랜섬웨어 복구의 핵심은 “깨끗한 백업”을 찾는 것입니다.

랜섬웨어 복구는 “깨끗한 백업” 을 찾는 것입니다.

랜섬웨어 사고가 발생하면 대부분의 기업은 가장 먼저 백업을 찾습니다. 하지만 복구 단계에서 정말 중요한 것은 “백업이 있는가”가 아니라

| “그 백업이 감염되지 않았는가”입니다.

공격자는 운영 서버만 공격하지 않습니다. 백업 저장소, 백업 계정, 복원 지점까지 함께 노리는 경우가 많습니다. 그래서 단순히 가장 최근 백업을 복원하면, 이미 악성코드가 숨어 있던 시점으로 되돌아가거나 복구 후 다시 감염되는 문제가 발생할 수 있습니다.

Veeam 도 랜섬웨어 복구 전략에서 백업 검증과 악성코드 스캔을 복구 전 단계의 핵심으로 설명합니다. Veeam의 랜섬웨어 복구 가이드에서는 복구를 시작하기 전에 백업 무결성을 검증하고 악성코드 여부를 검사해야 한다고 안내합니다.

복구 전 스캔이 필요한 이유

랜섬웨어는 어느 날 갑자기 화면에 나타나지만, 실제 침투는 그보다 훨씬 이전에 시작되었을 수 있습니다.공격자가 계정을 탈취하고, 내부를 탐색하고, 백업 구조까지 확인한 뒤 암호화를 실행하는 경우도 있습니다.

이 경우 최근 백업이라고 해서 반드시 안전하다고 볼 수 없습니다. 어제 백업은 정상적으로 완료되었을 수 있지만, 그 안에 이미 악성 파일이나 공격 도구가 포함되어 있을 수 있습니다.

따라서 복구 단계에서는 다음 질문을 먼저 해야 합니다.

“이 복원 지점은 운영 환경으로 되돌려도 안전한가?”

“악성코드나 의심 파일이 포함되어 있지 않은가?”

“마지막으로 깨끗한 복원 지점은 언제인가?”

이 질문에 답하기 위해 Veeam에서는 Secure Restore, YARA Scan, Veeam Threat Hunter와 같은 기능을 활용할 수 있습니다.

Veeam Secure Restore: 운영 환경으로 복구하기 전 검사

Veeam Secure Restore는 복원 지점을 운영 환경에 되돌리기 전에 악성코드 활동 여부를 확인할 수 있는 기능입니다.

Veeam 공식 문서에 따르면 Secure Restore는 머신을 프로덕션 환경으로 복구하기 전에 복원 지점의 악성코드 활동을 점검할 수 있도록 지원하며, 자체 검사 엔진으로 Veeam Threat Hunter, 타사 안티바이러스 사용, YARA 기반 스캔을 사용할 수 있습니다.

쉽게 말하면, Secure Restore는 복구 직전에 거치는 “검문소”와 같습니다.

백업 파일을 바로 운영 서버로 되돌리는 것이 아니라, 먼저 백업 내용을 마운트하고 검사한 뒤 문제가 없을 때 복구를 진행하는 방식입니다.

만약 악성 활동이 탐지되면 복구를 중단하거나, 설정에 따라 제한된 방식으로 복구하고 감염 이벤트를 생성할 수 있습니다.

YARA Scan 알려진 악성코드 패턴을 백업에서 찾는 방식

YARA는 보안팀이 악성코드의 문자열, 파일 구조, 해시, 코드 패턴 등을 규칙으로 만들어 탐지할 때 사용하는 방식입니다. Veeam 공식 블로그에서도 YARA Rules는 파일, 메모리, 백업에서 악성코드를 식별하고 분류하는 데 활용될 수 있으며, Veeam은 YARA 스캔을 불변 백업 및 Secure Restore와 결합해 복원 지점의 악성코드 여부를 확인하는 구조로 설명합니다.

특히 복구 단계에서 YARA Scan이 중요한 이유는 “마지막으로 깨끗한 복원 지점”을 찾는 데 도움을 주기 때문입니다.

Veeam Help Center 에서도 Scan Backup 세션에서 YARA 스캔을 실행하면 마지막으로 깨끗한 복원 지점을 찾고, 특정 정보나 민감 데이터 포함 여부를 분석할 수 있다고 설명합니다.

