자체 서버에서 랜섬웨어에 대비해 백업을 불변으로 만들려면 어떻게 해야 하나요?

백업에서 immutable은 무슨 뜻인가요?

서버를 장악한 랜섬웨어는 보통 그 서버에 저장된 백업 자격 증명도 함께 장악합니다. 그 자격 증명으로 오래된 백업을 삭제할 수 있다면, 공격자는 무언가를 암호화하기 전에 백업을 삭제합니다.

immutable 백업은 그 문을 닫습니다. 백업 대상 머신은 새 데이터를 추가할 수 있지만, 그 머신이 가진 어떤 것으로도 이전 버전을 삭제하거나 다시 쓸 수 없습니다. 일부 방식은 접근 권한으로, 다른 방식은 만료일이 있는 잠금으로 이를 강제합니다.

보호하는 머신이 자기 백업을 삭제할 수 있다면, 그 머신을 장악한 사람도 삭제할 수 있습니다.

restic과 Borg는 append-only 모드에서 어떻게 동작하나요?

restic의 rest-server에는 --append-only 플래그가 있습니다. README에 따르면 이 모드는 새 백업은 허용하지만 기존 백업의 삭제와 수정은 막습니다. 플래그 없이 두 번째 인스턴스를 통해 관리 머신에서 prune을 실행하거나, 서버 자체에서 실행하세요.

Borg는 authorized_keys의 forced command로, 또는 저장소 설정의 append_only = 1으로 이 모드를 강제합니다. 문서에 한계가 명확히 나열되어 있습니다:

• borg delete와 borg prune는 여전히 실행되며, 데이터를 삭제됨으로 표시만 합니다.
• 일반 모드에서 다음 쓰기가 그 데이터를 영구히 제거하므로, 자동 prune은 이 모드를 무의미하게 만듭니다.
• append-only 저장소를 prune하기 전에 borg check을 실행하세요.
• rm은 파일에서 여전히 동작하므로, 클라이언트는 borg serve을 통해서만 저장소에 접근해야 합니다.

두 도구는 offsite 백업용 restic 또는 Borg에서 비교합니다.

# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1

Proxmox Backup Server와 Veeam은 어떻게 백업을 잠그나요?

Proxmox Backup Server는 역할로 동작합니다. DatastoreBackup 권한이 있는 사용자는 자기 백업을 백업하고 복원할 수 있지만, prune에는 DatastorePowerUser가 필요합니다. garbage collection도 청크를 제거하기 전에 24시간 5분을 기다립니다. offsite 서버가 당겨오는 sync job과 함께 사용하면, 집에는 offsite 로그인이 남지 않습니다. 전체 설정은 임대 서버의 offsite Proxmox Backup Server에 있습니다.

Veeam의 hardened repository는 시간으로 동작합니다. 파일은 7일에서 9999일 동안 immutable로 유지되며, Veeam 서비스를 설치한 자격 증명은 저장되지 않습니다. 임대 머신에서의 단계는 임대 Linux 서버의 Veeam hardened repository에 있습니다.

내 서버에서 S3 Object Lock을 쓸 수 있나요?

S3 서버가 이를 구현한 경우에만 가능하며, 가장 잘 알려진 두 오픈소스 옵션은 서로 다릅니다.

• MinIO는 버전 지정된 버킷에서 GOVERNANCE 또는 COMPLIANCE 모드의 object locking을 문서화합니다. COMPLIANCE 모드에서는 root 사용자를 포함해 어떤 사용자도 잠긴 버전을 변경할 수 없습니다. 하지만 MinIO 커뮤니티 저장소는 2026년 4월 25일에 아카이브되어 더 이상 유지보수되지 않으며, 소스 코드로만 배포됩니다.
• Garage는 S3 호환성 페이지에서 Object Lock과 버킷 버전 지정을 미지원 항목으로 나열합니다.

클라이언트 측에서는 Kopia가 Object Lock을 지원합니다. 버킷을 생성할 때 이를 활성화해야 하며, Kopia는 compliance 모드를 권장합니다. 다른 조언은 어디서나 통합니다: 삭제 권한이 없는 액세스 키를 쓰는 것입니다. 다른 S3 서버는 셀프호스팅 S3를 위한 MinIO의 최적 대안에서 비교합니다.

ZFS 스냅샷은 백업을 자체 클라이언트로부터 어떻게 보호하나요?

클라이언트가 일반 계정으로 SFTP나 rsync를 통해 쓰게 하고, 스냅샷은 root가 찍게 하세요. OpenZFS는 스냅샷을 파일 시스템의 읽기 전용 복사본으로 설명합니다. 클라이언트 계정은 zfs allow을 통한 destroy 권한이 없으므로 스냅샷을 제거할 수 없습니다.

hold는 두 번째 잠금을 추가합니다. 스냅샷에 hold가 있는 동안에는 누군가 hold를 해제할 때까지 zfs destroy이 EBUSY로 실패합니다.

클라이언트가 쓰는 데이터셋에서 root가 찍은 스냅샷은 모든 rsync 또는 SFTP 대상를 버전 지정된 append-only 대상으로 바꿉니다.

snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep

임대 서버에서 immutable 백업을 여전히 삭제하는 것은 무엇인가요?

두 가지이며, 둘 다 백업 소프트웨어 바깥에 있습니다.

• 백업 서버의 root. 위의 모든 방식은 결국 root 앞에서 굴복합니다. root는 백업하는 머신에 절대 두지 않는 키에 보관하고, SSH는 관리자 주소로 제한하세요.
• 임대 자체. 각 서버는 결제 시 선택한 대로 30일, 3개월, 6개월 또는 12개월분을 암호화폐 잔액에서 선불로 결제합니다. 자동 갱신 시에는 대시보드에서 다음 갱신 기간을 따로 설정하지 않는 한 처음 결제한 가격으로 같은 기간이 다시 청구되며, 잔액이 부족하면 서버는 계약 기간이 끝나는 시점에 중지되고 드라이브는 7일간 보관된 뒤 삭제됩니다. 재부팅, 재설치, 취소는 대시보드에서 요청하며 팀이 처리합니다. 재설치 시 데이터 드라이브를 포함한 모든 드라이브가 지워집니다. 결제한 기간보다 긴 잠금은 아무것도 보호하지 못합니다.

스토리지 서버는 그 자체로 백업이 아닙니다. 저희는 고객님의 데이터를 다른 곳에 사본으로 보관하지 않으므로, 다른 장소에 두 번째 사본을 두는 것은 고객님의 몫입니다. 잠긴 버전도 조기에 prune할 수 없으므로, 보관하는 모든 버전만큼 풀이 커집니다. Basalthold의 2 November 2026 설문에 따르면, KYC 없이 암호화폐를 받는 호스트에서 72 TB 이상 저장 서버는 월 TB당 중앙값 $4.86입니다. Hold 100은 raw로 $3.77/TB입니다. 최대 12개월 약정은 hold 가격표에 있습니다.