네트워크 상태 점검

네트워크 상태 점검하기

시스템에서는 netstat와 같은 명령으로 열려 있는 포트를 확인할 수 있음.

네트워크 상태 점검하기

* 악성코드가 사용하는 포트를 확인하기 어려운 경우 CPorts와 같은 프로그램을 사용하여 서비스 포트별로 사용하는 응용 프로그램을 확인할 수 있음.

* BackDoor-DVR를 실행한 뒤 CPorts에서 활성화된 네트워크 항목을 살펴보면 특이한 연결이 존재

정상적인 프로세스와 비교하기

* 윈도우와 유닉스 시스템 등의 정상적인 프로세스를 외워두면 비정상적인 프로세스를 식별하는 데 많은 도움이 됨.

* 윈도우 시스템이 동작하기 위한 기본 프로세스

    - Csrss.exe(Client/Server Runtime SubSystem : Win 32) : 윈도우 콘솔을 관장하고, 스레드를 생성·삭제하며 32비트 가상 MS-DOS 모드를 지원

    - Explorer.exe : 작업표시줄, 바탕화면과 같은 사용자 셸을 지원

    - Lsass.exe(Local Security Authentication Server) : Winlogon 서비스에 필요한 인증 프로세스를 담당

    - Mstask.exe(Window Task Scheduler) : 시스템에 대한 백업이나 업데이트 등에 관련된 작업의 스케줄러

    - Smss.exe(Session Manager SubSystem) : 사용자 세션을 시작하는 기능을 담당. 이 프로세스는 Winlogon, Win32(Csrss.exe)을 구동시키고, 시스템 변수를 설정. Smss는 Winlogon이나 Csrss가 끝나기를 기다려 정상적인 Winlogon, Csrss 종료시 시스템을 종료시킴.

    - Spoolsv.exe(Printer Spooler Service) : 프린터와 팩스의 스풀링 기능을 담당

    - Svchost.exe(Service Host Process) : DLL(Dynamic Link Libraries)에 의해 실행되는 프로세스의 기본 프로세스 한 시스템에서 여러 개의 svchost 프로세스를 볼 수 있음.

정상적인 프로세스와 비교하기

* 웜/바이러스나 백도어가 주로 사용하는 서비스명은 Csrss와 Svchost

     - Services.exe (Service Control Manager) : 시스템 서비스를 시작·정지시키고, 그들간의 상호 작용하는 기능을 수행

     - System : 대부분의 커널 모드 스레드의 시작점이 되는 프로세스

     - System Idle Process : 각 CPU마다 하나씩 실행되는 스레드로서 CPU의 잔여 프로세스 처리량을 %로 나타낸 값

     - Taskmgr.exe(Task Manager) : 작업 관리자 자신

     - Winlogon.exe(Windows Logon Process) : 사용자 로그인/로그오프를 담당하는 프로세스. 윈도우의 시작/종료시에 활성화되며 Ctrl+Alt+Delete 키를 눌렀을 경우에도 활성화됨.

     - Winmgmt.exe (Window Management Service) : 장치에 대한 관리 및 계정 관리, 네트워크 등의 동작에 관련한 스크립트를 위한 프로세스

     - msdtc.exe (Distributed Transaction Coordinator) : 웹 서버 및 SQL 서버 구동 시에 다른 서버와의 연동을 위한 프로세스

     - ctfmon.exe (Alternative User Input Services) : 키보드, 음성, 손으로 적은 글 등 여러 가지 텍스트 입력에 대한 처리를 할 수 있도록 지원하는 프로세스

     - dfssvc.exe (Distributed File System (DFS)) : 분산 파일 시스템(Distributed File System (DFS))에 대한 지원을 위해 백그라운드로 실행되고 있는 프로세스

[출처] 네트워크 상태 점검|작성자 Zealous