웹호스팅 업체 랜섬웨어 감염(2020. 05. 08)

웹호스팅 업체 ooo가 지난 5월 8일 저녁 랜섬웨어에 감염됐으며, 현재 서버 복구에 나선 것으로 확인됐다. 

한국인터넷진흥원(KISA) 및 업계에 따르면 웹호스팅 업체 ooo 의 웹호스팅 서버 일부가 랜섬웨어에 감염돼 현재 복구가 진행중이다.

ooo가 랜섬웨어 감염을 확인한 것은 지난 5월 8일 19시로, 공격 확인즉시 한국인터넷진흥원 침해대응센터와 사이버수사대에 신고했다. 

감염이 확인된 서버는 리눅스 웹호스팅 관련 서버 40대로 백업 데이터를 기반으로 자료복구 및 OS 재설치에 나섰다고 ooo 측은 밝혔다.

이에 대해 KISA 관계자는 "지난 8일 관련 사항이 신고 접수됐다"며 "현재 현장 지원을 나간 상태"라고 말했다.

ooo에 따르면 리눅스 웹호스팅 관련 서버 40대 등이 랜섬웨어 피해를 입었다.

그나마 백업 상태가 양호해 복구가 이뤄지는 상황이다. 

서버 백업 데이터를 기반으로 자료 복구 및 운영체제(OS) 재설치가 진행했다. 

현재까지 리눅스 서버 40대 모두와 데이터베이스(DB) 서버 15대 중 80% 가량이 복구됐다. 

웹서버 복구율은 28%다.

ooo측은 "지금 당장은 완벽한 서비스는 힘들더라도 순차적으로 서비스를 재개할 예정"이라며 "진행 상황은 수시로 ooo 홈페이지 공지를 통해 업데이트 할 것"이라고 했다.

ooo는 백업이 잘 돼 있어 복구 되는 것으로 보인다"며 "웹 호스팅 업체들의 경우 지능형지속위협(APT) 공격과 랜섬웨어 위협이 결합돼 진행돼 각별한 주의가 필요하다"고 강조했다.

이어 "최근에는 기존에는 잘 알려지지 않은 새로운 리눅스 랜섬웨어도 발생하는 추세"라며 "백업 서버는 반드시 분리된 상태에서 운영관리 돼야 한다"고 강조했다.

[랜섬웨어 관련 5차 공지] 진행 상황 안내

안녕하세요 ooo 입니다.

랜섬웨어 관련 2020년 5월 12일 현재 진행 상황을 안내 드립니다.

현재까지,
감염이 확인된 리눅스 웹호스팅 서버 40대중, 데이터베이스 서버 15대 모두 복구를 완료했고 웹서버 25대중에 11대를 복구완료 하고 서비스 테스트 중에 있습니다. 

그리고, 나머지 14대에 대해 복구 진행중 입니다.

또한, 한국인터넷진흥원 침해대응팀의 긴밀한 협조 와 도움으로 백업데이타를 추가 확보함으로 복구의 속도를 더 높일수 있게 되었습니다.

ooo 임직원 모두 빠른복구 작업이 진행되도록 더욱 노력하겠습니다. 

고객님들께 다시 한번 더 양해 부탁드립니다.

* 리눅스 웹호스팅 서비스 이외의 도메인 / 서버호스팅/윈도우 호스팅 / 달팽/ 등 기타 서비스에는 영향이 없음을 알려드립니다.

-000 임직원 일동 -

 

컨설팅 : ISMS-P, ISO27001, GDPR, PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

안랩, 넴티 랜섬웨어(이력서를 위장한 이메일)주의 당부 (20.03.20)

안랩, 넴티 랜섬웨어(이력서를 위장한 이메일)주의 당부

“이력서 보냅니다” 열고 보니 악성파일"

안랩은 최근 채용시즌을 노려 이력서를 위장한 이메일 첨부파일로 유포되는 ‘NEMTY 랜섬웨어(이하 넴티 랜섬웨어)’를 발견해 사용자의 주의를 당부했다.

