Acronis 에이전트 무결성 검증 기능: 백업 도구 자체를 노리는 공격에 대응하는 방법 (2025)

백업은 사이버 공격에 대한 마지막 보루입니다. 그런데 만약 그 마지막 보루 자체가 공격당한다면 어떻게 될까요? 최근 사이버 보안 업계에서 가장 우려하는 트렌드 중 하나는 백업 소프트웨어와 에이전트를 직접 표적으로 삼는 공격이 급증하고 있다는 점입니다. 랜섬웨어 그룹들은 더 이상 데이터만 암호화하는 데 그치지 않습니다. 피해 조직이 백업으로 복구하지 못하도록 백업 에이전트를 종료시키거나, 백업 파일을 삭제하거나, 심지어 에이전트 자체를 변조하여 가짜 백업을 생성하는 수법까지 동원합니다.

한국 중소기업 IT 담당자라면 이 상황이 특히 위험합니다. 대기업처럼 SOC(보안운영센터)를 24시간 운영하기 어렵고, 백업 소프트웨어가 정상 작동 중인지 상시 모니터링할 인력도 부족하기 때문입니다. "백업을 해놨으니 안전하다"는 믿음이 무너지는 순간, 복구 불가능한 재앙이 시작됩니다. 오늘은 이 문제의 본질을 짚고, Acronis의 에이전트 무결성 검증 기능이 어떻게 백업 인프라 자체를 보호하는지 살펴보겠습니다.

백업 에이전트가 공격 대상이 되는 이유

공격자의 입장에서 생각하면 논리는 단순합니다. 피해자가 몸값을 지불하게 만들려면 복구 수단을 모두 제거해야 합니다. 보안 전문가들은 일반적으로 최근 랜섬웨어 공격의 상당수가 백업 인프라를 우선적으로 무력화하려는 시도를 포함한다고 지적합니다. 구체적으로 공격자들이 사용하는 수법은 다음과 같습니다.

• 백업 서비스 강제 종료: Windows의 VSS(Volume Shadow Copy Service)나 백업 에이전트 프로세스를 명령어로 종료시킵니다. vssadmin delete shadows 같은 명령은 이미 대부분의 랜섬웨어에 기본 탑재되어 있습니다.
• 에이전트 바이너리 변조: 백업 에이전트의 실행 파일 자체를 교체하거나 패치하여, 백업이 실행되는 것처럼 보이지만 실제로는 아무것도 저장하지 않게 만듭니다. 복구를 시도하는 시점에서야 백업이 비어 있다는 사실을 알게 됩니다.
• 자격 증명 탈취를 통한 백업 콘솔 장악: 관리 콘솔에 접근하여 백업 정책을 삭제하거나, 보존 기간을 극단적으로 줄여 기존 백업이 자동 삭제되도록 설정을 변경합니다.
• 백업 저장소 직접 공격: NAS나 네트워크 공유 폴더에 저장된 백업 파일을 암호화하거나 삭제합니다.

이러한 공격은 특히 에이전트가 정상적으로 작동하고 있는지 확인할 체계가 없는 환경에서 치명적입니다. 백업 완료 알림이 오더라도, 그 알림 자체가 변조된 에이전트가 보낸 거짓 신호일 수 있기 때문입니다.

에이전트 무결성 검증이란 무엇인가

에이전트 무결성 검증(Agent Integrity Verification)은 백업 소프트웨어의 핵심 구성 요소들이 변조되지 않았는지 지속적으로 확인하는 보안 메커니즘입니다. 이 개념을 이해하기 위해 일상적인 비유를 들어보겠습니다. 은행 금고실의 CCTV가 작동 중인지 매일 점검하는 것과 같습니다. 금고 안에 돈이 있어도, CCTV가 꺼져 있거나 가짜 영상을 보여주고 있다면 보안은 이미 무너진 것입니다.

Acronis는 자사 에이전트의 무결성을 보호하기 위해 여러 계층의 접근 방식을 적용합니다. 공개적으로 알려진 핵심 개념들은 다음과 같습니다.

