랜섬웨어 대응과 백업: 격리·증거·불변 보관·복원 검증

1장 개념과 보호 목표#

랜섬웨어 대응은 악성 파일 제거보다 넓습니다. 데이터 암호화와 유출, 계정 탈취와 지속성 확보를 함께 고려하고 초기 확산을 제한한 뒤 신뢰할 수 있는 환경에서 복구해야 합니다.

2장 원리와 구분#

3-2-1 백업은 여러 사본·매체·외부 보관을 고려하는 기본 원칙입니다. 같은 관리자 권한으로 모든 백업을 지울 수 있으면 위험이 남으므로 분리된 자격증명과 오프라인·불변 보관을 검토합니다. 백업 성공 메시지는 복원 가능성의 증거가 아니며 암호키와 의존 시스템까지 함께 복구해야 합니다.

3장 비교와 판단 기준#

단계	주요 활동	검증
준비	분리 백업·연락망·훈련	복원 시간·키·의존성
격리·조사	확산 제한·증거 보존	사고 범위·초기 침투
원인 제거	계정 회수·패치·지속성 제거	동일 경로 재확인
복구	깨끗한 환경에서 복원	무결성·기능·보안 상태

4장 랜섬웨어는 암호화 이전에도 활동한다#

계정 탈취, 권한 상승과 내부 이동, 자료 유출이 파일 암호화보다 먼저 일어날 수 있습니다. 파일이 복구되었다고 침해와 유출의 문제가 모두 해결되는 것은 아닙니다.

5장 초기 격리의 목표#

감염 장치와 관련 계정의 확산 경로를 제한합니다. 네트워크 격리, 계정·세션 조치와 중요 서비스의 영향도를 함께 판단합니다. 무조건 전원을 끄는 단일 절차보다 증거 보존과 진행 중인 피해의 조건에 맞게 대응합니다.

6장 증거와 대응 기록#

발견 시각, 실행 파일, 로그와 조치 내역을 기록합니다. 어떤 자료를 누가 어떻게 수집했는지 남기고 무결성을 관리합니다. 운영 복구와 조사 과정이 서로의 증거를 훼손하지 않도록 순서를 조정합니다.

7장 백업의 독립된 권한#

운영 관리자 계정 하나로 모든 백업을 삭제할 수 있다면 운영 침해가 복구 수단에도 영향을 줍니다. 별도 자격 증명, 접근 제한과 관리 경계를 설계합니다. 같은 서버의 스냅샷만으로 독립성을 보장하지 않습니다.

8장 불변·오프라인 백업의 조건#

불변 저장은 보존 정책과 관리 권한의 실제 동작을 확인해야 합니다. 오프라인 백업도 연결·이동·복원하는 시점의 노출을 관리합니다. 이름과 제품 옵션보다 공격자가 삭제·변조할 수 있는 경로가 중요합니다.

9장 RPO와 RTO를 실제로 측정한다#

RPO는 허용할 데이터 손실의 시간 범위, RTO는 복구 시간의 목표입니다. 백업 주기뿐 아니라 실패한 작업, 복원 자료의 검증과 서비스 의존 관계가 실제 달성에 영향을 줍니다.

목표	실제 확인할 사항
RPO	마지막 정상 백업과 손실 가능 구간
RTO	데이터 복원·환경 구성·서비스 검증 시간
복구 안전성	감염 여부·계정·취약점 제거

10장 가장 최근 백업이 항상 안전하지는 않다#

공격자의 최초 침입이 오래전이면 최근 백업에 악성 파일이나 설정이 포함될 수 있습니다. 사건 시간대와 백업 내용을 조사하여 복구 지점을 정합니다. 암호화 직전 상태와 침해 이전 상태를 구분합니다.

11장 서비스 의존 관계의 복원#

데이터베이스만 복원해도 인증, DNS, 키 관리와 애플리케이션 설정이 없으면 서비스가 동작하지 않을 수 있습니다. 필요한 키와 라이선스, 외부 연동과 복원 순서를 확인합니다.

flowchart LR
 I[확산 제한·조사] --> C[원인·계정·취약점 조치]
 C --> B[검증된 백업 선택]
 B --> R[격리 환경 복원]
 R --> V[서비스·보안 검증]
 V --> O[운영 재개·감시]

12장 원인 제거와 재침입 방지#

감염 파일 삭제만으로 탈취된 계정, 지속성 설정과 최초 취약점이 사라지는 것은 아닙니다. 자격 증명과 세션, 악성 예약 작업과 노출 경로를 조사하고 조치합니다. 복구 후에도 재발 징후를 관찰합니다.