공격자는 메일 본문에는 ‘공고를 본 지는 조금 되었지만 지원한다’며 ‘이력서와 포트폴리오를 같이 보낸다’는 자연스러운 한글 메시지를 포함했다.

이는 메일 수신자의 의심을 피하고 모집기간이 아닌 기업의 담당자도 악성 첨부파일을 열어보도록 유도하기 위한 것으로 추정된다.

첨부파일로는 특정인의 이름을 제목으로 한 압축파일(.tgz)을 첨부했다. 

내려받은 압축파일의 압축을 해제하면 ‘포트폴리오(200317)_뽑아주시면 열심히하겠습니다’와 ‘입사지원서(200317)_뽑아주시면 열심히하겠습니다’라는 제목의 파일이 나타난다. 

두 파일 모두 PDF문서파일로 보이지만 실제로는 아이콘을 바꿔 문서파일로 위장한 실행파일(.exe)이다. 

만약 사용자가 해당 악성 실행파일을 실행하면 넴티 랜섬웨어에 감염된다.

참고> 문서파일 확장자 변경 확인 방법(안랩)

 -  https://youtu.be/F6iJEgXQgpE

주의) 동영상의 알려진 파일 형식의 확장명 숨기기 확인을 위해서는 반드시 안전한 환경(네트워크 차단, 가상 환경 등등..)에서 분석 바랍니다

이 같은 랜섬웨어 감염을 방지하기 위해서는 

 - 출처가 불분명한 메일의 첨부파일 실행 자제 

 - 알려진 파일 형식의 확장명 숨기기’ 설정 해제

 - 안정성이 확인되지 않은 웹사이트 방문 자제

 - OS(운영체제) 및 인터넷 브라우저(IE, 크롬, 파이어폭스 등), 응용프로그램(어도비, 자바 등), 오피스 SW 등 프로그램의 최신 보안 패치 적용 

 - 최신 버전 백신 사용 

- 중요한 데이터는 별도의 보관 장치에 백업 등 기본적인 보안 수칙을 지키는 것이 중요하다.

안랩은 담당자는 기업 내 PC 사용자일수록 평소 출처가 불분명한 메일 내 첨부파일은 실행하지 않고 다운로드받은 파일의 확장자명을 잘 살펴보는 등 ‘보안수칙의 습관화’가 중요하다”고 말했다.

컨설팅 : ISMS-P, ISO27001, GDPR, PCI-DSS 

취약점 진단 및 모의 침투

개인정보 비식별화 솔루션

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

위치정보의 관리적·기술적 보호조치 권고 해설서

 뉴딜코리아 홈페이지 

위치정보의 관리적·기술적 보호조치 권고 해설서


□ 권고 개요


1. 제정 배경

 ○ 정보통신기술의 발달은 위치정보를 이용한 물류·보안·광고·교통·상거래 등 다양한 응용서비스의 등장을 가능하게 하였다. 스마트폰을 통해 위치를 파악할 수 있는 기술과 서비스가 일상화되었고, GPS(Global Positioning System) 등 위치측위기술과 네트워크의 결합으로 보다 정밀한 위치파악이 가능하게 되었다.

 ○ 개인의 위치정보가 불법적으로 수집·활용될 경우 프라이버시 침해는 물론 생명·신체에 대한 즉각적인 위험을 초래할 우려가 있으므로, 위치정보사업자 및 위치기반서비스사업자(이하“위치정보사업자등”이라 한다)는 위치정보가 유출되거나 오남용 되지 않도록 적절한 보호조치를 취해야 한다.

 ○ 이와 관련하여 ｢위치정보의 보호 및 이용 등에 관한 법률(이하“위치정보법”이라 한다)｣ 제16조 및 같은 법 시행령 제20조는 위치정보사업자등에게 위치정보의 누출·변조·훼손 등을 방지하기 위한 관리적·기술적 보호조치를 준수 하도록 의무화하고 있다.

