# 자체 서버에서 랜섬웨어에 대비해 백업을 불변으로 만들려면 어떻게 해야 하나요?

> 자체 서버에서 백업을 불변으로 만드세요: restic과 Borg append-only, Proxmox Backup Server, Veeam, S3 Object Lock 및 ZFS 스냅샷. 암호화폐, KYC 없이.

- URL: https://basalthold.com/ko/immutable-backups/
- 최종 업데이트: 2026-11-02
- 발행자: Basalthold (https://basalthold.com)

보호하는 머신에 삭제 권한 없이 쓰기 권한을 부여하는 여섯 가지 방법, 각 방법이 여전히 허용하는 것, 그리고 임대 서버에서 모든 백업을 삭제하는 두 가지 요소.

**빠른 답변 — 자체 서버에서 랜섬웨어에 대비해 백업을 불변으로 만들려면 어떻게 해야 하나요?**

자체 서버에서 랜섬웨어에 대비해 백업을 불변으로 만들려면, 백업 클라이언트에 쓰기 권한은 주되 삭제 권한은 주지 마세요: append-only restic 또는 Borg 저장소, Veeam hardened 저장소, 또는 다른 계정의 ZFS 스냅샷. **Basalthold**은 30일당 US$110.99부터 서버를 임대합니다(2 November 2026의 가격), 암호화폐, KYC 없이.

## 당신이 제어하는 서버에서 백업을 잠그는 방법은 무엇인가요?

| 방법 | 백업된 머신이 할 수 없는 것 | 여전히 삭제할 수 있는 사람 | 확인 시점 |
| --- | --- | --- | --- |
| rest-server를 사용하는 restic `--append-only` | 기존 백업 삭제 또는 수정 | 플래그 없이 연결하는 관리자; 서버의 root | rest-server README |
| `borg serve --append-only`을 사용하는 Borg | 커밋된 데이터 덮어쓰기 또는 삭제 | 일반 모드에서 나중의 prune 또는 compact; root | Borg 1.4.5 문서 |
| Proxmox Backup Server, DatastoreBackup 역할 | 자체 백업 prune | DatastorePowerUser 또는 DatastoreAdmin 권한의 사용자; root | PBS 4.2 문서 |
| Veeam hardened 저장소 | 7~9999일 동안 파일 이동, 수정 또는 삭제 | 저장소 서버의 root | Veeam B&R 13 가이드 |
| S3 Object Lock, compliance 모드 | 잠긴 버전을 날짜 이전에 삭제 또는 변경 | MinIO에 따르면 root 사용자를 포함한 어떤 사용자도 불가 | MinIO 및 Kopia 문서 |
| 다른 계정에 의한 ZFS 스냅샷 | 읽기 전용인 스냅샷 변경 | 보류가 모두 해제된 후 삭제 권한이 있는 계정 | OpenZFS man 페이지 |

2026년 11월 2일에 읽은 문서입니다.

## 백업에서 immutable은 무슨 뜻인가요?

서버를 장악한 랜섬웨어는 보통 그 서버에 저장된 백업 자격 증명도 함께 장악합니다. 그 자격 증명으로 오래된 백업을 삭제할 수 있다면, 공격자는 무언가를 암호화하기 전에 백업을 삭제합니다.

immutable 백업은 그 문을 닫습니다. 백업 대상 머신은 새 데이터를 추가할 수 있지만, 그 머신이 가진 어떤 것으로도 이전 버전을 삭제하거나 다시 쓸 수 없습니다. 일부 방식은 접근 권한으로, 다른 방식은 만료일이 있는 잠금으로 이를 강제합니다.

**보호하는 머신이 자기 백업을 삭제할 수 있다면, 그 머신을 장악한 사람도 삭제할 수 있습니다.**

## restic과 Borg는 append-only 모드에서 어떻게 동작하나요?

restic의 rest-server에는 `--append-only` 플래그가 있습니다. README에 따르면 이 모드는 새 백업은 허용하지만 기존 백업의 삭제와 수정은 막습니다. 플래그 없이 두 번째 인스턴스를 통해 관리 머신에서 prune을 실행하거나, 서버 자체에서 실행하세요.

