보안 상담을 받다 보면 RAID·스냅샷·EDR·UTM 같은 단어가 쏟아집니다. 뜻을 모르면 지금 우리 회사에 무엇이 있고 무엇이 없는지 판단할 수 없습니다. 현장에서 자주 나오는 용어를 비유 중심으로 정리했습니다.
01. 랜섬웨어와 공격
랜섬웨어 Ransomware
파일을 전부 잠가버리고 "풀어주는 대가로 돈을 내라"고 협박하는 악성코드입니다. Ransom(몸값) + Software의 합성어입니다.
비유 · 집에 몰래 들어와 모든 방에 자물쇠를 채우고 열쇠를 들고 나가는 도둑입니다. 물건을 훔쳐가는 게 아니라 내 물건을 내가 못 쓰게 만들어놓고 돈을 요구합니다.
복호화 키 Decryption Key
잠긴 파일을 다시 여는 열쇠입니다. 공격자만 갖고 있습니다.
지불은 해결책이 아닙니다돈을 줘도 열쇠를 안 주거나, 줘도 파일이 깨져 있는 경우가 흔합니다. 그리고 한 번 지불하면 "돈이 되는 대상" 명단에 올라 재공격을 받는 사례가 보고되고 있습니다. 지불 여부와 무관하게, 복구는 결국 백업에서 나옵니다.
이중 갈취 Double Extortion
잠그기 전에 파일을 먼저 훔쳐가서, "돈 안 내면 공개하겠다"고 한 번 더 협박하는 수법입니다.
비유 · 자물쇠를 채우기 전에 서류를 복사해 가는 겁니다. 자물쇠를 부숴도 복사본은 이미 밖에 나가 있습니다.
그래서백업만으로는 절반만 해결됩니다. 파일은 백업으로 되살릴 수 있지만, 이미 유출된 도면·계약서는 되돌릴 수 없습니다. 애초에 못 들어오게 막는 것과, 들어왔을 때 빨리 알아채는 것이 함께 필요한 이유입니다.
침투 경로
악성코드가 회사 안으로 어떻게 들어왔는지의 경로입니다. 대표적으로 다섯 가지입니다.
| RDP 개방 | 원격접속 문이 인터넷에 열려 있는 경우 — 비중 1위 |
| 이메일 첨부 | 거래명세서·인보이스·이력서로 위장한 파일 |
| 장비 취약점 | 구형 방화벽·VPN 장비의 미패치 구멍 |
| P2P·불법 다운로드 | 업무와 무관한 개인적인 다운로드 |
| 노출된 NAS | 외부에서 접속되게 열어둔 저장장치 |
경로를 모르면 문이 계속 열려 있습니다피해를 겪고도 어디로 들어왔는지 끝내 확인하지 못하는 경우가 많습니다. 그러면 복구를 해도 같은 문이 그대로 남아 재감염됩니다. 위 다섯 가지는 전문 장비 없이도 하나씩 확인해볼 수 있습니다.
잠복기
악성코드가 들어온 뒤 바로 터지지 않고 며칠~몇 주 조용히 돌아다니는 기간입니다.
비유 · 도둑이 들어와서 바로 털지 않고, 며칠간 집 구조를 파악하고 금고 위치와 비상열쇠(백업)가 어디 있는지부터 찾습니다. 그리고 백업을 먼저 망가뜨린 뒤 새벽에 일제히 잠급니다.
중요한 이유이 구간이 탐지해서 막을 수 있는 사실상 유일한 시간입니다. 암호화가 끝난 뒤에는 백업 외에 방법이 없습니다.
측면 이동 Lateral Movement
PC 한 대를 뚫은 뒤 옆 PC, 서버, NAS로 차례차례 번져가는 과정입니다.
비유 · 아파트 한 집에 들어온 도둑이, 그 집에서 찾은 마스터키로 위층 집들을 차례로 여는 겁니다.
그래서PC와 서버·NAS가 전부 한 망에 붙어 있으면 하루면 전사에 도달합니다. 망분리와 권한 정리가 이 확산을 막습니다.
