정답은 B입니다. 기존 방화벽 및 가상 사설망(VPN) 아키텍처의 주요 한계점은 암호화된 VPN 트래픽이 효과적인 보안 검사를 우회하거나 약화시킬 수 있다는 점입니다. 특히 이러한 아키텍처가 완전한 인라인 콘텐츠 검사보다는 네트워크 연결 제공에 중점을 두고 설계된 경우 더욱 그렇습니다. Zscaler의 TLS/SSL 검사 지침에 따르면, 복호화 없이는 조직이 악성코드, 데이터 유출 및 위험한 활동에 대한 콘텐츠 검사 능력이 제한됩니다. 또한 기존 플랫폼은 대규모 암호화 트래픽 검사에 어려움을 겪는 경우가 많아 보호에 사각지대가 발생한다고 지적합니다. 이는 제로 트러스트가 단순히 안전한 터널을 구축하는 것만으로는 충분하지 않기 때문에 중요합니다. 터널은 전송 중 기밀성을 보호할 수 있지만, 연결 내부의 콘텐츠가 안전하거나 규정을 준수한다는 것을 보장하지는 않습니다. Zscaler의 제로 트러스트 아키텍처는 광범위한 네트워크 액세스에서 벗어나 인라인 정책 기반 검사 및 시행으로 전환합니다. 문제는 단순히 IP 주소의 인터넷 공개나 추상적인 확장성만이 아닙니다. 더 근본적인 보안 취약점은 암호화된 트래픽이 완전한 보안 가시성과 제어 없이 기존 VPN 모델을 통과할 수 있다는 점입니다.
ZTCA 문제 2
제로 트러스트 아키텍처에서 애플리케이션과의 연결은 어떻게 제공됩니까?
정답: A
정답은 A입니다. 네트워크별 접근 제어를 통해 모든 네트워크에서 가능합니다. 제로 트러스트 아키텍처에서는 네트워크 자체가 아닌 특정 애플리케이션에 대한 접근만 허용합니다. 이는 Zscaler의 유니버설 제로 트러스트 네트워크 접근(ZTNA) 가이드라인의 핵심 설계 원칙입니다. 사용자는 어느 위치에서든, 어떤 네트워크를 통해서든 접속할 수 있으며, 정책은 사용자, 장치, 애플리케이션, 세션별로 적용됩니다. 이는 사용자를 네트워크에 먼저 연결한 후 네트워크 분할이나 방화벽 규칙을 사용하여 접근을 제한하는 기존 방식과는 다릅니다. 옵션 B는 네트워크 계층 연결을 완전히 설정하는 기존 VPN 기반 액세스의 특징이므로 잘못되었습니다. 이러한 방식은 네트워크 신뢰도를 확장하고 측면 이동 위험을 증가시킵니다. 옵션 C 또한 잘못되었습니다. 제로 트러스트는 애플리케이션 앞에 가상 어플라이언스 스택을 구축하는 것으로 정의되지 않습니다. 옵션 D에는 Zscaler 아키텍처에서 사용되는 TLS가 포함되어 있지만, 테스트 대상인 제로 트러스트의 핵심 개념은 단순히 암호화된 전송이 아니라 애플리케이션을 광범위한 네트워크 접근성에 노출하지 않고 액세스별로 세분화된 연결을 제공하는 것입니다. 따라서 가장 정확한 답은 A입니다.
ZTCA 문제 3
위험 점수를 평가, 계산 및 제공하는 방법은 다음과 같습니다. (두 가지를 선택하세요)
정답: A,B
정답은 A와 B입니다. 제로 트러스트 아키텍처에서 위험 점수는 단순한 연결 결정 이상의 의미를 가집니다. 다양한 형태의 컨텍스트와 원격 측정 데이터를 기반으로 정책이 변화하는 환경에 맞춰 조정될 수 있도록 합니다. A가 정답인 이유는 위험 정보를 인라인 관찰과 대역 외 분석 모두에서 얻을 수 있기 때문입니다. 이는 일회성 신뢰 구축이 아닌 지속적인 평가를 중시하는 제로 트러스트 원칙을 반영합니다. 옵션 B도 올바른데, 최신 위험 평가에는 클라우드 호스팅 서비스의 보안 상태, 즉 알려진 구성 취약점, 누락된 제어, 잘못된 구성, 규정 준수 격차 및 기타 노출 요소를 포함하기 때문입니다. 이는 제로 트러스트 사고방식과도 일치하는데, 접근 및 신뢰 결정은 단순히 신원 확인뿐만 아니라 접근 대상 서비스의 보안 상태까지 고려해야 하기 때문입니다. 옵션 C는 콘텐츠 검사 및 데이터 보호와 같은 핵심 제어 사항을 설명하지만, 이는 위험 점수를 계산하고 제공하는 최적의 정의는 아닙니다. 옵션 D는 제로 트러스트 위험이 시작자 컨텍스트에만 국한되지 않고 애플리케이션, 서비스, 트랜잭션 및 환경 조건도 고려하기 때문에 잘못된 정의입니다. 따라서 정답은 A와 B입니다.
