에어갭 백업이란?
랜섬웨어 운영자들은 이제 생산 데이터 암호화 전에 백업 인프라를 우선적으로 공격합니다. CISA의 사이버 사고 비용 연구에 따르면, 사고당 평균 비용은 590만 달러에 달하며, 이는 공격자가 접근할 수 없는 경우에만 마지막 방어선이 유효하다는 것을 의미합니다.
에어갭 백업은 중요한 데이터의 복사본을 생산 네트워크와 물리적 또는 논리적으로 분리하여 격리한 것입니다. 이 방식은 네트워크 기반 공격이 도달할 수 없는 통제된 접근 환경을 구축함으로써 보호 장벽을 형성합니다. 물리적으로 분리된 테이프 미디어, 엄격한 접근 제어가 적용된 네트워크 분리 스토리지, 논리적으로 격리된 클라우드 볼트 등 다양한 방식으로, 에어갭 백업은 공격자가 환경 내에서 횡적 이동을 하더라도 최소한 하나의 복구 복사본이 더 안전하게 유지되도록 돕습니다.
NIST SP 800-209는 백업 작업에 오프라인 스토리지 장치가 포함될 수 있음을 명시하고 있으며, CISA 랜섬웨어 가이드는 랜섬웨어가 접근 가능한 백업 데이터를 삭제하거나 암호화하려 시도하기 때문에 오프라인 백업을 유지할 것을 조직에 권고합니다.
사이버보안 통제로서의 에어갭 백업
에어갭 백업은 데이터 보호와 랜섬웨어 복원력의 교차점에 위치합니다. 최신 랜섬웨어는 백업 서버를 탐지하고, 섀도우 복사본을 삭제하며, 백업 저장소를 암호화한 후 생산 데이터 암호화를 실행합니다. CISA 랜섬웨어 대응 가이드는 조직에 "중요 데이터의 오프라인, 암호화된 백업을 유지"할 것을 권고하며, 최신 랜섬웨어 변종이 "접근 가능한 백업을 찾아 삭제 또는 암호화하려 시도"하기 때문입니다.
엔드포인트 보호가 Behavioral AI를 통해 랜섬웨어 시도를 탐지 및 차단하면 위협은 그 지점에서 종료됩니다. 그러나 방어가 우회되거나 무력화될 경우, 에어갭 백업은 네트워크 기반 공격의 직접적인 영향 범위 밖에서 복구 경로를 제공합니다. 이러한 보호가 실제로 어떻게 작동하는지 이해하려면 아키텍처를 핵심 구성 요소로 분해해야 합니다.
에어갭 백업의 핵심 구성 요소
에어갭 백업 아키텍처는 유형에 관계없이 동일한 6개 계층으로 구성됩니다. 각 계층이 유지되어야만 격리의 의미가 있습니다.
- 격리된 스토리지 계층. 백업 복사본이 저장되는 물리적 또는 논리적 환경으로, 테이프 라이브러리, 이동식 디스크 어레이, 네트워크 분리 시스템, 별도 인증이 적용된 격리된 클라우드 보안 도메인이 포함됩니다.
- 전송 메커니즘. 데이터는 수동 또는 로봇 미디어 운반, 역방향 오염을 방지하는 일방향 데이터 흐름의 예약 복제 등 통제된 경로를 통해 생산 환경에서 격리된 스토리지 계층으로 이동합니다.
- 불변성 계층. 데이터가 에어갭 환경에 도달하면, 하드웨어 기반 일회성 기록 테이프, 소프트웨어 보존 잠금, 오브젝트 스토리지 컴플라이언스 모드 등을 통해 수정 또는 삭제에 저항해야 합니다.
- 접근 제어. 물리적 구현은 키 또는 조합 접근과 출입 기록에 의존합니다. 논리적 구현은 역할 기반 접근 제어, 다중 인증, 최소 권한 원칙, 감사 로그가 필요합니다. CISA 데이터 보호 가이드는 관리 접근에 MFA를 요구하며, 보호 시스템 전반에 최소 권한 원칙의 역할 기반 접근을 요구합니다.
