# LOCK3D 등 랜섬웨어 위협에 따른 주요 보안 취약점 및 필수 대응 안내

최근 NAS 및 외부에 노출된 서버를 대상으로 하는 랜섬웨어 공격이 지속적으로 발생하고 있습니다.  특히 Synology NAS의 DSM 관리 서비스와 Docker 기반 컨테이너 서비스가 외부 네트워크에 노출된 경우, 보안 설정이나 소프트웨어의 취약점을 악용한 침입 위험이 증가할 수 있습니다.  이에 주요 보안 위험 요소와 권장 대응 방안을 다음과 같이 안내드리오니, 고객(사)에서는 현재 운영 중인 NAS의 보안 상태를 점검하고 필요한 보호 조치를 시행해 주시기 바랍니다.

1. 주요 보안 위험 및 침입 경로

① DSM 운영체제 및 원격 관리 서비스 취약점

Synology NAS의 DSM 관리 페이지가 인터넷에 직접 노출된 환경은 외부 공격자의 주요 공격 대상이 될 수 있습니다.

특히 DSM 관리 포트(기본 TCP 5000, 5001)가 별도의 접근 제한 없이 개방된 경우 다음과 같은 보안 위협에 노출될 수 있습니다.

• 무차별 대입 공격(Brute Force)을 통한 관리자 계정 탈취

• 취약한 비밀번호 및 인증 설정을 악용한 비인가 접근

• DSM 또는 관련 서비스의 알려진 취약점을 이용한 침입

• 인증 절차를 우회하거나 원격 코드 실행(RCE)을 유발하는 취약점 악용

주의: 원격 코드 실행 취약점이 존재하는 경우, 일부 공격은 정상적인 로그인이나 2단계 인증(2FA) 절차를 거치지 않고도 발생할 수 있습니다.

따라서 비밀번호 강화 및 2단계 인증만으로 모든 공격을 방어할 수는 없으며, 최신 보안 업데이트와 외부 접근 통제가 함께 이루어져야 합니다.

② Docker 컨테이너 및 외부 웹 서비스 노출

Synology Container Manager(Docker)를 이용하여 웹사이트, GitLab, Confluence 등 다양한 서비스를 운영하는 환경에서도 각별한 주의가 필요합니다.

컨테이너 내부 서비스의 포트를 인터넷에 직접 개방하거나 접근 제한 없이 운영할 경우 다음과 같은 보안 위험이 발생할 수 있습니다.

• 컨테이너에서 실행 중인 웹 애플리케이션의 취약점 악용

• 외부에 노출된 서비스의 원격 코드 실행(RCE) 취약점 공격

• 관리자 페이지 및 인증 서비스에 대한 비인가 접근

• 과도한 컨테이너 권한 또는 부적절한 볼륨 마운트 설정을 통한 피해 확산

특히 컨테이너가 호스트 시스템의 중요 디렉터리에 접근할 수 있도록 구성된 경우, 침해 사고 발생 시 NAS에 저장된 데이터까지 영향을 받을 가능성이 있습니다.

Docker 컨테이너를 사용한다는 사실만으로 서비스가 외부 공격으로부터 안전하게 격리되는 것은 아닙니다.

2. 랜섬웨어 감염 경로에 대한 주의사항

이번에 안내하는 보안 위험은 일반적인 PC의 악성코드 감염이나 SMB(네트워크 드라이브)를 통한 파일 암호화 공격과 구분할 필요가 있습니다.

NAS의 DSM 또는 외부에 공개된 웹 서비스의 취약점을 악용하는 공격은 사용자 PC를 경유하지 않고 NAS 또는 해당 서비스에 직접 침입할 수 있습니다.

(감염된 PC를 경유하지 않았다는 내용이 아니며, 실제로 이번 감염된 고객사의 랜섬웨어 감염이 사용자 PC를 통해 감염 확인 사례도 많았습니다.)

따라서 PC의 백신 설치나 보안 점검만으로는 NAS에 대한 직접적인 외부 침입을 충분히 예방할 수 없습니다.

다만 SMB 공유 폴더를 통한 랜섬웨어 피해 역시 별도로 발생할 수 있으므로, PC와 NAS 양쪽 모두에 대한 보안 관리가 필요합니다.