 ○ 그러나, 관리적·기술적 보호조치에 대한 구체적인 기준이 없어 해당 사업자가 법률상의 의무를 이행하는데 어려움이 발생함에 따라 ｢위치정보의 관리적·기술적 보호조치 권고｣를 마련하였다.


2. 권고의 법적 성격

 ○ 이 권고는 ｢위치정보법｣ 제16조 및 같은 법 시행령 제20조의 관리적·기술적보호조치 의무를 토대로 제정되었으나 직접적인 법적 구속력이나 강제력이 있는 것은 아니다.

 ○ 그러나, 이 권고는 ｢위치정보법｣에서 요구하고 있는 관리적·기술적 보호조치에 대한 구체적인 기준을 제시함으로써 위치정보사업자등이 관련 법령을 해석·적용함에 있어 오해의 소지를 없애고 관리적·기술적 보호조치를 자발적으로 준수할 수 있도록 지원하기 위해 제정된 것이므로 행정지도(行政指導)의 성격을 갖는다고 볼 수 있다.

 ○ 또한, 권고의 규정에 위반할 경우에는 법률에 근거한 형사처벌이 부과될 수도
있다는 예고(豫告)적 성격을 가진다


3. 권고 제정 관련 근거 법령

 ○ 위치정보의 보호 및 이용 등에 관한 법률 제16조(위치정보의 보호조치 등)

  ①위치정보사업자등은 위치정보의 누출, 변조, 훼손 등을 방지하기 위하여 위치정보의 취급·관리 지침을 제정하거나 접근 권한자를 지정하는 등의 관리적 조치와 방화벽의 설치나 암호화 소프트웨어의 활용 등의 기술적 조치를 하여야 한다. 이 경우 관리적조치와 기술적 조치의 구체적 내용은 대통령령으로 정한다.

 ②위치정보사업자등은 위치정보 수집·이용·제공사실 확인자료를 위치정보시스템에 자동으로 기록되고 보존되도록 하여야 한다.

 ③방송통신위원회는 위치정보를 보호하고 오용·남용을 방지하기 위하여 소속 공무원으로 하여금 제1항의 규정에 의한 기술적·관리적 조치의 내용과 제2항의 규정에 의한 기록의 보존실태를 대통령령이 정하는 바에 의하여 점검하게 할 수 있다.

 ④제3항에 따라 기술적·관리적 조치의 내용과 기록의 보존실태를 점검하는 공무원은 그 권한을 표시하는 증표를 지니고 이를 관계인에게 내보여야 한다.


 ○ 위치정보의 보호 및 이용 등에 관한 법률 시행령 제20조(위치정보의 관리적·기술적 보호조치)

  ①법 제16조제1항에 따른 관리적 조치에는 다음 각 호의 내용이 포함되어야 한다.
   1. 위치정보관리책임자의 지정
   2. 위치정보의 수집·이용·제공·파기 등 각 단계별 접근 권한자 지정 및 권한의 제한
   3. 위치정보 취급자의 의무와 책임을 규정한 취급·관리 절차 및 지침 마련
   4. 위치정보 제공사실 등을 기록한 취급대장의 운영·관리
   5. 위치정보 보호조치에 대한 정기적인 자체 감사의 실시

 ②법 제16조제1항에 따른 기술적 조치에는 다음 각 호의 내용이 포함되어야 한다.
   1. 위치정보 및 위치정보시스템의 접근권한을 확인할 수 있는 식별 및 인증 실시
   2. 위치정보시스템에의 권한없는 접근을 차단하기 위한 암호화·방화벽 설치 등의 조치
   3. 위치정보시스템에 대한 접근사실의 전자적 자동 기록·보존장치의 운영
   4. 위치정보시스템의 침해사고 방지를 위한 보안프로그램 설치 및 운영


