랜섬웨어 복구의 답은 백업 개수가 아니라 잠금 구조에 있다
월요일 아침, 파일 서버 폴더의 확장자가 전부 낯선 문자열로 바뀌었습니다. 관리자 계정 비밀번호를 재설정하려고 NAS에 접속했지만 로그인조차 되지 않죠. 더 늦게 발견한 사실은 백업 저장소도 같은 네트워크에 붙어 있었다는 점입니다. 파일과 백업본이 함께 암호화되면 '백업이 있다'는 말은 복구 계획이 되지 못합니다.
랜섬웨어 복구를 위한 최소 구조는 세 갈래입니다. 운영 데이터, 일정 시점으로 되돌릴 수 있는 스냅샷, 공격자가 접근하지 못하는 오프라인 또는 불변 사본을 분리합니다. 여기서 불변(Immutable) 백업은 보존 기간 동안 쓰기·삭제·변경을 막는 저장본이고, WORM은 한 번 기록한 데이터를 여러 번 읽되 임의로 고치지 못하게 하는 방식입니다.
결론부터 말하면 NAS 안의 일반 스냅샷 하나만으로는 부족합니다. 스냅샷은 빠른 복구를 맡기고, 불변 스냅샷과 망 분리 사본은 공격자가 복구 수단까지 건드리는 상황을 막는 역할로 나눠야 합니다.
스냅샷과 백업을 섞으면 복구 경로가 사라진다
스냅샷은 같은 저장소의 특정 시점을 보존합니다. 삭제나 암호화 직전 상태로 폴더를 되돌리는 데 빠르지만, NAS 관리자 권한이나 스냅샷 관리 권한이 공격자에게 넘어가면 삭제 대상이 됩니다. 반면 별도 저장소에 둔 백업은 장비 장애와 저장소 손상에 강하지만 복구 시간이 더 길고, 마지막 백업 시점 이후의 작업은 잃습니다.
이 둘을 구분하지 않으면 비용이 샙니다. 스냅샷만 믿고 별도 백업 장치를 줄이면 NAS 자체의 손상에 취약해지고, 백업만 남겨두면 긴 복구 시간 때문에 업무 중단이 커집니다. 제타 스냅샷을 검토하는 경우에도 먼저 '같은 볼륨의 빠른 되돌리기'인지 '별도 저장소로 복제된 보존본'인지부터 확인해야 합니다.
① 실수로 파일을 지웠거나 감염 시점을 몇 시간 안에 특정했다면 스냅샷이 빠릅니다. ② NAS 전체가 탈취됐거나 장비가 고장 났다면 망 분리 백업이 우선입니다. ③ 두 상황을 모두 대비해야 한다면 스냅샷과 별도 백업을 함께 두고, 각각의 복구 담당자와 절차를 나눕니다.
복구를 망치는 설정은 대개 세 가지다
첫째, 백업 NAS를 24시간 같은 관리자 계정으로 연결해 둡니다. 자동화는 편하지만 원본 계정이 탈취되면 백업 대상의 삭제 권한까지 한 번에 넘어갑니다. 백업 전용 계정에는 필요한 폴더에만 접근 권한을 주고, 관리용 계정과 인증 수단을 분리해야 합니다.
둘째, '원격 NAS니까 안전하다'고 판단합니다. 다른 장소에 있어도 네트워크로 쓰기 권한이 열려 있으면 공격자는 원격 저장소를 찾아갑니다. 원격이라는 위치와 불변이라는 권한 구조는 서로 다른 보호 장치입니다.
셋째, 백업 성공 알림만 확인하고 복원을 시험하지 않습니다. 파일이 저장됐다는 로그와 실제 파일이 열리고 권한이 유지된다는 사실은 다릅니다. 검증하지 않은 백업은 장애가 발생한 날 처음 검사하는 예비 부품과 같습니다.
3-2-1 백업에 불변성과 오프라인을 한 겹씩 더한다
기본 설계는 3-2-1입니다. 데이터 사본 3개를 만들고, 서로 다른 매체 2종에 두며, 그중 1개는 다른 장소에 둡니다. 랜섬웨어 대응에서는 여기에 '삭제·변조가 막힌 사본 1개'와 '검증 오류 0개'를 더한 3-2-1-1-0 구조로 확장하는 편이 안전합니다. 3-2-1의 의미와 불변성의 의미를 섞지 않는 것이 핵심입니다.
설명을 위한 가상의 예시입니다. 소규모 사무실이 업무 데이터 8TB를 운영한다고 가정하면, NAS 원본과 로컬 불변 스냅샷을 빠른 복구 경로로 두고, 주 1회 연결하는 외장 저장장치 또는 별도 백업 장치에 오프라인 사본을 남길 수 있습니다. 마지막으로 다른 장소의 저장소에 암호화된 복제본을 두면 장비 도난이나 화재까지 복구 범위가 넓어집니다.