- 암호화. 백업 데이터는 저장 및 전송 시 암호화되어야 합니다. CISA 암호화 표준 가이드는 저장 및 전송 데이터에 대해 FIPS 140-2 또는 강화된 암호화 메커니즘을 명시합니다. 암호화 키 관리 시스템은 백업 데이터와 분리되어야 하며, 단일 침해로 둘 다 노출되는 것을 방지해야 합니다.
- 검증 인프라. 정기 무결성 검사, 체크섬, 백업 검증 루틴, 복구 테스트를 통해 백업 무결성을 확인할 수 있어야 합니다.
어느 한 계층이라도 약해지면 전체 아키텍처가 무너질 수 있습니다. 다음 단계는 이러한 계층이 백업, 격리, 저장, 복구 전반에서 어떻게 작동하는지 이해하는 것입니다.
에어갭 백업의 작동 방식
에어갭 백업은 캡처, 격리, 안전한 저장, 통제된 복구의 4단계 주기를 따릅니다. 각 단계에는 공격자가 환경에 도달했을 때 아키텍처의 견고함을 결정하는 특정 요구사항이 있습니다.
- 1단계: 백업 및 캡처. 생산 데이터가 표준 백업 프로세스를 통해 백업 대상으로 복사됩니다. 데이터가 에어갭 환경에 들어가기 전에 악성코드 스캔을 통해 무결성을 검증합니다. 사전 격리 스캔은 필수적이며, 감염된 데이터를 불변의 에어갭 환경에 백업하면 복구 시 재감염을 유발할 수 있는 오염된 복사본이 생성됩니다.
- 2단계: 격리. 물리적 에어갭의 경우, 이는 테이프 카트리지를 제거하거나 이동식 디스크 어레이를 모든 시스템 및 네트워크에서 분리하는 것을 의미합니다. 논리적 에어갭의 경우, 백업 주기 사이에 네트워크 연결이 비활성화되며, 예약된 복제 창마다 전송별 명시적 인증이 필요합니다. 클라우드 기반 볼트는 별도의 보안 도메인, API 전용 접근, 독립 인증을 통해 격리를 구현합니다.
- 3단계: 안전한 저장. 격리된 복사본은 보호 상태로 유지되며, 물리적 미디어는 안전한 외부 금고에 보관되고, 논리적 복사본은 네트워크 분리, 접근 제어, 불변성 잠금 뒤에 유지됩니다. 이 백업 격리가 공격자가 연결된 시스템을 통해 이동할 때 최소한 하나의 복구 경로를 덜 노출되게 만듭니다.
- 4단계: 복구. 데이터가 필요할 때, 프로세스가 역방향으로 진행됩니다. 물리적 미디어는 안전한 저장소에서 회수되어 수동으로 연결됩니다. 논리적 복사본은 인증된 통제 경로를 통해 접근합니다. 복구 전 검증을 위해 격리된 스테이징 환경에 복원한 후 생산 환경에 재연결합니다.
워크플로우를 이해하면, 어떤 구현 모델이 환경에 가장 적합한지 평가할 수 있습니다.
에어갭 백업 아키텍처 유형
세 가지 주요 아키텍처 선택지가 있으며, 각각 고유한 장단점이 있습니다.
- 물리적 에어갭은 완전한 네트워크 분리와 함께 이동식 스토리지 미디어를 사용합니다. 테이프 카트리지를 복사한 후 물리적으로 제거하여 외부에 보관합니다. 이 방식은 기가바이트당 저장 비용이 낮고, 랜섬웨어 격리 효과가 가장 강력합니다. 단점은 데이터 접근 속도가 느리고, 빠르고 빈번한 복원이 필요한 조직에는 적합하지 않습니다.