4. 해설서 안내

○ 방송통신위원회(KCC)와 한국인터넷진흥원(KISA)은 ｢위치정보의 보호 및 이용 등에 관한 법률｣ 제16조 및 같은 법 시행령 제20조에 따라 위치정보의 누출·변조·훼손 등을 방지하기 위해 위치정보사업자 및 위치기반서비스사업자가 준수해야 하는 관리적·기술적 보호조치의 구체적인 기준을 제시하고자 ｢위치정보의 관리적·기술적 보호조치권고｣를 마련한 바 있습니다.

 ○ 이 해설서는 동 권고의 각 조항별 주안점 및 구체적인 예를 제시함으로써 해석상 오해의 소지를 없애고, 권고에 대한 올바른 이해를 통하여 위치정보사업자등의 위치정보 보호 조치 이행을 지원하기 위하여 발간하였습니다.

 ○ 또한, 본 해설서에서 안내하고 있는 제품이나 사례 등이 각 기업의 특성에 따라 적용되지 않을 수 있으므로, 기업의 환경에 맞는 제품을 찾아 확인하여 적용하는 것이 필요합니다.


☞ 첨부파일 : 위치정보의_관리적_기술적_보호조치_권고_해설서(2015)

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

랜섬웨어 대응을 위한 안전한 정보시스템 백업 가이드

 뉴딜코리아 홈페이지 

랜섬웨어 대응을 위한 안전한 정보시스템 백업 가이드

1. 개요

본 가이드에서는 정보시스템 백업 체계 구성을 위한 정보를 제공하고, 백업시스템을 구축, 운영하기 위한 절차 및 방법에 대해 설명한다.

또한 악성코드, 랜섬웨어 등 외부 환경의 사이버 공격 위협으로부터 백업데이터 보호를 위한 보호대책을 제시하고, 중소 규모 기업 환경에 적합한 정보시스템 백업 구성을 위한 가이드를 제공한다

2. 지침의 구성 및 범위

본 가이드는 중소기업 또는 비교적 소규모 서비스를 제공하는 기업에서 필요한 안전한 백업 시스템 구축 방법 및 운영 절차를 제시한다.

먼저 백업 조직 및 역할을 정의하고, 백업 조직이 백업 수행과 보안 관리를 체계적으로 수행할 수 있도록 백업 절차 및 보안관리 절차를 설명한다.

또한, 악성코드 및 랜섬웨어 감염 시 신속한 대응에 필요한 절차를 제시한다.

백업 시스템 구성은 기업이 일반적으로 사용할 수 있는 백업 시스템 구성 방법과 랜섬웨어 감염 예방을 위한 구성에 대하여 제시한다.

백업 정책은 다양한 백업 방법에 대하여 소산 정책 또는 소규모 기업들이 반영할 수 있는 정책에 대하여 설명한다.

마지막으로 랜섬웨어 피해 등 사이버 공격 예방을 위해 필요한 백업 시스템의 보안 사항에 대하여 설명한다.

3. 백업 용어 정의

▷ 백업 : 백업은 정보시스템의 장애, 화재와 같은 재해 또는 해킹으로 인한 정보의 망실에 대비하여 파일 또는 데이터베이스를 복사해 별도의 매체에 저장 및 관리하는 행위를 말하며, 대부분의 기업들이 시스템 장애시 최근 시점으로 복구해 줄 수 있는 중요 업무이다

▷ 시스템 백업 : 정보시스템 OS 영역, 시스템 설정파일, 시스템로그 등에 대한 백업을 의미한다. 데이터백업과 구별하여 보통 OS(Operating System) 백업이라 한다.

