일반적인 랜섬웨어 유형 분석, 파일 암호화 넘어 데이터 자체 파괴 유형도 등장
기업 보안, 다중 인증 도입과 충분한 백업 필요
Synology 일체형 데이터 관리 솔루션, 기업 보안 위한 두 가지 요건 모두 충족

[보안뉴스 엄호식 기자] 기업이 운영 데이터를 보호하는 것은 매우 중요하지만, 효과적인 보안관리 체계를 구축하려면 현재 직면한 위협을 올바르게 인식해야 정확한 대응 메커니즘을 선택할 수 있다. 시놀로지(Synology) 보안 사건 대응 팀은 최근 몇 년 동안 데이터 및 저장 서버를 대상으로 한 공격을 분석해 기업이 반드시 예방해야 할 다양한 보안 위협의 유형을 정리했다.


▲시놀로지의 다양한 보안 위협 유형 분석 결과[이미지=시놀로지]

Synology는 이러한 공격 중 90%가 랜섬웨어이며, 파일을 암호화해 몸값을 요구하지만, 데이터 자체를 파괴하는 유형도 점차 등장하고 있다고 밝혔다. 침입 방식 중 거의 절반이 인증 정보 도용을 통해 이루어지며, 그 다음은 무차별 공격, 마지막으로 내부 침입이다. 그렇다면 이러한 공격이 기업에 어떻게 침입하며 Synology DSM 시스템의 보안 조치가 어떻게 기업을 보호할까?

7even Security : 트로이 목마를 이용한 인증 정보 도용, 다중 인증으로 침입 감소
7even Security는 주로 트로이 목마를 이용해 사용자가 웹에서 NAS에 로그인할 때 관련 정보를 공격자에게 보고한다. 공격자는 이 정보를 이용해 기업 서버에 로그인하고 데이터를 암호화한다. 트로이 목마 프로그램은 사용자가 인터넷에서 쉽게 다운로드할 수 있는 비디오 플레이어나 모바일 에뮬레이터 등의 프로그램으로 위장해 사용자가 이상을 발견하기 어렵게 만든다.

기업이 7even Security를 방어하는 가장 좋은 방법은 방화벽과 다중 인증을 채택하는 것이다. Synology는 대부분의 공격이 해외에서 발생하기 때문에 기업이 DSM 방화벽을 활성화해 지리적 위치에 따라 이상한 국가에서의 외부 로그인 시도를 차단할 것을 권장한다.

Synology 다중 인증은 하드웨어 암호 키, OTP 인증, 로그인 승인 등의 다양한 메커니즘을 통합해 공격자가 비밀번호만으로 침입에 성공할 수 없도록 효과적으로 방지할 수 있다. DSM 7.2는 적응형 다중 인증(Adaptive MFA)이 추가돼 시스템이 잠재적인 보안 위험이 있는 로그인 상황을 감지하고 자동으로 확인 요청을 발송한다. 예를 들어, 관리자 계정이 비밀번호만으로 로그인하려고 하는 외부 연결 시도를 Secure SignIn 또는 이메일 인증을 통해 이중으로 확인한다. 이는 시스템 데이터 보안에 추가적인 잠금 장치를 더하는 것과 비슷하다.

StealthWorker가 대량 NAS 로그인 이용, QuickConnect로 전역 연동 방어
조직 내 스토리지 서버에 대량의 비정상적인 로그인 발생 시 침입의 원인이 같은 NAS인 경우에는 StealthWorker의 공격일 수 있다. Synology는 이 공격이 봇넷의 일종이며 로그인 인터페이스를 대상으로 무차별 암호 대입 공격을 시도한다고 설명한다. StealthWorker는 시스템의 자동 차단 기능을 우회해 설정된 시간 내에 로그인 실패 횟수를 조절하며 공격을 시도한다.

이러한 유형의 공격 목표는 비밀번호를 추측하는 것이기 때문에 강력한 비밀번호를 사용하거나 다중 인증을 활성화하면 공격 성공 확률을 낮출 수 있다. DSM 7.2는 QuickConnect 전역 연동 방어 메커니즘을 도입해 특정 NAS에서 의심스러운 IP가 탐지되면 QuickConnect 서버에 보고돼 기업 전체에서 해당 IP를 차단하고 다른 NAS로의 공격을 방지할 수 있다.

Samba를 외부에 노출시키면 Checkmate의 표적이 된다
기업은 내부 파일 공유를 위해 Samba 서버를 구축하지만, 내부용 Samba가 외부에 노출되면 Checkmate의 표적이 돼 무차별 공격을 받을 수 있다. 이에 지리적 위치 기반 방화벽을 설정하고 Samba를 내부 네트워크에 두는 것이 가장 견고한 방어 전략이다. 또한 Samba 서버가 외부 네트워크에 노출된 경우, 그 사실을 기업이 인식할 수 있도록 DSM 7.2에는 자동 차단 기능이 추가됐다. 이 기능은 이상 IP 위치에서의 Samba 로그인 시도를 차단할 수 있다.

Synology는 Samba가 상대적으로 오래된 네트워크 프로토콜임을 상기시키며, 더 안전한 파일 시스템을 기대하는 기업에게 Synology Drive와 같은 웹 기반 파일 협업 플랫폼을 추천한다. Synology Drive는 보안 수준이 높은 HTTPS 프로토콜을 제공하고 Synology Secure SignIn 패스워드 없는 인증 도구와 다중 인증에 대한 요구 사항을 충족시킨다. 또한, 버전 관리와 세밀한 파일 공유 권한 관리 기능을 제공하며, Synology NAS 시스템의 내장 백업 기능과 함께 데이터 보호를 실현할 수 있어 데이터 보안을 중시하는 조직에 적합하다.

어려운 내부 공격 예방, 최선의 해결책은 백업
기업은 외부의 악의적인 공격뿐만 아니라 내부 사용자가 합법적인 보안 취약점이 될 수 있음을 인식해야 한다. 다양한 권한을 가진 관리자 계정이 악의적인 의도를 가지게 되면 △서버의 마운트 디렉토리를 암호화하거나 △기업 관리 시스템을 침입하거나 △중요한 데이터를 파괴할 수 있다.

안타깝지만 기본적으로 모든 보안 조치는 합법적인 사용자의 악의적인 행동을 방지하기 어렵다. 이에 Synology는 이러한 위험에 대응하기 위해 기업이 지속해서 완전한 백업 습관을 기르는 것이 첫 번째 단계라고 강조한다. 백업이 있어야 데이터 복구가 가능하며, 데이터가 암호화됐을 때 빠르게 복구해 운영을 재개할 수 있다. 3-2-1 백업 프래임워크를 구축하면 다중 위치에 백업 버전을 보유해 데이터 보안을 더욱 완전하게 보호할 수 있다.

마지막으로 Synology는 두 가지 주요 사항을 강조한다. 첫째, 기업은 내부에 다중 인증을 도입해야 하며, 85% 이상의 보안 공격이 MFA로 차단될 수 있다는 것이다. 둘째, 충분한 백업을 통해 데이터 손상을 방지하고 데이터가 암호화될 경우 빠르게 복구할 수 있어야 한다.

Synology는 이 두 가지 요구사항을 충족할 수 있는 일체형 데이터 관리 솔루션을 제공하고 있다. 보안을 지속해서 발전시키는 DSM 시스템은 다양한 방어 조치를 내장하고 있으며, PC와 가상 머신, 서버, 공공 클라우드 서비스 등에서 중요한 데이터를 보호하는 백업 패키지를 합리적인 예산으로 제공하고 있다.
[엄호식 기자(eomhs@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>