- 논리적 에어갭은 네트워크 분리, 프로토콜 제한, 접근 제어를 통해 미디어를 물리적으로 제거하지 않고 격리를 구현합니다. 별도 VLAN과 방화벽 제어, CIFS, NFS, SMB 등 일반적으로 공격받는 프로토콜 제거, 일방향 데이터 흐름이 포함됩니다. 논리적 에어갭은 물리적 분리가 비현실적인 엔터프라이즈 환경에 적합합니다. 이 모델은 강력한 신원, 분리, 정책 집행에 의존합니다.
- 클라우드 기반 에어갭 볼트는 클라우드 인프라 내에서 논리적으로 격리된 보안 도메인을 만듭니다. 별도 인증, S3 Object Lock과 같은 오브젝트 수준 불변성, API 전용 접근, MFA를 사용합니다. 클라우드 저장소만으로는 에어갭이 아니며, 추가 격리 제어가 필요합니다. 환경이 클라우드 인프라와 클라우드 애플리케이션 백업을 모두 포함한다면, 클라우드 보안 제어가 논리적 분리의 강도를 결정합니다.
아키텍처 선택이 복구 제약 조건을 결정합니다. 아래 예시는 실제 환경에서 각 방식이 어떻게 구현되는지 보여줍니다.
실제 환경의 에어갭 백업 예시
아키텍처를 추상적으로 이해하는 것과 실제로 보는 것은 다릅니다. 다음은 다양한 환경에서 에어갭 백업이 어떻게 구현되는지 보여주는 세 가지 시나리오입니다.
테이프 기반 물리적 에어갭
산업 제어 시스템을 운영하는 한 제조업체는 중요 OT 구성 및 생산 이력 데이터를 매일 밤 LTO 테이프에 백업합니다. 각 작업이 완료되면, 기술자가 카트리지를 제거하여 인계 등록부에 기록하고, 생산 현장 외부의 잠금식 내화 금고에 보관합니다. 테이프는 어느 시점에도 네트워크에 연결되지 않습니다. 복구가 필요할 때, 테이프를 회수하여 격리된 워크스테이션에 연결하고 무결성 검사를 거쳐 복원에 사용합니다. CISA ICS 보안 가이드는 OT 환경의 기본 통제로 오프라인 미디어 저장을 권장합니다.
네트워크 분리 논리적 에어갭
한 엔터프라이즈는 전용 백업 VLAN에 위치한 강화된 서버에서 백업 소프트웨어를 실행하며, 모든 생산 세그먼트와 방화벽 정책으로 분리되어 있습니다. 해당 세그먼트에서는 SMB, NFS, CIFS가 비활성화되어 있습니다. 예약된 복제 창 동안, 일방향 데이터 흐름으로 백업 데이터가 복사되며, 각 작업은 별도의 네트워크 권한이 없는 서비스 계정의 MFA 보호 인증이 필요합니다. 도메인에 가입된 생산 엔드포인트는 백업 서버에 직접 접근할 수 없어, 랜섬웨어가 lateral movement로 백업 인프라를 찾고 파괴하는 경로를 차단합니다.
클라우드 볼트 논리적 에어갭
클라우드 네이티브 기업은 AWS S3 버킷에 Object Lock을 컴플라이언스 모드로 활성화하여, 생산 계정과 분리된 별도 AWS 계정 내에 백업을 저장합니다. 생산 환경의 어떤 IAM 역할도 백업 버킷에 쓰기 또는 삭제 권한을 갖지 않습니다. 백업 작업은 백업 계정에만 존재하는 전용 자격 증명 세트로 인증된 일방향 API 호출을 통해 실행됩니다. 생산 계정이 완전히 침해되더라도, 보존 기간 동안 공격자가 볼트 내용을 삭제하거나 덮어쓸 수 없습니다. 이 모델은 CISA 랜섬웨어 가이드의 별도 자격 증명 및 접근 제어 뒤에 백업을 유지하라는 권고와 일치합니다.