▷ 데이터 백업 : 데이터가 손상되거나 유실되는 것을 대비하여 데이터를 복사하고 다른 곳에 저장하는 것을 말한다. 저장 장소는 동일 장비 또는 다른 장비의 하드디스크 공간일 수도 있고 별도의 백업 장치일 수도 있다. 일반적으로 백업대상에는 문서, 소스 코드, DB데이터 관련 파일 등이 있다.

▷ Cloud 백업 : 클라우드 기반 백업 서비스는 흔히들 ‘온라인 백업’이라고 하며, 보호받아야 할 데이터를 인터넷으로 전송해 사본을 만들고, 필요 시 해당 데이터를 이용해 복원할 수 있는 백업 방식을 말한다.

▷ 백업 장비(장치) : 백업시스템을 구성하기 위해 필요한 매체, 라이브러리, 채널 등의 물리적인 설비를 의미한다. 백업 장비와 백업 장치는 동일한 용어로 정의한다.

▷ 백업 매체(미디어) : 주요 시스템의 OS, 데이터 영역에 대하여 백업하는 저장 장치로 일반적으로 테이프(Tape), 디스크(Disk) 등을 말한다.

▷ 볼팅(Vaulting) : 물리적인 오프사이트 볼트로 보내질 백업의 지정 저장 위치로 작동하는 특정 로봇과 연결된 논리적인 객체이다. "볼트"라는 용어는 오프사이트 테이프 세트의 물리적 저장소 위치와 프로세스를 함께 지칭하는 데 사용한다.

▷ 소산백업 : 재난·재해 발생 시 백업된 매체를 일정거리 이상 떨어진 장소에 이격시켜서 보관하는 것으로 지진, 홍수, 화재 등의 재난·재해 발생 시 원본의 손실이 있더라도 백업매체가 원격지에 떨어져 있으므로 손실되는 것을 예방할 수 있다.

▷ 백업센터 · DR(Disaster Recovery)센터 운영센터 재해 발생 시 즉각적인 서비스 복구를 위한 업무연속성(continuity)을 보장할 수 있는 재해복구를 위한 백업 전산센터를 의미한다.

▷ 백업구성 방식 : 백업시스템을 구성하는 형태 및 특징을 의미한다. 백업 솔루션을 구분하기 위해 크게 로컬(다이렉트) 백업, 네트워크 백업, SAN(Storage Area Network) 백업으로 나눠지며 백업 규모, 시간 및 특성에 따라 그 구성 방식이 결정된다.

▷ 디스크 복제 : 하드 디스크의 내용물을 다른 디스크나 이미지 파일로 복사하는 과정을 의미한다. 복제의 속도가 빠르고 복구 역시 용이하며, 보통 디스크 제공사의 복제 솔루션을 많이 사용한다.

▷ 미러링 : 특정 사이트의 콘텐츠(글, 웹페이지, 이미지 파일, html 소스 등)을 특정 주기를 간격으로 자동으로 복제해 저장해 놓는 기능을 말한다. 미러링은 디스크의 RAID(Redundant Array of Independent Disks) 레벨 중 RAID 1에 해당하는 디스크 구성방법으로써 한 개의 디스크에 물리적 장애가 발생하더라도 미러링 되어 있는 디스크가 자동으로 장애가 발생한 디스크를 대체하여 서비스를 지속할 수 있다.

▷ 전체 백업(full backup) : 지정한 디렉터리 아래의 모든 파일과 디렉터리를 저장소로 복사하는 백업을 말한다. 복구 시에 일부 다른 백업 방식보다 간편하고 시간이 증분 백업에 비해 상대적으로 덜 걸린다는 장점이 있다.

▷ 증분 백업(Incremental backup) : 전체백업과는 달리 최종 전체 백업 혹은 최종 증분 백업 이후에 변경된 파일만을 복사한다. 전체 백업과 비교할 때 증분 백업은 매일 백업해야 하는 파일의 양이 적어 빠른 백업이 가능하다는 점이 장점이다. 그러나 복구 과정에서는 최종 백업된 전체 및 모든 후속 증분 이미지나 복사본까지 복구해야 하기 때문에 복구 작업이 번거로워지고 경우에 따라서는 시간이 훨씬 더 걸릴 수 있다.

