NAS 랜섬웨어 대비 백업: 스냅샷·오프라인 보관·복원 시험
AI Editter
NAS가 RAID로 구성되어 있고 매일 스냅샷을 찍더라도 랜섬웨어 복구가 보장되지는 않습니다. RAID는 디스크 고장에 대비하는 장치이고, 같은 NAS의 관리자 권한으로 원본과 백업을 함께 지울 수 있다면 공격도 같은 경로를 사용할 수 있습니다. 백업 개수보다 서로 다른 실패 원인과 권한으로 분리했는지를 확인해야 합니다.
가정·소규모 사무실의 파일 NAS를 기준으로, 설계와 복원 시험을 함께 다룹니다. 이미 감염이 진행 중이라면 무턱대고 파일을 복구하기 전에 감염 장치와 쓰기 경로를 격리하고 사고 대응 절차를 따라야 합니다. 새로 복원한 파일도 다시 암호화될 수 있기 때문입니다.
RAID·스냅샷·백업은 서로 다른 문제를 맡는다
| 구성 | 도움이 되는 상황 | 그것만으로 부족한 상황 |
|---|---|---|
| RAID | 구성의 허용 범위 내 디스크 고장 | 파일 삭제·암호화·장비 분실 |
| 동일 NAS 스냅샷 | 이전 시점 파일로 빠르게 복구 | 장비·스토리지 풀 손실, 삭제 권한 침해 |
| 다른 장치의 백업 | 원본 장비 장애 | 같은 계정으로 접근·삭제되는 경우 |
| 오프라인 또는 불변 보관 | 온라인 쓰기·삭제 공격의 영향 축소 | 감염 전 정상 버전 부재, 복원 키 분실 |
클라우드 동기화만으로도 안심하기 어렵습니다. 암호화된 변경이 그대로 동기화될 수 있습니다. CISA의 랜섬웨어 가이드는 오프라인 백업과 정기적인 복원 가능성 검증을 권고합니다.
1. 먼저 ‘얼마나 잃고 얼마나 기다릴 수 있는지’ 정한다
RPO는 감당할 수 있는 데이터 손실 시간, RTO는 서비스 복구까지 허용할 시간입니다. “매일 백업”은 RPO 24시간을 항상 보장하지 않습니다. 마지막 작업이 실패했거나 DB 파일이 일관되지 않으면 더 오래된 데이터로 돌아갈 수 있습니다.
예를 들어 주문 자료는 1시간, 사진 원본은 하루의 변경 손실을 감당한다고 가정할 수 있습니다. 이는 설계 예시이며 실제 업무에 맞춰 정해야 합니다. 전부 같은 주기로 백업하기보다 중요한 폴더와 앱을 먼저 나눕니다. 수 TB를 인터넷으로 다시 받는 데 걸리는 시간도 복구 목표에 포함하세요.
2. 3-2-1을 숫자 채우기 대신 분리 기준으로 사용한다
원본과 별도 백업 사본을 두고, 다른 저장 매체·시스템과 외부 위치를 조합합니다. 여기에 오프라인 또는 불변 사본을 마련하면 온라인 계정 침해의 영향을 줄일 수 있습니다. 다음은 작은 사무실에서 검토할 수 있는 구성 예시입니다.
- ① 로컬 스냅샷: 파일을 잘못 수정했을 때 빠르게 돌아갈 수 있는 수단입니다. 원본과 같은 장비 안에 있으므로 별도 장비의 백업을 대체하지 않습니다.
- ② 원격 백업: 다른 위치와 별도 계정을 사용하고, 원본 NAS의 관리자 계정이 백업까지 지울 수 있는지 확인합니다. 저장 위치만 바꾸고 삭제 권한을 공유하면 보호 범위가 줄어듭니다.
- ③ 오프라인 사본: USB에 백업한 뒤 작업 완료와 정상 파일을 확인하고 안전하게 연결을 해제합니다. 분리한 사본을 교대로 보관하고 아래의 복원 시험에 포함합니다.