13장 복원 훈련의 완료 조건#

백업 파일이 존재하는지 확인하는 수준을 넘어 대표 서비스를 복원하고 데이터 정합성·접근·거래를 시험합니다. 실제 소요 시간과 실패한 의존 관계를 기록하여 계획을 수정합니다. 유출이 확인되면 별도의 통지·신고 등 적용 의무도 검토합니다.

14장 업무 데이터베이스 복원 훈련#

데이터베이스 백업을 복원하는 데 2시간이 걸렸지만 인증 시스템과 암호 키를 확보하는 데 4시간이 더 필요했다면 전체 서비스의 복구 시간을 2시간으로 보고할 수 없습니다. 사용자 로그인, 거래 처리와 외부 연동까지 확인하여 복구 완료 조건을 정합니다.

복원한 데이터의 마지막 거래 시각과 원래 시스템의 거래 기록을 비교하면 손실 구간을 평가할 수 있습니다. 백업이 매시간 실행되도록 설정되어 있어도 실제 실패한 작업이 있었다면 목표 RPO를 충족하지 못할 수 있습니다.

훈련에서는 깨끗한 환경 구성, 권한과 키 복원, 데이터 정합성 검증과 사용자 업무를 순서대로 수행합니다. 발견된 지연과 누락을 계획에 반영해야 다음 사고에서 사용할 수 있습니다.

15장 적용 사례와 운영 방법#

의심 단말을 격리하고 공격 경로·계정·로그 등 증거를 보존합니다. 무조건 모든 장비의 전원을 끄기보다 확산 차단과 증거·업무 영향을 고려한 대응 절차를 따릅니다. 복원 전 침투 원인과 노출 계정을 처리하고 복원 후 무결성·기능·보안 상태를 검증합니다. 유출 관련 통지·신고는 적용 법령 요건에 따라 판단합니다.

16장 랜섬웨어 대응 순서#

flowchart LR
 A["탐지·초기 확인"] --> B["확산 제한·증거 보존"]
 B --> C["범위·침투 경로 조사"]
 C --> D["계정 회수·원인 제거"]
 D --> E["깨끗한 환경에서 복원"]
 E --> F["업무·보안·재발 검증"]

17장 백업의 개수와 삭제 권한을 함께 확인한다#

여러 사본이 있어도 같은 관리자 계정으로 모두 삭제할 수 있으면 공격자가 함께 파괴할 수 있습니다. 운영 자격증명과 백업 관리 권한을 분리하고 오프라인 또는 불변 보관의 실제 삭제·보존 조건을 검증합니다. 외부 보관도 같은 계정·키·관리 경로에 의존하는지 조사해야 합니다.

RPO는 허용 데이터 손실, RTO는 목표 복구 시간으로 구분합니다. 성공 로그보다 실제 복원이 핵심입니다. DB만 아니라 인증·DNS·네트워크·애플리케이션 설정·암호키·외부 의존성까지 복구 순서를 만들고 측정해야 업무 목표를 판단할 수 있습니다.

18장 깨끗한 복구 환경을 먼저 확보하기#

탐지 후 확산을 제한하고 증거·사고 범위·노출 계정·초기 침투를 조사합니다. 백업 시점이 침투 이전인지와 지속성·악성 설정이 포함되지 않았는지도 확인합니다. 노출된 자격증명과 침투 경로를 처리하지 않고 복원만 하면 다시 피해를 입을 수 있습니다.

복구 후 기능·데이터 무결성·보안 상태를 검증하고 관측을 강화합니다. 데이터 유출 가능성과 통지·신고 요건은 암호화 피해 복원과 별도로 판단합니다. 반복 훈련에서는 연락망·역할·의사결정·대외 대응과 실제 복원 시간을 함께 점검합니다.

19장 적용 전 확인할 사항#

백업 권한과 운영 관리자 권한을 분리한다
정기적으로 복원 시간과 데이터 손실 범위를 측정한다
사고 격리·증거·계정 회수·복구 순서를 훈련한다

20장 자주 묻는 질문#

백업이 있으면 랜섬웨어 피해가 없나요?#

서비스 중단과 데이터 유출 피해는 남을 수 있습니다. 예방·탐지·분리·복원·대외 대응을 함께 준비해야 합니다.

불변 백업이면 복원 시험을 하지 않아도 되나요?#

삭제 방지와 복구 가능성은 다릅니다. 파일 손상·키·의존 시스템·복원 시간과 절차를 실제로 확인해야 합니다.

사고 장비의 전원을 항상 즉시 끄는 것이 최선인가요?#

확산·증거·업무 영향과 대응 절차를 고려해야 합니다. 네트워크 격리와 증거 보존 등 상황에 맞는 조치를 담당자가 판단하도록 준비합니다.