제로데이 / 파일리스
제로데이는 아직 수리(패치)가 나오지 않은 새 구멍입니다. 파일리스는 악성 파일을 저장하지 않고 Windows에 원래 있는 정상 프로그램만 이용해 공격하는 방식입니다.
백신이 못 잡는 이유제로데이는 수배 전단에 아직 안 실린 얼굴이고, 파일리스는 검사할 파일 자체가 없습니다. 백신만으로 부족하고 EDR이 거론되는 이유가 여기 있습니다.
02. 백업
한 줄로 정리하면미러링 ✕ · 스냅샷 ○ · 불변 스냅샷 ◎ · 오프라인 사본 ◎
"백업 서버가 있다"는 말이 실제로는 미러링인 경우가 많습니다. 그 경우 랜섬웨어 대비는 사실상 없는 상태입니다.
미러링 Mirroring
원본이 바뀌면 복사본도 실시간으로 똑같이 바뀌는 구조입니다. 백업이 아닙니다.
비유 · 원본 서류와 복사본을 같은 사무실에 두고, 원본에 낙서하면 복사본에도 자동으로 똑같이 낙서되는 겁니다. 불이 나면 둘 다 탑니다.
왜 위험한가랜섬웨어가 원본을 암호화하는 순간 복사본도 즉시 암호화됩니다.
스냅샷 Snapshot
특정 시점의 상태를 사진처럼 찍어두는 기능입니다. 어제·그저께·10일 전 상태를 각각 보관하므로, 감염 직전 시점으로 되돌릴 수 있습니다.
비유 · 매일 밤 서류함을 통째로 사진 찍어두는 겁니다. 오늘 낙서가 됐어도 "3일 전 사진 가져와" 하면 그때 상태로 복원됩니다.
알아두세요대부분의 NAS가 기본으로 지원하는 기능입니다. 쓰고 있는 장비에 이미 있는데 안 켜둔 경우가 의외로 많습니다.
불변 스냅샷 Immutable Snapshot
정해진 기간 동안 관리자조차 지울 수 없게 잠가두는 스냅샷입니다.
비유 · 사진을 찍어서 타임락 금고에 넣는 겁니다. 30일이 지나기 전엔 열쇠를 가진 사람도 못 엽니다.
왜 필요한가요즘 랜섬웨어는 NAS 관리자 계정을 훔쳐서 스냅샷부터 삭제합니다. 일반 스냅샷만으로 부족한 이유입니다. 쓰시는 NAS 모델이 이 기능을 지원하는지 확인해보세요.
오프라인 사본 / 에어갭 Air Gap
백업 매체를 아예 네트워크에서 분리해서 따로 보관하는 방식입니다.
비유 · 서류 복사본을 건물 밖 다른 창고에 두는 겁니다. 원시적이지만 불이 나도 절대 안 탑니다.
가장 단순하고 확실합니다외장하드에 주 1회 받아서 선을 뽑아 보관하기만 해도 최후의 방어선이 생깁니다. 비용도 가장 적게 듭니다.
3-2-1 원칙
백업의 국제 표준 공식입니다. 사본 3개 · 서로 다른 매체 2종류 · 그중 1개는 물리적으로 떨어진 곳.
지금 우리 회사는?많은 중소기업의 실제 상태는 사본 1개 · 매체 1종 · 외부 보관 없음에 가깝습니다. 세 숫자를 세어보는 것만으로 부족한 지점이 바로 드러납니다.
RTO / RPO
백업 설계의 두 가지 기준입니다.
| RTO | 복구 목표 시간 — "사고가 나면 몇 시간 안에 다시 돌아가야 하나?" |
| RPO | 복구 목표 시점 — "몇 시간 전 데이터까지는 잃어도 견딜 수 있나?" |
먼저 답해보세요이 두 질문에 대한 답이 정해져야 백업을 얼마나 자주, 어디까지 받아야 하는지가 결정됩니다. 생산·수주 데이터를 다루는 회사라면 대개 "하루치도 못 잃는다"가 답입니다.
복구 테스트
백업본으로 실제로 되살려보는 것입니다.
이게 핵심입니다받아만 두면 백업이 아닙니다. 백업이 돌고 있다고 믿었지만 수개월 전부터 멈춰 있었고 아무도 몰랐던 사례는 드물지 않습니다. 화면에 오류가 안 뜬다고 정상이라는 뜻은 아닙니다.