비용을 줄여야 한다면 모든 파일을 같은 수준으로 보호하지 않습니다. 회계·계약·고객 자료는 긴 보존 기간과 불변 사본을 적용하고, 임시 작업물은 짧은 보존 기간으로 분류합니다. 장치 가격보다 먼저 '이 데이터가 며칠 사라지면 업무가 멈추는가'를 정해야 합니다.
불변 스냅샷은 잠그는 기간과 복구 순서를 함께 정한다
불변 스냅샷은 보존 기간 동안 삭제와 변경을 제한합니다. Synology의 공식 안내에서는 불변 기간을 최대 30일까지 설정하는 기능을 설명합니다. 다만 잠금 기간이 끝난 뒤에는 일반 보존 정책이 적용되므로, 30일 잠금 하나로 영구 보호가 된다고 이해하면 안 됩니다.
설명을 위한 가정으로, 평일 하루 한 번 이상 파일이 바뀌는 사무실이라면 최근 24시간은 시간 단위 스냅샷, 최근 4주간은 일 단위 보존, 월말 자료는 별도 오프라인 사본으로 남기는 식으로 시작할 수 있습니다. 이 배치는 정답이 아니라 운영 빈도와 데이터 중요도를 맞추기 위한 출발점입니다. 감염 시점을 모를 때는 가장 최근본부터 무작정 복원하지 말고, 감염 전 정상 시점을 먼저 식별해야 합니다.
복구 리허설도 일정으로 고정합니다. 설명을 위한 가정으로 매월 파일 몇 개를 별도 경로에 복원하고, 분기마다 핵심 업무 폴더를 독립 장치에 복원해 파일 열림·권한·버전·실제 소요 시간을 기록합니다. 오류가 한 건이라도 나오면 백업 성공으로 표시하지 말고 원인과 조치 완료 여부를 남깁니다.
비밀번호가 바뀐 뒤에도 복구하려면 이렇게 판단한다
NAS 관리자 비밀번호가 바뀌었다면 먼저 원본 NAS에서 계속 작업하지 않습니다. 네트워크에서 감염 장비를 격리하고, 정상 상태가 확인된 별도 관리 단말에서 계정·공유 폴더·스냅샷·백업 장치의 접근 로그를 확인합니다. 공격이 끝났다는 증거가 없는데 복구 장치를 다시 연결하면 정상 사본까지 오염시킬 수 있습니다.
불변 스냅샷이 남아 있고 잠금 기간이 유효하면 감염 전 시점을 골라 별도 복구 경로에서 파일을 확인합니다. 불변본까지 삭제됐거나 관리자 권한이 함께 노출됐다면 오프라인 저장장치를 먼저 검사한 뒤 새로 설치한 깨끗한 시스템으로 복원합니다. 백업 장치를 원래 NAS에 바로 덮어쓰는 방식은 원인 분석과 추가 감염을 어렵게 만듭니다.
최종 점검 질문은 네 가지면 충분합니다. 공격자가 백업 계정으로 삭제할 수 있는가? 잠금이 끝나는 날짜를 알고 있는가? 네트워크를 끊어도 복원할 사본이 있는가? 실제 복구에 걸린 시간을 기록했는가? 하나라도 답이 막히면 스냅샷 개수보다 복구 구조를 먼저 고쳐야 합니다.
NAS 불변 백업에 관한 짧은 질문 세 가지
Q. RAID를 구성했는데도 별도 백업이 필요한가요? A. 필요합니다. RAID는 디스크 고장에 대비한 가용성 구조이지, 삭제·암호화·관리자 계정 탈취로부터 과거 데이터를 보존하는 백업이 아닙니다. 랜섬웨어 복구에는 별도 저장소와 복원 검증이 있어야 합니다.
Q. 외장하드만 주기적으로 연결해도 충분한가요? A. 연결하지 않는 동안에는 네트워크 공격을 피할 수 있지만, 단일 외장하드에만 의존하면 장치 고장과 분실에 취약합니다. 최소 한 개의 불변 또는 다른 장소 사본을 추가하고, 연결할 때마다 백업 로그와 복원 샘플을 확인하세요.
Q. 불변 스냅샷이 있으면 오프라인 백업은 필요 없나요? A. 필요합니다. 불변 스냅샷은 설정된 저장소와 보존 정책 안에서 강력하지만, NAS 장비 자체의 손상이나 전체 환경의 침해까지 대신하지는 않습니다. 빠른 복구는 스냅샷에, 최악의 상황은 망 분리 사본에 맡기는 구성이 맞습니다.