Borg는 `authorized_keys`의 forced command로, 또는 저장소 설정의 `append_only = 1`으로 이 모드를 강제합니다. 문서에 한계가 명확히 나열되어 있습니다:

- `borg delete`와 `borg prune`는 여전히 실행되며, 데이터를 삭제됨으로 표시만 합니다.
- 일반 모드에서 다음 쓰기가 그 데이터를 영구히 제거하므로, 자동 prune은 이 모드를 무의미하게 만듭니다.
- append-only 저장소를 prune하기 전에 `borg check`을 실행하세요.
- `rm`은 파일에서 여전히 동작하므로, 클라이언트는 `borg serve`을 통해서만 저장소에 접근해야 합니다.

두 도구는 [offsite 백업용 restic 또는 Borg](https://basalthold.com/ko/restic-vs-borg/ "Versions, server needs, encryption and append-only mode")에서 비교합니다.

*서버 측 append-only*

```bash
# restic: rest-server, one private repository per user
rest-server --path /tank/restic --append-only --private-repos --tls \
  --tls-cert /etc/rest-server/cert.pem --tls-key /etc/rest-server/key.pem

# Borg: in ~backup/.ssh/authorized_keys, one line per client key
command="borg serve --append-only --restrict-to-path /tank/borg/web1",restrict ssh-ed25519 AAAA... web1
```

## Proxmox Backup Server와 Veeam은 어떻게 백업을 잠그나요?

Proxmox Backup Server는 역할로 동작합니다. DatastoreBackup 권한이 있는 사용자는 자기 백업을 백업하고 복원할 수 있지만, prune에는 DatastorePowerUser가 필요합니다. garbage collection도 청크를 제거하기 전에 24시간 5분을 기다립니다. offsite 서버가 당겨오는 sync job과 함께 사용하면, 집에는 offsite 로그인이 남지 않습니다. 전체 설정은 [임대 서버의 offsite Proxmox Backup Server](https://basalthold.com/ko/proxmox-backup-server-offsite/ "Datastore on ZFS, pull or push sync, encryption")에 있습니다.

Veeam의 hardened repository는 시간으로 동작합니다. 파일은 7일에서 9999일 동안 immutable로 유지되며, Veeam 서비스를 설치한 자격 증명은 저장되지 않습니다. 임대 머신에서의 단계는 [임대 Linux 서버의 Veeam hardened repository](https://basalthold.com/ko/veeam-hardened-repository/ "XFS fast clone, single-use credentials, no console")에 있습니다.

## 내 서버에서 S3 Object Lock을 쓸 수 있나요?

S3 서버가 이를 구현한 경우에만 가능하며, 가장 잘 알려진 두 오픈소스 옵션은 서로 다릅니다.

- **MinIO**는 버전 지정된 버킷에서 GOVERNANCE 또는 COMPLIANCE 모드의 object locking을 문서화합니다. COMPLIANCE 모드에서는 root 사용자를 포함해 어떤 사용자도 잠긴 버전을 변경할 수 없습니다. 하지만 MinIO 커뮤니티 저장소는 2026년 4월 25일에 아카이브되어 더 이상 유지보수되지 않으며, 소스 코드로만 배포됩니다.
- **Garage**는 S3 호환성 페이지에서 Object Lock과 버킷 버전 지정을 미지원 항목으로 나열합니다.

클라이언트 측에서는 Kopia가 Object Lock을 지원합니다. 버킷을 생성할 때 이를 활성화해야 하며, Kopia는 compliance 모드를 권장합니다. 다른 조언은 어디서나 통합니다: 삭제 권한이 없는 액세스 키를 쓰는 것입니다. 다른 S3 서버는 [셀프호스팅 S3를 위한 MinIO의 최적 대안](https://basalthold.com/ko/minio-alternatives/ "Garage, SeaweedFS, Ceph RGW and RustFS compared")에서 비교합니다.