각 구현은 현대 3-2-1-1-0 백업 규칙의 오프라인 복사본 요구사항을 충족합니다: 하나의 복사본은 오프라인, 불변 또는 에어갭 상태이며, 오류 0건은 체크섬이 아닌 복원 테스트로 확인합니다. 이 프레임워크는 에어갭 백업이 제공하는 핵심 이점을 직접적으로 보여줍니다.
에어갭 백업의 주요 이점
정확하게 구현될 경우, 에어갭 백업은 항상 연결된 백업 아키텍처가 제공할 수 없는 네 가지 보안 및 운영상의 이점을 제공합니다.
- 랜섬웨어 격리. 이것이 가장 중요한 가치입니다. 에어갭 백업은 백업 파괴를 가능하게 하는 네트워크 접근 경로를 제거합니다. 물리적 또는 논리적 격리는 랜섬웨어가 생산 시스템에서 실행되어도 백업 복사본에 쉽게 접근하지 못하게 합니다.
- 복구 신뢰성. 에어갭 백업은 공격에 덜 노출된 복구 지점을 보존할 수 있습니다. 백업이 손상된 조직은 어떤 백업 세대가 신뢰할 수 있는지 포렌식 분석을 해야 하며, 이 과정은 복구를 상당히 지연시킬 수 있습니다. 에어갭 아키텍처는 최소한 하나의 복구 경로에 대한 직접적인 공격자 접근을 제한함으로써 이러한 부담을 줄여줍니다.
- 규제 준수. 에어갭 백업 전략은 NIST SP 800-209와 일치하며, 연방 보안 및 의료 환경의 비상 계획 기대치를 지원하고, 주요 통제 프레임워크 전반의 백업, 가용성, 접근 제어 목표를 지원합니다. 규제 산업에서는 에어갭 아키텍처가 합리적인 사이버보안 통제의 방어 가능한 증거가 될 수 있습니다.
- 내부자 위협 감소. 에어갭 아키텍처는 설계상 접근 표면을 축소합니다. 권한이 있는 사용자조차 표준 네트워크 경로를 통해 백업 저장소에 접근할 수 없으며, 격리된 복사본과의 모든 상호작용에는 물리적 접근 또는 이중 승인 워크플로우가 필요합니다. 이는 단일 침해가 비즈니스 중단으로 이어지는 것을 방지하는 복구 측 통제입니다.
이러한 이점은 실제이지만, 동시에 중요한 질문을 제기합니다: 어떤 조직이 실제로 에어갭 백업이 필요한가, 그리고 어느 수준까지 필요한가?
에어갭 백업이 필요한 조직
문제는 조직 규모가 아니라, 검증된 공격자 저항 복구 복사본 없이 생산 데이터 접근을 상실해도 되는지 여부입니다. 아래 표는 조직 유형별로 가장 실용적인 에어갭 접근 방식과 주요 동인을 매핑합니다.
| 조직 유형 | 권장 접근 방식 | 주요 동인 |
| 중요 인프라(에너지, 유틸리티, OT) | 물리적 테이프 에어갭 | 국가 기반 위협 노출, 규제 의무 |
| 의료 네트워크 | 논리적 에어갭 또는 클라우드 볼트 | HIPAA 비상 계획, 환자 데이터 복구 |
| 금융 서비스 | 불변성 적용 논리적 에어갭 | FFIEC, PCI DSS 준수, 엄격한 RTO 요구 |
| 중견 엔터프라이즈 | Object Lock 적용 클라우드 볼트 | 비용 효율성, 제한된 온사이트 저장 용량 |
| 클라우드 네이티브 및 SaaS 기업 | 별도 계정의 클라우드 볼트 | 온프레미스 인프라 없음, 생산 접근 위험 |
| 정부 기관 | 물리적 테이프(FIPS 준수 암호화) | FISMA, NIST SP 800-53 비상 계획 |
소규모 조직은 에어갭 백업이 운영상 불가능하다고 생각하는 경우가 많습니다. 실제로 별도 계정의 Object Lock 적용 클라우드 볼트는 온프레미스 하드웨어 없이 몇 시간 만에 구성할 수 있습니다. 10인 의료기관도 대기업과 마찬가지로 복구 레버리지가 필요하며, 랜섬웨어 수학은 인원수와 무관합니다.