즉, 사고 시점이 불명확할 때 여러 복원 지점을 순차적으로 검사하면서 “어느 시점부터 감염되었는지”, “어느 시점까지는 안전한지”를 판단하는 데 활용할 수 있습니다.

Veeam Threat Hunter 시그니처 기반 위협 탐지

Veeam Threat Hunter는 "Veeam에서 제공"하는 시그니처 기반 검사 엔진입니다.백신 솔루션이 별도로 없거나, 복구 전 단계에서 Veeam 자체 검사 흐름을 활용하고자 할 때 중요한 역할을 합니다.

Secure Restore에서는 Veeam Threat Hunter, 타사 백신, YARA 중 환경에 맞는 검사 방식을 선택할 수 있습니다.

다만 여기서 중요한 점은 “검사 기능이 복구를 100% 보장한다” 는 의미가 아니라는 것입니다. 악성코드 탐지는 알려진 패턴, 시그니처, 규칙, 행위 기반 분석에 의존하기 때문에, 복구 전 검사는 반드시 격리 환경, 보안 점검, 네트워크 차단, 계정 점검과 함께 수행되어야 합니다.

실제 복구 전략은 Clean Room 방식으로 가야 합니다

Veeam은 복구 전 검증 방식으로 격리된 환경에서 복원하고, 악성코드 스캔과 무결성 검증을 수행한 뒤 안전한 복원 지점을 확인하는 접근을 제시합니다. Veeam 제품 설명에서도 격리 환경에서 복원하고, 악성코드를 검사하고, 무결성을 검증한 뒤 알려진 정상 지점을 확인할 수 있다고 설명합니다.

이것이 흔히 말하는 Clean Room Recovery 접근입니다.

운영망에 바로 복구하지 않고, 격리된 복구 환경에서 먼저 확인합니다.복원된 서버가 정상 부팅되는지, 애플리케이션이 정상 동작하는지, 악성 파일이나 의심 프로세스가 없는지 확인한 뒤 운영 환경으로 전환합니다.

복구 단계의 흐름은 다음과 같이 구성하는 것이 좋습니다.

단계	복구 검증 내용
1단계	감염 의심 시점 확인
2단계	여러 복원 지점 후보 선정
3단계	Secure Restore 또는 Scan Backup 실행
4단계	YARA Rule 또는 Veeam Threat Hunter 검사
5단계	감염 이벤트 여부 확인
6단계	Clean Room 환경에서 애플리케이션 검증
7단계	운영 환경 복구 전환

사례로 보는 복구 검증의 필요성

Veeam의 2025 랜섬웨어 관련 자료에서는 조직의 상당수가 여전히 랜섬웨어 공격을 경험하고 있으며, 복구 역량이 실제 사고 대응의 핵심이라는 점을 강조합니다. Veeam 공식 보도자료에서도 2024년 기준 69%의 조직이 최소 한 번 이상 랜섬웨어 공격을 경험했다는 조사 결과를 공개했습니다.(veeam.com)

또한 Veeam 블로그는 랜섬웨어 복구 전략에서 3-2-1-1-0 원칙을 제시합니다. 여기서 마지막 “0”은 복구 가능성 오류가 0이어야 한다는 의미이며, 정기적인 복구 테스트와 검증을 통해 확인해야 한다고 설명합니다.

이 내용은 복구 전략의 방향을 분명하게 보여줍니다.

백업 파일이 존재하는 것만으로는 부족합니다.복구 테스트가 되어 있어야 하고, 악성코드 검사가 되어야 하며, 실제로 운영 환경으로 되돌릴 수 있는지 확인되어야 합니다.

복구는 “빠르게”보다 “깨끗하게”가 먼저입니다

랜섬웨어 사고 후에는 빠른 복구가 중요합니다.하지만 감염된 백업을 빠르게 복구하는 것은 더 큰 장애로 이어질 수 있습니다.

복구 단계에서 가장 중요한 기준은 다음과 같습니다.

가장 최근 백업이 아니라, 가장 안전한 백업을 선택해야 합니다.운영 환경에 바로 복원하지 말고, 먼저 검사해야 합니다.YARA Rule, Veeam Threat Hunter, Secure Restore를 활용해 악성코드 여부를 확인해야 합니다.격리된 Clean Room 환경에서 복구 가능성을 검증한 뒤 운영 전환해야 합니다.

결국 랜섬웨어 시대의 백업 전략은 “백업 성공”이 아니라 “깨끗한 복구 성공”을 목표로 해야 합니다.