랜섬웨어(Ransomware)로부터 살아남는 데이터 백업 전략을 어떻게 구축할 것인가?

랜섬웨어가 접근할 수 없는 백업을 구축하십시오. 3-2-1-1-0 규칙을 따르세요: 데이터 복사본 3개를 두 가지 미디어 유형에 보관하고, 그중 하나는 오프사이트(offsite)에, 또 하나는 불변성(immutable) 또는 에어갭(air-gapped) 상태로 유지하며, 오류가 0개임을 검증하십시오. 그런 다음 정기적으로 복구 테스트를 수행하여 재난이 닥치기 전에 복구가 추측이 아닌 증명된 상태가 되도록 하십시오.

왜 랜섬웨어 공격은 내 백업을 가장 먼저 노리는가?

백업은 당신이 몸값 요구에 대해 "아니오"라고 말할 수 있게 해주는 유일한 수단이기 때문이며, 공격자들도 이를 알고 있습니다. Sophos의 State of Ransomware 2024 보고서에 따르면, 범죄자들은 **랜섬웨어 공격의 94%**에서 백업을 침해하려고 시도했으며, 백업이 성공적으로 타격을 입은 조직은 백업이 살아남은 조직보다 복구 비용이 대략 8배 더 높았습니다.

현대의 랜섬웨어는 단순히 운영 데이터(production data)만 암호화하지 않습니다. 백업 서버, 클라우드 스냅샷(cloud snapshots), 그리고 연결된 모든 스토리지를 먼저 찾아냅니다. 만약 당신의 유일한 백업이 네트워크와 동일한 자격 증명으로 항상 온라인 상태이며 접근 가능한 NAS에 있다면, 그것은 안전망이 아니라 그저 또 다른 공격 대상일 뿐입니다.

핵심 요약: 항상 켜져 있고 보호되지 않은 백업은 다른 모든 것과 함께 암호화됩니다. 격리(Isolation)가 핵심입니다.

3-2-1-1-0 백업 규칙이란 무엇인가?

CISA가 권장하는 3-2-1 규칙은 기본입니다. 널리 채택되고 있는 Veeam의 업데이트 버전은 랜섬웨어 시대를 위해 설계된 두 자릿수를 추가했습니다:

3개의 데이터 복사본 (운영 데이터 및 2개의 백업)
2가지의 서로 다른 저장 미디어 (예: 디스크 및 클라우드)
1개의 오프사이트(offsite) 복사본, 지리적으로 분리됨
1개의 오프라인(offline), 에어갭(air-gapped) 또는 불변성(immutable) 복사본
0개의 오류, 자동화된 백업 검증을 통해 확인됨

마지막 1과 0이 실제로 랜섬웨어를 물리치는 요소입니다. 불변성 또는 오프라인 복사본은 공격자가 전체 도메인 관리자(domain-admin) 권한을 가지고 있더라도 변경할 수 없으며, "오류 0개"는 모든 백업이 단순히 괜찮다고 가정되는 것이 아니라 복구 가능성을 테스트했음을 의미합니다.

"우리가 평가하는 대부분의 기업은 이미 백업을 보유하고 있습니다. 하지만 그들에게 없는 것은 공격자가 삭제할 수 없는 백업입니다."라고 RoboZilla의 RedCore 팀은 말합니다. "불변성 (Immutability)은 단순히 힘든 한 주를 보낼 것인지, 아니면 사업이 폐업할 것인지를 결정짓는 차이입니다."

어떻게 백업을 불변성 (Immutable) 있게 만들고 에어갭 (Air-gapped) 상태로 유지할 수 있나요?

침해된 계정으로는 수정하거나 삭제할 수 없는 복사본이 최소 하나는 필요합니다. 실질적인 옵션은 다음과 같습니다:

불변 클라우드 스토리지 (Immutable cloud storage): 오브젝트 잠금 (Object lock) 또는 WORM (Write-once-read-many, 한 번만 쓰기 가능) 방식을 사용하여 설정된 보존 기간 동안 파일을 변경할 수 없도록 합니다.
에어갭 (Air-gapped) 오프라인 복사본: 백업 작업 중이 아닐 때는 물리적으로 분리되는 교체형 외장 드라이브 또는 테이프 (Tape)를 사용합니다.
별도의 자격 증명 및 MFA (Multi-Factor Authentication): 백업 시스템에는 일상적으로 사용하는 Active Directory 도메인 관리자 (Domain-admin) 로그인 정보가 아닌, 별도의 자격 증명과 다요소 인증 (MFA)을 사용해야 합니다.
불변 온프레미스 어플라이언스 (Immutable on-prem appliances): 하드웨어 수준에서 보존 정책을 강제하는 장비를 사용합니다.

핵심 요약: 단 하나의 유출된 비밀번호로 백업에 접근하여 삭제할 수 있다면, 그 백업은 실제 공격에서 살아남지 못할 것입니다.

얼마나 자주 백업해야 하며, 복구가 제대로 작동할지 어떻게 알 수 있나요?

