NAS 해킹 사례가 있다던데 어떻게 예방하나요?

NAS보다 직원 PC가 먼저 뚫리는 경우

NAS 피해 사례를 나눠 보면 NAS 로그인이 뚫린 경우와, NAS는 멀쩡한데 연결된 PC가 랜섬웨어에 감염된 경우로 갈립니다. 사무실에서는 후자가 더 흔합니다. 직원 PC가 메일 첨부파일이나 다운로드 파일로 감염되면, 그 PC에 네트워크 드라이브로 연결돼 있던 NAS 공유 폴더까지 같은 속도로 암호화됩니다. NAS 입장에서는 정상 사용자가 파일을 고쳐 쓰는 것으로 보이기 때문에 비밀번호나 2단계 인증으로는 막지 못합니다.

이 경로를 막는 장치는 두 가지입니다. 하나는 권한 최소화입니다. 모든 직원에게 모든 폴더의 쓰기 권한을 주면 한 대 감염으로 전체가 잠깁니다. 읽기만 필요한 폴더는 읽기 전용으로 두면 피해 범위가 그 계정이 쓸 수 있는 폴더로 한정됩니다. 다른 하나는 스냅샷입니다. 스냅샷은 특정 시각의 폴더 상태를 NAS 내부에 보관하는 기능으로, 일반 사용자 계정으로는 지우거나 고칠 수 없습니다. 암호화가 진행돼도 감염 전 시각으로 되돌릴 수 있어 랜섬웨어 대응에서 실효성이 가장 큰 설정입니다. Btrfs 파일 시스템을 지원하는 모델에서만 쓸 수 있으니 구매 전에 사양표에서 확인이 필요합니다.

스냅샷은 같은 NAS 안에 있으므로 장비 자체가 고장 나거나 도난당하면 함께 사라집니다. 그래서 스냅샷과 별도로 다른 장소에 사본 하나를 두는 3-2-1 구성이 필요하고, 한별시스템 NAS 구축의 기본 설계도 이 형태입니다.

외부에서 접속하는 방법 세 가지의 노출 차이

재택이나 출장 중 접속을 위해 NAS를 인터넷에 여는 방법은 세 가지가 있고, 편의성과 노출 정도가 반대로 움직입니다. 공유기에서 포트를 직접 열면 인터넷 전체에서 NAS 로그인 화면이 보이고, 자동화된 스캐너가 하루에도 수십 번 비밀번호를 시도합니다. 피해 사례 대부분이 이 상태에서 나옵니다.

QuickConnect 같은 제조사 중계 서비스는 포트를 열지 않아도 되지만 로그인 화면 자체는 여전히 인터넷에서 접근 가능합니다. 계정과 비밀번호, 2단계 인증이 방어선의 전부가 됩니다. VPN은 먼저 VPN에 접속한 사람만 NAS를 볼 수 있어 로그인 화면조차 외부에 노출되지 않습니다. 설정이 한 단계 더 필요하지만 업무용에는 이 방식이 맞습니다.

분기에 한 번 관리자 화면에서 볼 것

보안 설정은 구축 때 한 번 하고 끝이 아닙니다. 직원이 바뀌고 앱이 늘고 공유기가 교체되면서 처음 설정이 조금씩 무너집니다. 분기마다 다음 항목만 확인해도 대부분의 허점이 드러납니다. 첫째, DSM의 보안 어드바이저를 실행해 경고 항목을 봅니다. 둘째, 로그인 기록에서 모르는 IP나 새벽 시간대 실패 기록이 있는지 봅니다. 셋째, 퇴사자 계정이 남아 있는지 사용자 목록을 봅니다. 넷째, 설치돼 있는데 쓰지 않는 패키지와 열려 있는 서비스를 끕니다. 다섯째, 스냅샷이 실제로 예약대로 만들어지고 있는지 최근 목록을 봅니다. 여섯째, 오래된 SMB1 프로토콜이 켜져 있으면 끕니다.

이미 이상 징후가 보일 때의 순서는 이렇습니다. 먼저 NAS의 랜 케이블을 뽑아 확산을 멈춥니다. 그다음 스냅샷과 외부 백업이 살아 있는지 확인하고, 복구는 감염 원인을 찾은 뒤에 진행합니다. 원인을 두고 복구만 하면 며칠 뒤 같은 일이 반복됩니다. 대구·경북은 방문 점검이 가능하니 053-588-7119로 연락 주시면 됩니다.