Sentinel Vault 점검·표시 명세서 2026-10-20 기준 · 기능 구조는 vault-feature-map.html 참조
Sentinel Vault는 Sentinel 에 얹는 랜섬웨어 복구 보호 옵션입니다. 서버의 DB·파일을 격리 저장소(Vault)가 당겨 가서 잠긴 스냅샷으로 보관하고, 백업본이 오염됐는지 판정하며, 사고 때 깨끗한 시점으로 자동 복원합니다. 이 문서는 "무엇을 점검하고, 무엇을 감지하며, 언제 알림이 가고, 누가 무엇을 하는지"의 명세입니다.
상태 표시 — 운영 = 설치된 서버에서 동작 · 검증 완료 = 시험 서버에서 실제 동작 확인(고객 설치 전) · 준비 중 = 구현·시험이 남음. 숫자는 모두 시험 서버 실측입니다.
1. 구성 (세 역할)
| 역할 | 하는 일 | 상태 |
|---|
| 원본 서버 | DB 이미지 사본·아카이브 로그·파일 변경분을 내보내기만 함(읽기 전용 통로). Vault 계정·키 없음 | 검증 완료 |
| 사본 A — Vault 박스(병원 안) | 원본을 당겨 와 ZFS 스냅샷으로 잠금. 받는 계정과 잠그는 계정을 나눔(한 계정이 털려도 과거 판을 못 지움). 복원 때 여기서 바로 DB 를 띄움 | 검증 완료 |
| 사본 B — 외부·오프사이트(NAS) | 암호화 조각을 한 번 쓰기(WriteOnce)로 보관. 키는 B 에 없음 | 검증 완료(시험 서버, 2026-10-19 재개) |
2. 감지 항목 전체 (이슈 코드)
심각도 2단계: 주의(warn) = 확인 필요 / 장애(bad) = 지금 조치 필요. 모든 경보는 Sentinel 알림 규칙(디스코드·메일)을 그대로 따릅니다.
2-1. 랜섬 판정 — 백업 시점 보류
판정은 세 가지입니다. clean(깨끗) · suspect(의심) · corrupt(오염). clean 이 아니면 그 회차를 스냅샷으로 굳히지 않고(보류) 이전 깨끗한 시점을 지킵니다. 보류 중에는 오래된 스냅샷 정리도 멈춥니다. 의심은 경보와 보류만 하고, 자동 차단 같은 조치는 하지 않습니다.
| 감지 | 조건 | 심각도 |
|---|
| DB 사본 오염 | 당겨 온 DB 이미지 사본의 블록 머리(형식·번호) 표본 검사 실패 비율 20% 이상, 앞부분 손상, 형식 판별 불가, 사본 수 모자람 (VAULT_IC_CORRUPT) | 장애 |
| DB 사본 의심 | 손상 블록 1개 이상 · 낯선 파일(몸값 안내문·개명된 사본) · 증분 회차인데 변경량이 사본 전체의 50% 이상 · 아카이브 로그 형식 이상 (VAULT_IC_SUSPECT) | 주의 |
| 파일 변경 이상 | 알려진 랜섬 확장자 · 처음 보는 확장자 급증(누적 포함) · 이중 확장자 · 변경 폭주 → 그 원본 당김 보류. 원본이 ZFS 라 블록 단위로 받는 경우도 같은 기준(받은 뒤 판정, 보류면 스냅샷 안 찍음) (VAULT_REPL_HOLD) | 주의 |
| 파일 백업 회차 보류 | 파일 볼트 회차에서 미학습 확장자 급증·이중 확장자·몸값 안내문 3폴더 이상·변경 폭주 — 관리자가 확인·해제할 때까지 유지 (RANSOM_SUSPECT) | 장애 |
| 아카이브 번호 빠짐 | 최근 48시간 아카이브 로그 번호가 빠짐 — 그 지점 뒤로 복구가 끊김(오염 아님, 보류 없음) (VAULT_ARCH_GAP) | 주의 |
| 주간 전수 검증 오염 | 최신 스냅샷의 DB 사본 모든 블록의 머리·체크섬 검사(오라클 없이) 실패 (VAULT_VERIFY_CORRUPT / VAULT_VERIFY_SUSPECT) — 그 시점은 복원 후보에서 자동 제외 | 주의 / 장애 |
| 주간 전수 검증 멈춤 | 마지막 전수 검증이 10일 넘음 (VAULT_VERIFY_STALE) | 주의 |
2-2. 당김·스냅샷 감시 (사본 A)
| 감지 | 조건 | 심각도 |
|---|