• 자체 보호(Self-Protection) 메커니즘: Acronis 에이전트 프로세스와 관련 서비스가 비인가 프로세스에 의해 종료되거나 수정되는 것을 커널 수준에서 차단합니다. 관리자 권한을 가진 악성코드라 하더라도 에이전트를 임의로 중지시키기 어렵게 만듭니다.
• 코드 서명 및 바이너리 검증: 에이전트의 실행 파일과 모듈에 디지털 서명을 적용하여, 변조된 바이너리가 실행되는 것을 탐지하고 차단합니다. 업데이트 과정에서도 서명 검증을 수행하여 공급망 공격(supply chain attack)에 대응합니다.
• AI 기반 행동 탐지와 연동: Acronis의 안티랜섬웨어 엔진은 에이전트 프로세스를 모니터링하면서, 에이전트의 정상적인 행동 패턴에서 벗어나는 이상 징후를 탐지합니다. 예를 들어 백업 에이전트가 갑자기 대량의 파일 암호화 작업을 시작한다면 이는 명백한 이상 신호입니다.
• 관리 콘솔과의 상태 동기화: 클라우드 기반 관리 콘솔이 각 에이전트의 상태를 주기적으로 확인하고, 에이전트가 응답하지 않거나 비정상적인 상태를 보고하면 즉시 관리자에게 알림을 보냅니다.

기존 백업 솔루션과 Acronis의 에이전트 보호 비교

모든 백업 솔루션이 에이전트 자체의 보안을 동일한 수준으로 다루지는 않습니다. 전통적인 백업 소프트웨어는 "데이터를 안전하게 복사하는 것"에 초점을 맞추었고, 에이전트 자체의 보안은 OS 수준의 보호에 의존하는 경우가 많았습니다. 아래 비교표에서 주요 차이점을 확인할 수 있습니다.

이 비교에서 핵심적인 차이는 "백업"과 "보안"이 분리되어 있는가, 통합되어 있는가입니다. 전통적 접근법에서는 백업 소프트웨어와 엔드포인트 보안 소프트웨어가 별도로 작동합니다. 이 경우 보안 소프트웨어가 뚫리면 백업 에이전트는 무방비 상태가 됩니다. Acronis Cyber Protect는 백업과 보안을 하나의 에이전트로 통합함으로써, 보안 엔진이 백업 에이전트를 직접 보호하고, 백업 엔진이 보안 데이터를 안전하게 백업하는 상호 보호 구조를 구현합니다.

백업 인프라 보호를 위한 실무 체크리스트

Acronis를 이미 사용하고 있든, 도입을 검토 중이든, 백업 인프라 보호를 위해 지금 당장 점검해야 할 항목들이 있습니다. 다음 체크리스트를 기반으로 현재 환경을 진단해 보세요.

1. 에이전트 자체 보호 기능 활성화 여부 확인: Acronis Cyber Protect를 사용 중이라면 정책 설정에서 자체 보호(Self-Protection) 옵션이 활성화되어 있는지 확인하세요. 설치 후 기본값으로 켜져 있는 경우가 많지만, 트러블슈팅 과정에서 비활성화한 뒤 다시 켜지 않은 경우가 실무에서 종종 발견됩니다.
2. 백업 관리 콘솔 계정에 MFA(다중 인증) 적용: 공격자가 콘솔에 접근하면 모든 백업 정책을 삭제할 수 있습니다. 반드시 다중 인증을 활성화하고, 관리 계정의 비밀번호를 다른 시스템과 공유하지 마세요.
3. 백업 저장소 접근 권한 최소화: 백업이 저장되는 NAS, 클라우드 스토리지, 로컬 디스크의 접근 권한을 백업 서비스 계정에만 제한하세요. 일반 사용자나 도메인 관리자 계정으로 백업 저장소에 직접 접근할 수 있다면 위험합니다.
4. 에이전트 상태 알림 설정 점검: 에이전트가 비정상 종료되거나 연결이 끊어졌을 때 이메일 또는 메신저 알림이 오는지 테스트해 보세요. 알림을 받아도 확인하지 않으면 의미가 없으므로, 담당자 지정과 응답 프로세스도 함께 정의해야 합니다.
5. 정기적인 백업 복구 테스트 실행: 백업이 정상적으로 생성되었는지 확인하는 가장 확실한 방법은 실제로 복구해 보는 것입니다. 분기별 1회 이상 복구 테스트를 수행하고 결과를 문서화하세요. 이는 개인정보보호법상 안전성 확보 조치의 일환으로도 권장됩니다.
6. 3-2-1 백업 원칙 준수: 데이터 사본 3개, 서로 다른 미디어 2종, 오프사이트 보관 1개. 특히 오프사이트 사본은 네트워크에서 분리된(air-gapped) 형태거나 변경 불가(immutable) 스토리지에 저장하는 것이 중요합니다.
7. 에이전트 소프트웨어 최신 버전 유지: 보안 패치가 포함된 업데이트를 즉시 적용하세요. 업데이트 지연은 알려진 취약점이 악용될 수 있는 시간 창을 만듭니다.

