파일 서버 자원 관리자 (FSRM)으로 랜섬웨어 막아보기

윈도우 기능 중 FSRM을 이용하여 파일을 차단하는 기능을 소개 할까 합니다.
물론 제가 알아낸 내용은 아니고 저도 타 사이트에서 보고 테스트 해본 후 작성하는 글입니다.

Windows Server로 파일 서버를 구성하거나 공유 폴더 공유를 사용하신다면
그래도 간단한 구성으로 효과를 볼 수 있을듯 합니다. 물론 만능은 아닙니다.

Server에서만 구현 가능합니다~ Desktop용은 파일서비스 기능이 없어요 ㅠ

구성 방법 및 간단한 테스트를 소개 합니다.

---

1  PowerShell을 실행 합니다. (파워쉘은 시작 -> 프로그램 -> 관리도구에 있어요)

2. 아래 명령어를 입력 합니다.
Windowns 2008 R2:
Add-WindowsFeature FS-FileServer,FS-Resource-Manager

Windowns 2012 / 2012 R2:
Install-WindowsFeature –Name FS-Resource-Manager –IncludeManagementTools

3. 패키지 설치~

4. FSRM 실행 ( 관리 도구 -> 파일 서버 리소스 관리자 )

* FSRM 구성 순서 ( 파일 그룹 -> 파일 차단 템플릿 -> 파일 차단 ) 이 세가지만 구성 하시면 됩니다.

5. 파일 그룹 생성

위 이미지 처럼 파일 그룹 만들기를 선택 합니다.

5-1.  차단 하고 싶은 확장자를 작성합니다.

포함할 파일에 랜섬웨어들의 확장자들을 모두 입력해 주시면 됩니다.
랜섬웨어 확장자는 아래 문서를 참고해 주세요
바플때기님이 이미 작성하셔서 여기 따로 적진 않았습니다.

랜셈웨어 확장자 종류 총정리

6. 파일 차단 템플릿을 생성합니다.

차단할 파일 그룹 선택에 5번 항목에서 만드신 내용을 선택 하시면 됩니다.

7. 파일 차단 정책 생성

정책을 실행할 폴더 경로와 차단 템플릿을 선택해 주시면 됩니다.
경로는 원하는 경로를 쓰시면 되고 차단 템플릿은 6번에서 만드신걸 선택 하시면 됩니다.

---

위 방법으로 설정이 끝났습니다. 간단 간단 하게 설정이 완료 됩니다.

간단한 테스트 캡쳐 화면 입니다.

1. Txt 파일을 생성하여 다른 이름으로 저장해 봤습니다.

원본 폴더에 저장을 할 수 없다며 Administrator 폴더에 저장 할꺼냐고 묻습니다.

2. test.txt 파일의 이름을 변경해 보았습니다.

마찬 가지로 파일명 변경이 안됩니다.

3. 설정한 폴더의 하위 폴더에서 이름을 변경해 보았습니다.

2번과 마찬가지로 변경이 안됩니다.
상위 폴더를 선택 하면 하위 폴더까지 해당 정책이 모두 적용되는듯 합니다.

보고서 작성이나 메일 발송을 할 수 있는 설정이 있으니 필요 하시면 설정 하시면 될듯 합니다.

보고서를 출력해 보았으나 실제로 파일이 저장되는게 아니라서 그런지 보고서는 아무런 내용이 출력되지 않았습니다.

삭제 방법

Windowns 2008 R2:
Remove-WindowsFeature FS-FileServer,FS-Resource-Manager

Windowns 2012 / 2012 R2:
Uninstall-WindowsFeature –Name FS-Resource-Manager –IncludeManagementTools

위와 같이 Add를 Remove로 Install를 Uninstall로 변경 하시면 됩니다.

파일 서버에 음악 및 동영상 파일들도 위 방법으로 저장을 차단 하셔도 될듯 합니다.

마지막으로 위 구성에 대한 저의 생각 입니다.

장점
빠르게 적용 할 수 있다.
추가 비용 없이 파일 생성을 막을 수 있다.

단점
업무에 티가 안난다.
확장자 베이스로 막기 때문에 확장자를 수시로 확인 후 등록해 줘야 한다.
바플때기님의 글에서 *.exe ,*.html,*.mp3,*.txt등 처럼 실제 사용하는 확장자는 막 을 수 없습니다.

마지막으로 랜섬웨어 확장자는 아래 링크에서 지속적으로 업데이트 하고 있다고 합니다.
https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/htmlview?sle=true

그러나 읽기 권한 요청을 해야 되서 저는 그냥 안봤습니다~~~

랜섬웨어가 없어지는 그날이 오길 기대합니다 ㅠ_ㅠ

[출처] http://www.sharedit.co.kr/%ED%8C%8C%EC%9D%BC-%EC%84%9C%EB%B2%84-%EC%9E%90%EC%9B%90-%EA%B4%80%EB%A6%AC%EC%9E%90fsrm%EC%9C%BC%EB%A1%9C-%EB%9E%9C%EC%84%AC%EC%9B%A8%EC%96%B4-%EB%A7%89%EC%95%84%EB%B3%B4%EA%B8%B0/