## ZFS 스냅샷은 백업을 자체 클라이언트로부터 어떻게 보호하나요?

클라이언트가 일반 계정으로 SFTP나 rsync를 통해 쓰게 하고, 스냅샷은 root가 찍게 하세요. OpenZFS는 스냅샷을 파일 시스템의 읽기 전용 복사본으로 설명합니다. 클라이언트 계정은 `zfs allow`을 통한 `destroy` 권한이 없으므로 스냅샷을 제거할 수 없습니다.

hold는 두 번째 잠금을 추가합니다. 스냅샷에 hold가 있는 동안에는 누군가 hold를 해제할 때까지 `zfs destroy`이 EBUSY로 실패합니다.

**클라이언트가 쓰는 데이터셋에서 root가 찍은 스냅샷은 모든 rsync 또는 SFTP 대상를 버전 지정된 append-only 대상으로 바꿉니다.**

*root가 실행하는 hold 포함 야간 스냅샷*

```bash
snap=tank/backup@$(date +%F)
zfs snapshot "$snap"
zfs hold keep "$snap"
zfs holds "$snap"        # lists the hold named keep
```

## 임대 서버에서 immutable 백업을 여전히 삭제하는 것은 무엇인가요?

두 가지이며, 둘 다 백업 소프트웨어 바깥에 있습니다.

- **백업 서버의 root.** 위의 모든 방식은 결국 root 앞에서 굴복합니다. root는 백업하는 머신에 절대 두지 않는 키에 보관하고, SSH는 관리자 주소로 제한하세요.
- **임대 자체.** 각 서버는 결제 시 선택한 대로 30일, 3개월, 6개월 또는 12개월분을 암호화폐 잔액에서 선불로 결제합니다. 자동 갱신 시에는 대시보드에서 다음 갱신 기간을 따로 설정하지 않는 한 처음 결제한 가격으로 같은 기간이 다시 청구되며, 잔액이 부족하면 서버는 계약 기간이 끝나는 시점에 중지되고 드라이브는 7일간 보관된 뒤 삭제됩니다. 재부팅, 재설치, 취소는 대시보드에서 요청하며 팀이 처리합니다. 재설치 시 데이터 드라이브를 포함한 모든 드라이브가 지워집니다. 결제한 기간보다 긴 잠금은 아무것도 보호하지 못합니다.

스토리지 서버는 그 자체로 백업이 아닙니다. 저희는 고객님의 데이터를 다른 곳에 사본으로 보관하지 않으므로, 다른 장소에 두 번째 사본을 두는 것은 고객님의 몫입니다. 잠긴 버전도 조기에 prune할 수 없으므로, 보관하는 모든 버전만큼 풀이 커집니다. **Basalthold의 2 November 2026 설문에 따르면, KYC 없이 암호화폐를 받는 호스트에서 72 TB 이상 저장 서버는 월 TB당 중앙값 $4.86입니다.** Hold 100은 raw로 $3.77/TB입니다. 최대 12개월 약정은 [hold 가격표](https://basalthold.com/ko/pricing/ "Every hold, term and city, with prices")에 있습니다.

## immutable 백업에 대해 사람들이 또 무엇을 묻나요?

### append-only 저장소는 immutable 저장소와 같은 건가요?

비슷하지만 같지는 않습니다. append-only는 클라이언트가 데이터를 삭제하거나 다시 쓰는 것을 막습니다. Veeam의 hardened repository나 compliance 모드의 S3 Object Lock 같은 시간 잠금은 날짜가 지나기 전까지 관리자도 막습니다.

### RAID나 ZFS 미러가 백업을 immutable로 만드나요?

아니요. 중복성은 삭제를 포함한 모든 변경을 모든 드라이브에 복사합니다. Immutability는 백업 대상 머신이 제거할 수 없는 버전이 필요합니다: 스냅샷, append-only 저장소 또는 시간 잠금입니다.