USB를 계속 NAS에 연결해 두면 오프라인 사본이 아닙니다. 원격 NAS가 다른 건물에 있어도 같은 관리자 암호를 사용하고 양쪽 삭제 권한이 열려 있으면 계정 침해에 함께 노출됩니다. 원본 관리자·백업 운영자·복구 키 보관자의 권한을 구분하고, 백업 대상의 인터넷 관리 화면 노출도 줄이세요.
3. Synology라면 스냅샷과 Hyper Backup을 각각 점검한다
DSM의 Snapshot Replication에서 대상 공유 폴더, 촬영 주기, 보존 규칙을 확인합니다. 스냅샷 지원은 모델과 파일시스템 조건에 따라 다릅니다. 불변 스냅샷은 지원 모델과 DSM 버전에서만 사용할 수 있으므로 메뉴가 없다고 임의의 우회 설정을 하지 않습니다.
2026년 10월 확인한 Synology 안내는 불변 스냅샷에 DSM 7.2 이상과 지원 모델 등의 조건을 제시합니다. 보존 기간 중 삭제할 수 없는 데이터는 용량 계획에도 영향을 줍니다. 불변 스냅샷 설명과 지원 모델 목록을 확인한 뒤 작은 범위에서 정책을 검증하세요.
Hyper Backup은 마지막 성공 시간, 대상 연결, 보존 버전 수, 암호화 키 보관 위치를 확인합니다. 작업 설정의 무결성 검사를 예약하되 검사와 백업이 겹쳐 작업을 밀어내지 않도록 실행 시간을 봅니다. 무결성 검사 통과는 실제 사용자 파일과 권한이 원하는 상태로 복원되는 시험을 대신하지 못합니다. Hyper Backup 무결성 검사 안내를 참고하세요.
4. 복원 시험은 원본을 덮어쓰지 않는 경로에서 한다
- 중요 폴더에서 작은 문서, 큰 파일, 파일명이 긴 자료, 권한이 다른 폴더를 표본으로 고릅니다.
- 백업 시점과 백업 당시의 체크섬·파일 수를 기록합니다. 지금 원본이 변경됐다면 과거 백업과 체크섬이 달라도 정상일 수 있습니다.
- 격리된 복원 폴더나 별도 장치에 복원합니다. 원본 덮어쓰기를 기본값으로 두지 않습니다.
- 파일이 열리는지, 폴더 구조와 접근 권한이 맞는지, 업무 앱에서 읽을 수 있는지 확인합니다.
- 시작부터 사용 가능할 때까지 시간을 재고, 암호화 키·계정·담당자 부재로 막힌 단계를 기록합니다.
데이터베이스나 VM은 파일 몇 개가 열린다는 것으로 검증이 끝나지 않습니다. 애플리케이션이 지원하는 일관된 백업을 만들고 별도 환경에서 기동·읽기 검사까지 해야 합니다. Synology의 복원 안내도 복원 대상과 방법을 구분해 설명합니다.
‘백업 성공’ 알림에 추가할 세 가지 숫자
마지막 성공한 정상 백업의 나이, 최근 복원 시험 날짜, 실제 복원 소요 시간을 기록하세요. 예를 들어 “마지막 성공 3일 전, 목표 RPO 1일”이면 백업 작업이 등록되어 있어도 목표를 만족하지 못합니다. 새 폴더를 만들었는데 백업 대상에서 빠지거나, 보존 정책 변경으로 감염 전 버전이 사라지는 경우도 정기적으로 확인합니다.
복원 시험에서 발견한 문제는 다음 시험까지 미루지 말고 키 보관, 권한, 용량, 네트워크 순서로 해결합니다. 랜섬웨어 대비 백업의 품질은 사본 수가 아니라 정상 데이터로 돌아오는 절차를 실제로 수행할 수 있는지에서 드러납니다.