▷ 차등 백업(Differential backup) :  마지막 ‘전체 백업’ 이후 변경된 ‘모든’ 데이터를 백업하는 방식이다. 이는 바로 이전의 전체 백업 혹은 증분 백업 이후 ‘변경된’ 데이터만 복사하는 증분 백업과는 다르다. 일단 파일이 변경되면 예정된 다음 전체 백업 시까지 매일 백업한다. 따라서 파일이 변경될 때마다 파일 크기가 증가하게 되며, 다음 전체 백업 때까지 파일크기가 점점 커지게 된다. 하지만, 전체 백업 이미지와 가장 최근의 차등 이미지만 복구하면 되기 때문에 복구 시점에 따라 다르긴 하지만 대개 증분 백업보다 복구 속도가 빠르다.

▷ 자동화 백업(CDP(Continue Data Protection) : 일반적인 파일단위 백업 서비스와는 달리 이미지백업 (Volume Snapshots 방식)이면서 분 단위까지 백업을 받고 필요시 특정 백업 시점으로 복원 할 수 있는 백업 서비스로서 Continuous Data Protection Back-Up 이라는 의미이다.

▷ SAN(Storage area network) : 블록 레벨 데이터 스토리지로 통합 액세스 할 수 있는 네트워크이다. SAN은 주로 서버가 로컬로 연결된 디바이스에 액세스 할 수 있도록 Disk어레이, 테이프 라이브러리 및 광학 주크 박스와 같은 스토리지 디바이스를 향상시키는 데 주로 사용된다.

▷ 랜섬웨어(Ransomware) : 악성코드의 종류로 사용자의 동의 없이 해당 컴퓨터에 불법으로 설치된다. 불법으로 설치된 랜섬웨어로 해당 컴퓨터에 저장된 파일을 암호화시켜 잠글 수 있다. 그러면 팝업 창이 뜨면서 컴퓨터가 잠겼으니 금액을 지불하지 않으면 컴퓨터에 접속할 수 없다는 경고가 나타난다.

▷ 리던던시(redundancy) : 정상 동작에 필요한 정도 이상의 여분의 장치/기능을 부가하여 안정성을 높인 백업 시스템이다.

▷ MTTR(Mean Time To Recovery) : 수리 가능한 품목의 유지 보수성을 측정하는 기본 척도이다. 고장난 구성 요소 또는 장치를 수리하는 데 필요한 평균 시간을 의미한다. 수학적으로 표현하면, 실패에 대한 총 교정 유지 보수 시간을 주어진 기간 동안의 실패에 대한 교정 유지 보수 총 횟수로 나눈 값이다.

▷ 시스템 커널(Kernel) : 운영 체제의 핵심 부분으로서, 운영 체제의 다른 부분 및 응용 프로그램수행에 필요한 여러 가지 서비스를 제공한다.

▷ 복구시점목표(RPO: Recovery Point Objective) : 재해 상황에서 수용할 수 있는 최대 허용 데이터 손실을 정의합니다. 예를 들어 재해가 발생했을 때 벙커 노드에 두 시간 분량의 데이터가 있고 한 시간 분량의 데이터만 재생해도 된다면 RPO는 한 시간입니다. 데이터 손실을 수용할 수 없다면 RPO는 0입니다.

▷ 복구시간목표(RTO: Recovery Time Objective) : 복구 시간 목표 데이터를 반드시 복구해야 하는 최대 허용 시간 제한을 정의합니다. 재해가 발생했을 때 시스템을 즉시 사용 가능하게 만들어야 하지만 일부 데이터 손실을 용인할 수 있는 경우 RTO는 0입니다.

