해킹당한 시스템을 복구할 때 기존에 백업했던 게 얼마나 도움이 되는지요?

음, 제목이 좀 이상하긴 하네요. 당연히 백업해둔 게 없는 것보다야 있는 것이 도움이 되겠습니다만...

얼마전에 제가 서버가 해킹당한 것 같다고 질문을 올렸었습니다. 결국 OS 새로 설치하고, 이것저것 복구하는 중입니다만...

사용자 홈 디렉토리들이야 어쨌거나 내용을 살려야 하니 백업했던 걸 다시 복사해준다 치고...

예를 들어 제가 예전에 그 서버에 소스컴파일을 거쳐서 /usr/local/bin 아래에 설치한 프로그램이 있습니다. 이제 그 프로그램들을 다시 깔려고 하니, /usr/local/ 디렉토리를 통채로 복구했으면 편하겠습니다만, '그 중에 해커가 바꿔치기한 백도어용 프로그램이 있다면?'이라고 걱정이 되니 어느 것 하나 백업본에서 그냥 가져올 수가 없더군요.

백업본이 그 서버가 아닌 다른 곳에 있다면 (네트웍으로 백업받아서), 그리고 해커가 침입한 시각을 정확히 알 수 있다면, 해킹 이전에 백업했던 것은 믿을 수 있겠습니다만, 해킹 시각도 정확히 파악하지 못했고 수십기가 하드의 내용을 따로 네트웍으로 백업받을 수가 없어서 (뭐 이건 하려고 하면 못 할 것도 없었으니 사실 핑계입니다만) 백업본 역시 동일한 서버에 다른 파티션에 있거든요. 그러니 어느 것 하나 믿지 못하겠는 겁니다.

그리고 이게 있을 수 있는 일인지는 모르겠는데, 예를 들어 /var/ 아래의 파일들을 복구하고 싶은데, 이름은 "/var/어쩌고/저쩌고.log" 이지만 실제로는 실행가능한 바이너리인 악성 프로그램이 숨겨져 있을수도? mysql 데이타 파일이라 생각했는데 사실은 실행파일일수도? 그런 것을 판단하기 위해 /var, /etc, /usr 아래의 수천수만개의 파일을 일일이 눈으로 보고 복구를 할 수는 없겠죠.

처음 언급한 사용자 홈디렉토리의 경우도... 그 서버의 사용자들 모두가 저처럼 수시로 자기 홈디렉토리의 내용을 백업받아두고 날짜별로 저장해 둔다면야 그냥 죄다 지워버리고 각자가 복구하라고 하고 싶습니다만 현실적으로는 불가능했습니다. 저번에 해커에 의해 암호가 노출된 사용자가 (본인은 여전히 그 사실을 모른채로) 그대로 예전의 암호로 복구가 되어 있고, 백도어들이 숨어있는 홈디렉토리까지 그대로 복구가 되어 있다면?

뭐 이러이러해서... 결국 호스팅업체가 새로 깔아준 상태에서, 추가로 필요한 것들은 죄다 다시 다운로드하고 설치하고 하고 있습니다. (그나마 예전에 작업했던 내용을 기록해뒀었기에 그거 보면서 따라하느라 덜 고생합니다만)

10년 가까이 리눅스를 접했으면서 이번에 처음으로 해킹을 당해서 제가 필요 이상으로 당황하고 걱정하는 것 같기도 합니다만, 다른 분들은 어느 수준까지 백업본을 신뢰할 수 있는지, 신뢰성을 높이기 위해 어떤 방법이 있을런지 조언을 듣고 싶습니다.