 태세 개선 사항을 반복적으로 강조합니다. 

• ZTNA는 노출된 인프라와 스캐닝 기회를 줄입니다. ZTNA는 광범위한 VPN 게이트웨이를 공개하거나 인바운드 경로를 열어두는 대신, 연결을 중개하여 정책/브로커 계층만 접근 가능하도록 하고 프라이빗 애플리케이션이 광범위하게 검색되지 않도록 합니다. 결국 악의적인 행위자는 볼 수 없는 대상을 공격할 수 없게 됩니다.
• ZTNA는 측면 이동을 제한하여 폭발 반경을 줄입니다. ZTNA의 모델은 사용자를 기업 네트워크에 직접 연결하지 않고 액세스 권한을 특정 애플리케이션으로만 제한합니다. 사용자들이 기업 네트워크에 접근하지 못하도록 함으로써 기업은 측면 이동을 대폭 줄여 위험을 감소시킬 수 있습니다.
• ZTNA는 하이브리드 환경 전반에 걸쳐 일관성과 복원력을 향상합니다. UZTNA(범용 ZTNA)는 모든 액세스 경로(원격 및 온프레미스)에 동일한 제로 트러스트 정책을 적용하여 사용자가 카페에 있든 사무실 책상에 있든 동일한 정책이 적용되도록 합니다. 또한 ZTNA 프라이빗 엣지 기능은 로컬 트래픽을 로컬에서 유지하고 인터넷을 사용할 수 없는 경우에도 연속성을 지원하여 일관된 보안 제어를 유지하면서 운영 복원력을 향상시킵니다. 
• ZTNA는 제로 트러스트 프로그램 초기 단계에서 위험 감소 성과를 가속화하는 경우가 많습니다. 많은 조직이 ZTNA부터 시작하는 이유는 실용적이고 사용자 경험을 개선하며 위험을 줄임으로써 팀에 빠른 성과를 제공하기 때문입니다. 뿐만 아니라 타사 액세스, VPN 대체, 그리고 인수 합병 통합 가속화와 같은 시나리오에도 도움이 됩니다. 

• 어디서나 작업할 수 있는 VPN의 대안: 원격 사용자를 네트워크에 연결할 때 일반적으로 사용하는 원격 액세스 VPN 대신 ZTNA를 사용하여 더 빠르고 안전한 경험을 제공할 수 있습니다.
• 사무실의 직원 액세스: 온프레미스 사용자를 기본적으로 신뢰하지 않고 최소 권한 액세스를 위해 공개적으로 호스팅된 제로 트러스트 브로커 또는 자체 환경에 배포된 프라이빗 브로커를 활용하여 간소화된 세분화, 더 빠른 사용자 경험, 간편한 규제 준수 효과를 얻을 수 있습니다.
• 타사 액세스 보안: 에이전트리스 액세스를 사용하여 기업의 전체 네트워크에 대한 액세스를 허용하지 않고도 비즈니스 에코시스템 파트너, 공급업체, 벤더, 고객이 핵심 비즈니스 데이터를 안전하게 이용하도록 지원할 수 있습니다.
• M&A 또는 분할 중에 IT 통합 가속화: ZTNA는 네트워크의 통합(또는 분할), 중복 IP에 대한 NAT(네트워크 주소 변환) 처리 또는 VDI 인프라 구축이 필요하지 않아 각 프로세스를 9~14개월에서 며칠 또는 몇 주로 단축하는 데 도움이 됩니다.
• VDI 대안: 복잡한 가상 환경을 ZTNA로 대체하여 기존 VDI의 높은 비용, 확장성 문제, 지연 시간을 방지할 수 있습니다. ZTNA는 사용자 ID, 장치 상태, 컨텍스트를 기반으로 애플리케이션에 대한 정책 기반 직접 연결을 통해 안전하고 원활한 원격 액세스를 제공합니다.