어떤 접근 방식이 환경에 적합한지 아는 것이 중요하지만, 에어갭 백업에는 실제 트레이드오프도 존재합니다. 이를 배포 전에 이해하면, 압박 속에서 아키텍처 결정을 되돌리는 일을 방지할 수 있습니다.
에어갭 백업의 과제와 한계
에어갭 백업은 즉시 사용할 수 있는 솔루션이 아닙니다. 네 가지 과제가 팀이 아키텍처를 잘못 구성하거나 실제 제공 보호 수준을 과대평가하게 만드는 주요 원인입니다.
- 정의적 모호성이 잘못된 보안감을 유발. 대부분의 "에어갭" 백업 배포는 실제로 진정한 에어갭이 아닙니다. 진정한 에어갭은 시스템이 물리적으로 연결되어 있지 않고, 논리적 연결도 자율적이 아니라 수동으로 통제되어야 합니다. 자신이 어떤 유형을 배포했는지 정확히 알아야 합니다.
- 자동화와 진정한 격리의 역설. 엔터프라이즈 환경은 근본적인 긴장에 직면합니다: 진정한 에어갭은 수동 개입이 필요하지만, 대규모 수동 프로세스는 과도한 비용을 초래합니다. 예약된 rsync 작업, API 호출, 백업 에이전트 등 모든 자율 경로는 공격 기회를 만듭니다. 이 긴장은 완전히 해소될 수 없으며, 신중한 아키텍처 결정으로 관리해야 합니다.
- 운영 복잡성과 복구 시간 증가. 에어갭 구현은 운영 마찰을 유발하여 복구 목표에 직접 영향을 미칩니다. 백업 및 복구 프로세스의 복잡성 증가는 항상 연결된 솔루션에 비해 복구 시간을 늘릴 수 있으며, 이는 아키텍처가 설계된 바로 그 사고에서 보안 강화가 복구를 지연시키는 역설을 만듭니다.
- 불변성은 에어갭이 아님. 조직은 이 두 가지 통제를 자주 혼동합니다. 랜섬웨어나 악성코드가 포함된 불변 백업은 복구 시 무용지물이며, 재감염을 유발할 수 있습니다. 스캔되지 않은 에어갭 백업은 손상된 데이터를 포함할 수 있습니다. 두 통제 모두 필요하며, 각각이 해결하는 바를 명확히 이해해야 합니다. 일상 운영에서 이 구분이 흐려질 때 가장 흔한 구현 오류가 발생합니다.
이 때문에 반복적으로 건전한 설계를 약화시키는 실수를 검토하는 것이 도움이 됩니다.
일반적인 에어갭 백업 실수
잘 설계된 에어갭 아키텍처도 동일한 운영 오류가 수정되지 않으면 실제로 실패합니다. 다음 여섯 가지 실수가 격리된 것처럼 보이지만 실제로는 접근 가능한 백업 환경의 대부분을 차지합니다.
- 논리적 격리를 "에어갭"이라 부르면서 수용된 위험을 문서화하지 않음. 네트워크 분리 백업 시스템에 예약 전송을 구현하면 논리적 격리이지, 진정한 에어갭이 아닙니다. 수용된 위험을 문서화하고, MFA, RBAC, 일반적인 공격자 체류 시간보다 긴 보존 기간의 불변 스토리지, 이상 징후 모니터링 등 추가 계층으로 보완해야 합니다.
