백업 에이전트도 해킹된다: Acronis 에이전트 무결성 검증으로 공격 차단하는 법

사이버 보안 업계에서 최근 가장 우려하는 공격 트렌드 중 하나는 백업 인프라 자체를 겨냥한 공격입니다. 공격자들은 더 이상 데이터만 암호화하지 않습니다. 피해 기업이 백업으로 복구하지 못하도록, 백업 소프트웨어의 에이전트를 먼저 변조하거나 무력화하는 전략을 구사합니다. 백업 에이전트가 조용히 손상된 상태에서 며칠, 심지어 몇 주가 지나면, 정상이라고 믿었던 백업 데이터 전체가 이미 오염된 후입니다.

여러분의 회사에서 사용하는 백업 소프트웨어, 정말 안전하다고 확신할 수 있습니까? IT 담당자로서 매일 백업 성공 로그를 확인하더라도, 그 로그를 생성하는 에이전트 자체가 변조되었다면 로그 역시 거짓일 수 있습니다. 이 글에서는 이 치명적인 사각지대를 해소하기 위한 Acronis의 에이전트 무결성 검증 기능과, 백업 도구가 공격받는 시나리오에 실무적으로 대응하는 방법을 상세히 다룹니다.

백업 에이전트가 공격 대상이 되는 이유

전통적인 랜섬웨어 공격은 파일을 암호화하고 몸값을 요구하는 단순한 구조였습니다. 그러나 기업들이 백업을 통해 복구하는 사례가 늘어나자, 공격자들은 전략을 진화시켰습니다. 보안 전문가들은 이를 "백업 인식형 랜섬웨어(Backup-Aware Ransomware)"라고 부릅니다. 이런 공격은 다음과 같은 순서로 진행됩니다.

1. 초기 침투 후 정찰 단계: 공격자는 시스템에 침투한 뒤 곧바로 암호화를 시작하지 않습니다. 먼저 네트워크를 탐색하며 어떤 백업 소프트웨어가 설치되어 있는지, 에이전트 프로세스 이름은 무엇인지, 백업 스케줄은 어떻게 되는지를 파악합니다.
2. 백업 에이전트 무력화: 에이전트 서비스를 강제 종료하거나, 에이전트 바이너리 파일을 변조하거나, 에이전트의 설정 파일을 수정하여 백업이 실패하도록 만듭니다. 교묘한 경우에는 에이전트는 정상 동작하는 것처럼 보이지만 실제로는 암호화된 데이터를 백업하도록 타이밍을 조절합니다.
3. 잠복 후 대규모 암호화: 충분히 오래된 정상 백업이 보존 정책에 의해 삭제될 때까지 기다린 뒤, 모든 시스템을 동시에 암호화합니다. 이 시점에서 남아있는 백업은 모두 오염된 상태이므로 복구가 불가능합니다.

Acronis 에이전트 무결성 검증의 작동 원리

Acronis는 이러한 공격 시나리오에 대응하기 위해 에이전트 자체의 무결성을 지속적으로 검증하는 메커니즘을 제공합니다. 이 기능의 핵심 개념을 이해하면, 왜 단순한 안티바이러스만으로는 백업 인프라를 보호할 수 없는지가 명확해집니다.

셀프 프로텍션(Self-Protection) 기술

Acronis 에이전트는 자체 보호(Self-Protection) 기능을 탑재하고 있습니다. 이 기능이 활성화되면, 에이전트의 핵심 프로세스와 파일에 대해 외부에서의 변조 시도를 실시간으로 차단합니다. 구체적으로는 다음과 같은 보호가 이루어집니다.

• 프로세스 보호: 에이전트의 핵심 서비스 프로세스가 비인가된 방식으로 종료되거나 변경되는 것을 커널 레벨에서 차단합니다. 일반적인 작업 관리자나 명령줄에서 에이전트를 강제 종료할 수 없습니다.
• 파일 시스템 보호: 에이전트의 실행 파일, 라이브러리, 설정 파일이 저장된 디렉터리에 대한 무단 쓰기를 방지합니다. 공격자가 에이전트 바이너리를 악성 버전으로 교체하려는 시도가 차단됩니다.
• 레지스트리/설정 보호: Windows 레지스트리나 에이전트의 구성 파일에 대한 무단 변경을 탐지하고 차단합니다. 백업 대상 경로를 바꾸거나 스케줄을 비활성화하려는 시도가 기록됩니다.

에이전트 바이너리 해시 검증

Acronis 관리 콘솔에서는 배포된 에이전트의 바이너리 무결성을 해시 값으로 검증할 수 있습니다. 에이전트가 최초 설치되거나 공식 업데이트를 통해 갱신될 때 기록된 해시 값과 현재 실행 중인 에이전트의 해시 값을 비교하여, 어떤 변조가 발생했는지 즉시 확인할 수 있습니다. 이는 공급망 공격(Supply Chain Attack)에 대한 방어 수단으로도 중요합니다.