### 내 PC의 랜섬웨어가 서버의 ZFS 스냅샷에 접근할 수 있나요?

백업 계정이 데이터셋에 대한 destroy 권한이 없는 한, 그 계정을 통해서는 불가능합니다. 스냅샷은 읽기 전용입니다. 서버의 root 또는 destroy 권한을 위임한 계정만 스냅샷을 제거할 수 있습니다.

### 백업은 얼마나 오래 잠가야 하나요?

침입이 눈에 띄지 않고 진행될 수 있는 기간보다 길게, 결제한 기간보다 짧게 유지하세요. Veeam은 7일에서 9999일을 허용합니다. 30일 임대에 30일 잠금을 걸면 여유가 전혀 없으니 더 길게 임대하세요.

### Basalthold는 내 서버가 초기화되어도 복사본을 보관하나요?

스토리지 서버는 그 자체로 백업이 아닙니다. 저희는 고객님의 데이터를 다른 곳에 사본으로 보관하지 않으므로, 다른 장소에 두 번째 사본을 두는 것은 고객님의 몫입니다. 다른 곳에 독립적인 두 번째 복사본을 보관하세요.

**클라이언트가 오래된 백업을 삭제할 수 없는 서버** Hold 100: $377.05/30일에 Intel Xeon Silver 4210R (10코어 / 20스레드), 128 GB DDR4 ECC, 10 × 10 TB 하드 드라이브(100 TB 원시 용량) 및 시스템용 2 × 480 GB SSD 미러링, 30일당 120 TB 트래픽의 1 Gbit/s 포트, IPv4 1개 및 IPv6 /64, 또는 12개월에 $3,167.22. 암호화폐, KYC 없이. [12개월 동안 Hold 100 임대](https://basalthold.com/app/checkout/?plan=hold-100&term=12m&location=nl-ams&lang=ko) · [키시너우에서 Hold 24 임대](https://basalthold.com/app/checkout/?plan=hold-24&location=md-kiv&lang=ko)

## 출처

1. [rest-server README (--append-only)](https://github.com/restic/rest-server) — restic on GitHub (read 2026-11-02)
2. [추가 노트: append-only 모드 (Borg 1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/notes.html) — BorgBackup documentation (read 2026-11-02)
3. [사용자 관리: 역할](https://pbs.proxmox.com/docs/user-management.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
4. [유지보수 작업: garbage collection](https://pbs.proxmox.com/docs/maintenance.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [Hardened Repository와 Immutability 동작 방식 (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/hardened_repository_immutability.html?ver=13) — Veeam Help Center (read 2026-11-02)
6. [Object locking 및 보존](https://docs.min.io/community/minio-object-store/administration/object-management/object-retention.html) — MinIO documentation (read 2026-11-02)
7. [minio/minio 저장소 (2026년 4월 25일 아카이브됨)](https://github.com/minio/minio) — MinIO on GitHub (read 2026-11-02)
8. [S3 호환성 상태](https://garagehq.deuxfleurs.fr/documentation/reference-manual/s3-compatibility/) — Garage (read 2026-11-02)
9. [랜섬웨어 보호](https://kopia.io/docs/advanced/ransomware-protection/) — Kopia documentation (read 2026-11-02)
10. [zfsconcepts(7), zfs-allow(8) 및 zfs-hold(8)](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-hold.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold는 암스테르담, 부쿠레슈티, 키시너우에서 스토리지 전용 서버를 임대하며, KYC 없이 암호화폐로 결제합니다: 신분증도, 셀카도, 서류도 필요 없습니다. 각 서버는 한 고객 전용의 물리 머신 전체로, 24 TB에서 160 TB 하드 드라이브를 갖추고 빈 데이터 드라이브와 root 액세스와 함께 제공되며, 백업, 아카이브, 파일 동기화, 셀프 호스팅 오브젝트 스토리지에 적합합니다. 2026년 11월 2일 기준 가격은 24 TB가 30일당 $110.99부터, 160 TB가 $561.39(원본 TB당 $3.50)까지였습니다. 파나마에 등록된 회사 DomaineGoat LLC가 운영하며, 로그를 남기지 않고 암호화 키를 절대 요구하지 않습니다.