3. 고객사 필수 보안 조치 권고

① DSM 및 설치 패키지 최신 보안 업데이트

• Synology DSM을 해당 NAS 모델에서 지원하는 최신 보안 업데이트 버전으로 유지

• Container Manager 및 설치된 패키지의 보안 업데이트 확인

• Docker 컨테이너 이미지와 내부 애플리케이션의 보안 패치 적용

• 제조사에서 보안 지원이 종료된 운영체제 및 패키지 사용 여부 점검

최신 보안 업데이트는 알려진 취약점을 악용하는 공격을 예방하기 위한 가장 기본적이고 중요한 보호 조치입니다.

② DSM 관리 포트 및 외부 서비스 접근 제한

• DSM 관리 포트(5000, 5001)의 인터넷 직접 노출 최소화

• 불필요한 공유기 포트포워딩 및 방화벽 허용 정책 제거

• 외부 공개가 필요하지 않은 컨테이너 서비스의 접근 차단

• 외부 접속이 필요한 서비스는 방화벽, 접근 허용 IP 및 인증 정책 등을 통해 보호

• 기본 포트 변경만으로 보안이 확보된다고 판단하지 않도록 주의

권장 사항: NAS 관리 목적의 원격 접속은 가능한 한 인터넷에 직접 공개하지 않고 VPN 등 별도의 보안 접속 경로를 이용하시기 바랍니다.

③ VPN 기반 원격 접속 환경 구성

외부에서 NAS 관리 및 내부 업무 서비스에 접근해야 하는 경우, 다음과 같은 보안 접속 방식을 권장합니다.

• Tailscale 등 암호화된 사설 네트워크 기반 접속

• Fortinet 등 방화벽 장비를 이용한 VPN 접속

• 사용자별 접근 권한 분리 및 다중 인증 적용

• VPN 접속 이후에도 필요한 NAS 서비스에 한정하여 접근 허용

VPN 사용은 관리 서비스의 인터넷 직접 노출을 줄이는 효과적인 방법이지만, VPN 자체의 보안 업데이트와 인증 관리도 함께 이루어져야 합니다.

④ 데이터 백업 및 복구 체계 점검

랜섬웨어는 보안 설정만으로 모든 위험을 완전히 제거하기 어렵기 때문에, 별도의 백업 및 복구 대책이 반드시 필요합니다.

• 중요 데이터에 대한 정기적인 자동 백업

• NAS 운영 환경과 분리된 외부 백업 저장소 확보

• 스냅샷 및 변경 불가능한 백업(Immutable Backup) 활용 검토

• 백업 계정과 일반 사용자 계정의 접근 권한 분리

• 정기적인 백업 무결성 확인 및 실제 복구 테스트 실시

특히 NAS 내부에만 저장된 백업은 NAS 자체가 침해되거나 장애가 발생할 경우 함께 손상될 수 있으므로, 독립적인 백업 체계를 유지하시기 바랍니다.

4. 최종 보안 권고

Synology NAS는 파일 공유뿐 아니라 웹사이트, 메일 서버, 데이터베이스 및 다양한 업무 서비스를 통합 운영할 수 있는 시스템입니다.

그러나 외부에 공개된 관리 서비스나 취약한 웹 애플리케이션은 공격자의 침입 경로가 될 수 있으므로 지속적인 보안 관리가 필요합니다.

고객사에서는 다음 세 가지 사항을 우선적으로 점검해 주시기 바랍니다.

첫째, DSM 및 설치된 서비스의 최신 보안 업데이트 적용

둘째, 불필요한 외부 포트 개방 차단 및 VPN 기반 관리 접속 전환

셋째, 랜섬웨어 피해에 대비한 독립적인 백업 및 복구 체계 확보

안전한 NAS 운영을 위해 고객 여러분의 적극적인 보안 점검과 협조를 부탁드립니다.

# 디온(THEON)

Synology NAS 구축 · 운영 · 기술지원 및 방화벽 구축

본 안내문은 NAS 운영 환경에서 발생할 수 있는 주요 보안 위험과 예방 조치를 안내하기 위한 기술 보안 권고문입니다. 특정 랜섬웨어의 침투 방식이나 취약점 악용 여부는 공식 보안 분석 및 제조사 발표에 따라 달라질 수 있습니다.