분기 1회라도 실제 복구를 시도해보는 절차를 만들어두세요.
03. 저장장치
NAS Network Attached Storage
네트워크에 연결된 공용 저장장치입니다. 여러 사람이 같은 폴더를 함께 쓰려고 놓습니다.
비유 · 사무실 한가운데 놓인 공용 서류함입니다. 누구나 열어서 넣고 뺄 수 있습니다.
위험편해서 다들 쓰는데, PC와 상시 연결돼 있으면 랜섬웨어 입장에선 그냥 또 하나의 폴더입니다. PC가 감염되면 NAS 안의 파일까지 전부 잠깁니다. 여기에 백업까지 넣어뒀다면 백업본도 함께 날아갑니다.
RAID
여러 개의 하드디스크를 묶어서 한 개가 고장 나도 데이터가 살아남게 하는 기술입니다.
비유 · 서류를 두 장씩 만들어 같은 서류함의 다른 칸에 넣어두는 겁니다. 한 칸이 부서져도 다른 칸에 남아 있습니다.
가장 흔한 오해RAID는 백업이 아닙니다. 디스크 고장은 막아주지만, 랜섬웨어가 걸리면 묶인 디스크 전체가 함께 암호화됩니다. 같은 서류함 안이기 때문입니다.
"저희는 RAID로 되어 있어서 괜찮아요"가 성립하지 않는 이유입니다.
서버
하드웨어는 일반 PC와 거의 같습니다. 차이는 세 가지입니다.
| 운영체제 | 일반 Windows가 아니라 Windows Server 같은 서버용 OS를 씁니다 |
| 24시간 가동 | 꺼지면 안 되므로 UPS(정전 대비 배터리)를 붙입니다 |
| 고장 대비 | 전원장치 2개, 디스크 RAID 등 안 멈추게 구성합니다 |
UPS 무정전 전원장치
정전이 나도 배터리로 몇 분간 버텨서 서버를 안전하게 끌 수 있게 해주는 장비입니다.
지금 확인해보세요배터리 수명이 3~5년인데 대부분 그대로 방치되어 있습니다. 본체 라벨의 제조일자를 보세요. 5년이 넘었다면 정전 시 사실상 없는 것과 같습니다.
04. 엔드포인트 보안
백신 AV, Anti-Virus
이미 알려진 악성코드를 목록과 대조해서 막습니다.
비유 · 정문 경비원이 든 수배 전단입니다. 전단에 있는 얼굴은 확실히 막지만, 전단에 없는 얼굴은 그냥 통과합니다.
EDR Endpoint Detection & Response
파일이 아니라 행동을 봅니다. 정체가 무엇이든 "문서를 대량으로 암호화하기 시작했다"는 행위 자체를 이상으로 판단해 차단합니다.
비유 · 건물 전체의 CCTV + 통제실입니다. 누가 어느 층 어떤 문을 열었는지 전부 기록하고, 창고에서 서류를 마구 꺼내면 그게 누구든 즉시 그 층을 봉쇄합니다.
기록이 남는다는 점이 큽니다피해를 겪고도 "왜 걸렸는지" 끝내 모르는 경우가 많습니다. EDR은 어느 PC에서 어떤 경로로 몇 시에 시작됐는지 기록을 남기기 때문에, 같은 일이 반복되는 것을 막을 수 있습니다.
EDR이 하는 5가지
| ① 수집 | PC에서 벌어지는 동작을 계속 기록 |
| ② 탐지 | 이상한 조합을 발견 (예: 문서 프로그램이 명령어 도구를 실행) |
| ③ 격리 | 감염 PC를 네트워크에서 끊어 확산 차단 |
| ④ 추적 | 침투 경로 전체를 타임라인으로 재구성 |
| ⑤ 복원 | 일부 제품은 암호화된 파일을 감염 직전으로 되돌림 |
EPP / XDR / MDR
| EPP | 예방 패키지. 백신 + 방화벽 + USB 통제를 묶은 것. 요즘 "백신 산다"는 대개 이걸 말합니다 |
| XDR | EDR을 네트워크·메일·클라우드까지 확장한 것. 대기업 규모에 맞는 구성입니다 |
| MDR | EDR 운영을 전문 인력이 대신 봐주는 서비스 |
규모에 맞게 고르셔야 합니다전산 담당자가 없는 회사가 EDR만 도입하면 경고가 떠도 볼 사람이 없습니다. 장비·제품보다 "누가 이걸 계속 볼 것인가"를 먼저 정하는 편이 현실적입니다.
