랜섬웨어에 걸리면 NAS 자료도 같이 암호화되나요?

왜 같이 당하나

NAS를 네트워크 드라이브로 연결해 두면 컴퓨터 입장에서는 그냥 내 드라이브입니다. 랜섬웨어도 똑같이 봅니다. 감염된 PC가 접근할 수 있는 모든 폴더를 암호화하므로 NAS 폴더까지 함께 당합니다. 외장하드를 NAS에 계속 꽂아 두면 그것도 같이 당합니다.

막는 두 가지

스냅샷과 외부 사본입니다. 스냅샷은 특정 시점 상태를 저장해 두는 기능이라 암호화 이전 시점으로 되돌릴 수 있고 변경분만 저장해 용량을 크게 먹지 않습니다. 외부 사본은 NAS 자체가 당했을 때의 마지막 보루입니다. 둘 다 추가 비용 없이 설정으로 됩니다.

스냅샷이 막지 못하는 경우

스냅샷은 공유 폴더의 특정 시점 상태를 NAS 안에 보관하는 기능입니다. 감염 전 시점으로 되돌릴 수 있지만 조건이 있습니다. 첫째, 보관 기간 안에 감염을 알아차려야 합니다. 스냅샷을 7일만 보관하는데 감염 사실을 열흘 뒤에 알면 되돌릴 시점이 없습니다. 하루 한 번 이상 찍고 최소 몇 주는 보관하도록 잡습니다.

둘째, NAS 관리자 계정이 뚫리면 스냅샷 자체를 지울 수 있습니다. 최근 랜섬웨어는 PC 파일만 암호화하는 데 그치지 않고 NAS 관리 화면에 로그인해 스냅샷과 백업을 먼저 지우는 방식으로 진화했습니다. 그래서 정해진 기간 동안 관리자도 지울 수 없게 잠그는 불변 스냅샷 설정이 중요합니다.

권한을 나누면 피해 범위가 줄어듭니다

감염된 PC가 암호화할 수 있는 범위는 그 PC에 로그인한 계정이 쓰기 권한을 가진 폴더까지입니다. 모든 직원이 모든 폴더에 쓰기 권한을 가진 구성이면 PC 한 대 감염으로 NAS 전체가 당합니다. 부서별 폴더에 필요한 사람만 쓰기 권한을 주고 나머지는 읽기만 허용하면 피해가 그 부서 폴더로 제한됩니다.

PC에서 NAS를 항상 네트워크 드라이브로 연결해 두는 것도 다시 볼 부분입니다. 백업용 폴더는 드라이브 연결을 하지 않고 백업 프로그램만 별도 계정으로 접근하게 하면 감염 PC에서는 보이지 않습니다.

NAS의 기본 admin 계정은 비활성화하고 다른 이름의 관리자 계정에 2단계 인증을 켭니다. 관리자 비밀번호는 일상 업무용 PC의 브라우저에 저장해 두지 않습니다.

감염을 발견한 직후 순서

먼저 감염된 PC의 랜선을 뽑거나 와이파이를 끕니다. 암호화는 시간이 걸리는 작업이라 연결을 끊는 순간 진행이 멈춥니다. PC 전원은 바로 끄지 말고 어떤 화면이 떠 있는지 사진으로 남깁니다.

다음으로 NAS 관리 화면에서 그 PC의 계정을 비활성화하고, 암호화된 파일이 언제부터 생겼는지 수정 시각으로 확인합니다. 그 시각 이전 스냅샷으로 되돌리기 전에 다른 PC도 감염되지 않았는지 확인하지 않으면 복구한 폴더가 다시 암호화됩니다.

복구는 폴더 단위로 되돌린 뒤 정상 파일이 열리는지 확인하며 진행합니다. 순서가 헷갈리면 손대기 전에 전화 053-588-7119 로 먼저 연락 주십시오. NAS 복구 안내는 /nas/repair/ 에 있습니다.