Enhancing Ransomware Resilience in VMware Environments ThroughImmutable Backup Architectures A Comparative Study of Veeam Backup & Replication and Cohesity Data Protect

현대 디지털 세계에서 기업들은 은행 거래부터 병원 기록에 이르기까지 가장 중요한 운영을 실행하기 위해 방대한 가상 머신 네트워크에 의존합니다. 이러한 가상 시스템은 강력한 서버 상에서 구동되며, 종종 중앙 제어 시스템에 의해 관리됩니다. 이러한 설정은 뛰어난 효율성을 제공하지만, 동시에 단일 장애점(single point of failure)을 생성합니다. 즉, 공격자가 관리 시스템에 대한 제어권을 획득하면 전체 네트워크를 봉쇄하거나 파괴할 수 있습니다. 이것이 바로 데이터를 암호화하고 해제를 대가로 결제를 요구하는 악성 소프트웨어인 랜섬웨어의 현실입니다. 최근 몇 년 동안 공격자들은 단순히 파일을 잠그는 수준을 넘어, 데이터 복구 수단이 없으면 조직이 지불을 강요받을 수밖에 없다는 점을 알고 백업 복사본을 적극적으로 찾아내어 파괴하는 방식으로 진화했습니다. 이를 방어하기 위해 보안 전문가들은 '불변성(immutability)'이라는 개념에 주목했습니다. 쉽게 말해, 불변 백업이란 시간에 따라 고정된 데이터의 복사본을 의미합니다. 일단 생성되면, 누가 접근하더라도 정해진 기간 동안 수정, 삭제 또는 암호화될 수 없습니다. 이는 시스템의 나머지 부분이 공격을 받더라도 손상되지 않은 깨끗한 데이터의 안전한 피난처를 만들어 줍니다.

독립 연구진인 Nawa Abduljalil Abdulaziz Abdulnoor, Ahmed Razzaz Ahmed Qaid, 그리고 Rani Abduljalil Abdulaziz Abdulnoor의 최근 연구는 두 주요 데이터 보호 플랫폼인 Veeam Backup & Replication과 Cohesity DataProtect가 가상 환경을 방어하기 위해 이러한 불변성 원칙을 어떻게 사용하는지 조사했습니다. 연구진은 실험실 테스트를 수행하거나 공격을 시뮬레이션하는 대신, 두 시스템의 공식 문서와 아키텍처 설계를 상세히 비교 분석했습니다. 그들의 목표는 많은 가상 머신이 동일한 하드웨어와 관리 도구를 공유하는 VMware 환경에서 백업을 보호하는 구체적인 과제를 각 플랫폼이 어떻게 처리하는지 이해하는 것이었습니다. 연구 결과, 두 회사 모두 랜섬웨어가 복구 데이터를 삭제하는 것을 방지하기 위한 강력한 솔루션을 제공하지만, 그곳에 도달하는 방식은 근본적으로 다르다는 것을 발견했습니다.

첫 번째 플랫폼인 Veeam은 유연성과 특화된 구축 전략에 의존합니다. 백업을 불변으로 만들기 위해, Veeam은 일반적으로 '하드닝된 리눅스 저장소(hardened Linux repository)'를 사용합니다. 이를 위해 특정한 종류의 돌로 만든 견고한 금고를 상상해 보십시오. 이 경우 '돌'은 특수하게 구성된 리눅스 운영 체제입니다. 백업이 이 저장소에 기록될 때, 시스템은 특정 기간 동안 파일이 이동, 변경 또는 삭제되는 것을 방지하는 잠금을 적용합니다. 이 보호는 스토리지 수준에서 발생하며, 즉 파일 자체가 해당 파일을 보유한 시스템에 의해 보호됩니다. 또한 Veeam은 비밀번호를 활용한 영리한 기술을 사용합니다. 데이터를 이 금고로 옮기기 위해 일회용 자격 증명을 생성합니다. 일단 데이터가 들어오면 해당 비밀번호는 폐기되므로, 공격자가 메인 관리자의 로그인 정보를 훔치더라도 금고를 열어 백업을 삭제할 수 없습니다. 나아가 Veeam은 'Secure Restore'라는 기능을 제공하여 최종 안전 점검 역할을 수행합니다. 복구된 머신이 라이브 네트워크로 다시 투입되기 전, 시스템은 숨겨진 악성 코드를 스캔하여 복구 과정에서 바이러스를 다시 살려내는 일이 없도록 보장합니다.

