공급망 랜섬웨어에 대비하는 엔터프라이즈 방어 아키텍처

공급망을 겨냥하는 랜섬웨어의 변화

2026년 상반기 랜섬웨어는 단순 피싱만이 아니라 소프트웨어 공급망을 주요 침투 경로로 삼았다. LockBit 4.0, BlackCat(ALPHV) 재편 그룹, Cl0p 같은 위협 행위자는 신뢰된 업데이트 채널을 악용해 대규모 엔터프라이즈 환경으로 들어가는 방식을 확대했다.

LockBit 4.0은 2025년 말 Operation Cronos 2차 테이크다운 뒤 핵심 인력을 재편했고, Rust 기반 암호화 엔진으로 전환해 Windows·Linux·ESXi를 함께 지원한다. 공급망 침투 뒤 Lateral Movement 단계에서 VSS(Volume Shadow Copy) 삭제를 자동화하며, 데이터 암호화·데이터 유출·DDoS·파트너사 협박을 결합한 4중 갈취 모델을 사용한다.

BlackCat(ALPHV) 후계 그룹과 연계된 RansomHub는 FBI Operation Duck Hunt 이후 RaaS 인프라를 분산화했다. Kerberoasting과 DCSync를 조합해 AD 장악 시간을 평균 6.5시간으로 줄이고, EDR 우회를 위해 BYOVD(Bring Your Own Vulnerable Driver) 전술을 강화했다.

Cl0p은 MFT(Managed File Transfer) 솔루션을 집중 공략한다. MOVEit 이후 GoAnywhere, Cleo, ShareFile을 연이어 노렸고, SQL Injection과 RCE 체인으로 파일을 유출한 뒤 암호화 없이 협박하는 방식을 사용한다. 공급망 데이터 허브를 겨냥해 피해 기업 수를 키우는 접근이다.

그룹	주력 벡터	평균 체류 시간	요구 금액	특이사항
LockBit 4.0	공급망 소프트웨어 업데이트	4.2일	$2M~$15M	크로스 플랫폼
RansomHub	VPN 제로데이 + AD 장악	1.8일	$1M~$8M	BlackCat 계열
Cl0p	MFT 솔루션 취약점	즉시 유출	협박 기반	암호화 없이 갈취
Play	MSP 공급망 침투	7.3일	$500K~$3M	중소기업 타겟
Akira	VMware ESXi 집중	2.1일	$200K~$5M	가상화 전문

공급망 공격은 기존 SolarWinds(2020), 3CX(2023) 패턴을 확장한 형태로 나타난다. 빌드 서버를 장악해 정상 소프트웨어에 백도어를 넣고, 서명된 업데이트로 배포하는 방식이 SolarWinds 유형이다. IT 관리 도구, 모니터링 에이전트, 보안 솔루션 자체가 표적이 될 수 있으며 정상 인증서와 배포 채널을 이용해 탐지를 피한다.

3CX 유형은 오픈소스 라이브러리 또는 npm/PyPI 패키지에 악성 코드를 심는 의존성 오염(Dependency Poisoning)이다. 벤더의 빌드 과정에서 해당 패키지가 포함되면 최종 사용자는 정상 업데이트로 인식한 채 설치하게 된다.

2026년에는 GitHub Actions와 GitLab CI 워크플로우 변조, Artifactory·Nexus 같은 빌드 아티팩트 저장소 오염, 컨테이너 이미지 레지스트리의 악성 레이어 삽입처럼 CI/CD 파이프라인을 직접 겨냥하는 패턴도 등장했다.

SBOM을 배포 이후까지 추적하는 스캐닝 흐름

SBOM(Software Bill of Materials)은 소프트웨어를 구성하는 컴포넌트·라이브러리·의존성을 기록한 목록이다. 미국 행정명령 14028(2021) 이후 2026년에는 EU CRA(Cyber Resilience Act), 국내 국가사이버안보기본계획에서도 SBOM 의무화가 단계적으로 시행 중이다.

포맷	관리 주체	특징	주요 도구
SPDX	Linux Foundation	ISO/IEC 5962 표준, 라이선스 중심	Syft, FOSSology
CycloneDX	OWASP	보안 취약점 중심, JSON/XML	Grype, Trivy
SWID	NIST/ISO	자산 관리 중심, RFC 9393	SWID Tag

엔터프라이즈 권고 포맷은 VEX 지원과 CSAF 연동이 가능한 CycloneDX 1.6이다. 다만 포맷을 정하는 것만으로는 충분하지 않다. 빌드에서 SBOM을 만들고 서명한 뒤, 취약점 데이터베이스와 대조하며, 이미 배포한 아티팩트도 신규 CVE 발생 시 다시 검사하는 흐름이 필요하다.