- 백업 인프라를 생산 네트워크에 남겨둠. 백업 시스템이 생산 시스템과 동일 네트워크 세그먼트에서 접근 가능하도록 두는 것은 중대한 아키텍처 오류입니다. 백업 인프라는 전용 세그먼트로 분리해야 하며, 관리 인터페이스는 일반 사내 네트워크에서 접근할 수 없어야 합니다.
- 백업 소프트웨어의 기본 자격 증명 무시. 일부 백업 소프트웨어는 여전히 기본 사용자 로그인과 비밀번호로 출하됩니다. MFA 미적용과 결합되면 공격자에게 직접 진입점을 제공합니다. 기본값을 제거하고, 모든 백업 접근에 MFA를 적용하며, 백업 데이터 삭제 등 파괴적 작업에는 이중 승인 워크플로우를 구현해야 합니다.
- 복원 테스트를 전혀 하지 않음. 가장 흔한 격차입니다. CISA 랜섬웨어 대응 가이드는 백업 절차의 정기적 테스트를 강조합니다. 파일 무결성만 확인하지 말고, 에어갭 미디어에서 전체 시스템 복원을 테스트해야 합니다. 격리 환경에서 정기적으로 전체 복원 테스트를 예약하고, 실제 복구 시간을 RTO 요구사항과 비교해야 합니다.
- 사전 격리 악성코드 스캔 생략. 감염된 데이터를 불변의 에어갭 환경에 백업하면 수정할 수 없는 오염된 복사본이 생성됩니다. NIST SP 800-209는 사이버 이벤트 복구에 사용되는 백업 복사본의 악성코드 스캔 결과 기록을 요구합니다. 전용 사전 백업 악성코드 스캔으로 데이터 무결성을 검증해야 합니다.
- 에어갭을 단일 계층 방어로 간주. 에어갭 백업만을 유일한 백업 전략으로 삼으면 단일 실패 지점이 됩니다. 3-2-1-1-0 규칙을 따라, 어느 한 계층의 침해로 모든 복구 능력이 사라지지 않도록 해야 합니다.
이러한 실수를 피하면, 설계를 지속 가능하게 만드는 운영 관행으로 나아갈 수 있습니다.
에어갭 백업 모범 사례
적절한 아키텍처 유형을 선택하는 것이 출발점이지만, 운영적 규율이 백업 격리의 효과를 장기적으로 유지합니다. 다음 여덟 가지 실천은 에어갭 백업 설계가 초기 배포 후 가장 자주 약화되는 영역을 보완합니다.
- 아키텍처 설계 전 데이터 분류. 모든 데이터가 동일한 에어갭 접근을 필요로 하지는 않습니다. 규제 의무, 비즈니스 중요도, RPO, 보존 일정별로 백업 요구사항을 정리합니다.
- RPO/RTO 정의 및 이에 대한 테스트. RPO가 1시간이면, 백업은 1시간마다 또는 그보다 자주 실행되어야 합니다. RTO가 4시간이면, 에어갭 복원 프로세스가 물리적 미디어 회수 포함 4시간 내에 완료되어야 합니다. 이 수치를 문서화하고, 정기 연습을 통해 검증합니다.
- 모든 백업 저장소에 불변성 적용. 보존 기간 동안 수정할 수 없는 일회성 기록 또는 잠금 구성을 활성화합니다. 이는 공격자가 격리 환경에 접근하더라도 수정을 방지하여 에어갭과 상호 보완적입니다. 불변 백업과 에어갭 백업을 함께 사용하면 랜섬웨어 복구 옵션이 강화됩니다.
- 모든 백업 작업에 MFA 및 이중 승인 적용. 백업 인프라로의 모든 접근 경로에 MFA가 필요하며, 관리 접근도 포함됩니다. 삭제, 보존 정책 변경, 불변성 해제 등 파괴적 작업에는 별도 관리자의 이중 승인이 필요합니다. 백업 격리가 권한 워크플로우 통제에 의존할 때 신원 보안 통제가 특히 중요합니다.
