랜섬웨어 공격 후 파일 버전을 얼마나 오래 보관해야 할까요?

랜섬웨어 공격 후 최소 30~90일 동안 일일 파일 버전을 보관하는 것을 실용적인 시작 범위로 삼으세요. 그러나 이를 보편적인 삭제 기한으로 간주하지 마세요. 보존 기간은 가장 이른 합리적인 침해 날짜를 넘어서야 하며, 선택된 주간 또는 월간 깨끗한 지점을 보존하고, 복구, 조사, 보험, 법률 및 준수 작업이 완료될 때까지 사고 증거를 별도로 보관해야 합니다.

실용적인 시작 범위는 30~90일입니다

많은 백업 설계는 운영용 랜섬웨어 복구를 위해 30~90일간의 일일 불변 기록을 사용합니다. 불변 백업 개요에서는 30~90일이 랜섬웨어 보호를 위한 일반적인 일일 보존 범위라고 언급합니다. 이를 시작점으로 삼되, 가장 오래된 보존 버전이 반드시 깨끗하다는 보장은 아닙니다.

감염이 빠르게 감지되고, 오래된 복사본이 격리되었으며, 깨끗한 복원이 이미 입증된 경우에만 하한선이 합리적입니다.

랜섬 노트가 나타나기 전에 시간을 시작하세요

보이는 암호화 이벤트는 초기 접근 후 며칠 또는 몇 주 후에 발생할 수 있습니다. 랜섬웨어 백업 전략은 초기 침해와 보이는 랜섬웨어 이벤트 사이의 체류 시간을 고려해야 합니다. 가장 이른 의심스러운 로그인, 스크립트, 자격 증명 사용 또는 파일 변경이 암호화 45일 전에 발생했다면 30일 버전 윈도우에는 깨끗한 지점이 없을 수 있습니다.

로그, 엔드포인트 경고, 신원 기록, 사고 대응 결과에서 가장 이른 합리적인 침해 날짜를 사용하세요. 그런 다음 불완전한 증거에 대비해 안전 마진을 추가하세요. 보존 기간은 사용자가 처음으로 암호화된 파일을 본 날짜가 아니라 그 날짜를 포함해야 합니다.

하나의 롤링 윈도우 대신 계층화된 보존 방식을 사용하세요

평탄한 롤링 윈도우는 동일한 일정에 따라 모든 오래된 클린 포인트를 삭제할 수 있습니다. 계층화된 보존은 밀집된 최근 버전을 유지하면서 더 적은 장기 체크포인트를 보존합니다.

최근 보존 분석은 선택된 주간 및 월간 복원 지점이 손상된 짧은 롤링 윈도우를 넘어 복구를 연장할 수 있는 이유를 보여줍니다. 정확한 계층은 데이터 가치, 저장 예산 및 탐지 능력에 따라 달라야 합니다.

사건 시기 복사본을 정상 회전 주기 외부에 보존하세요

정상적인 정리 작업이 사건을 이해하는 데 필요한 버전, 로그, 백업 카탈로그, 랜섬 노트, 영향을 받은 파일 샘플 및 구성 기록을 삭제하지 않도록 하세요. 사건 보류를 생성하거나 해당 자료를 문서화된 접근 권한이 있는 보호된 위치로 내보내세요.

사고 증거 및 운영 백업 보존은 서로 다른 문제를 해결합니다. 백업 기록은 복구 옵션을 제공하며, 사고 보류는 범위 분석, 보험, 법적 검토 및 교훈 학습을 지원합니다. 삭제는 해당 의무를 담당하는 사람들과 조율하세요. 이 문서는 운영 지침이며 법적 조언이 아닙니다.

느리게 변경되고 드물게 열리는 파일은 더 오래 보존하세요

랜섬웨어는 파일이 드물게 열리는 경우 누군가 알아차리기 훨씬 전에 파일을 수정할 수 있습니다. 아카이브, 세금 기록, 디자인 자산, 프로젝트 마스터, 가족 사진 및 역사적 문서는 활성 작업 폴더보다 더 긴 버전 기록이 필요합니다.

오래된 버전을 삭제하기 전에 최신 클린 버전을 찾으세요

암호화 이전의 최신 버전이 자동으로 안전한 것은 아닙니다. 사이버 복구는 침해 지표가 없고 공격자를 다시 연결하지 않고 실행할 수 있는 지점을 식별해야 합니다. 복구 워크플로우는 복원 지점이 스캔되고 검증될 때까지 최신 깨끗한 백업이 알려지지 않았다고 가정해야 합니다.

후보 버전을 격리된 위치에서 검증하세요. 파일 읽기 가능성, 의미 있는 경우 해시, 애플리케이션 일관성, 악성코드 지표, 사용자 권한, 대표적인 오래된 파일 열기 가능성을 확인하세요. 적어도 하나의 깨끗한 지점이 테스트를 통과할 때까지 오래된 버전을 유지하세요.

복원 테스트가 실제 보존 한계를 설정합니다.