두 번째 플랫폼인 Cohesity는 통합된 올인원 시스템의 관점에서 문제에 접근합니다. 별도의 특수 제작된 저장소 금고에 의존하는 대신, Cohesity는 자사의 소프트웨어 플랫폼 핵심부에 불변성을 직접 구축합니다. Cohesity는 모든 백업 스냅샷을 생성되는 순간부터 잠긴 객체(object)로 취급하는 네이티브 파일 시스템을 사용합니다. 이는 보호 기능이 단순히 추가된 레이어가 아니라, 전체 시스템의 구조 속에 짜여 있음을 의미합니다. 또한 Cohesity는 '제로 트러스트(Zero Trust)' 보안 모델을 강조하는데, 이는 관리자를 포함한 어떤 사용자도 암묵적으로 신뢰해서는 안 된다는 가정하에 작동합니다. 이를 강제하기 위해, 시스템은 파괴적인 조치를 취하기 전 여러 명의 승인, 즉 '쿼럼(quorum)'을 요구할 수 있습니다. 만약 한 명의 관리자 계정이 탈취되더라도, 공격자는 혼자서는 백업을 삭제할 수 없으며 여러 다른 계정을 동시에 속여야만 합니다. 아울러 Cohesity는 DataHawk라는 도구를 통해 인공지능과 머신러닝을 통합합니다. 이 시스템은 사용자가 갑자기 수천 개의 파일을 삭제하거나 데이터가 비정상적인 방식으로 변하는 것과 같은 이상 징abel을 지속적으로 감시하며, 피해가 발생하기 전에 이러한 징후를 랜섬웨어 공격의 가능성으로 식-별합니다.

연구진은 두 시스템 모두 랜섬웨어 문제를 스스로 해결하는 마법의 탄환은 아니라고 결론지었습니다. Veeam과 Cohesity 모두 강력한 기술적 방어책을 제공하지만, 그 효과는 전적으로 어떻게 설정하고 관리하느냐에 달려 있습니다. Veeam은 더 세밀한 제어를 제공하여 조직이 복잡하고 다층적인 스토리지 아키텍처를 설계할 수 있게 해주지만, 이를 올바르게 구성하려면 깊은 기술적 지식을 갖춘 팀이 필요합니다. 만약 설정에 결함이 있다면 보호 기능은 실패할 수 있습니다. 반면 Cohesity는 불변성과 위협 탐지와 같은 보안 기능이 기본적으로 플랫폼에 내장되어 있어 더 간소화된 경험을 제공하며, 관리는 더 쉽지만 벤더의 통합된 설계에 대한 신뢰를 요구합니다. 연구는 최선의 선택이 조직의 구체적인 요구 사항에 달려 있다고 제안합니다. 규모가 크고 다양한 스토리지 환경과 숙련된 IT 인력을 보유한 조직은 Veeam의 유연성을 선호할 수 있는 반면, 단순화되고 중앙 집중화된 접근 방식을 찾는 조직은 Cohesity가 더 적합할 수 있습니다.

궁극적으로 이 논문은 기술만으로는 안전을 보장할 수 없음을 강조합니다. 연구진은 가장 진보된 백업 시스템이라 할지라도 이를 관리하는 사람들이 엄격한 보안 규칙을 따르지 않는다면 실패할 것이라고 지적합니다. 여기에는 일상 업무에 사용하는 계정과 백업에 사용하는 계정을 분리하고, 승인되지 않은 로그인을 방지하기 위해 다요소 인증을 사용하며, 한 영역의 감염이 백업으로 확산되지 않도록 전체 네트워크를 보안 구역으로 나누는 것이 포함됩니다. 아마도 가장 중요한 것은 백업은 실제로 작동하는지 테스트했을 때만 가치가 있다는 점입니다. 조직은 데이터가 실제로 복구되는지, 그리고 파일이 깨끗한지를 확인하기 위해 정기적으로 데이터 복구를 시도해야 합니다. 연구진은 랜섬웨어에 대한 가장 강력한 방어책은 단일 제품이 아니라, 불변 기술, 절제된 운영 습관, 그리고 지속적인 검증 문화의 조합이라고 강조했습니다. 결국 목표는 공격이 발생했을 때, 조직이 데이터를 사용할 수 있도록 신뢰할 수 있고 변경 불가능한 데이터의 복사본이 준비되어 있게 하여, 비용을 지불하지 않고도 복구할 수 있도록 하는 것입니다.