기업 백업 서버마저 랜섬웨어에 감염돼 암호화되었다면 불변 백업(Immutable Backup)이나 하드웨어 스냅샷으로 백업 서버 자체를 롤백하고, 펌웨어 기반 응급 복구 경로로 OS를 재구축한 뒤 데이터를 복구해야 한다. 대응 순서는 즉시 격리, 영향 평가, 복구 지점 선택, 클린 OS 복구, 데이터 복구, 최종 검증 및 서비스 재개다.
랜섬웨어 공격의 진화와 백업 서버 감염의 실태
랜섬웨어 공격 기법은 단순 데이터 암호화를 넘어 기업의 복구 능력을 무력화하는 방향으로 지능화했다. 2020년부터 2022년까지 통계를 보면 랜섬웨어 피해 기업의 90%가 중소기업이다. 공격자는 지속적으로 비용 지불을 유도하며 타겟팅 공격을 이어간다. 과거엔 데이터만 암호화했지만, 최근엔 백업 서버까지 동시에 감염시키는 최악의 시나리오가 실제로 빈번하다.
보안 실무자는 백업 시스템만 갖췄다고 복구가 보장된다고 여기기 쉽다. 하지만 이는 위험한 생각이다. 백업 서버가 네트워크에 연결돼 있고 적절히 격리되지 않았다면, 랜섬웨어가 관리자 권한을 탈취해 백업본까지 모두 암호화하거나 삭제한다. 백업의 존재가 복구를 보장하지 않는다. 어떻게 저장하고 검증하느냐가 복구의 성패를 가르는 핵심 요소다.
랜섬웨어 침해사고 대응 및 복구 가이드: 실무 대응 6단계 프로세스
침해사고 발생 당시 당황해 무분별하게 시스템을 재부팅하거나 파일을 수정하면 포렌식 데이터가 파괴되고 복구 가능성이 낮아진다. 기술 실무자는 다음 단계별 절차를 따라야 한다.
- 즉시 격리 및 경로 차단: 감염이 확인되면 해당 서버와 네트워크 스위치를 물리적·논리적으로 분리한다. 이는 랜섬웨어가 공유 폴더나 AD(Active Directory)를 통해 다른 서버로 전파되는 것을 막아 영향 범위를 최소화하는 필수 조치다.
- 상세 영향 평가: 단순 암호화 시점뿐 아니라 공격자가 시스템에 침투해 잠복했던 기간도 추정해야 한다. 잠복기를 고려하지 않고 최근 백업본으로 복구하면, 내재된 악성코드 때문에 복구 직후 재감염될 수 있다.
- 최적의 복구 지점(RPO) 선택: 영향 평가 결과를 바탕으로 감염 전의 깨끗한 시점(Clean Point)을 선정한다. 이때 복구 지점 목표(RPO)를 고려해 데이터 손실을 최소화할 무결성 백업본을 찾는다.
- 클린 OS 및 시스템 복구: 랜섬웨어는 OS 이미지 자체를 오염시키므로 기존 이미지의 단순 복구는 피해야 한다. 신규 환경을 구축하거나 감염되지 않은 순수 OS 이미지로 복구한 뒤 패치를 적용하는 구조가 필요하다. 하드웨어 상이도를 지원하는 복구 솔루션으로 이기종 환경에서도 OS를 빠르게 재구축한다.
- 데이터 정합성 복구: OS가 준비되면 정합성이 보장된 백업 데이터를 복원한다. 데이터베이스나 파일 시스템의 무결성을 확인하며 데이터를 점진적으로 이관한다.
- 검증 및 서비스 재개: 복구가 완료되면 기능과 데이터 정합성 테스트를 수행한다. 이후 모든 서비스를 한꺼번에 오픈하는 게 아니라 중요도에 따라 단계적으로 서비스를 재개하며 모니터링을 강화한다.
백업 서버까지 암호화된 최악의 상황에서의 기술적 복구 방안
백업 서버의 OS가 무력화돼 관리 콘솔에 접근할 수 없어도 데이터를 되살리는 구체적인 기술적 방법이 있다.
첫째, 불변 백업과 하드웨어 스냅샷을 활용한다. 솔루션 차원에서 불변성(Immutability)을 지원하면 공격자가 삭제 명령을 내려도 일정 기간 데이터가 보존된다. 하드웨어 레벨의 스냅샷 기능을 쓰면 OS 상태와 무관하게 시간 단위로 백업 서버 전체를 롤백해 100% 복원할 수 있다.
