윈도우 기반 서비스 식별도구 (Fport)
포트스캐너를 통해 인가되지 않은 서비스를 발견한 경우, 해당 포트를 사용하고
있는 프로세스가 사용파일을 식별하여야 한다. 악성 프로그램의 경우“Windows 작업관리자”프로세스 윈도우에 서도 숨기는 기능을 이용하여 탐지가
곤란한 경우가 많다. 이런 경우 이용하는 도구가 Fport이며, Fport는 해당 포트와 프로세스, 원본파일의 상관 관계를 표시한다.
※ fport는 Windows NT4.0, Windows 2000, XP 운영체제에서만 동작한다.
가. 다운로드
및 설치
하단의 주소로 접속하여 (그림 4-1-9) 화면 하단의“Download this tool now”링크를 이용하여,
해당 도구를 다운로드 받는다.
<http://www.foundstone.com/knowledge/proddesc/fport.html>
Fport 다운로드 화면 (그림 4-1-9)
설치를 원하는 위치에 다운로드 받은“fport.zip”파일의
압축을 푼다.
일반적으로 fport.exe 실행파일과 설명이 적혀있는 텍스트 파일로 이루어진다.
나. 시스템
점검
Fport는 도스명령어 기반의 도구이므로, 도스명령어 창에서 실행하여야 한다.
● (그림 4-1-10)과 같이
도스명령어 창을 실행한다.“ 시작”-->“실행”-->“cmd”명령어 입력 --> “확인”
도스명령어창 실행 (그림
4-1-10)
● 압축을 풀어놓은 디렉토리로 이동하여,“ fport”명령어를 실행한다.
● fport에
사용가능 한 옵션은 [표 4-1-4]와 같다.
| 옵션 |
의미 |
| fport /h |
도움말 |
| fport /p |
포트별로 정렬하여 결과 출력 |
| fport /a |
어플리케이션 별로 정렬하여 결과 출력 |
| fport /i |
프로세스아이디(pid) 별로 정렬하여 결과 출력 |
| fport /ap |
어프리케이션 위치(path)별로 정렬하여 결과 출력 | [표 4-1-4] fport
옵션
● 점검결과가 나타나면 찾고자 하는 port에 해당하는 프로세스와 관련 파일을 찾는다.
다. 점검결과
확인
점검결과는“프로세스 아이디(pid)”,“ 프로세스 명”,“ 포트번호”,“ 프로토콜”, 및“어플리케이션 경로”의 순으로
나타난다.
포트 스캔을 통해 비인가 서비스 포트를 발견하거나 악성프로그램에 이용되는 포트가 발견 된 경우, 해당포트를 사용하는
어플리케이션의 경로 및 파일명을 확인하여 삭제 또는 중지시킨다. 이때 주의하여야 할 점은 해당 파일이 시스템 파일이 변조된 경우로, 해당 파일을
함부로 삭제하면 시스템 장애가 발생할 수 있다.
또한, 해당 파일을 삭제 시도한 경우, 프로세스가 사용 중이어서 삭제가
불가능하다는 메시지가 나타나는 경우가 있다. 이러한 경우에는 레지스트리에서 해당 파일을 재부팅시마다 자동으로 실 행하도록 설정하여 삭제가
불가능한 경우이므로, 레지스트리에서 해당 항목을 먼저 삭제하여야 한다.
(그림 4-1-13)과 같이 레지스트리 확인을
위하여“레지스트리 편집기”를 실행한다.
“레지스트리 편집기”가
뜨면,“ 편집”-->“찾기”메뉴를 실행하거나,“ Ctrl+F”단축키를 이용하여 “찾기”윈도우를 실행한다.“ 찾을내용”에 fport에서
확인한 어프리케이션 또는 파일명을 입력하여 해당 항목을 찾는다.
해당 항목에 대한 데이터 값이 우측창에 표시되면 해당 항목을 삭제한 후
시스템을 재부팅 한다.
재부팅 시 해당 항목이 자동실행 되지 않았으므로 정상적으로 해당 파일도 삭제 가능하다.
출처 -한국정보보호진흥원 사이버안전메뉴얼
중
|
|