ZTCA 문제 4
공용 인터넷에서 검색 가능한 기존 환경에서 서비스는 어떻게 보호됩니까? (해당하는 모든 항목을 선택하십시오)
정답: A,C,D
정답은 A, C, D입니다. 기존 아키텍처에서는 공용 인터넷에 노출되어 검색 가능한 애플리케이션은 일반적으로 DMZ(비무장지대)를 구축하고 서비스 앞에 여러 보안 기술을 배치하여 보호합니다. 여기에는 일반적으로 로드 밸런싱, 방화벽, 분산 서비스 거부(DDoS) 공격 방어 및 관련 에지 보안 제어와 같은 기능을 위한 여러 어플라이언스 또는 서비스로 구성된 대규모 보안 스택이 포함됩니다. 웹 애플리케이션 방화벽(WAF) 또한 웹 기반 공격 패턴 및 인터넷에서 발생하는 악용에 대한 검사 및 보호 기능을 제공하기 때문에 이러한 공용 애플리케이션 설계에서 표준적인 보호 요소입니다. 옵션 B인 DAST는 정답이 아닙니다. DAST는 테스트 및 평가 방법이지, 프로덕션 환경에서 노출된 서비스를 보호하기 위해 인라인으로 실행되는 아키텍처 보호 제어 방식이 아니기 때문입니다. 제로 트러스트 아키텍처는 이러한 기존 모델과 달리 공개적인 노출 가능성을 제거하고 복잡한 노출형 엣지 스택에 대한 의존도를 줄입니다. 계층화된 경계 도구를 사용하여 공개적으로 노출된 애플리케이션을 방어하는 대신, 제로 트러스트는 애플리케이션의 노출 가능성을 낮추고 접근 권한을 ID 및 정책 기반으로 제한하는 것을 목표로 합니다.
ZTCA 문제 5
기업은 트래픽을 복호화할 필요 없이 인라인으로 완벽한 보안 제어를 제공할 수 있습니다.
정답: B
정답은 B. 거짓입니다. 제로 트러스트 아키텍처에서 완전한 인라인 보안은 연결이 존재한다는 사실뿐만 아니라 트래픽 흐름 내부에 실제로 무엇이 있는지 검사할 수 있는 능력에 달려 있습니다. 트래픽이 암호화된 경우, 보안 서비스는 트래픽을 복호화하고 검사하지 않는 한 악성코드, 명령 및 제어 트래픽, 민감한 데이터 이동, 위험한 애플리케이션 동작 또는 정책 위반을 완전히 평가할 수 없습니다. Zscaler의 TLS/SSL 검사 지침은 암호화된 인터넷 트래픽 전반에 걸쳐 완벽한 가시성과 규정 준수를 위해 복호화가 필수적임을 명확히 밝히고 있습니다. 암호 해독 없이도 조직은 목적지 평판, IP 기반 필터링, 범주 결정 또는 메타데이터 기반 적용과 같은 제한적인 보안 제어를 적용할 수 있습니다. 그러나 이는 완전한 인라인 보안 제어와는 다릅니다. 완전한 제로 트러스트 보호를 위해서는 콘텐츠와 트랜잭션에 대한 심층적인 가시성이 필요하며, 이를 통해 위협 방지, 데이터 손실 방지(DLP), 클라우드 애플리케이션 제어, 샌드박싱 및 기타 고급 보호 기능을 정확하게 적용할 수 있습니다. 최신 트래픽은 고도로 암호화되어 있기 때문에 암호 해독을 하지 않으면 사각지대가 발생하고 정책 적용이 약화됩니다. 따라서 "기업은 암호 해독 없이 암호화된 트래픽에 대해 완전한 인라인 보안 제어를 제공할 수 없다"는 주장은 사실이 아닙니다.