⤢✕

생성 도구로는 Syft(Anchore), Trivy(Aqua Security), cdxgen을 쓸 수 있다. 취약점 스캐닝은 Grype, Dependency-Track(OWASP), OSV-Scanner(Google)가 담당한다. VEX(Vulnerability Exploitability eXchange)는 실제 악용 가능성을 기준으로 걸러 노이즈를 줄이고, in-toto와 SLSA provenance attestation은 공급망 무결성 검증에 사용한다.

PR 머지 전에 SBOM 스캐닝 Gate를 CI의 필수 단계로 두고, SBOM은 아티팩트와 함께 OCI 레이어로 보관한다. 신규 CVE가 발표되면 기존 배포 아티팩트를 재스캔하도록 워치리스트를 연동하며, False Positive는 VEX 문서로 관리한다.

이메일과 원격접속 경로에서 보는 초기 침투

2026년 상반기 CISA 보고서 기준 랜섬웨어 초기 침투 벡터 분포는 다음과 같다.

벡터	비율	주요 그룹
이메일 피싱 + 악성 첨부	34%	LockBit, Akira
VPN/원격접속 취약점	28%	RansomHub, Black Basta
공급망 소프트웨어 업데이트	19%	Cl0p, LockBit 4.0
인터넷 노출 취약 서비스	12%	Play, Cactus
내부자 위협	7%	RansomHub

이메일 보안은 수신 게이트웨이만으로 끝나지 않는다. 인증 정책, 클라우드 이메일 보안, 첨부파일 분석, 사후 회수, 엔드포인트 제어가 이어져야 한다.

⤢✕

BEC(Business Email Compromise)는 ML 기반 발신자 위변조 탐지와 통신 패턴 이상 감지로 다룬다. 첨부파일은 Cuckoo, Joe Sandbox, ANY.RUN 같은 환경에서 정적·동적 분석을 함께 수행한다. ZAP(Zero-hour Auto Purge)은 Microsoft Defender가 이미 배달한 악성 이메일을 소급 삭제하는 기능이며, RBI(Remote Browser Isolation)는 첨부 링크를 격리된 가상 브라우저에서 렌더링한다.

VPN은 인증 실패 급증과 비정상 지역 로그인을 SIEM에서 실시간으로 감시하고, 접속 뒤 발생하는 내부 스캐닝은 Network Detection & Response와 연동해 확인한다. 관리자 계정에는 MFA와 Just-In-Time 접근 제어를 적용하며, 관리 플레인과 데이터 플레인을 분리한다. 취약한 VPN 버전은 실시간 인벤토리로 추적하고 패치 SLA는 72시간 이내로 설정한다.

제품	CVE	CVSS	악용 그룹
Ivanti Connect Secure	CVE-2025-22457 연장선	9.0	UNC5337, RansomHub
Fortinet FortiGate	CVE-2026-12345 계열	9.8	Akira, LockBit
Palo Alto GlobalProtect	CVE-2024-3400 패턴 재현	10.0	국가 지원 APT 경유

파일 암호화 전에 차단하는 EDR 정책

EDR(Endpoint Detection and Response)의 행위 기반 탐지는 시그니처가 없는 제로데이 랜섬웨어도 행동 패턴으로 찾아낸다. 개별 파일 하나가 아니라 프로세스 연결, 권한 상승, 이동, 백업 훼손, 대량 변경을 함께 본다.

단계	행위 패턴	탐지 신호
초기 실행	PowerShell/WMI 비정상 호출	cmd.exe → powershell.exe → net.exe 체인
권한 상승	Token Impersonation, UAC 우회	비정상 부모-자식 프로세스 관계
측면 이동	SMB 스캐닝, PsExec, RDP	단시간 다수 호스트 접속 시도
암호화 준비	VSS 삭제, 백업 카탈로그 삭제	`vssadmin.exe delete shadows` 실행
암호화 실행	대량 파일 Read+Write+Rename	초당 수백 건 파일 확장자 변경
지속성 확보	레지스트리 Run 키, 스케줄 태스크	비정상 위치에서 실행 파일 등록

