랜섬웨어에 걸리면 NAS 자료도 날아가나요?
대비 없이 연결만 해두면 나스도 같이 암호화될 수 있습니다. 그래서 스냅샷(시점 복원)과 랜섬웨어가 손댈 수 없는 격리 백업을 꼭 구성해야 합니다. 제대로 구성해 두면 감염 이전 시점으로 되돌릴 수 있어서, 나스가 오히려 랜섬웨어 대응의 핵심 장비가 됩니다.
한별시스템은 스냅샷 주기 설계부터 변경 불가(WORM) 백업, 복구 리허설까지 넣어 1시간 내 복구를 목표로 구축합니다. 실전 복구 경험이 있는 지역 업체가 옆에 있다는 게 사고 때 가장 큰 차이를 만듭니다.
랜섬웨어가 NAS에 손대는 세 가지 길
첫째 길은 직원 PC입니다. PC에 네트워크 드라이브로 붙어 있는 공유 폴더는 랜섬웨어 입장에서 그냥 또 하나의 폴더입니다. 쓰기 권한이 있는 폴더는 전부 암호화 대상이 됩니다. 둘째 길은 NAS 관리자 계정입니다. 비밀번호가 단순하거나 다른 곳과 같은 것을 쓰고 있으면 공격자가 관리자로 들어와 스냅샷까지 지울 수 있습니다. 셋째 길은 인터넷 노출입니다. 공유기에서 NAS 포트를 열어 두었거나 오래된 펌웨어를 그대로 쓰면 PC를 거치지 않고 NAS가 직접 공격받습니다.
방어도 이 세 길에 맞춰 나눕니다. 직원 계정에는 꼭 필요한 폴더에만 쓰기 권한을 주고, 관리자 계정은 이름을 바꾸고 2단계 인증을 켭니다. 외부 접속은 포트 개방 대신 VPN이나 제조사 중계 서비스로 제한하고 펌웨어를 최신으로 유지합니다. 권한을 좁혀 두면 감염되더라도 암호화되는 범위가 그 계정이 닿는 폴더로 한정됩니다.
스냅샷과 격리 백업은 왜 따로 필요한가
스냅샷은 NAS 파일 시스템이 특정 시점의 상태를 읽기 전용으로 붙잡아 두는 기능입니다. PC에서는 보이지 않는 영역이라 PC에서 도는 랜섬웨어가 건드릴 수 없습니다. 자주 찍을 수 있고 되돌리는 데 몇 분이면 됩니다. 다만 같은 NAS 안에 있으므로 관리자 권한을 빼앗기거나 장비 자체가 고장 나면 스냅샷도 같이 사라집니다.
격리 백업은 그 빈틈을 메웁니다. 다른 장소의 NAS나 클라우드에 사본을 두되, 사무실 망에서 사본 쪽으로 쓰기 권한이 없게 만드는 것이 핵심입니다. 주 NAS가 백업 장비로 파일을 밀어 넣는 방식보다 백업 장비가 주 NAS에서 끌어오는 방식이 안전한 이유가 여기에 있습니다. 주 NAS가 뚫려도 백업 쪽 계정을 모르면 손댈 수 없습니다. 여기에 일정 기간 수정과 삭제를 막는 변경 불가 설정을 더하면 백업 계정이 새어 나가도 기간이 끝나기 전에는 지울 수 없습니다.
| 방어 계층 | 막아 주는 것 | 한계 |
|---|---|---|
| 폴더별 권한 분리 | 감염 범위 확산 | 감염 자체는 못 막음 |
| 스냅샷 | PC 경유 암호화 | 관리자 탈취, 장비 고장 |
| 격리 백업(끌어오기) | 주 NAS 전체 손실 | 복원에 시간 소요 |
| 변경 불가 보관 | 백업 삭제·덮어쓰기 | 보관 기간만큼 용량 필요 |
복구에 걸리는 시간을 정하는 것
복구 시간은 장비 성능보다 세 가지 설정에서 갈립니다. 스냅샷 간격이 짧을수록 잃는 작업량이 줄어듭니다. 한 시간마다 찍었다면 최대 한 시간치만 다시 만들면 됩니다. 스냅샷 보관 개수가 넉넉해야 감염을 며칠 뒤에 알아챘을 때도 그 이전 시점이 남아 있습니다. 랜섬웨어는 들어온 날 바로 움직이지 않고 며칠 잠복하는 경우가 있어 이 점이 중요합니다.
마지막은 되돌려 본 경험입니다. 설정만 해 두고 한 번도 복원해 보지 않은 백업은 사고 당일에 처음 시험하는 셈이 됩니다. 어느 폴더를 어느 시점으로 되돌릴지, 되돌린 뒤 PC의 네트워크 드라이브가 정상으로 붙는지, 백업에서 끌어오는 데 실제로 몇 시간이 걸리는지는 미리 해 봐야 압니다. 자세한 구성은 /nas/ 안내를 참고하시면 됩니다.