보존 정책은 버전을 복원할 수 있을 때만 유용합니다. 복구 계획 지침은 파일 복구가 실제로 가능한지 증명하는 정기 복원 테스트를 권장합니다.

최신 버전, 의심되는 침해 경계 근처 버전, 그리고 오래된 주간 또는 월간 기준점 등 최소 세 지점을 테스트하세요. 최신 버전만 테스트하면 랜섬웨어 복구에 필요한 장기 버전이 완전하고 복호화 가능하며 올바르게 인덱싱되었는지 알 수 없습니다.

오래된 버전이 공격 경로를 견디는지 확인하세요.

쓰기 가능한 공유 폴더에서의 장기 보존은 동일한 침해된 계정이 삭제할 수 있다면 장기 보호를 제공하지 않습니다. 오래된 버전은 권한, 저장소 계정, 관리 도메인, 네트워크 경로 또는 오프라인 회전으로 분리해야 합니다. 불변성은 설정된 기간 동안 조기 삭제를 방지하며, 오프라인 복사본은 실시간 공격 경로를 제거합니다.

ZimaSpace의 백업 제어 평면과 불변 복구 복사본 보호 가이드는 보존 설정, 저장소, 자격 증명, 백업 콘솔을 함께 보호해야 하는 이유를 설명합니다.

스토리지가 보존 계획을 지속할 수 있는지 확인하세요.

활성 파일 크기뿐만 아니라 일일 변경률에서 용량을 추정하세요. 간단한 계획 모델은 다음과 같습니다:

필요한 버전 용량 ≈ 기본 복사본 + 유지되는 일일 변경분 + 주간/월간 기준점 + 임시 복원 및 검증 공간.

몇 주간 실제 저장소 증가량을 측정하세요. 압축, 중복 제거, 데이터베이스 변동, 삭제된 파일 보존, 변경 불가능 잠금 기간, 병합 또는 복원 테스트에 필요한 작업 공간을 포함하세요. 용량이 너무 작으면 전체 깨끗한 지점 창을 단축하기 전에 저가치 폴더의 버전 빈도를 줄이세요.

특정 조건이 충족된 후에만 보존 기간을 단축하세요

다음 모든 조건이 충족된 후에만 촘촘한 일일 기록을 줄이는 것을 고려할 수 있습니다:

• 가장 이른 합리적 의심 침해 날짜가 확립되었습니다.
• 최소한 하나의 깨끗한 복구 지점이 격리 상태에서 검증되었습니다.
• 사고 증거가 정상 백업 순환 외부에 보존되었습니다.
• 중요 시스템과 파일이 소유자에 의해 복원 및 검증되었습니다.
• 보안, 법무, 보험 및 규정 준수 담당자가 정상 삭제를 승인했습니다.
• 주간 및 월간 기준점은 지연 발견 및 계절별 데이터를 여전히 커버합니다.

어떤 조건도 해결되지 않았다면 이전 지점을 보존하세요. 저장 공간 부족은 공격 이전 버전을 삭제할 안전한 이유가 아닙니다.

버전이 클라우드 동기화 서비스에 저장된 경우 신속히 조치하세요

클라우드 파일 기록 및 휴지통 보존 기간은 백업 정책보다 짧을 수 있으며, 랜섬웨어 변경 사항이 클라우드에 동기화될 수 있습니다. 복구 안내에서는 서비스 보존 한도가 만료되면 오래된 파일 버전과 삭제된 항목이 사라질 수 있음을 경고합니다.

깨끗한 장치에서 적절한 경우 동기화를 중지하고, 계정을 보존하며, 중요한 버전을 내보내고, 가장 이른 사용 가능한 깨끗한 시점을 문서화하세요. 클라우드 제공자가 무제한 기록을 보관한다고 가정하지 마세요.

자주 묻는 질문

암호화된 파일이 포함되었을 수 있는 버전은 언제 삭제할 수 있나요?

사고 범위가 파악되고, 깨끗한 버전이 복원 및 테스트되었으며, 증거가 보존되고, 법적 또는 보험상의 보류가 해제된 후에만 삭제하세요. 의심스러운 버전은 생산 환경에 다시 섞지 말고 격리하세요.

더 많은 버전이 항상 더 안전한가요?

아니요. 더 많은 버전이 도움이 되려면 완전하고 삭제로부터 보호되며 인덱싱되고 복호화 가능하며 정기적으로 테스트되어야 합니다. 동일한 침해된 계정으로 관리되는 수백 개의 버전도 함께 실패할 수 있습니다.

스냅샷과 독립 백업은 동일한 보존 기간을 사용해야 하나요?

보통 그렇지 않습니다. 로컬 스냅샷은 짧은 기간 내에 자주 롤백할 때 유용하며, 독립적이거나 변경 불가능한 백업은 장기적인 랜섬웨어 및 재해 복구를 대비해야 합니다. 하나의 저장소 장애나 계정 침해로 모든 복구 지점이 삭제되지 않도록 서로 다른 보존 등급을 사용하세요.