기능	CrowdStrike Falcon	SentinelOne Singularity
탐지 엔진	AI + IOA 행위 분석	Static AI + Behavioral AI
자율 대응	Falcon Fusion SOAR 연동	Storyline 자동 대응
랜섬웨어 롤백	제한적 (파일 복구 없음)	Rollback Engine (파일 복원)
공급망 탐지	Supply Chain Intelligence	Ranger SD (공급망 가시성)
SBOM 연동	Falcon Surface 통합	Singularity Marketplace
클라우드 워크로드	Falcon Cloud Workload	Singularity Cloud
BYOVD 대응	Kernel Sensor + HIPS	Kernel-level behavioral
평균 탐지 시간	1분 미만	45초 미만

정책에서는 VSS 관련 명령을 예외 없이 차단하고, 암호화 바이너리 행위에는 자동 프로세스 킬을 연결한다. Rollback 기능은 암호화 시작 전 스냅샷을 자동 생성하도록 활성화한다. 감염 호스트는 즉시 네트워크에서 분리하며, EDR 경보는 Threat Hunting 팀과 24/7 SOC 에스컬레이션에 연결한다.

복구 가능성을 지키는 불변 백업

전통적인 3-2-1 룰은 데이터 사본 3개, 2가지 이상 미디어 타입, 1개 이상 오프사이트 보관을 뜻한다. 랜섬웨어 대응에서는 에어갭 또는 오프라인 사본 1개와 정기 복구 테스트로 검증한 복구 오류 0건을 더한 3-2-1-1-0 원칙으로 확장한다.

레이어	스토리지 타입	RTO	RPO	랜섬웨어 저항성
운영 데이터	온라인 스토리지	즉시	최소	낮음 (감염 가능)
핫 백업	불변 오브젝트 스토리지	1시간	1시간	높음 (WORM)
웜 백업	오프사이트 클라우드	4시간	4시간	높음 (논리적 에어갭)
콜드 백업	에어갭/오프라인 테이프	24시간	24시간	매우 높음 (물리적 분리)

⤢✕

AWS S3 Object Lock은 Compliance/Governance 모드와 최소 보존 기간을 제공한다. Azure Blob Immutable Storage는 WORM 정책과 법적 보존(Legal Hold)을 지원한다. Veeam Hardened Repository는 Veeam v12+의 Linux 기반 불변 백업 저장소이며, Cohesity DataProtect는 내장 WORM·에어갭·랜섬웨어 탐지를 통합한다. Pure Storage SafeMode는 스토리지 어레이 레벨에서 불변성을 보장한다.

백업 계정과 운영 계정은 별도 AD/IdP로 분리하고, 백업 관리 콘솔에는 MFA와 접근 로그 감사를 적용한다. 분기별 랜섬웨어 시뮬레이션 복구 훈련을 수행하며, 복구 SLA는 핵심 시스템 4시간 이내, 전체 시스템 72시간 이내로 둔다.

서명과 빌드 출처를 검증하는 공급망 통제

전통적인 인증서 기반 코드 서명은 빌드 서버가 장악되면 SolarWinds 사례처럼 악성 코드도 합법적 인증서로 서명될 수 있다. Sigstore는 키리스(Keyless) 서명과 투명성 로그(Transparency Log)를 이용해 이 문제를 다룬다.

컴포넌트	역할
Cosign	컨테이너 이미지 및 아티팩트 서명 도구
Fulcio	OIDC 기반 단기 서명 인증서 발급 CA
Rekor	불변 투명성 로그 (서명 증거 보존)
Gitsign	Git 커밋 서명 (키리스)

개발자는 GitHub·Google·Microsoft OIDC 인증을 거쳐 Fulcio에서 단기 인증서를 발급받는다. 이후 아티팩트에 서명하고 Rekor 투명성 로그에 기록한다. 배포 단계에서는 Rekor 로그를 대조해 서명 위변조 여부를 검증한다.

SLSA(Supply-chain Levels for Software Artifacts)는 NIST/Google 주도 공급망 무결성 프레임워크로, 통제 수준을 레벨로 표현한다.

SLSA 레벨	요구사항	방어 효과
SLSA 0	요건 없음	없음
SLSA 1	빌드 프로세스 문서화, Provenance 생성	실수 방지
SLSA 2	버전 제어 + 호스팅 빌드 서비스	내부자 위협 부분 대응
SLSA 3	검증된 빌드 플랫폼 + Provenance 비위조	빌드 서버 침해 탐지
SLSA 4	두 명 이상 리뷰 + 밀폐된 빌드 환경	고급 지속 위협 대응

단기에는 SBOM 생성과 Cosign 서명으로 SLSA 1-2를 달성한다. 중기에는 GitHub Actions SLSA Provenance 자동화와 Rekor 등록을 통해 SLSA 3을 목표로 하며, 장기적으로는 Hermetic Build 환경과 Policy-as-Code 검증 게이트로 SLSA 4를 적용한다.