- 저장 전후 최신 도구로 백업 스캔. 최신 악성코드 도구로 과거 백업 복사본을 주기적으로 재스캔합니다. 이는 백업 시점에 식별되지 않은 악성코드가 포함된 오염 복사본을 식별합니다. 엔드포인트 보호 플랫폼의 Behavioral AI가 검증 계층을 제공합니다.
- 백업 타깃 행위 모니터링. CISA는
vssadmin.exe, bcdedit.exe, wbadmin.exe, fsutil.exe의deletejournal,wmic.exe의shadowcopy 또는 shadowstorage명령의 이상 사용 모니터링을 CISA 랜섬웨어 모니터링 가이드에서 권장합니다. XDR 플랫폼은 이를 고우선 신호로 플래그해야 합니다. - 정기 복원 테스트, 연 1회 재해 시뮬레이션. 격리 환경에서 정기적으로 전체 복원 테스트를 실행합니다. 파일 수준 확인이 아닌 실제 데이터 손실 이벤트를 모방한 연 1회 재해 시뮬레이션을 실시합니다. NIST IR 8576은 백업 절차 복원에 대한 연간 테스트를 명시합니다.
- 생산이 아닌 격리 스테이징에 복원. 에어갭 복구 복사본은 전용 격리 환경에 복원하여 시스템이 정상임을 검증한 후 생산에 복귀해야 합니다. 스테이징 환경에서 행위 이상 도구를 실행하여 재감염이 없는지 확인합니다.
이러한 실천은 실제 사고에서 백업 설계를 더 탄력적으로 만듭니다. 또한 복구 경로가 접근 가능하거나 검증되지 않은 경우 실제로 어떤 일이 발생하는지 보여주는 사고 예시를 제공합니다.
실제 랜섬웨어 사고와 백업 교훈
실제 사고는 백업 위험을 구체적으로 보여줍니다.
- Norsk Hydro, 2019, LockerGoga 랜섬웨어. 2019년 3월 LockerGoga가 침투했을 때, Norsk Hydro는 회사 위기 선언 후 40개국에서 수동 운영으로 전환했으며, 수천 대 서버와 PC의 파일이 암호화되었습니다. 회사는 이후 2019년 상반기 5억5천만~6억5천만 NOK 손실을 보고했습니다. 이 사고는 생산이 저하된 상태로 계속되더라도 운영 중단이 전체 조직에 어떻게 확산될 수 있는지, 그리고 백업 복원력이 Norsk Hydro가 몸값을 지불하지 않고 시스템을 복구할 수 있게 했음을 보여주었습니다.
- Colonial Pipeline, 2021, DarkSide 랜섬웨어. 공격 후 회사는 파이프라인 운영을 중단했으며, DOJ는 이후 230만 달러의 랜섬을 회수했습니다. CISA의 DarkSide 권고는 비즈니스 시스템 공격이 중요 인프라 전반에 주요 운영 중단을 초래한 과정을 문서화했습니다.
- MGM Resorts, 2023, 사회공학 및 랜섬웨어 연계 장애. 공격자가 사회공학으로 MGM의 신원 인프라를 침해한 후, 회사는 호텔 및 카지노 운영을 중단하여 침해를 차단했습니다. MGM은 이후 2023년 9월 1억 달러 EBITDAR 영향을 보고했습니다. 이 사건은 신원 침해가 광범위한 장애로 이어질 수 있음을 보여주었으며, 백업 격리만으로는 신원 통제 없이는 충분하지 않음을 시사합니다.
이러한 사고는 마지막 질문으로 이어집니다: 복구 복원력을 공격자가 백업 경로를 오염, 삭제, 접근하기 전에 차단하는 통제와 어떻게 결합할 것인가?
핵심 요약
에어갭 백업은 최소한 하나의 복구 복사본을 일상적인 네트워크 기반 공격의 범위 밖에 두는 아키텍처적 방법을 제공합니다. 격리는 방어 가능한 랜섬웨어 복구 계획의 필수 요소입니다.