| 복제 지연 | 마지막 성공 당김 60분 / 180분 넘음 (VAULT_REPL_LATE) | 주의 / 장애 |
| 복제 실패 | 당김 실패 — 이번 회차 스냅샷 생략(반쯤 받은 상태를 굳히지 않음) (VAULT_REPL_FAIL) | 장애 |
| DB 사본 밀림 | DB 사본 시점이 26시간 / 50시간 넘게 뒤처짐 (VAULT_IC_LAG) | 주의 / 장애 |
| 아카이브 밀림 | 최신 아카이브가 기준(기본 30분 / 120분) 넘게 오래됨 — 실질 데이터 손실 상한 초과 (VAULT_ARCH_LAG) | 주의 / 장애 |
| 저장소 용량 | Vault 풀 80% / 90% 이상 (VAULT_POOL_FULL) | 주의 / 장애 |
| 디스크 오류 | ZFS 정기 검사(scrub) 오류 1건 이상 (VAULT_SCRUB_ERROR) | 장애 |
| 잠금 해제 중 | 승인된 잠금 해제가 진행 중 — 정해진 시간 뒤 자동 재잠금 (VAULT_UNLOCKED) | 주의 |
| 정리 중단 | 보류·즉시 보호 봉인 중이거나 관리자 정지로 오래된 스냅샷 정리가 멈춤 — 용량 확인. 정리가 돌 때도 가장 새 스냅샷 3개는 늘 남김 (VAULT_PRUNE_PAUSED) | 주의 |
| 스냅샷 마운트 잔류 | 스냅샷이 20개 넘게 마운트된 채 남음 (VAULT_SNAP_MOUNTED) | 주의 |
| 즉시 보호 봉인 중 | 원본 서버에서 랜섬이 잡힘(미끼·랜섬 확장자·변경 폭주·행위 탐지·악성 해시·흔적 점검 감염 의심) → 자동으로 즉시 봉인(스냅샷 잠금·파일 당김 정지·정리 중단, 아카이브는 계속). 해제는 사람 승인으로만. 의심 단계는 스냅샷 1장만 24시간 봉인 (VAULT_PROTECT_ACTIVE) | 주의 |
2-3. 사본 B (외부·오프사이트) 감시
| 감지 | 조건 | 심각도 |
|---|
| 사본 B 당김 끊김 | 기대 주기의 2배 / 3배 동안 당김 없음 (VAULT_B_STALE) | 주의 / 장애 |
| 사본 B 당김 오류 | 최근 당김 3회 모두 오류 (VAULT_B_PULL_ERROR) | 주의 |
| 평소 분리 위반 | 당김 창을 정한 경우, 창 밖에서 B 가 접속 (VAULT_B_NOT_AIRGAPPED) | 주의 |
| 의도된 일시 중지 | 장비 조사 등으로 당김을 멈춘 상태 — 사유 표시 (VAULT_B_PAUSED) | 주의 |
| 사본 B 조각 손상 | NAS 가 매일 자기 조각을 체크섬과 대조(새 회차 전부 + 옛 회차 순환, 약 한 달 한 바퀴) — 이번 손상·사라짐 / 이전에 확인된 손상 회차 (VAULT_B_VERIFY_BAD) — 준비 중: NAS 등록 전 | 장애 / 주의 |
| 사본 B 검사 멈춤 | 대조 결과가 48시간 / 96시간 넘게 없음 — 검사가 멈춰도 알림. 결과를 한 번도 받은 적 없으면 울리지 않음 (VAULT_B_VERIFY_STALE) — 준비 중: NAS 등록 전 | 주의 / 장애 |
2-3b. 사본 B 용량
| 감지 | 조건 | 심각도 |
|---|
| 사본 B 용량 예보 | 남은 용량(볼륨 여유와 공유폴더 할당량 중 작은 쪽) ÷ 하루 유입 = 남은 일수가 14일 / 3일 미만 — 차면 당김이 멈춤 (VAULT_B_SPACE) — 준비 중: NAS 등록 전 | 주의 / 장애 |
2-4. 복원 실행 감시
| 감지 | 조건 | 심각도 |
|---|
| DB 복원 실패 | 빠른 복구(이미지 사본) 단계 실패 — 멈춘 단계와 사유 표시 (ICRESTORE_FAIL) | 장애 |
| 복원 훈련 원복 안 됨 | 훈련이 끝났는데 DB 가 훈련용 사본으로 떠 있고 백업이 멈춘 상태 (ICRESTORE_DRILL_OPEN) | 장애 |
| 파일 복원 실패·불일치 | 파일 복원 실패, 또는 검증(개수·크기·시각·소유·파일 해시) 불일치 — 반영 금지 (FILERESTORE_FAIL / FILERESTORE_MISMATCH) | 장애 |