실제 시나리오: 백업 에이전트 무력화 공격의 전형적인 흐름

시나리오: 중소 제조기업의 랜섬웨어 피해

보안 전문가들이 분석한 전형적인 랜섬웨어 공격 시나리오를 재구성한 것입니다. 공격자는 먼저 피싱 이메일을 통해 직원 PC 한 대에 초기 발판을 마련합니다. 이후 내부 네트워크를 탐색하며 도메인 관리자 자격 증명을 탈취합니다. 데이터를 암호화하기 전, 공격자가 가장 먼저 수행하는 작업은 백업 시스템을 무력화하는 것입니다. 백업 에이전트 서비스를 종료하고, 로컬 백업 파일을 삭제하며, NAS에 접근하여 네트워크 백업까지 제거합니다. 이 모든 작업이 완료된 후에야 비로소 랜섬웨어 페이로드가 실행됩니다. 피해 조직이 백업 복구를 시도하는 시점에서 발견하는 것은 빈 저장소와 손상된 에이전트뿐입니다. 이 시나리오에서 만약 에이전트 자체 보호 기능이 활성화되어 있었다면 에이전트 종료가 차단되었을 것이고, 변경 불가 클라우드 백업이 있었다면 최소한 하나의 복구 지점은 안전하게 보존되었을 것입니다.

이 시나리오는 허구의 특정 기업을 지칭하는 것이 아니라, 보안 업계에서 반복적으로 관찰되는 전형적인 공격 패턴을 정리한 것입니다. 핵심 교훈은 명확합니다. 공격자는 백업을 먼저 죽이고, 그다음에 데이터를 인질로 잡습니다. 따라서 백업 에이전트 자체를 보호하는 것은 전체 사이버 방어 전략에서 가장 우선순위가 높은 항목 중 하나여야 합니다.

왜 통합 플랫폼 접근이 중요한가

많은 중소기업이 백업 솔루션과 보안 솔루션을 별도로 운영합니다. 백업은 A 제품, 안티바이러스는 B 제품, EDR은 C 제품처럼 각각 다른 벤더의 제품을 사용하는 경우가 흔합니다. 이 접근법에는 본질적인 취약점이 있습니다.

• 상호 보호 불가: 보안 솔루션은 백업 에이전트가 변조되었는지 모르고, 백업 솔루션은 보안 에이전트가 무력화되었는지 모릅니다.
• 관리 복잡도 증가: IT 담당자가 여러 콘솔을 오가며 상태를 확인해야 하므로 사각지대가 발생하기 쉽습니다.
• 에이전트 간 충돌: 여러 에이전트가 동일 시스템에서 작동하면서 성능 저하나 호환성 문제가 발생할 수 있습니다.

Acronis Cyber Protect가 지향하는 통합 플랫폼 접근은 이 문제를 구조적으로 해결합니다. 하나의 에이전트가 백업, 안티맬웨어, 취약점 관리, 패치 관리를 모두 수행하므로, 보안 엔진이 백업 프로세스의 무결성을 직접 감시할 수 있습니다. 이는 별도 제품들의 조합으로는 달성하기 어려운 수준의 깊은 통합입니다.

마무리: 백업의 보안, 더 이상 선택이 아닙니다

지금까지의 내용을 정리하면 핵심은 세 가지입니다.

1. 백업 에이전트는 이미 주요 공격 표적입니다. "백업만 해놓으면 안전하다"는 시대는 끝났습니다.
2. 에이전트 무결성 검증은 다계층 방어가 필요합니다. 프로세스 보호, 코드 서명, 행동 탐지, 상태 모니터링이 결합되어야 합니다.
3. 백업과 보안의 통합은 구조적 우위를 제공합니다. Acronis Cyber Protect와 같은 통합 플랫폼은 분리된 솔루션으로는 달성하기 어려운 수준의 상호 보호를 구현합니다.

KDSys는 Acronis의 한국 공식 파트너로서, 단순히 라이선스를 판매하는 것이 아니라 고객 환경에 맞는 백업·보안 정책 설계, 에이전트 보호 설정 최적화, 정기적인 복구 테스트 지원까지 포괄하는 서비스를 제공합니다. 백업 인프라의 보안 수준이 걱정된다면, 현재 환경에 대한 무료 진단부터 시작해 보세요. 백업 도구 자체가 안전해야 진정한 사이버 레질리언스가 완성됩니다.