기존 백업 솔루션 대비 보호 수준 비교

많은 중소기업에서 사용하는 백업 솔루션들은 백업 데이터의 암호화나 저장소 보호에는 신경을 쓰지만, 에이전트 자체의 보호에는 상대적으로 취약합니다. 아래 표는 에이전트 보호 관점에서 일반적인 백업 솔루션 유형과 Acronis의 접근 방식을 비교한 것입니다.

보호 항목	일반 파일 백업 도구	엔터프라이즈 백업 솔루션	Acronis Cyber Protect
에이전트 프로세스 강제 종료 차단	미지원	일부 지원	커널 레벨 자체 보호
에이전트 바이너리 변조 탐지	미지원	미지원 또는 수동 확인	해시 기반 자동 검증
에이전트 설정 파일 무단 변경 차단	미지원	제한적 지원	실시간 보호
에이전트 상태 중앙 모니터링	없음 (로컬 로그만)	기본 상태 모니터링	통합 대시보드 + 알림
안티랜섬웨어 연동	별도 보안 솔루션 필요	별도 보안 솔루션 필요	AI 기반 행동 탐지 내장
로컬 백업 캐시 보호	미지원	제한적	자체 보호 영역에 포함

위 비교에서 주목할 점은, 일반적인 백업 도구들은 "백업 에이전트는 항상 정상적으로 동작한다"는 전제 위에 설계되어 있다는 것입니다. 이 전제가 무너지면 전체 백업 전략이 무의미해집니다. Acronis는 이 전제 자체를 의심하고, 에이전트가 지속적으로 자신의 무결성을 증명하도록 설계되었습니다.

실무 적용: 에이전트 무결성 보호를 위한 단계별 가이드

에이전트 무결성 검증 기능을 효과적으로 활용하려면, 단순히 기능을 켜는 것만으로는 부족합니다. 조직의 IT 환경에 맞게 정책을 설정하고, 모니터링 체계를 갖추어야 합니다. 아래는 중소기업 IT 담당자가 즉시 실행할 수 있는 단계별 가이드입니다.

1. Self-Protection 기능 활성화 상태 점검: Acronis 관리 콘솔에 접속하여 모든 에이전트의 자체 보호 기능이 활성화되어 있는지 확인합니다. 특히 과거에 호환성 문제로 비활성화한 에이전트가 없는지 전수 조사합니다. 이 기능이 꺼져 있으면 에이전트는 일반 프로그램과 동일한 수준의 보호만 받습니다.
2. 에이전트 버전 통일 및 최신 업데이트 적용: 구 버전 에이전트는 최신 보안 패치가 적용되지 않아 알려진 취약점에 노출될 수 있습니다. 관리 콘솔에서 에이전트 버전을 일괄 확인하고, 최신 버전으로 업데이트합니다. 자동 업데이트 정책을 설정하되, 업무 시간 외에 적용되도록 스케줄링합니다.
3. 에이전트 상태 알림 설정: 에이전트가 비정상적으로 중지되거나, 보호 기능이 비활성화되거나, 통신이 두절되는 경우 즉시 알림을 받을 수 있도록 이메일 또는 메신저 알림을 설정합니다. 알림이 오면 단순한 네트워크 문제인지 공격 징후인지 즉시 판별할 수 있는 절차를 마련해 둡니다.
4. 에이전트 실행 계정 권한 최소화: 에이전트가 사용하는 서비스 계정의 권한을 백업에 필요한 최소한으로 제한합니다. 도메인 관리자 계정으로 에이전트를 실행하는 것은 위험합니다. 공격자가 해당 계정을 탈취하면 에이전트뿐 아니라 전체 도메인이 위험해집니다.
5. 정기적 무결성 리포트 검토: 주 1회 이상 에이전트 무결성 상태 리포트를 생성하고 검토합니다. 이상 징후가 없더라도 정기적으로 확인하는 습관이 중요합니다. 보안 사고 발생 시 "에이전트가 언제부터 정상이었는지"를 증명할 수 있는 기록이 됩니다.
6. 별도의 관리자 인증 체계 적용: Acronis 관리 콘솔 접근에 다중 인증(MFA)을 적용하고, 에이전트 설정 변경 시 별도의 관리자 비밀번호를 요구하도록 설정합니다. 이는 공격자가 시스템 관리자 계정을 탈취하더라도 백업 설정을 변경할 수 없도록 하는 추가 방어선입니다.

실제 공격 시나리오: 백업 에이전트 변조 후 전체 복구 실패

"백업은 매일 성공했는데, 복구할 수 있는 데이터가 없습니다"

다음은 보안 업계에서 보고되는 일반적인 공격 시나리오를 재구성한 것입니다. 한 중소 제조기업의 IT 환경에서 공격자는 VPN 취약점을 통해 내부 네트워크에 침투합니다. 침투 직후 암호화를 시작하지 않고, 약 2주간 네트워크를 정찰하며 백업 서버와 에이전트 구성을 파악합니다.