오탐 / 미탐
오탐은 멀쩡한 걸 악성으로 잘못 잡는 것(업무가 멈춤), 미탐은 악성을 놓치는 것(사고가 남)입니다.
도입 초기를 감안하세요어떤 제품이든 도입 초기 1~2개월은 오탐이 많이 발생합니다. 우리 회사 업무 패턴에 맞춰 조정하는 기간이 반드시 필요하며, 이 과정을 건너뛰면 직원들이 경고를 무시하게 됩니다.
05. 네트워크 보안
방화벽 Firewall
외부 인터넷과 사내망 사이의 관문입니다. 누가 들어오고 나가는지 통제합니다.
비유 · 건물 정문과 경비실입니다.
UTM 통합 위협 관리
방화벽 + 침입차단 + 백신 + 웹사이트 필터링을 한 장비에 합쳐놓은 것입니다. 중소기업 표준 구성입니다.
이걸로 되는 것들P2P 차단, 유해사이트 차단, 개인 웹메일 차단 등이 전부 이 장비의 URL 필터링 기능으로 처리됩니다. 별도 장비를 더 살 필요가 없는 경우가 많습니다.
라이선스 만료일을 확인하세요만료되면 장비는 켜져 있어도 위협 탐지 기능이 멈춥니다. 불이 들어와 있으니 동작한다고 착각하기 쉬운 부분입니다.
URL 필터링 / P2P
URL 필터링은 특정 사이트 접속을 막는 기능입니다. P2P는 개인끼리 파일을 직접 주고받는 방식(토렌트 등)으로, 악성코드 유입 경로로 악명이 높습니다.
RDP 원격 데스크톱
밖에서 사무실 PC 화면을 그대로 가져다 쓰는 기능입니다. 재택근무나 야간 확인용으로 열어두는 경우가 많습니다.
침투 경로 1위인터넷에 직접 열어두면, 공격자가 자동 프로그램으로 전 세계를 훑다가 열린 문을 찾아 비밀번호를 무차별 대입합니다.
방화벽 정책에서 3389 포트가 외부로 열려 있는지 확인해보세요. 열려 있다면 가장 먼저 손봐야 할 항목입니다.
VPN
밖에서 사내망으로 안전하게 들어오는 터널입니다.
비유 · RDP를 직접 여는 게 대문을 활짝 열어두는 것이라면, VPN은 경비실에서 신원 확인 후 통과시키는 것입니다.
권장 구성RDP를 없애는 게 아니라, VPN을 먼저 거친 뒤에만 RDP를 쓰게 만드는 것이 일반적인 해법입니다.
망분리 / VLAN
하나의 네트워크를 여러 구역으로 쪼개는 것입니다. VLAN은 그것을 스위치에서 논리적으로 구현하는 기술입니다.
비유 · 층과 층 사이의 방화문입니다. 1층에 불이 나도 2층으로 안 번집니다.
전면 분리는 신중히"인터넷용 PC를 따로 두는" 완전 분리 방식은 확실하지만 업무 제약이 커서 오래 유지되지 못하는 경우가 많습니다. 핵심 서버 구간만 분리하는 절충안이 현실적인 출발점입니다.
NAC Network Access Control
등록되지 않은 기기가 사내망에 들어오지 못하게 막습니다.
비유 · 출입 카드 리더기입니다. 외부인이 노트북을 들고 와 랜선을 꽂아도 차단됩니다.
06. 메일 보안
클라우드 메일 보안 Secure Email Gateway
현재 쓰는 메일은 그대로 두고, 앞단에서 스팸과 악성 첨부만 걸러내는 서비스입니다. 장비 없이 월 구독으로 씁니다.