| 의심 파일 발견 | 복원 전 스캔에서 의심 파일(이중 확장자·몸값 안내문·형식 불일치·무작위 내용 등) 발견 (FILESCAN_SUSPECT) | 주의 |
| 30분 백업 복구 멈춤 | 처음 복구(완전 재해) 단계 진행 중 실행기가 사라짐 — 이어서 진행 안내 (SNAPRESTORE_ABORTED) | 주의 |
2-5. 파일 볼트 백업
| 감지 | 조건 | 심각도 |
|---|
| 파일 백업 실패 | 회차 실패 · 암호화 키 없음 (FILEBK_FAIL / FILEBK_KEY_MISSING) | 장애 |
| 파일 백업 끊김 | 1시간 주기 회차가 밀림 / 크게 밀림 (FILEBK_STALE) | 주의 / 장애 |
| 회차 무효 | 시간 예산 안에 보호 폴더를 다 훑지 못함 — 그 회차는 버림 (FILEBK_PARTIAL) | 주의 |
| 기준본 오래됨 | 주 1회 전체 회차가 오래됨 (FILEBK_BASE_OLD) | 주의 |
2-6. 공유 보호 (Vault Guard)
| 감지 | 조건 | 심각도 |
|---|
| 미끼 파일 건드림 | 공유 폴더에 둔 미끼 파일이 바뀌거나 지워짐 — 건드린 PC 주소·계정 표시. 즉시 보호 봉인과 연동 (RANSOM_CANARY_HIT) | 장애 |
| 랜섬 확장자 쓰기 | 공유에 랜섬 확장자 파일을 쓰려다 막힘(리눅스 거부 목록·윈도우 파일 차단) — 60분 유지 (RANSOM_EXT_SEEN) | 장애 |
| 변경 폭주 | 한 PC 가 1분에 이름 바꾸기 기준(기본 100건) 또는 삭제 그 3배 넘게 함 — 사용자의 폴더 정리 오탐을 줄이려 삭제는 더 높게. 관리 PC 는 제외 (RANSOM_WRITE_BURST) — 리눅스 | 장애 |
| 낯선 확장자 대량 이름 바꾸기 | 목록에 없는 같은 확장자로 50건 넘게 이름 바꿈 — 신종 변종 가능, 사람이 실물 확인(차단 없음) (RANSOM_RARE_EXT) — 리눅스 | 주의 |
| 감사 꺼짐 | 감사 기록이 꺼져 출발지 PC 를 못 잡음 (VAULT_GUARD_AUDIT_OFF) | 주의 |
| 확장자 차단 빠짐 | 윈도우 파일 차단 서비스가 멈췄거나 차단 규칙이 빠짐 (VAULT_GUARD_FSRM_OFF) — 준비 중: 윈도우 시험 전 | 주의 |
| PC 공유 접근 차단됨 | 감염 의심 PC 의 이 서버 공유 접근을 막은 상태 — 해제는 사람 승인 (VAULT_PC_BLOCKED) — 윈도우 준비 중 | 정보 |
3. 판정 기준
3-1. DB 사본 판정 (당길 때마다)
- 표본 검사: 파일마다 앞 64블록 + 무작위 256블록 + 마지막 블록의 머리(형식 표식·블록 번호). 수 GB 를 수십 초에.
- 주간 전수 검사: 모든 블록의 머리와 블록 체크섬. 1비트 뒤집힘까지 잡음(표본이 놓치는 손상 보완). 3.3GB 31초.
- 복원 직전 검사: 고른 시점의 사본을 다시 판정해 clean 이 아니면 그 이전 시점으로 자동으로 물러남. 훈련 때는 RMAN 검증(체크섬·논리)도 함께.
- 정직한 한계: 표본 검사는 아주 드문 손상(1%)을 놓칠 수 있음(약 8%) → 주간 전수 검사·복원 직전 검사가 메움.
3-2. 파일 판정
- 알려진 랜섬 확장자(위협 정보 정기 갱신으로 추가) · 처음 보는 확장자의 급증과 누적 · 이중 확장자 · 몸값 안내문 · 변경 폭주.
- 복원 때 의심 파일 스캔: 위 신호 + 파일 머리 서명 불일치 + 무작위 내용.
3-3. 스냅샷 보관 기본값
| 단계 | 보관 |
|---|
| 30분 간격 | 7일 |
| 일간 | 30일 |
| 주간 | 90일 |
| 월간 (규제·계약이 있을 때 선택) | 12개월 |
데이터 변경량·저장소 용량·RPO·규제에 따라 고객별로 가감합니다. 사본 B 의 한 번 쓰기 잠금은 보관 기간만큼만 겁니다(더 길면 지울 수 없는 조각이 쌓여 용량이 바닥남).
