랜섬웨어에 대비한 AWS 백업은 어떻게 격리해야 합니까?

무엇으로부터 지키는지부터 정합니다

랜섬웨어 대비에서 백업이 실패하는 전형적인 경로는 공격자가 관리자 권한을 얻어 원본과 백업을 함께 지우거나 암호화하는 것입니다. 백업이 매일 성공하고 있어도, 원본을 지울 수 있는 같은 권한으로 백업도 지울 수 있다면 그 백업은 격리된 것이 아닙니다.

그래서 격리 수준은 「백업이 있는가」가 아니라 다음 두 질문으로 판단합니다.

• 운영 계정의 관리자 권한이 탈취돼도 백업을 보존 기간 전에 지울 수 없습니까?
• 운영 계정에 들어갈 수 없게 돼도 다른 계정에서 복원할 수 있습니까?

첫 번째 질문은 잠금으로, 두 번째 질문은 계정 분리로 답합니다. 둘 중 하나만 갖추면 절반만 막은 셈입니다. 잠금만 있으면 백업은 남지만 그 계정에 들어가지 못하는 동안 복원할 길이 없고, 계정 분리만 있으면 백업 계정의 권한이 함께 탈취됐을 때 사본이 지워질 수 있습니다.

Vault Lock — 지울 수 없게 잠그기

AWS Backup의 Vault Lock은 백업 볼트를 한 번 쓰면 수정·삭제할 수 없는 상태(WORM)로 잠그는 기능이며, 추가 요금 없이 제공됩니다. 잠긴 볼트에서는 루트 사용자를 포함한 누구라도 보존 기간이 끝나기 전에 백업을 지우거나 수명 주기를 바꿀 수 없습니다. 모드는 두 가지입니다.

Vault Lock 자체는 무료지만, 잠긴 볼트의 백업도 일반 저장 요금이 그대로 붙고 보존 기간이 끝날 때까지 지울 수 없습니다. 그래서 잠그기 전에 얼마나 오래, 얼마나 많이 보관할지를 비용과 함께 정해야 합니다.

보존 기간은 「며칠 치를 남길까」보다 「사고를 알아챈 시점에서 얼마나 거슬러 올라가 복원해야 하는가」로 정합니다. 침해 사실이 늦게 드러나면 그 사이에 만들어진 백업에도 이미 오염된 데이터가 들어 있을 수 있기 때문입니다. 백업 사본을 두는 계정은 운영 계정과 다른 관리자와 다른 로그인 경로로 관리해, 한 사람의 자격 증명으로 두 계정이 함께 열리지 않게 합니다.

계정 분리와 논리적 격리 볼트

잠금만으로는 운영 계정 자체를 쓸 수 없게 되는 상황까지 막지 못합니다. 그래서 백업 사본을 운영 계정 밖에 두고, 다른 계정에서 복원할 수 있게 준비합니다. AWS 다중 계정 백서도 계정 단위 격리가 한 계정의 침해나 잘못된 설정이 다른 계정으로 번지는 것을 막는다고 설명합니다.

1. 운영 계정의 원본
2. 잠긴 백업 볼트
3. 다른 계정 또는 논리적 격리 볼트로 복사
4. 복구용 계정에서 복원

AWS Backup의 논리적 격리 볼트(logically air-gapped vault)는 이 목적에 맞춘 볼트입니다.

• 만들 때부터 컴플라이언스 모드의 Vault Lock이 걸려 있고, 최소 보존 기간은 7일 이상으로 정해야 합니다.
• 암호화는 기본적으로 AWS 소유 키를 쓰고, 고객 관리형 KMS 키를 선택할 수도 있습니다.
• AWS RAM으로 다른 계정과 공유하면 공유받은 계정에서 백업을 복원할 수 있습니다. 공유 대상은 계정 ID 단위로 지정합니다.
• 다중 승인(Multi-party approval)과 연동하면 볼트를 소유한 계정에 접근할 수 없어도 복원 경로를 열 수 있습니다. 소유 계정이 해지된 경우에도 해지 후 유예 기간 동안은 이 경로로 백업에 접근할 수 있습니다.

볼트에 복사할 수 있는 자원 유형은 정해져 있으므로, AWS Backup의 자원별 기능 지원표에서 사용하는 서비스가 대상인지 먼저 확인합니다. 모든 백업을 한꺼번에 격리할 필요는 없습니다. 잃으면 사업을 이어 갈 수 없는 데이터, 예를 들어 주문·고객·회계 데이터베이스부터 격리 대상으로 정합니다.

잠그기 전에 확인할 것

• 보존 기간: 보존 기간이 「항상」인 백업이 컴플라이언스 잠금 볼트에 들어가면 영원히 지울 수 없고 저장 요금도 계속 붙습니다
• 최소·최대 보존 기간: 잠금에 설정한 범위를 벗어나는 백업·복사 작업은 실패합니다. 기존 백업 계획의 보존 기간과 맞춥니다
• 암호화 키: AWS Backup이 완전 관리하는 자원 유형이 아니면, 격리 볼트로 복사할 원본이 고객 관리형 키로 암호화돼 있어야 합니다
• 복원을 막는 다른 설정: EC2 AMI를 비활성화하면 잠긴 볼트의 EC2 백업도 복원이 막힐 수 있습니다. IAM 정책으로 ec2:DisableImage를 제한합니다
• 계정 해지: 백업 볼트가 있는 계정을 해지하면 90일 뒤 볼트 내용이 삭제되며, Vault Lock이 걸려 있어도 마찬가지입니다

격리한 뒤에 할 일 — 복원 시험

격리는 복원이 될 때 의미가 있습니다. 격리된 사본에서 다른 계정으로 실제 복원을 해 보고, 복원에 걸린 시간과 빠진 설정(보안 그룹·파라미터·연결 정보)을 기록합니다. 복원한 데이터베이스에 애플리케이션이 실제로 붙는지까지 확인해야 시험을 마친 것입니다. 걸린 시간은 업무가 견딜 수 있는 중단 시간과 비교하고, 맞추지 못하면 백업 주기나 복원 절차를 고치고 같은 방법으로 다시 시험합니다. 복원 시험을 하지 않은 백업이 실제 사고 때 어떻게 실패하는지는 백업 복구 실패 원인을 다룬 인사이트 글에서 원인별로 정리했습니다.

참고 자료

• AWS Backup 개발자 안내서 — Vault Lock
• AWS Backup 개발자 안내서 — 논리적 격리 볼트
• AWS 백서 — 여러 AWS 계정을 쓰는 이점