비유 · 우편물이 사무실에 오기 전에 중간에서 검사하는 우편 검열소를 두는 겁니다.
자체 메일서버와 비교하면메일서버를 직접 구축·운영하는 것은 전산 담당자가 없는 회사엔 부담이 큽니다. 기존 메일을 그대로 두고 앞단만 붙이는 방식이 훨씬 가볍습니다.
MX 레코드 / 포워딩
도메인의 메일 수신 주소(MX 레코드)를 보안 서비스 쪽으로 바꿔두면, 메일이 검사소를 먼저 거친 뒤 회사로 들어옵니다.
쉽게 말하면우편물 배송 주소를 검열소 주소로 바꿔놓는 겁니다. 직원들은 사용법의 변화를 거의 느끼지 못합니다.
피싱 / 스피어피싱 / BEC
| 피싱 | 불특정 다수에게 뿌리는 낚시 메일 |
| 스피어피싱 | 특정인을 조사해서 거래처 담당자 이름까지 흉내낸 맞춤형 메일 |
| BEC | 거래처를 사칭해 "계좌가 바뀌었으니 이쪽으로 송금해달라"고 유도. 실제 금전 피해로 직결 |
수출입 거래가 있다면 특히영문 인보이스·선적서류로 위장한 메일에 직접적으로 노출됩니다. 송금 계좌 변경 요청은 반드시 기존에 알던 연락처로 전화해 확인하는 절차를 만들어두세요.
사설메일 차단 정책
직원들이 개인 웹메일을 업무에 쓰지 못하게 막고 회사 메일만 쓰게 하는 정책입니다. UTM의 URL 필터링으로 구현합니다.
왜 필요한가개인 메일로 들어온 악성 첨부는 회사 메일 보안을 완전히 우회합니다. 검열소를 세워놓고 뒷문으로 우편물을 받는 셈입니다.
07. 계정과 관리
AD 도메인 Active Directory
회사 PC 전체를 한 대의 서버에서 통째로 관리하는 체계입니다.
비유 · 아파트 단지의 관리사무소입니다. 모든 세대가 등록돼 있어서 방송 한 번이면 전 세대에 동시 전달됩니다.
작업 규모가 크게 달라집니다보안 프로그램을 전사에 설치할 때, 도메인이면 서버에 한 번 등록해 자동 배포가 되지만 작업 그룹이면 PC를 한 대씩 직접 돌아야 합니다. 확인법: PC를 켤 때 회사 계정으로 로그인하는지 보세요.
작업 그룹 Workgroup
관리 서버 없이 PC가 각자 독립적으로 돌아가는 상태입니다. Windows 기본값입니다.
확인법아무 PC에서 Win + R → sysdm.cpl 입력. "작업 그룹: WORKGROUP"이라고 나오면 이 상태입니다.
GPO / 일괄배포
AD 서버에서 "이 프로그램을 모든 PC에 설치해라"라고 한 번 등록해두는 기능입니다.
비유 · 관리사무소가 마스터키로 각 세대에 들어가 설치하고 나오는 겁니다. 직원은 아무것도 하지 않습니다. PC를 켜면 로그인 화면이 뜨기 전에 설치가 끝나 있습니다.
관리자 권한 / 최소 권한 원칙
업무에 꼭 필요한 권한만 주는 원칙입니다.
비유 · 일반 직원이 모든 방을 여는 마스터키를 갖고 있으면, 그 사람이 속는 순간 건물 전체가 열립니다.
돈이 들지 않는 개선일반 직원 PC의 관리자 권한을 회수하는 것만으로도 랜섬웨어 피해 범위가 크게 줄어듭니다. 장비를 사기 전에 먼저 해볼 수 있는 조치입니다.
08. 업무 시스템
MES Manufacturing Execution System
생산관리 시스템입니다. 공장에서 무엇을 언제 얼마나 만들었는지, 어떤 자재가 들어갔는지, 검사 결과는 어땠는지를 전부 기록하고 관리합니다.
비유 · 공장의 생산 일지 겸 관제탑입니다. 사무실의 ERP가 돈의 흐름을 관리한다면, MES는 현장의 물건 흐름을 관리합니다.
