핵심 요약

시놀로지 NAS에서 랜섬웨어 피해가 의심되면 파일 복원뿐 아니라 공격자가 사용했을 가능성이 있는 계정, 외부 연결과 자동 실행 작업을 기록하고 검토해야 합니다. 다만 의심되는 항목이 있다는 사실만으로 악성이라고 확정할 수는 없으며, 계정과 작업을 일괄 삭제하면 업무가 중단되거나 조사 자료를 잃을 수 있습니다.

01 계정과 권한을 확인합니다

1. 관리자와 일반 사용자 목록을 확인하고 각 계정의 소유자, 사용 목적, 최근 사용 여부를 담당자와 대조합니다.

2. 실제 업무에 필요한 공유 폴더의 읽기와 쓰기 권한을 확인합니다. PC가 감염되었을 때 쓰기 가능한 공유 자료가 영향을 받을 수 있습니다.

3. 관리자 또는 외부 서비스 계정의 접근 경로와 다중 인증 적용 범위를 확인합니다. 변경할 경우 서비스 계정 의존성과 비상 관리 경로를 먼저 확인합니다.

4. 로그인 실패와 이상 접근 기록을 보존하고 시간대, IP 및 사용자 식별정보는 필요한 관리자만 접근할 수 있게 관리합니다.

시놀로지 DSM 7.2 안내서는 Auto Block을 IP 기준, Account Protection을 계정 기준 보호로 구분합니다. DSM 6.2 안내서의 Auto Block 경로는 제어판 > 보안 > 계정이고, DSM 7.2 안내서의 경로는 제어판 > 보안 > 보호 > 자동 차단입니다. 두 안내서의 범위만 비교한 것이므로 다른 세부 빌드와 적용 서비스는 별도 확인합니다. [1][3]

02 작업 스케줄러를 확인합니다

시놀로지 DSM 6.2 사용자 안내서는 제어판 > 작업 스케줄러에서 예약된 서비스나 사용자 정의 스크립트 등을 관리한다고 설명합니다. 다른 DSM 버전의 메뉴와 세부 기능은 해당 버전에서 확인합니다. 작업의 이름, 실행 계정, 일정, 실행 내용과 담당 부서를 확인해 변경 전 상태를 기록합니다. [3]

- 처음 보는 작업은 정상 업무나 패키지에서 생성한 것일 수 있습니다. 생성 맥락과 승인 기록을 확인합니다.

- 의심되는 스크립트 내용은 실행하지 말고 조사 담당자에게 전달합니다. 고객 비밀번호, 키나 토큰이 포함돼 있다면 외부로 노출하지 않습니다.

- 공격 확산을 막기 위해 접근 제한이나 작업 중지가 필요할 수 있으나, 증거 보존과 서비스 영향을 고려해 사고 대응 담당자가 결정합니다.

- 백업에서 시스템 설정을 복원할 때 예약 작업과 사용자 설정의 복원 범위를 검토합니다. 감염 당시 설정을 무조건 다시 적용하지 않습니다.

이 안내는 기능의 일반적인 존재를 확인하는 근거이며 DSM 7의 모든 화면이나 특정 예약 작업이 악성인지까지 입증하지는 않습니다. [3]

확인 기록을 남길 때 구분할 항목

확인 기록을 남길 때 구분할 항목
구분	확인할 사실	조치 전 판단
계정	소유자, 권한, 필요한 시스템 및 로그인 기록	업무 서비스와 관리 접근에 미칠 영향
예약 작업	이름, 실행 계정과 시간, 목적, 변경 기록	증거 보존 여부와 정상 패키지의 의존성
외부 접속	사용 승인된 경로, 접근 계정, 관련 로그	차단 시 피해 확산 방지와 업무 중단의 균형
복원 설정	복원 시 선택되는 사용자, 그룹, 작업	사고 당시의 의심 설정 재적용 가능성

확인 기록을 남길 때 구분할 항목 (계속)

작업 내용을 복사해 외부에 공유하면 내부 경로와 자격 증명이 노출될 수 있습니다. 안전한 내부 보관과 담당자 확인을 우선합니다. 작업의 존재만으로 악성이라고 판정하지 않으며, 실제 설정을 바꾸기 전에는 담당자가 보존과 중단의 순서를 결정합니다.

03 복원 전후에 나눠 점검합니다

복원 전에는 영향을 받은 장비를 안전하게 즉시 네트워크에서 분리하고, 계정의 접근 제한과 기존 계정, 작업의 증거 보존을 사고 대응 담당자와 조율하며 백업, 복원 계획을 세웁니다. [2] 복원 후에는 승인된 관리자 경로와 패키지, 계정 권한, 예약 작업 및 연결된 PC가 정상인지 확인합니다. 비밀번호 변경은 안전한 환경에서 승인된 절차에 따라 진행하고, 변경만으로 침해 원인이 제거됐다고 판단하지 않습니다.

적용 범위와 출처

DSM 6.2 작업 스케줄러 및 DSM 6.2, 7.2 보안 사용자 안내서를 바탕으로 한 일반 점검 자료입니다. DSM 7의 작업 스케줄러 상세 도움말은 직접 원문을 확보하지 못해 메뉴와 세부 기능을 확정하지 않았습니다. DSM, 패키지 버전, 도메인 계정과 실제 로그 보존 범위는 별도 확인이 필요합니다. 실제 계정이나 작업을 조회 및 변경하지 않았습니다.

- 시놀로지 DSM 7.2 사용자 안내서, 보안 설정: https://global.download.synology.com/download/Document/Software/UserGuide/Os/DSM/7.2/enu/Syno_UsersGuide_NAServer_7_2_enu.pdf [1]

- CISA, MS-ISAC 랜섬웨어 사고 대응 안내: https://www.cisa.gov/sites/default/files/publications/CISA_MS-ISAC_Ransomware%20Guide_S508C_.pdf [2]

- DSM 6.2 사용자 안내서: https://global.download.synology.com/download/Document/Software/UserGuide/Firmware/DSM/6.2/enu/Syno_UsersGuide_NAServer_enu.pdf [3]