랜섬웨어 대응을 위한 안전한 백업 어떻게 해야 하나

랜섬웨어 감염 100% 방어할 수 없다면 데이터 백업이 가장 효과적

과거 랜섬웨어 공격은 불특정 다수를 대상으로 데이터를 암호화하고 이에 대한 몸값을 요구하는 방식이 대부분이었다. 그러나 최근에는 높은 금액을 지불할 수 있는 대규모 엔터프라이즈 환경이 주로 공격 대상이 되고 있고, 암호화 뿐만 아니라 데이터 유출 후 인터넷 공개를 미끼로 협박하는 형태로 공격 방식이 진화되고 있다.

이러한 공격 방식의 진화는 개인 혹은 기업에서 랜섬웨어 대응 전략으로 데이터 백업을 강화해 더 이상 데이터 암호화만으로 수익을 얻기가 어려워졌기 때문이다. 랜섬웨어 감염을 100% 방어할 수 없다면 데이터 백업이 가장 효과적인 대응 전략이 될 수 있다.

이런 대응 전략으로 인해 최근의 랜섬웨어 공격자는 데이터 백업을 무력화하기 위해 노력하고 있다. 최근 공격자들은 로컬 혹은 공유 드라이브에 백업된 데이터까지 암호화하고 심지어 타겟형 공격과 같이 특정 시스템을 거점으로 백업 데이터의 위치를 찾아 감염시키는 방식으로 백업 체계를 무력화하기도 한다.

랜섬웨어 공격자들이 주로 사용하는 데이터 백업 무력화 기법은 다음과 같다.

▷볼륨 섀도 복사본 삭제

랜섬웨어는 윈도우 시스템의 자체 백업 기능인 볼륨 섀도 복사본(VSC, Volume Shadow Copy)을 삭제해 이전 파일 복원을 차단한다. ▷ 네트워크로 공유된 백업 암호화 일부 백업 솔루션은 솔루션의 기본 폴더명을 이용하여 네트워크로 공유된 경로에 데이터를 백업한다. 랜섬웨어 공격자는 기업 네트워크에서 이런 백업 폴더를 찾아 함께 암호화한다.

▷백업 솔루션 악용

백업 솔루션은 자체 API를 사용해 기업 내 데이터 백업을 관리한다. 공격자는 탈취한 크리덴셜이나 취약점을 사용해 백업 관리 API에 접근하고 이를 통해 백업을 삭제하거나 암호화한다.

▷손상된 데이터 백업 유도

보통의 랜섬웨어는 최초 침투 후 바로 데이터를 암호화하지만 최근의 일부 랜섬웨어는 타겟형 공격과 같이 내부망을 은밀히 침투해 데이터를 손상시켜 불완전한 데이터가 백업되도록 기다린 후, 원본 데이터를 암호화한다. 이 경우 백업 데이터가 이미 손상되었기 때문에 데이터를 정상적으로 복원할 수 없다.

랜섬웨어는 금전적 이익을 목적으로 나타났고 수익 창출의 가능성이 이미 증명된만큼 앞으로도 지속 발생할 것으로 보이며, 공격 방식도 진화할 것으로 예상된다. 이에 대한 가장 효과적인 대응이 데이터 백업이므로 특히 기업의 경우 실패하지 않은 데이터 백업 전략을 고민해야 한다.

이에 한국인터넷진흥원은 1일 ‘랜섬웨어 대응을 위한 안전한 정보시스템 백업 가이드(안)’를 제작해 공개했다.

이번 가이드에서는 정보시스템 백업 체계 구성을 위한 정보를 제공하고, 백업시스템을 구축 ‧ 운영하기 위한 절차 및 방법에 대해 설명한다. 또한 악성코드와 랜섬웨어 등 외부 환경의 사이버 공격 위협으로부터 백업데이터를 보호하기 위한 보호대책을 제시하고, 중소 규모 기업 환경에 적합한 정보시스템 백업 구성을 위한 가이드를 제공한다.

특히 중소기업 또는 비교적 소규모 서비스를 제공하는 기업에서 필요한 안전한 백업 시스템 구축 방법 및 운영 절차를 제시하고 있다.

먼저 백업 조직 및 역할을 정의하고, 백업 조직이 백업 수행과 보안 관리를 체계적으로 수행할 수 있도록 백업 절차 및 보안관리 절차를 설명한다.

또한, 악성코드 및 랜섬웨어 감염 시 신속한 대응에 필요한 절차를 제시한다. 백업 시스템 구성은 기업이 일반적으로 사용할 수 있는 백업 시스템 구성 방법과 랜섬웨어 감염 예방을 위한 구성에 대하여 제시한다.

백업 정책은 다양한 백업 방법에 대해 소산 정책 또는 소규모 기업들이 반영할 수 있는 정책에 대하여 설명한다.

마지막으로 랜섬웨어 피해 등 사이버 공격 예방을 위해 필요한 백업 시스템의 보안 사항에 대해 설명하고 있다.

이번 백업 가이드는 한국인터넷진흥원 인터넷보호나라 홈페이지와 데일리시큐 자료실에서 다운로드 가능하다.

◈[PASCON 2021] 공공•금융•기업 정보보안&개인정보보호 컨퍼런스에 초대합니다.

-2022년 공공∙기업 정보보안책임자/실무자를 위한 최고의 컨퍼런스-

△주최: 데일리시큐

△후원: 개인정보보호위원회•한국인터넷진흥원•한국정보보호산업협회

△참석대상: 공공기관•공기업•정부산하기관•금융기관•의료•교육•일반기업 개인정보보호 및 정보보호 담당자, IT담당자 등 1,000여 명 참석

(※위 관계자 이외 일반인은 참석 금지)