제조업에서 특히 치명적입니다맞춤 설계·소량 다품종 생산을 하는 회사일수록, MES 데이터가 잠기면 진행 중인 수주 건의 생산 이력·검사 기록이 통째로 마비됩니다. 백업 우선순위를 정할 때 가장 앞에 두어야 할 데이터입니다.
원 서버 / 백업 서버
업무 시스템이 실제로 돌아가는 서버가 원 서버, 그 내용을 받아두는 것이 백업 서버입니다.
가장 흔한 실패 조합① 백업 서버가 실제로는 미러링이어서 애초에 랜섬웨어 대비가 안 되는 구조
② 그마저도 어느 시점부터 연결이 끊겨 있었는데 아무도 몰랐음
두 번째가 특히 위험합니다. 백업은 조용히 멈춥니다. 알림을 설정해두지 않으면 사고가 난 뒤에야 알게 됩니다.
출력물 보안 Pull Printing
출력 버튼을 눌러도 바로 나오지 않고, 복합기 앞에서 사원증을 찍어야 그때 인쇄되는 방식입니다.
비유 · 택배를 문 앞에 두지 않고 본인이 무인함에서 인증하고 찾아가는 것과 같습니다.
요구받는 경우가 늘고 있습니다대기업 원청이 협력사 보안점검 항목에 포함시키는 경우가 많아졌습니다. 자세한 내용은
복합기 출력물 보안 글에서 다뤘습니다.
공급망 공격 / 원청 보안 요구
원청은 일감을 주는 상위 발주 기업입니다. 최근 원청이 협력사에 보안 수준을 요구하는 사례가 늘고 있습니다.
왜 협력사에 요구하나대기업은 보안이 두껍기 때문에, 공격자가 상대적으로 방어가 얇은 협력사를 먼저 뚫고 그 통로로 본사에 들어갑니다. 이를 공급망 공격이라 하며, 그래서 원청이 협력사의 보안 수준까지 관리하려 합니다.
09. 유지보수 계약 용어
보안·유지보수 업체와 계약하실 때, 아래 세 가지는 반드시 확인하시길 권합니다.
SLA Service Level Agreement
"어느 수준까지 보장하겠다"는 약속을 계약서에 명시한 것입니다.
확인하실 것"원격지원 O시간 내, 방문 O영업일 내"처럼 숫자로 적혀 있는지 보세요. "신속히 대응한다"처럼 두루뭉술한 문구는 사실상 아무 약속도 아닙니다. 반대로 인력 규모에 비해 지나치게 후한 조건(예: 소규모 업체의 24시간 즉시 대응)도 실제로는 지켜지기 어렵습니다.
별지
계약서 본문 뒤에 붙이는 부속 목록입니다.
확인하실 것유지보수 대상 장비 목록이 별지로 명확히 첨부되어 있는지 보세요. 목록이 없으면 나중에 "그건 계약 범위가 아니다" 혹은 반대로 범위가 무한정 늘어나는 분쟁이 생깁니다. 양쪽 모두에게 필요한 문서입니다.
면책 조항
업체가 책임지지 않는 범위를 명시하는 조항입니다.
확인하실 것보안 서비스는 원리상 감염 "방지"를 100% 보증할 수 없습니다. 그러니 "완벽히 막아드립니다"라고 말하는 업체보다, 어디까지 책임지고 어디부터는 아닌지 문서로 명확히 하는 업체가 신뢰할 만합니다.
특히 업무용 응용프로그램(ERP·MES 등) 자체의 기능 장애는 해당 프로그램 공급사 소관인 경우가 많으므로, 이 경계가 계약서에 적혀 있는지 확인하세요.
마치며
용어를 아는 것 자체가 목적은 아닙니다. 다만 지금 우리 회사에 무엇이 있고 무엇이 없는지 판단하려면 최소한의 공통 언어가 필요합니다.
이 문서에서 처음 보는 단어가 많으셨다면, 그 영역이 아직 점검되지 않은 곳일 가능성이 큽니다. 전부 한 번에 갖출 필요는 없습니다. 백업부터 하나씩 확인해보시길 권합니다.
오에스 Total Office Solution