[군무원 면접질문 090] 중요 서버에서 랜섬웨어 감염이 의심되면 백업과 복구를 포함하여 어떻게 대응하겠는가

백업은 시스템 장애와 사용자 실수, 악성코드 및 재난으로 원본 데이터가 손상되었을 때 복구할 수 있도록 별도의 사본을 확보하는 활동이다. 백업파일이 원본과 같은 위치에만 저장되거나 복구시험을 하지 않았다면 실제 사고에서 사용하지 못할 수 있다.

랜섬웨어 감염이 의심될 때는 성급하게 파일을 복원하거나 시스템을 재시작하지 말고 확산 차단과 증거보존을 우선해야 한다. 이후 감염범위와 침입경로를 확인하고 안전한 백업시점과 데이터 무결성을 검증하여 복구해야 한다.

이 질문은 지원자가 격리·보고·분석·복구·재발 방지의 순서로 사이버위협에 대응할 수 있는지를 평가하려는 것이다(개인정보보호위원회 「개인정보의 안전성 확보조치 기준」).

[답변 요령]

● 감염 의심 시스템을 격리하여 다른 시스템과 외부로의 확산을 차단한다.

● 로그·경보·접속기록과 파일변경 내역을 보존하고 즉시 보고한다.

● 백업시점과 무결성, 백업자료의 악성코드 감염 여부를 확인한다.

● 정제된 환경에서 중요 서비스부터 복구하고 데이터와 연계기능을 검증한다.

● 백업이나 복구시험, 악성코드 대응 경험을 사전 대비의 중요성과 연결한다.

[답변 예시]

랜섬웨어 감염이 의심되면 서비스 복구보다 먼저 피해가 다른 시스템으로 확산되지 않도록 조치하겠습니다. 해당 서버의 네트워크 연결을 승인된 방법으로 격리하고 공유폴더와 연계시스템의 이상 여부도 확인하겠습니다.

전원을 임의로 끄거나 의심 파일과 로그를 삭제하지 않겠습니다. 경보와 접속기록, 파일변경 시점 및 현재 상태를 보존하여 보안담당자와 상급자에게 즉시 보고하겠습니다.

감염범위와 침입경로가 확인되면 백업시점과 데이터 무결성, 백업자료의 감염 여부를 점검하겠습니다. 이후 정제된 환경에서 중요 서비스부터 복구하고 사용자 접속과 데이터, 연계기능을 검증하겠습니다.

사고 후에는 취약점과 계정권한, 보안설정, 백업주기 및 복구시험 절차를 개선하겠습니다.

[후속질문]

① 최근 백업자료도 감염된 것으로 의심되면 어떻게 하겠는가?

“최근 백업을 그대로 사용하지 않고 감염 이전 시점의 백업을 확인하겠습니다. 백업본을 격리된 환경에서 검사하고 무결성과 업무상 사용 가능성을 검증한 뒤 복구하겠습니다.”

② 업무부서가 분석보다 즉시 복구하라고 요구하면 어떻게 설명하겠는가?

“감염된 백업이나 환경에서 복구하면 재감염과 피해확산이 발생할 수 있음을 설명하겠습니다. 대체업무나 예비시스템을 제공하면서 안전성이 확인된 순서대로 서비스를 복구하겠습니다.”

③ 백업은 정상인데 복구시간이 목표보다 오래 걸리면 어떻게 개선하겠는가?

“병목이 저장장치와 네트워크, 데이터량 또는 복구절차 중 어디에서 발생했는지 분석하겠습니다. 중요도에 따른 복구순서를 조정하고 증분백업이나 복구환경, 정기훈련을 개선하겠습니다.”

④ 업무가 중단됐는데 전날 백업으로 즉시 복원하는 것이 현실적이지 않은가?

“빠른 복구가 필요하다는 점은 충분히 이해합니다. 그러나 백업도 감염되었거나 침입경로가 남아 있다면 다시 피해가 발생할 수 있으므로 최소한의 악성코드와 무결성 검증 후 복구하겠습니다.”

[피해야 할 답변]

랜섬웨어가 의심되면 서버를 초기화하고 가장 최근 백업을 곧바로 복원하면 된다고 답해서는 안 된다. 백업 작업이 성공으로 표시되면 별도의 복구시험과 데이터 무결성 확인이 필요하지 않다는 태도도 피해야 한다.