랜섬웨어 감염 의심 시 | 기업 IT팀의 격리·증거 보존·보고 체크리스트
랜섬웨어 의심 자산의 격리와 증거 보존·보고 흐름 랜섬웨어 감염이 의심되면 영향을 받은 시스템을 파악해 네트워크에서 격리하고, 증거를 보존하면서 사고 대응 책임자에게 상황을 전달해야 합니다. 전원 종료는 일괄 적용할 조치가 아닙니다. 다른 방법으로 연결을 끊을 수 있는지, 종료하면 어떤 증거가 사라지는지를 함께 판단해야 합니다. 이 글은 기업 IT 운영·보안 담당자가 초기 대응 절차와 역할 분담을 정리하기 위한 체크리스트입니다. 감염 여부를 확정하는 진단법이나 복구 절차가 아니라, 의심 단계에서 확산 제한과 조사 준비를 병행하는 데 초점을 맞춥니다. 1. 확정된 사실과 의심을 먼저 나눈다 파일 확장자가 바뀌었거나 파일에 접근할 수 없거나 경고 메시지가 나타났다면, 이를 곧바로 원인에 대한 결론으로 바꾸지 말고 관찰 내용으로 기록합니다. 예를 들어 ‘서버 전체 감염’이라는 표현보다 ‘어느 시각에 어떤 서버의 어느 경로에서 무엇을 확인했는가’를 남기는 방식입니다. 암호화 흔적만으로 자료 유출 여부까지 확정하지 않습니다. CISA는 사고 대응팀과 함께 초기 분석으로 파악한 사건을 문서화하도록 권고합니다. 현장에서는 다음 질문으로 관찰 사실과 조사할 범위를 구분할 수 있습니다. 무엇을 직접 확인했는가? 장비명, 파일 경로, 화면의 메시지와 발견 시각을 구분합니다. 어디까지 확인했는가? 확인된 영향 자산과 아직 조사하지 않은 자산을 나눕니다. 이미 무엇을 바꿨는가? 연결 차단, 전원 조작 등 수행한 작업과 시각을 남깁니다. 무엇이 미확정인가? 최초 침입 경로, 전체 피해 범위, 자료 유출 여부를 추정과 사실로 섞지 않습니다. 2. 격리는 신속하게, 범위는 책임자가 조정한다 CISA의 랜섬웨어 대응 체크리스트는 영향을 받은 시스템을 파악해 즉시 격리하도록 안내합니다. 여러 시스템이나 서브넷이 영향을 받았다면 스위치 수준의 차단을 검토하고, 그 방법을 즉시 사용할 수 없다면 감염 단말의 유선·무선 연결을 끊어 확산을 제한하도록 설명합니다...