둘째, 펌웨어 기반 응급 복구 경로를 쓴다. Dell의 iDRAC 같은 서버 관리 펌웨어를 활용하면 백업 서버 OS가 암호화돼 부팅이 불가능해도 외부 부팅 이미지(ISO)를 로드해 가상 환경에서 부팅할 수 있다. 이를 통해 OS를 복구하고 내부 백업 데이터 복구 로직을 다시 수행할 수 있다.
셋째, 오프사이트 및 클라우드 복제본을 활용한다. 업계 표준인 3-2-1 규칙(3개 사본, 2종 매체, 1곳 오프사이트)을 지켰다면, 물리적으로 분리된 원격지나 클라우드의 클린 복사본으로 복구할 수 있다. 중복제거와 압축 기반 복제 기술로 대용량 데이터도 효율적으로 전송해 복구 시간을 단축한다.
넷째, RTO(복구 시간 목표) 단축을 위한 고도화된 복구 기술을 적용한다. 라이브 복구 기술은 전체 복구를 기다리지 않고 복구 프로세스를 백그라운드로 수행하면서 즉시 서비스 접근이 가능하게 해 다운타임을 줄인다. 버추얼 스탠바이나 P2V(Physical to Virtual) 자동화 기능으로 백업 이미지를 즉시 가상 머신으로 변환해 수분 내에 서비스를 재개할 수도 있다.
| 구분 | 일반 백업/복제(HA) | 랜섬웨어 대응 DR 전략 | 기대 효과 |
|---|---|---|---|
| 데이터 전파 | 양방향 통신으로 즉시 전파 | 단방향 복제 및 불변성 저장 | 감염 확산 방지 |
| 복구 방식 | 단순 이미지 덮어쓰기 | 클린 OS + 데이터 분리 복구 | 재감염 위험 제거 |
| 검증 여부 | 백업 성공 여부만 확인 | 정합성 자동 검증 및 마운트 테스트 | 실제 복구 가능성 보장 |
| 복구 속도 | 전체 데이터 복원 후 재개 | 라이브 복구 및 버추얼 스탠바이 | RTO 획기적 단축 |
제조 및 금융권 실무자를 위한 핵심 주의사항 및 점검 리스트
제조업의 OT(Operational Technology) 시스템이나 금융권 고가용성 시스템은 일반 IT 환경보다 복구 절차가 훨씬 까다롭다. 특히 Active Directory(AD) 서버 복구는 치명적이다. AD 복구는 단순 이미지 복구로 해결되지 않으며, 환경에 따라 40단계 이상의 수동 절차가 필요하다. 자동화 솔루션이나 상세 절차 문서화, 주기적 모의 훈련 없이 매뉴얼만 믿고 대응하면 복구 과정에서 치명적인 오류가 발생할 가능성이 높다.
단순 고가용성(HA) 구성은 랜섬웨어 대응책이 될 수 없다. HA는 실시간 동기화가 목적이라 한쪽 서버 데이터가 암호화되면 즉시 반대편 서버 데이터도 암호화된다. 단순 복제가 아닌 스냅샷과 검증이 결합된 별도의 재해복구(DR) 전략을 병행해야 한다.
백업 무결성 검증 없이는 어떤 백업 전략도 무용지물이다. 주기적으로 백업 데이터를 실제 가상 환경에 마운트해 데이터베이스 기동 여부와 파일 시스템 오류를 자동 체크하는 프로세스를 구축해야 한다. 사용자에게 부하를 주지 않으면서도 실제 상황에서 복구 가능 여부를 확신할 수 있는 유일한 방법이다.
결론 및 대응 체계 고도화 제언
랜섬웨어 침해사고 대응의 핵심은 백업 데이터 보유가 아니다. 감염된 OS를 배제한 클린 환경을 빠르게 구축하고 정합성이 검증된 데이터를 정확한 시점에 복원하는 능력이 중요하다. 3-2-1 백업 규칙 준수, 불변 스냅샷 도입, AD 같은 핵심 인프라 복구 자동화는 선택이 아닌 필수 생존 전략이다.
지금 귀사의 백업 전략이 단순 복제에 의존하고 있지는 않은지, 실제 복구 테스트를 통해 RTO와 RPO가 준수되고 있는지 점검해야 한다. 체계적인 랜섬웨어 침해사고 대응 및 복구 가이드를 수립하고 이를 정기적으로 훈련하는 것만이 예측 불가능한 사이버 위협으로부터 비즈니스 연속성을 보장한다. 전문적인 DR 솔루션 도입과 정기적 무결성 검증 체계를 구축해 대응 역량을 강화하자.