☞ 랜섬웨어 대응 백업관련 추가 내용은 첨부 파일을 참고 바랍니다

랜섬웨어 감염 예방방법 5가지

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2404

랜섬웨어 감염 예방방법 5가지

 

1. %AppData% 디렉토리에 있는 파일 실행 방지2. 시스템 완전 패치: Java, Shockwave, Flash 등 3. 실행파일이 첨부파일로 있는 이메일 비활성화 4. 강력한 백업 유지 5. "백신" 사용

1. %AppData% 디렉토리에 있는 파일 실행 방지 일반적으로 대부분의 대규모 랜섬웨어 실행은 익스플로잇 킷 또는 스팸 엔진을 이용합니다. 두 가지 경우 모두, 익스플로잇 킷 또는 스팸 엔진을 실행하는 악성 코드는 일반적인 윈도 (%AppData%)의 다양한 임시 디렉토리에 있습니다. 그룹 정책 또는 보안 정책을 통해 이러한 디렉토리에 있는 2진 실행파일을 실행하지 못하도록 할 수 있습니다. 이 말은 사용자가 Invoice.exe를 더블 클릭하더라도 악성코드가 실행되지 않습니다. 이 것은 소프트웨어 제한 정책(Software Restriction Policies)으로 가능하며, 자세한 설정 방법은 이 블로그 에 있습니다. 이렇게 하면 다른 형태의 악성코드를 실행하는 것도 예방할 수 있습니다. 그룹 정책 편집 방법 : https://technet.microsoft.com/en-us/library/cc736591(v=ws.10).aspx 2. 시스템 완전 패치: Java, Shockwave, Flash 등 익스플로잇 킷은 악성코드가 실행되기 위해서는 클라이언트 컴퓨터의 취약점을 이용합니다. 일반적으로 Java, Shockwave 및 Adobe Reader의 취약점과 관계있습니다. 많은 윈도 시스템은 현재 자동 윈도 업데이트하도록 설정되어 있습니다. 4 Flash는 최근에 자동 업데이트로 통합되었습니다. 반드시 업데이트 만이 익스플로잇 킷 공격 성공을 방지할 수 있습니다. 종종 익스플로잇 킷이 제로데이 익스플로잇을 사용하지만, 흔한 경우는 아닙니다. 3. 실행파일이 첨부파일로 있는 이메일 비활성화 많은 랜섬웨어의 이메일은 실행파일을 첨부로 할용합니다. 이메일의 실행파일을 금지하면, 사용자가 수신하는 것을 방지할 수 있습니다. 또한 "이중 파일 확장명"이 포함 된 이메일을 잘 보시기 바랍니다. 일반적인 다른 속임수는 실행파일 또는 HTML 문서(실행 파일을 다운로드하기 위한 다른 속임수)가 포함된 zip 파일이 첨부된 것입니다. 사용자들에게 비정상적인 이메일을 찾아내도록 가르치고, 실행하지 않는 것이 중요합니다. 4. 강력한 백업 유지 마지막으로, 강력한 백업의 중요성입니다. 랜섬웨어에 감염되면, 조직에서는 선택할 수 있는 방법은 두 가지뿐입니다. 즉 백업에서 복원하거나, 몸값을 지불하는 것입니다. 백업을 사용할 수 있다면 번거로울 수 있지만, 데이터를 복구를 위해 엄청난 몸값을 지불하는 일은 없을 것입니다. 5. "백신" 사용 모든 랜섬웨어는 피해자의 컴퓨터가 여러 개의 키를 사용하여 암호화되어 있지 않은 지 확인하기 위해 몇 가지 메커니즘이 필요합니다. 전형적인 메커니즘은 레지스트리(또는 다른 아티팩트)에 공개키를 저장하는 것이며, 그래서 다음 감염(또는 동일한 악성 바이너리 실행하는 것)에서 처음 취득한 키만 사용합니다. 이러한 공격자 필요성을 무효화하거나 피해 컴퓨터를 복원할 수 있는 백신을 만드는 시도가 있었습니다. 이 방법을 사용하면 피해 컴퓨터가 가치가 있는 지 확인하기 위해 건별로 조사할 수 있도록 해줍니다. -- John Bambenek bambenek /at/ gmail /dot/ com 출처 : SANS 스톰센터 다이어리 / ITL시큐어인스티튜트