격리부터 복구 승인까지 연결하는 SOAR

NIST SP 800-61 Rev.3 기반 랜섬웨어 사고 대응은 준비(Preparation), 식별(Identification), 봉쇄(Containment), 근절(Eradication), 복구(Recovery), 사후 분석(Post-Incident)으로 구성된다.

준비 단계에서는 IR Lead·Forensics·Communications 역할을 포함한 대응팀을 구성하고 SOAR 플레이북을 사전에 만들며 정기 훈련한다. 식별 단계에서는 EDR/SIEM 경보를 False Positive와 True Positive로 초기 분류하고, 영향 호스트와 데이터 유출 여부를 확인한다.

봉쇄는 감염 호스트의 EDR 자동 격리로 시작한다. 이후 영향 네트워크 세그먼트와 외부 통신을 차단하고, AD 계정 강제 비밀번호 초기화 및 의심 서비스 계정 비활성화로 이어진다. 근절 단계에서는 포렌식 이미지 확보 뒤 재이미징하고, 패치·설정 변경으로 초기 침투 벡터를 막으며 백도어와 지속성 메커니즘을 제거한다.

복구는 불변 백업에서 검증된 클린 상태를 복원한 뒤 비핵심 서비스부터 핵심 서비스 순서로 재가동하는 과정이다. 복구 후에는 72시간 집중 모니터링을 수행한다. 사후 분석에서는 타임라인과 근본 원인을 재구성하고, 플레이북 개선과 사이버 보험 클레임 문서화를 진행한다.

⤢✕

자동화 목표는 T+0 ~ T+5분에 EDR 격리와 SOAR 인시던트 생성을 마치는 것이다. T+5 ~ T+15분에는 영향 범위를 자동 파악하고 IR팀에 알리며, T+15 ~ T+60분에는 포렌식 데이터를 수집하고 백업을 검증한다. T+60분 이후에는 승인된 복구 프로세스를 시작한다.

플랫폼	기본 제공 플레이북	특징
Palo Alto XSOAR	Ransomware Response Playbook	가장 성숙한 에코시스템
Splunk SOAR	Ransomware Investigate & Respond	Splunk SIEM 네이티브 통합
Microsoft Sentinel	Ransomware Automatic Response	Azure 네이티브, Logic Apps
IBM QRadar SOAR	Ransomware Playbook	온프레미스 지원 강점

보험 심사에서 확인하는 기술 통제

사이버 보험사의 2026년 언더라이팅 요구사항은 강화됐다. 보험 가입과 보험료 산정에 영향을 주는 기술 통제는 감사 증거까지 연결해 관리해야 한다.

보험 요구사항	기술 통제	구현 솔루션	감사 증거
MFA 전사 적용	FIDO2/WebAuthn 기반 MFA	Azure AD MFA, Duo Security	MFA 커버리지 리포트 95%+
EDR 전사 배포	엔드포인트 EDR 에이전트	CrowdStrike, SentinelOne	EDR 커버리지 98%+
이메일 보안	DMARC/DKIM/SPF 정책	Proofpoint, Defender	DMARC 리포트, 격리 통계
백업 불변성	WORM/불변 스토리지	Veeam, Cohesity	백업 무결성 검증 로그
취약점 관리	SBOM + 정기 패치	Tenable, Qualys	패치 SLA 준수율
사고 대응 계획	IRP 문서화 + 훈련	SOAR 플레이북	연간 DR 훈련 기록
네트워크 분리	마이크로세그멘테이션	Illumio, Guardicore	세그멘테이션 감사
공급망 리스크	SBOM + 벤더 평가	Dependency-Track	SBOM 커버리지

업계 평균 보험료 절감 효과는 MFA 전사 적용에서 15~~25%, EDR·불변 백업·SOAR 통합에서 30~~40%, NIST CSF 2.0 인증 또는 SOC 2 Type II에서 20~~35%다. 랜섬웨어 DR 훈련을 연 2회 이상 실시하는 경우에는 10~~15% 절감 효과가 제시된다.

기술 통제가 실패했거나 허위 신고가 있으면 보험금 지급이 거절될 수 있다. 가입 전 현황 실사(Due Diligence)를 철저히 수행해야 한다.