공격자는 먼저 백업 에이전트의 자체 보호 기능이 비활성화된 서버를 찾아, 에이전트의 설정 파일을 수정합니다. 백업 대상에서 핵심 데이터베이스 폴더를 슬쩍 제외시키고, 로그에는 여전히 "백업 성공"이 표시되도록 합니다. IT 담당자는 매일 아침 백업 로그를 확인하지만, 모든 것이 정상으로 보입니다.

2주 후, 공격자는 전체 서버를 동시에 암호화합니다. IT 담당자가 백업에서 복구를 시도하지만, 핵심 데이터베이스는 2주 전부터 백업에서 빠져 있었습니다. 2주 이전의 백업은 보존 정책에 의해 이미 삭제된 상태입니다. 결과적으로 완전한 복구가 불가능해집니다.

이 시나리오에서 만약 에이전트 자체 보호 기능이 활성화되어 있었다면, 설정 파일 변경 자체가 차단되었을 것입니다. 또한 중앙 관리 콘솔에서 백업 대상 변경 내역이 즉시 알림으로 발송되어, IT 담당자가 이상을 감지할 수 있었을 것입니다. 에이전트 무결성 검증은 이런 "조용한 공격"을 탐지하는 유일한 방법입니다.

에이전트 보호를 포함한 다층 백업 보안 체계 구축

에이전트 무결성 검증은 백업 보안의 중요한 한 축이지만, 이것만으로 완벽한 보호가 이루어지는 것은 아닙니다. 진정한 백업 보안은 여러 계층의 보호가 겹치는 다층 방어 체계에서 달성됩니다. Acronis Cyber Protect가 제공하는 보호 계층을 정리하면 다음과 같습니다.

• 1층 - 에이전트 무결성 보호: 위에서 설명한 자체 보호 기능과 바이너리 해시 검증. 백업 도구 자체가 정상임을 보장하는 첫 번째 방어선입니다.
• 2층 - 백업 데이터 무결성: 백업된 데이터에 체크섬이나 블록체인 기반 공증(Acronis Notarization)을 적용하여, 백업 파일이 생성된 이후 변조되지 않았음을 검증합니다. 에이전트가 정상이라 하더라도, 저장소 레벨에서의 변조를 탐지합니다.
• 3층 - 안티랜섬웨어 엔진: AI 기반 행동 탐지 엔진이 랜섬웨어의 파일 암호화 행동 패턴을 실시간으로 감지하고 차단합니다. 에이전트 변조 시도 자체가 악성 행동으로 탐지될 수 있습니다.
• 4층 - 3-2-1 백업 규칙 적용: 최소 3개의 백업 복사본을, 2종류의 미디어에, 1개는 오프사이트에 보관하는 원칙입니다. 클라우드 백업을 활용하면 로컬 에이전트가 완전히 파괴되더라도 클라우드에서 복구가 가능합니다.
• 5층 - 불변 스토리지(Immutable Storage): 백업 데이터를 일정 기간 동안 삭제나 수정이 불가능한 불변 상태로 저장합니다. 공격자가 관리자 권한을 탈취하더라도 백업 데이터를 파괴할 수 없습니다.

이 5개 계층이 모두 갖추어져야 "백업 인프라가 안전하다"고 말할 수 있습니다. 한 계층이 뚫리더라도 다른 계층이 보호를 유지하는 것이 다층 방어의 핵심입니다.

마무리: 백업의 백업이 필요한 시대, KDSys와 함께 시작하세요

이 글에서 다룬 내용을 핵심만 정리하면 다음과 같습니다.

• 현대의 랜섬웨어는 백업 에이전트 자체를 먼저 공격합니다. 백업 로그의 "성공" 메시지를 맹신하면 안 됩니다.
• Acronis의 에이전트 자체 보호(Self-Protection) 기능은 커널 레벨에서 에이전트의 프로세스, 파일, 설정을 보호합니다.
• 에이전트 무결성 검증은 기술적 보안 수단인 동시에 개인정보보호법 등 법적 컴플라이언스 요건을 충족하는 데에도 기여합니다.
• 에이전트 보호만으로는 부족하며, 데이터 무결성, 안티랜섬웨어, 3-2-1 규칙, 불변 스토리지까지 포함하는 다층 방어 체계가 필요합니다.

KDSys는 Acronis의 공인 파트너로서, 단순히 제품을 설치하는 것이 아니라 고객사의 IT 환경을 분석하여 에이전트 보호 정책 수립부터 다층 백업 보안 아키텍처 설계까지 원스톱으로 지원합니다. 에이전트 자체 보호 기능이 올바르게 구성되어 있는지 무상 점검 서비스도 제공하고 있습니다.

백업 에이전트가 공격받으면 복구는 없습니다. 지금 바로 KDSys에 문의하여 여러분의 백업 인프라가 진정으로 안전한지 점검받으시기 바랍니다.