이 결정에는 두 가지 수치가 핵심적인 역할을 합니다:

RPO (Recovery Point Objective, 복구 지점 목표): 한 시간, 혹은 하루? 얼마나 많은 데이터를 잃어도 감당할 수 있는지를 나타냅니다. 이는 백업 빈도를 결정합니다.
RTO (Recovery Time Objective, 복구 시간 목표): 비즈니스가 실질적인 피해를 입기 전까지 얼마나 오랫동안 중단될 수 있는지를 나타냅니다. 이는 복구 프로세스가 얼마나 빨라야 하는지를 결정합니다.

대부분의 중소기업은 핵심 시스템에 대해 시간 단위 또는 일 단위 백업을 선택합니다. 하지만 테스트가 없다면 빈도는 아무런 의미가 없습니다. 3-2-1-1-0 전략에서 "0"이 존재하는 이유는, 한 번도 복구해 본 적 없는 백업은 계획이 아니라 추측에 불과하기 때문입니다. 분기별로 복구 훈련을 예약하고 데이터가 실제로 열리는지 확인하십시오.

위험 요소는 매우 구체적입니다. IBM의 _Cost of a Data Breach Report 2024_에 따르면 전 세계 평균 데이터 침해 비용은 488만 달러에 달하며, Sophos는 전년도에 조직의 **59%**가 랜섬웨어의 공격을 받았음을 발견했습니다. 검증된 복구 능력은 이러한 수치들에 맞서 구매할 수 있는 가장 저렴한 보험입니다.

내 백업 전략은 어떤 표준을 따라야 하나요?

이것을 새로 만들려 하지 마세요 — 이미 확립된 프레임워크(Framework)에 계획의 중심을 두십시오:

NIST Cybersecurity Framework — "복구(Recover)" 기능이 백업 및 복구에 대한 기대치를 정의합니다.
NIST SP 800-34 — 정보 시스템을 위한 비상 계획(Contingency planning).
NIST SP 1800-11, Data Integrity: Recovering from Ransomware and Other Destructive Events — 정확히 이러한 시나리오를 위해 작성된 실무 가이드입니다.
CISA의 #StopRansomware 가이드 — 백업, 세분화(Segmentation) 및 대응 체크리스트를 제공합니다.

백업을 어떻게 실제 복구 계획으로 전환할 수 있나요?

백업은 도구이며, 복구는 결과입니다. 그 간극을 메우십시오:

복구 런북(Runbook)을 작성하십시오 — 복구 순서, 의존성(Dependencies) 및 단계별 조치를 문서화합니다.
계획과 자격 증명(Credentials)을 오프라인에 저장하십시오 — 네트워크가 다운되었을 때 접근할 수 있어야 합니다.
역할을 할당하십시오 — 누가 사고를 선포하고, 누가 복구하며, 누가 소통할 것인지 정합니다.
테이블탑 연습(Tabletop exercises)을 실시하십시오 — 공격자가 찾아내기 전에 격차를 발견할 수 있도록 최소 연 1회 실시합니다.
백업 상태를 지속적으로 모니터링하십시오 — 실패 시 즉시 알림을 받도록 설정합니다.

"복구는 기술적인 결정이 되기 훨씬 전부터 비즈니스적인 결정입니다"라고 RoboZilla의 RedCore 팀은 말합니다. "가장 빠르게 회복하는 기업들은 무언가 고장 나기 전에 어떻게 복구할지를 이미 결정해 두었습니다."

FAQ

OneDrive나 Google Drive와 같은 클라우드 동기화 서비스가 랜섬웨어로부터 저를 보호해 줄까요?
신뢰할 수 없습니다. 동기화 도구는 암호화된 파일을 자동으로 클라우드에 전파하며, 이는 진정한 의미의 백업이 아닙니다. 버전 관리(Versioning)와 불변성(Immutability) 기능을 갖춘 전용 백업을 사용하십시오.

백업을 얼마나 오래 보관해야 하나요?
여러 개의 복구 지점(Restore points)을 유지하십시오. 몇 주간의 일간 백업과 몇 달간의 월간 아카이브(Archive)를 병행해야 합니다. 랜섬웨어는 잠복할 수 있으므로, 단 하나의 최근 복사본은 이미 침해되었을 가능성이 있습니다.

오늘 당장 실행할 수 있는 가장 중요한 백업 업그레이드는 무엇인가요?
별도의 자격 증명을 사용하는 불변(Immutable) 복사본 또는 에어 갭(Air-gapped) 복사본을 하나 추가하십시오. 이 단 한 번의 변화가 공격자가 귀하의 복구 옵션을 파괴할 수 있는 능력을 제거합니다.

백업이 정상적으로 실행되고 있다면 정말로 복구 테스트를 해야 하나요?
네. 완료되었지만 복구되지 않는 백업은 공격 상황에서 가장 흔하면서도 가장 비용이 많이 드는 의외의 상황입니다. 분기별로 테스트하십시오.

RoboZilla 소개 — RoboZilla는 중소기업을 대상으로 랜섬웨어에 탄력적인(resilient) 백업 및 복구 설계를 포함하여 사이버 보안 (RedCore), 비즈니스 자동화, AI 리드 생성 (lead generation) 서비스를 제공합니다. 저희 팀과 상담하십시오: https://robozilla.ai를 방문하거나 (877) 692-8992로 전화하십시오.

RoboZilla — 중소기업을 위한 사이버 보안 (RedCore), 비즈니스 자동화 및 AI 리드 생성. https://robozilla.ai · (877) 692-8992