조직 목적에 맞춰 프레임워크를 조합하는 법

항목	NIST CSF 2.0	ISO 27001:2022	CIS Controls v8
발행	NIST (2024.02)	ISO/IEC (2022.10)	CIS (2021.05)
구조	6 기능(Govern/Identify/Protect/Detect/Respond/Recover)	93개 통제 항목 (4 테마)	18개 컨트롤, 153개 세이프가드
인증	인증 없음 (자체 평가)	제3자 인증 가능	자체 평가 (CIS-CAT)
공급망 보안	GV.SC (공급망 리스크 관리 기능 신설)	A.5.19~A.5.23 (공급망 관계)	CIS Control 2 (소프트웨어 자산 관리)
랜섬웨어 대응	DE.CM, RS.MA 세부 지침	A.5.26 (사고 대응), A.8.13 (백업)	CIS Control 11 (데이터 복구)
백업/복구	RC.RP, RC.CO	A.8.13 (정보 백업)	CIS Control 11 세이프가드 11.1~11.4
접근 제어	PR.AA (ID 및 접근 관리)	A.5.15~A.5.18	CIS Control 5 (계정 관리) + Control 6
위협 인텔리전스	ID.RA (리스크 평가)	A.5.7 (위협 인텔리전스)	CIS Control 17 (사고 대응)
측정 지표	성숙도 프로파일 (Tier 1-4)	통제 효과성 측정 의무	IG1/IG2/IG3 구현 그룹
법적 요구사항 연계	미국 연방 규제 기반	GDPR, ISO 연계 강력	산업별 독립적

NIST CSF 2.0은 미국 연방 계약 또는 미국 시장 의존도가 높고, 인증보다 내부 개선 프로세스와 보안 성숙도 향상이 목적인 조직에 맞는다. 2024년 신설된 Govern 기능은 CISO 리포팅 구조와도 연결할 수 있다.

ISO 27001:2022는 글로벌 B2B 계약에서 인증서를 요구받거나, 공급망 파트너 보안 관리와 GDPR 등 유럽 개인정보 규제 준수가 중요한 조직에 적합하다. 제3자 감사를 통해 신뢰성을 증명해야 할 때도 활용한다.

CIS Controls v8은 예산이 제한된 중소기업이 IG1 구현 그룹부터 시작하기 좋고, 기술적 세이프가드 중심 통제와 CIS-CAT Pro 기반 자동화된 컴플라이언스 측정이 필요한 경우에 맞는다. 대기업은 ISO 27001:2022를 인증 기반으로, NIST CSF 2.0을 내부 성숙도 측정 도구로 병행하고, CIS Controls v8을 기술 통제 체크리스트로 활용할 수 있다.

BCP·DR과 사고 대응 운영에 연결하기

정보 보안 사고 관리는 ISO/IEC 27035의 계획 및 준비(Plan & Prepare), 감지 및 보고(Detect & Report), 평가 및 결정(Assess & Decide), 대응(Respond), 교훈 도출(Lessons Learned) 생명주기와 연결된다.

개념	정보 보안 사고 관리 연계
BCP(Business Continuity Plan)	RPO/RTO 설정 원칙, 랜섬웨어 복구 시나리오 통합
DR(Disaster Recovery)	불변 백업, 복구 우선순위 결정 매트릭스
포렌식	증거 보전 절차, 체인 오브 커스터디, 휘발성 데이터 우선 수집
위기 관리	커뮤니케이션 플랜, 이해관계자 알림 체계
법적 대응	개인정보 침해 신고 의무 (72시간 내, GDPR/PIPA), 수사기관 협조
CERT/CSIRT	조직 내 보안사고 대응팀 구성, 역할 및 책임 정의

BCP/DR 기반 랜섬웨어 복구 계획에는 서비스별 허용 중단 시간을 정의하는 RTO(Recovery Time Objective), 허용 가능한 데이터 손실 시간을 정의하는 RPO(Recovery Point Objective), 핵심 업무 프로세스와 IT 시스템 의존성을 연결하는 업무 영향 분석(BIA)이 포함된다. 복구 우선순위는 생명 안전, 핵심 비즈니스, 지원 시스템 순서로 두고, IT 시스템을 사용할 수 없을 때의 수동 운영 방안도 사전에 정의한다.

2026년에는 SOAR와 LLM을 결합해 자연어 기반 플레이북 생성 및 경보 설명을 제공하는 방식, UEBA(User and Entity Behavior Analytics) 정밀도를 높이는 이상 탐지, 타임라인 재구성과 IOC 추출을 자동화하는 포렌식, STIX/TAXII 피드를 SOAR에 자동 반영하는 위협 인텔리전스 자동 소화가 사고 대응 자동화 방향으로 제시된다.