3-2-1-1-0 규칙에 따라 에어갭 백업을 구현하고, 정기적으로 복원 테스트를 수행하며, 저장 전후로 스캔하고, 백업 격리를 Behavioral AI 예방과 결합하여 위협이 백업 인프라에 도달하기 전에 차단하십시오. 오프라인 백업과 불변 백업을 광범위한 사이버 복원력 계획의 일부로 활용하더라도, 신뢰할 수 있는 랜섬웨어 복구를 위해서는 정기적인 검증이 필요합니다.
자주 묻는 질문
에어갭 백업은 중요한 데이터의 복사본을 생산 네트워크와 물리적으로 또는 논리적으로 분리하여 보관하는 방식입니다. 물리적 에어갭은 테이프와 같은 오프라인 매체를 사용하여 데이터를 제거하고 외부에 보관합니다. 논리적 에어갭은 네트워크 분리, 엄격한 접근 제어, 불변성을 통해 공격자의 접근 범위를 줄입니다.
두 방식 모두 네트워크 기반 공격, 특히 백업 인프라를 먼저 노린 후 생산 환경 암호화를 시도하는 랜섬웨어로부터 최소한 하나의 복구 복사본을 보호하는 것을 목표로 합니다.
NIST SP 800-209는 중요 데이터에 대한 정기적인 무결성 검사를 권장하며, NIST IR 8576은 백업 복구 절차에 대한 연간 테스트를 명시하고 있습니다.
실제로는 중요 백업의 무결성을 정기적으로 검증하고, 최소 연 1회 이상 격리된 스테이징 환경에서 전체 복구 연습을 수행하며, 각 연습 시 문서화된 RTO 및 RPO 목표에 대한 실제 복구 시간을 측정해야 합니다. 가장 중요한 시스템의 경우 더 빈번한 테스트가 필요할 수 있습니다.
클라우드 백업은 별도의 보안 도메인, 독립된 인증, 오브젝트 수준의 불변성, MFA가 적용된 API 전용 접근을 통해 논리적으로 에어갭이 구현된 경우 에어갭 백업으로 간주될 수 있습니다. 표준 클라우드 스토리지만으로는 에어갭이 형성되지 않습니다.
분리를 의도적으로 구성하고, 제어 경계를 명확히 문서화하며, 운영 중에 프로덕션 자격 증명으로 보호된 백업 세트에 직접 접근, 변경 또는 삭제가 불가능함을 검증해야 합니다.
가장 큰 위험은 실제로는 자율 워크플로우를 통한 논리적 격리가 적용되어 있음에도 불구하고 진정한 에어갭이 있다고 가정하는 것입니다. 예약된 복제 작업, API 호출 또는 백업 에이전트 연결은 정교한 공격자가 악용할 수 있는 접근 경로를 만듭니다.
아키텍처를 솔직하게 점검하고, 올바르게 분류하며, 불변성, MFA, 세분화, 승인 워크플로우, 반복적인 복구 테스트와 같은 보완 통제를 추가하여 복구 설계가 실제 노출 수준과 일치하도록 해야 합니다.
에어갭 백업은 백업 인프라 계층에서 명시적인 검증을 적용함으로써 제로 트러스트 원칙과 일치합니다. 모든 접근 요청은 인증이 필요하며, 권한 부여는 최소 권한 RBAC에 따라 이루어지고, 모든 활동은 기록 및 감사가 가능합니다.
에어갭은 백업 주기 사이의 일반적인 네트워크 접근을 차단함으로써 더 강력한 제한을 추가합니다. 파괴적 작업에 대한 이중 승인 워크플로우는 또 다른 통제를 제공하여, 단일 계정이 손상되더라도 복구 능력이 파괴되거나 사이버 복원력이 약화되는 것을 방지합니다.
