백업본까지 암호화되지 않게 하려면 어떻게 하나요?

백업본을 지킬 수 있게 만드는 방법

랜섬웨어는 감염 PC가 접근할 수 있는 경로를 모두 훑기 때문에, 늘 연결되어 있는 백업 폴더는 원본과 함께 암호화됩니다. 그래서 백업본은 접근 자체를 제한하거나 변경할 수 없는 형태로 두어야 합니다.

실무에서 쓰는 방법은 세 가지입니다. 쓴 뒤 정해진 기간 동안 수정과 삭제를 막는 설정, 백업 전용 계정만 접근하게 하고 사용자 PC에는 연결하지 않는 방식, 그리고 아예 네트워크에서 분리해 보관하는 사본입니다.

3-2-1에서 마지막 1의 역할

사본 3개, 매체 2종, 회사 밖 1개라는 원칙에서 마지막 1이 바로 이 역할입니다. 화재나 도난, 장비 전체 손상처럼 사무실 안의 모든 사본이 함께 사라지는 상황을 대비하는 몫입니다.

중요한 것은 복구가 실제로 되는지 확인하는 일입니다. 백업이 돌고 있다는 표시만 보고 안심하다가 정작 복원 시점에 못 여는 경우가 있습니다. 파일 하나를 실제로 되살려 보는 점검을 주기에 넣어 두시기 바랍니다.

백업 계정과 권한을 따로 두는 이유

랜섬웨어는 감염된 PC가 가진 권한 그대로 움직입니다. 그 PC가 백업 폴더에 쓰기 권한을 가진 채 네트워크 드라이브로 연결돼 있으면, 원본과 백업본이 같은 순간에 같이 암호화됩니다. 백업이 있었는데도 소용없었다는 경우는 흔히 이 구조입니다.

그래서 백업 폴더는 일반 사용자 계정으로는 보이지도 않게 하고, 백업 작업만 쓰는 전용 계정 하나에만 권한을 줍니다. 그 계정의 비밀번호는 어느 PC에도 저장해 두지 않습니다.

방향도 중요합니다. PC가 NAS로 밀어 넣는 방식보다 NAS가 PC나 서버에서 끌어오는 방식이 안전합니다. 끌어오는 방식에서는 PC 쪽에 백업 대상의 쓰기 권한이 없으니, PC가 감염돼도 백업본까지 손을 뻗지 못합니다.

보관 세대를 얼마나 둘 것인가

변경 불가 설정을 했더라도 보관 기간이 짧으면 소용이 없습니다. 암호화는 발생 즉시 알아채지 못하는 경우가 많고, 며칠 뒤 발견되기도 합니다. 보관 기간이 3일이면 발견했을 때 정상본은 이미 지워진 뒤입니다.

그래서 백업은 최신본 한 개가 아니라 여러 시점의 세대로 둡니다. 예를 들어 매일 사본은 몇 주, 주간 사본은 몇 달, 월간 사본은 그보다 길게 남기는 식입니다. 시놀로지의 스냅샷도 같은 원리로 시점별 상태를 남기고, 각 스냅샷에 변경 불가 기간을 걸 수 있습니다.

보관 세대가 늘면 저장 공간도 늘어납니다. 하드 용량을 정할 때 원본 용량만이 아니라 세대 보관에 쓸 여유까지 계산해야 합니다.

복구 시험을 해 봐야 하는 이유

백업 작업이 성공했다는 표시와 실제로 복구되는 것은 다릅니다. 백업 설정이 일부 폴더를 빠뜨리고 있었거나, 사본 파일이 깨져 있었거나, 복구에 며칠이 걸리는 상황은 해 보기 전에는 모릅니다.

분기에 한 번은 백업본에서 파일 몇 개와 폴더 하나를 실제로 되돌려 보고, 걸린 시간을 적어 둡니다. 변경 불가 설정이 걸린 사본은 지우거나 덮어쓰기가 안 되는지도 이때 같이 확인합니다. 이 기록이 있어야 사고가 났을 때 언제까지 복구할 수 있는지 답할 수 있습니다.