[랜섬웨어 예방 가이드 ⑥] 망을 나누면 확산을 막을 수 있다

[랜섬웨어 예방 가이드 ⑥] 망을 나누면 확산을 막을 수 있다

[핵심요약] 관리자 계정을 지키고 RDP를 막아도, 단말과 서버가 같은 망에 있으면 랜섬웨어 확산 확률은 100%예요. 망을 User·Server·Backup으로 나누고 백업망을 AD 도메인에서 완전히 분리하는 제로트러스트 구조가 마지막 방어선이 되는 이유를 짚어봐요.

지난 5화에서는 "리눅스는 원래 안전하다"는 통념이 왜 더 이상 유효하지 않은지, 킬린·아키라 같은 조직이 SSH와 ESXi를 어떻게 노리는지 다뤘어요. 이번 6화에서는 관리자 계정을 뚫든 RDP로 들어오든 SSH로 침투하든, 결국 공격자가 내부에서 마음껏 옆으로 이동하지 못하게 막는 방법 — 네트워크 분리와 제로트러스트 백업을 짚어볼게요.

망이 하나로 뚫려 있으면 왜 위험한가

업무용 PC가 모여 있는 사용자망, 핵심 서비스가 돌아가는 서버망, 백업 데이터가 보관된 백업망이 방화벽 없이 하나로 이어져 있으면 공격자 입장에서는 처음 뚫은 PC 한 대가 곧 전체망 입장권이에요. 사용자망은 인터넷 연결이 필요하니 완전히 막을 수 없지만, 서버망은 VLAN으로 분리하고 필수 포트만 열어두고, 백업망은 오프사이트·에어갭으로 최고 수준까지 격리해야 해요. Zone 간 통신은 방화벽과 Jump Server를 거치도록 강제하는 게 원칙이에요 — 단말과 서버가 동일망에 있으면 랜섬웨어 측면 이동 확률은 사실상 100%라고 보면 돼요.

이 확산 속도를 요즘은 사람이 아니라 AI가 앞당기고 있어요. 2026년 7월 보안업체 Sysdig는 JadePuffer라는 랜섬웨어 공격을 처음 문서화했는데, 공격자가 초기 침투 이후 정찰·자격증명 탈취·횡적 이동·권한 상승·암호화까지 전 과정을 LLM 에이전트에게 맡겼고, 이 에이전트는 사람 개입 없이 오류가 나면 31초 만에 스스로 수정된 공격 코드를 재배포하며 전체 공격을 15분 안에 끝냈어요. 사람이 하루 걸려 찾던 옆 서버로의 이동 경로를 AI 에이전트가 알아서 찾아 들어가는 시대가 된 거예요 — 망이 나뉘어 있지 않으면 이 속도를 사람이 손으로 막을 방법이 없어요.

왜 백업까지 같은 원리로 지켜야 하는가

요즘 공격은 정상 로그인 정보를 그대로 들고 관리자 권한까지 올라가는 방식이라, 단순히 경계를 지키는 것만으로는 막을 수 없어요 — Identity 자체가 지켜지지 않으면 제로트러스트도 랜섬웨어 대응도 무력화된다는 게 2026년 업계의 공통된 진단이에요. 그래서 백업 시스템의 계정 체계 자체를 운영 시스템과 완전히 갈라놓아야 해요. 백업 인프라를 별도의 인증 영역으로 독립시켜, 운영 쪽 최고 권한 계정 하나가 통째로 넘어가더라도 그 권한으로는 백업 쪽에 로그인 시도조차 할 수 없게 만드는 게 핵심이에요. 여기에 WORM(Write Once Read Many) 방식으로 보존 기간 동안은 해커는 물론 최고 관리자조차 데이터를 수정·삭제할 수 없게 잠가두면, 관리자 계정이 뚫린다고 백업까지 함께 파괴되는 최악의 시나리오를 막을 수 있어요.

비슷한 조직이 대비하려면

먼저 지금 네트워크 구성도를 꺼내서 사용자망·서버망·백업망이 실제로 물리적·논리적으로 분리돼 있는지부터 확인해 보세요. VLAN으로만 나뉘어 있고 방화벽 정책이 느슨하면 나뉜 게 아니에요 — Zone 간 통신은 반드시 필요한 포트만, Jump Server를 거쳐서만 허용되도록 정책을 좁혀야 해요.

백업 서버는 별도의 계정 체계로 운영하세요. 운영 서버 관리자와 백업 서버 관리자를 아예 다른 사람, 다른 인증 체계로 두면 한쪽이 뚫려도 다른 쪽은 그대로 살아남아요. 지금 백업 인프라가 사내 통합 인증(디렉터리 서비스)에 얼마나 걸쳐 있는지부터 점검해 보는 것이 시작이에요.

마지막으로 접근 제어를 "한 번 인증하면 계속 신뢰"하는 방식에서 "매번 확인하는" 방식으로 바꿔가야 해요. 정상 계정으로 로그인했다고 무한 신뢰하지 않고, 단말 상태·접근 위치·행동 패턴이 평소와 다르면 추가 인증을 요구하거나 접근을 제한하는 구조가 AI 기반 자동 공격 시대에는 특히 중요해요.

• 사용자 PC에서 서버망 핵심 자원으로 직접 접속되는 경로가 남아 있지는 않은지 확인해 보세요
• 백업 서버가 운영망 통합 인증 체계에 걸쳐 있어, 운영망 관리자 권한만으로도 로그인이 되는 상태는 아닌지 점검해 보세요
• 백업 스토리지에 WORM(수정 불가) 정책이 실제로 걸려 있는지, 관리자 계정으로도 삭제가 안 되는지 테스트해 보세요
• Zone 간 통신이 방화벽·Jump Server 없이 직접 연결돼 있는 구간이 있는지 점검해 보세요
• 평소보다 짧은 시간 안에 여러 서버로 연쇄 접속 시도가 발생한 로그가 있는지 확인해 보세요

Q. 중견기업인데 서버가 몇 대 안 돼도 망을 꼭 나눠야 하나요?

서버 대수와 무관하게 사용자망과 서버망, 백업망만이라도 물리적으로든 VLAN으로든 나눠두는 게 가장 비용 대비 효과가 큰 방어예요. 서버가 적을수록 한 대가 뚫렸을 때 파급력이 상대적으로 더 크기 때문이에요.

Q. 백업 서버를 AD에서 분리하면 관리가 너무 불편해지지 않나요?

초기 계정 체계를 따로 만드는 번거로움은 있지만, 그 불편함이 바로 해커도 넘어오지 못하는 이유예요. 편의성과 맞바꾼 만큼 최후의 보루로서 가치가 생기는 거예요.

관리자 계정을 지키고, RDP를 막고, BitLocker와 리눅스 경화까지 다 해도 망이 하나로 뚫려 있으면 결국 공격자는 어딘가로 옆걸음질쳐 들어와요. 특히 AI 에이전트가 사람보다 빠르게 횡적 이동 경로를 찾아내는 지금은, 애초에 옆으로 갈 길 자체를 끊어두는 네트워크 분리와 백업망 격리가 마지막 안전판이에요. 다음 7화에서는 그럼에도 뚫렸을 때 KISA 3-2-1 백업 전략과 5분 골든타임 대응법을 다뤄볼게요.

그런데 망을 아무리 잘 나눠도 백업망 자체가 결국 네트워크로 연결돼 있으면 완벽한 물리적 차단은 아니에요. 관리자 권한이 뚫려도 백업까지는 손대지 못하는 구조가 필요한데, 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요.