랜섬웨어 예방을 위한 보안 수칙

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2347

랜섬웨어 보안 수칙

랜섬웨어란?몸값을 뜻하는 랜섬(ransom)과 제품을 뜻하는 웨어(ware)의 합성어입니다.
파일과 시스템 기능에 접근하지 못하도록 하거나, 운영 시스템을 무용화하여 사용자에게 복호화의 대가로 돈을 요구하는 악성 프로그램입니다.

어떻게 랜섬웨어를 불법으로 설치합니까?
일반적으로 랜섬웨어는 사용자가 이메일 메시지에 첨부된 악성 파일을 열거나 이메일 메시지, 인스턴트 메시지, 소셜 네트워킹 사이트 또는 기타 웹사이트에서 악성 링크를 클릭할 때 설치됩니다.

사용자가 악성 웹사이트를 방문하는 경우에도 랜섬웨어가 설치될 수 있습니다.

랜섬웨어 예방이 꼭 필요한 이유랜섬웨어에 감염될 경우, 해커에게 돈을 지불하지 않는 이상 복구가 거의 불가능한 실정입니다.

감염이 되는 순간, 시스템 내의 모든 데이터 파일을 순차적으로 암호화하며, 네트워크 상 단 한 대의 PC만 감염되어도, 네트워크 내 공유된 모든 폴더까지 암호화가 진행됩니다.

또한, 변종이 지속적으로 출현ㆍ유포되고 있기 때문에, 시그니처 기반의 백신은 랜섬웨어 탐지에 한계가 있습니다.


랜섬웨어 예방을 위한 보안 수칙




가. 운영체제(Windows, MaxOS, Linux 등) 보안 업데이트 한다.

나. 랜섬웨어를 방지하는 백신 소프트웨어를 설치하고, 엔진 버전을 최신 버전으로 유지한다.

다. e-mail 사용 시 주의    - 알 수 없는 발신자 또는 제목이 의심되는 메일은 열람 금지
    - 스팸성메일, 첨부파일 실행을 금지하고 이메일 발신자와 내용을 한번 더 확인.
      (CTB-Locker 피해 사례에서 메일의 첨부 파일을 실행하면서 악성코드 감염)

라. 강력한 백업 / 복구 전략을 구현    - 업무 및 기밀 문서, 각종 이미지 등 주요 파일의 주기적인 백업
    - 중요 파일을 PC외에 외부 저장 장치를 이용한 2차 백업      (백업 완료 후 반드시 하드디스크 분리)
    - 중요 문서에 대해서 ‘읽기 전용’ 설정

마. 브라우저 및 어플리케이션, 각종 플러그인 보안 업데이트    1) 자바, 어도비, 마이크로소프트 Office, 한글 등 애플리케이션 소프트웨어(SW)를
       항상 최신 버전으로 업데이트합니다
    2) 플러그인 종류
        - flash player
        - Adobe Reader
        - Java
        - XMLDOM
        - Microsoft Silverlight 

바. OS 방화벽을 활성화 상태로 유지

사. 보안이 취약한 웹사이트 방문이나 의심스러운 URL 링크는 클릭하지 않습니다.

아. 네트워크 폴더(공유폴더) 사용자 접근 권한 변경 (감염PC를 통해 연결된 경우 주의필요) 

자. 장기간 사용하지 않는 PC는 전원을 끄고 네트워크에서 분리 한다.

- 관련문의-
  뉴딜코리아 랜섬웨어 대응센터 (070-7867-3721, ismsbok@gmail.com)