4. 점검 항목 — Vault 박스 보안 점검 9항목
설치 때와 정기 점검 때 Vault 박스를 조회만 해서 항목마다 통과·주의·미흡으로 판정합니다(설정을 바꾸지 않음). 주 1회 자동 실행과 대시보드 경보(미흡 = VAULT_HARDEN_FAIL 주의 · 14일 넘게 안 돎 = VAULT_HARDEN_STALE 주의)는 시험 완료, 배포 준비 중.
| 항목 | 보는 것 |
|---|
| ① 스냅샷 숨김 | 스냅샷 폴더가 숨겨져 있는지, 마운트된 채 남은 스냅샷 수 |
| ② 이름 식별 | 저장소 이름에 병원명 대신 사이트 토큰을 쓰는지 |
| ③ 접속 통로 | SSH 비밀번호 로그인 꺼짐 · root 직접 로그인 막힘 · 키 인증 · 허용 계정 제한 · 열린 포트 · 방화벽 기본 거부 |
| ④ 공유 금지 | Vault 저장소를 SMB·NFS 로 내보내지 않는지 |
| ⑤ 원본 통로 | 원본 쪽 내보내기 모듈이 읽기 전용 · 목록 숨김 · 허용 IP 지정 · 삭제 거부인지 |
| ⑥ 암호화·키 | 저장소 암호화 켜짐 · 키 파일 권한(관리자만) · 키 봉투 오프라인 사본 확인일 |
| ⑦ 상태 폴더 권한 | 받는 계정·잠그는 계정 상태 폴더 권한 |
| ⑧ 잠금 | 잠금 해제가 만료됐는데 다시 잠기지 않았는지 · 최신 스냅샷이 잠겨 있는지 |
| ⑨ 감시 | Sentinel 에이전트·로그인 감시가 동작하는지 |
5. 복원 — 방식과 실측
| 방식 | 내용 | 실측(시험 서버) |
|---|
| ① 빠른 복구 (DB 이미지 사본) | 잠긴 스냅샷의 사본을 복사 없이 그 자리에서 띄움. 9단계, 단계마다 검증 통과해야 다음으로 | 훈련 230초(검증 포함), 대시보드 통합 시험 137초 — 검증 완료 |
| ② 처음 복구 (완전 재해) | 새 서버에 엔진부터 되붓고 30분 백업으로 완전 복구 | 15분 31초 — 운영 |
| 선택 복원 (파일) | 감염 파일만 골라 복원, 암호화 사본은 격리. 필요한 조각만 풀어 빠르게(17개 중 3개). 파일 해시로 결과 검증 | 검증 완료 |
| 역이관 (예비 → 운영) | 예비(Vault)에서 운영하던 DB 를 재건한 운영 저장소로 되돌림. 예비 기간 데이터 보존 | 서비스 중단 45초 — 검증 완료(리눅스), 윈도우 준비 중 |
| 복원 실행기 서명 확인 | 복원·보호 실행 직전에 실행기를 중앙에서 받아 배포 서명과 대조, 다르면 거부 | 검증 완료 |
윈도우 원본(이미지 사본 복원·파일 백업·공유 보호)은 준비 중입니다.
6. 누가 무엇을 하는지
| 고객이 하는 일 | 우리가 하는 일 |
|---|
- Vault 박스·사본 B(NAS) 자리·전원·망 준비
- 저장소 키 봉투를 오프라인으로 보관(우리에게 키 값을 주지 않음)
- NAS 의 한 번 쓰기 잠금·용량 알림·매일 검사 작업 등록(안내서대로)
- 복원 시작 승인(관리자 비밀번호) · 어느 시점으로 되돌릴지 결정
- 잠금 해제·보호 봉인 해제 승인
- 분기 복원 훈련 일정 협의
|
- 설치·설정(당김 주기·보관·권한 이원화·보안 점검 9항목)
- 연중무휴 감시와 경보 대응(위험 경보 4시간 내 확인·7시간 내 조치)
- 랜섬 판정·보류 확인, 오탐이면 1회 허용 처리
- 복원 실행 안내·진행 감시·결과 검증 보고
- 분기 복원 훈련 실행과 소요 시간 보고
- 월간 보고(백업·검증·경보 이력)
|
운영 원칙 — ① 의심이면 굳히지 않는다: 오염이 의심되는 회차는 스냅샷으로 남기지 않고 이전 깨끗한 시점을 지킨다. ② 자동 조치는 확실할 때만: 의심은 경보와 보류만, 파괴적 조치는 사람 승인. ③ 조용하면 모르는 것: 검사가 멈춘 것도 경보로 알린다. ④ 숫자는 실측만: 시험 서버에서 잰 값이며 고객 환경에서 다시 잰다.
최종 갱신 2026-10-21 · 문서 위치: web/img/vault-manual.html (웹: /img/vault-manual.html) · 기능 변경 시 vault-feature-map.html 과 함께 갱신.