기업환경에서 백업 소프트웨어를 통한 랜섬웨어 대응방안에 관한 연구

Abstract

4차 산업혁명 시대에서의 IT 환경에서 데이터의 양은 기하급수적으로 늘어나고 있다. IoT, Cloud, Big Data, Mobile, 그리고 인공지능(AI)까지 모두 수많은 데이터를 기반으로 하는 기술의 집약체가 등장하며 데이터는 이제 단순한 정보와 수치가 아닌 산업구조의 핵심적인 역할을 하는 형태로 변화하고 있으며 동시에 사이버 공격의 주요 대상이 되고 있다.

데이터의 중요성이 높아짐에 따라 최근 ‘몸값’(Ransom)과 ‘소프트웨어’(Software)의 합성어인 랜섬웨어가 급증하고 있으며 랜섬웨어는 데이터를 암호화시켜 사용할 수 없게 만든 후 사용자에게 복호화비용을 요구한다. 랜섬웨어에 의한 국내 피해액은 2017년 이후 조 단위를 넘어섰으며 이러한 사이버보안 위협과 업무 연속성 등의 보장을 위해 데이터 백업이 필요하지만 단순한 백업은 근본적인 대응 방안으로는 부족하며 보완이 필요하다. 기업은 백업마스터서버를 통해 클라이언트 서버를 백업 받아 데이터를 통합 관리하며 백업 정책에 따라 일정 보관주기가 지나면 데이터를 삭제하기 때문에 감염 피해사실을 백업 데이터 보관주기 내에 알지 못하면 복구가 불가능하다. 그 예시로 2019년 한 기업에서 백업 소프트웨어를 통한 백업시스템을 구축했음에도 불구하고 업무망 내 서버가 랜섬웨어에 감염되어 복구가 불가능한 사고가 발생했다. 관리자가 피해사실을 알았을 땐 이미 보관주기 내의 백업 데이터들도 모두 감염된 상태였으며 기업은 이 감염사고로 인해 관련시스템을 모두 재구축해야했다.

이러한 피해를 방지하고 백업소프트웨어를 통해 랜섬웨어에 대응할 수 있는 안전한 백업을 받기 위해서는 특정 백업 미디어 영역을 암호화하여 복구키를 통해서만 접근 가능한 보안구역(Security Area)을 설정한 후 백업마스터서버를 이전시점으로 돌릴 수 있는 DR백업을 주기적으로 수행해야한다. 그리고 인덱스(Index)의 열(Column)에 데이터 해시 값을 포함하여 백업 시 원본 데이터와 백업 데이터의 해시 값 비교를 통한 정합성 검증을 진행하고 이상탐지가 될 경우 백업을 중단하고 검증이 끝날 때까지 해당 클라이언트서버의 기존 백업데이터의 보관주기 정책이 별도로 적용되어야한다.

이와 같이 해시 값 비교를 통한 데이터 백업으로 랜섬웨어에 대한 보완이 된다면 이상탐지를 통해 랜섬웨어 공격 예방이 가능할 뿐만 아니라 관리자 부주의로 인한 휴먼에러 또는 정보보호 장비의 고장과 신·변종 랜섬웨어 등 예측 불가한 상황으로 랜섬웨어에 감염이 되더라도 ‘골든타임’과 무관하게 데이터를 보호할 수 있으므로 랜섬웨어 대응에 있어 더 안전한 장치가 될 것으로 기대한다.