RansomShield: Threat-score-driven adaptive backup with multi-modal behavioural ransomware detection

디지털 세상에서 소중한 정보를 보호하는 일은 오랫동안 두 부분으로 이루어진 단순한 전략, 즉 침입자를 감시하는 것과 작업물의 복사본을 보관하는 것에 의존해 왔습니다. 보안 소프트웨어는 경비원처럼 작동하여 파일과 프로그램을 스캔하고 알려진 도둑이나 수상한 행동을 포착합니다. 만약 위험한 것을 발견하면 경보를 울립니다. 이와 별개로 백업 시스템은 매 시간 혹은 매일 시계가 울리는 것처럼 정기적인 간격으로 파일의 복사본을 저장하는 안전망 역할을 합니다. 수십 년 동안 이 두 시스템은 독립적으로 작동했습니다. 경비원은 위협을 발견하면 소리를 질렀지만, 백업 시계는 위험을 인지하지 못한 채 독자적인 일정에 따라 계속 흘러갔습니다. 이러한 분리는 취약점을 만들어냈습니다. 현대의 도둑들, 특히 돈을 목적으로 데이터를 인질로 잡는 자들은 빠르게 공격하는 법을 익혔으며, 종종 새로운 복사본이 만들어지기 전에 기존의 복사본을 삭제하거나 잠가버림으로써 백업 시스템 자체를 표적으로 삼습니다. 세 개의 복사본을 두 곳에 보관하되 하나는 외부 장소에 둔다는 오래된 규칙은 백업이 능동적인 전장이 아닌 수동적인 표적이었던 시절을 위해 설계된 것이었습니다.

나이지리아 온도(Ondo)에 위치한 의료과학대학교의 연구진은 이 간극을 메울 새로운 방법을 제안했습니다. 그들은 경비원과 안전망을 연결하여 하나의 살아 숨 쉬는 단위로 작동하게 하는 '랜섬실드(RansomShield)'라는 시스템을 구축했습니다. 단순히 켜고 끄는 방식의 알람 대신, 이 시스템은 연속적인 '위협 점수(threat score)'를 계산합니다. 이 점수는 시스템 내부에서 일어나는 현상을 관찰함에 따라 상승하거나 하락합니다. 점수가 낮으면 시스템은 정상적으로 작동하며 표준 속도로 파일을 저장합니다. 만약 점수가 상승하기 시작하여 무언가 수상한 일이 발생하고 있음을 나타내면, 시스템은 자동으로 방어 태세를 강화합니다. 시스템은 더 빈번하게 복사본을 저장하고, 해당 복사본들을 수정할 수 없도록 잠그며, 나머지 네트워크로부터 격리합니다. 이 시스템은 절대적인 확신이 들 때까지 기다리지 않고, 인지하는 위험 수준에 비례하여 반응합니다.

이 시스템을 구축하기 위해 연구진은 컴퓨터를 감시하는 네 가지 서로 다른 방식을 결집했습니다. 첫째, 그들은 활성 프로그램이 거주하는 임시 공간인 컴퓨터 메모리를 살펴 특정 악성 코드의 징후를 찾았습니다. 둘째, 프로그램이 운영 체제에 보내는 명령의 순서를 추적하여 파일 암호화의 전형적인 패턴을 조사했습니다. 셋째, 하드 드라이브에 데이터가 쓰여지는 방식을 모니터링하여 활동의 급격한 스파이크나 기이한 파일 유형의 변화를 확인했습니다. 마지막으로, 쓰여지는 데이터의 무작위성을 측정했습니다. 암호화된 파일은 수학적으로 일반적인 문서나 이미지와 뚜렷이 구별되는 순수한 정적 노이즈처럼 보이기 때문입니다. 시스템은 이 네 가지 신호를 함께 가중치를 두어 처리하며, 일시적인 오류로 인한 오보를 피하기 위해 결과를 매끄럽게 다듬습니다. 이 결합된 점수는 데이터 보호 방식을 결정하는 컨트롤러를 구동합니다.

연구진은 공개 아카이브의 데이터와 7가지 서로 다른 랜섬웨어 제품군의 공격을 시뮬레이션하여 이 아이디어를 테스트했습니다. 이 시뮬레이션에서 시스템은 모든 공격을 성공적으로 식별해 냈습니다. 평균적으로 시스템은 단 13개의 파일 시스템 이벤트만을 관찰한 후 위협을 감지했는데, 이는 디지털 운영의 세계에서 매우 짧은 시간입니다. 위협이 포착되자 시스템은 즉시 대응 수위를 높였습니다. 시스템은 정상 상태에서 데이터 전체 복사본을 30초마다 저장하는 고조된 상태로 전환되었습니다. 이 복사본들은 '불변(immutable)' 상태, 즉 공격자가 심지어 삭제하거나 변경할 수 없도록 잠긴 상태로 만들어졌으며, 침해된 기기로부터 에어 갭(air-gap)으로 격리된 환경에 배치되었습니다. 시뮬레이션된 공격들이 조기에 감지되어 강력하지만 극단적이지 않은 대응을 유발했기 때문에, 모든 프로세스를 중단해야 하는 시스템의 최고 단계 경보에는 도달하지 않았습니다.

연구는 또한 시스템이 얼마나 자주 '양치기 소년'처럼 행동할지에 대해서도 조사했습니다. 정상적이고 무해한 컴퓨터 활동만 발생하는 시나리오에서, 시스템은 약 5%의 이벤트에서 잠재적 위협을 표시했습니다. 이는 낮은 비율이지만, 연구진은 실제 환경에서 이것이 파일을 더 자주 저장하는 것과 같은 불필요한 추가 작업을 초래할 수 있다고 언급했습니다. 그러나 시스템은 이러한 오보를 적절한 수준으로 유지할 만큼 영리했으며, 정상적인 활동에 대해 가장 극단적이고 파괴적인 조치로 격상되지는 않았습니다. 결과에 따르면 메모리 감시기가 가장 강력한 단일 도구였으며, 테스트에서 거의 완벽한 정확도로 악성 활동을 식별했습니다. 다른 도구들은 그 자체로는 정밀도가 떨어졌지만, 결합되었을 때 귀중한 맥락을 제공했습니다.

이 연구는 통제된 환경에서 아이디어가 작동함을 보여주는 개념 증명(proof of concept) 단계에 머물러 있습니다. 연구진은 실제 네트워크의 라이브 바이러스 대신 시뮬레이션된 공격을 사용했으며, 아직 병원이나 기업 환경에서 시스템을 테스트하지 않았습니다. 그들은 컴퓨터의 행동을 판단하는 데 사용된 규칙들이 수작업으로 제작되었으며, 다양한 실제 위협을 어떻게 처리하는지 확인하기 위해 추가적인 테스트가 필요하다는 점을 인정했습니다. 저자들은 향촉 과제로 보안 샌드박스 내에서 라이브 멀웨어를 대상으로 시스템을 테스트하고, 실제 데이터를 기반으로 규칙을 정교화하며, 궁극적으로 자원이 제한된 조직에 시스템을 배포하는 것을 제안했습니다. 핵심적인 발견은 명확합니다. 위협 감지를 백업 대응의 강도와 직접 연결함으로써, 기존의 단절된 방법보다 더 빠르고 회복력이 강한 방어를 구축할 수 있다는 것입니다. 이 시스템은 단순히 문제를 지켜보는 것이 아니라, 위험이 고조되는 순간 방패를 실시간으로 조이며 방어력을 강화합니다.