네트워크를 통해 컴퓨터로 들어오고 나가는 데이터를 제어하는 것은 이제 훌륭한 안티바이러스 프로그램을 갖추는 것만큼 중요해 졌습니다 . 단순히 연결하고 아무 문제 없기를 바라는 것만으로는 충분하지 않습니다. 요즘에는 봇, 포트 스캐너, 자동화된 공격 프로그램들이 발견하는 모든 IP 주소를 노리고 있습니다. 명령 프롬프트, 방화벽 및 기타 네트워크 도구를 사용하는 방법을 알면 문제가 발생하기 전에 의심스러운 연결을 차단할 수 있습니다.
다음에서는 netstat, netsh, Windows 방화벽 및 기타 필터링 시스템을 사용하여 의심스러운 연결을 식별하고, 악성 IP를 차단하고, 포트를 보호하고, Windows 및 Linux는 물론 FortiGate 방화벽과 같은 네트워크 장치에서도 네트워크 보안을 강화하는 방법을 보여드리겠습니다. 이것은 결코 "마법"이 아닙니다. 몇 가지 간단한 명령어만 익히면 대부분의 사용자가 상상조차 할 수 없는 수준의 제어 권한을 확보할 수 있습니다.
Netstat 및 기타 도구: 연결 상태를 빠르게 한눈에 파악하세요
의심스러운 연결을 차단하는 출발점은 컴퓨터에서 누가 무엇에 연결되어 있는지 파악하는 것입니다 . 바로 이 부분에서 netstat이라는 유틸리티가 유용하게 사용됩니다. netstat은 90년대부터 유닉스, 윈도우, 리눅스, macOS는 물론이고 그 외 덜 일반적인 시스템에서도 사용되어 온 유서 깊은 도구로, 네트워크 감사를 위한 가장 유용한 명령어 중 하나로 남아 있습니다.
이 도구의 이름에서 알 수 있듯이, Netstat 은 네트워크 통계 도구 입니다. TCP 및 UDP 연결 테이블, 수신 포트, 트래픽 통계, 오류는 물론 기본적인 라우팅 테이블 까지 표시합니다 . 이를 통해 예상치 못한 열린 포트나 부적절해 보이는 원격 IP 주소와의 활성 세션이 있는지 확인할 수 있습니다.
본격적으로 사용하기 전에, 실행 중인 모든 애플리케이션을 종료 하고 컴퓨터를 재시작한 후 필수적인 프로그램만 실행하여 네트워크에 연결된 장치 수를 확인하는 것이 좋습니다 . 이렇게 하면 netstat에서 불필요한 백그라운드 프로그램의 불필요한 정보가 제거되어 더 깔끔한 데이터를 확인할 수 있고, 의심스러운 연결을 더 쉽게 발견할 수 있습니다.
netstat은 그래픽 인터페이스를 제공하지 않지만, Windows에서는 TCPView 나 GlassWire 와 같은 유틸리티를 사용하여 보다 사용자 친화적인 인터페이스로 동일한 정보를 확인할 수 있습니다. Linux에서는 iftop, iptraf, ss 와 같은 도구를 사용하면 실시간 트래픽을 매우 명확하게 볼 수 있으며, 많은 경우 초보자에게 더 편리합니다.
netstat 명령어를 과도하게 사용하고 매개변수를 많이 지정하여 지속적으로 실행하면, 특히 연결이 수천 개에 달하는 경우 시스템 리소스를 과도하게 소모하고 과부하를 초래할 수 있다는 점을 명심하십시오 . "위험"하다고까지는 할 수 없지만, 운영 서버에서 필요하지 않은데도 2초마다 netstat을 실행할 필요는 없습니다.
의심스러운 연결을 탐지하는 데 있어 netstat의 장점과 한계
netstat을 현명하게 사용하면 네트워크에서 무슨 일이 일어나고 있는지에 대한 강력한 가시성을 확보할 수 있습니다 . 모든 활성 연결을 나열하고, 열려 있는 포트와 백그라운드에서 실행 중인 프로세스를 확인할 수 있습니다. 이를 통해 다음과 같은 작업을 수행할 수 있습니다.
- 무단 연결을 찾아냅니다. 또는 일반적이지 않은 IP 주소에 연결하는 프로세스.
- 병목 현상 감지 또는 세션 볼륨 및 오류 통계를 관찰하여 혼잡도를 파악할 수 있습니다.
- 추적하다 지속적인 세션 열린 상태로 유지되어 성능 문제를 일으킬 수 있습니다.
- 서버의 동작을 분석하고 실제로 노출해야 하는 포트를 결정하세요..
이 명령어는 송수신 패킷 카운터, 프로토콜별 오류(TCP, UDP, ICMP, IPv4, IPv6 등), 심지어 `netstat -r` 명령어를 사용한 라우팅 테이블 경로까지 매우 상세한 출력을 제공합니다 . 이 모든 정보는 연결 문제를 진단하거나 구성이 올바르게 적용되었는지 확인하는 데 매우 유용합니다.
단점은 netstat이 최신 환경에서 몇 가지 중요한 단점을 가지고 있다는 것입니다 . 우선, 네트워크 개념(포트, TCP 상태, 프로토콜 등)에 익숙하지 않은 사람에게는 출력 결과가 상당히 이해하기 어려울 수 있습니다. 또한, 최신 Windows 시스템은 관리자들이 PowerShell이나 다른 고급 도구를 사용하도록 유도하고 있으므로 netstat을 암기하는 것은 장기적으로 최선의 투자가 아닐 수 있습니다.
또한 이 도구는 데이터 를 암호화하거나 심층적인 분석을 제공하지 않는다는 점도 언급해야 합니다 . 데이터는 보여주지만, 공격 패턴, 침입 탐지 또는 심층적인 포렌식 분석과 연관시키려면 IDS/IPS, SIEM 또는 Wireshark와 같은 패킷 스니퍼와 같은 다른 솔루션을 사용해야 합니다.
수천 개의 분산된 장치와 서비스로 구성된 대규모 네트워크에서는 netstat이 다루기 어려워집니다. 확장성이 부족하고 기업 환경 전체를 모니터링하도록 설계되지 않았기 때문입니다. 이러한 환경에서는 SNMP 솔루션, 관찰 도구, 중앙 집중식 모니터링 또는 Microsoft Defender for Endpoint와 같은 제품이 필요합니다.
비정상적인 트래픽을 찾는 데 유용한 netstat 명령어
윈도우에서는 먼저 관리자 권한으로 CMD 또는 터미널 창을 열고 다음을 입력하세요.
- NETSTAT: 기본 활성 연결을 보여줍니다.
- 넷스탯 -nDNS 이름을 확인하지 않고 IP 주소와 포트 번호를 숫자 형식으로 표시합니다.
- 넷스탯 -s프로토콜별 통계(TCP, UDP, IPv4, IPv6 등).
- netstat -e: 일반 인터페이스 통계(송수신 바이트 수, 오류 등).
- netstat -a: 수신 포트 및 설정된 연결을 포함합니다.
- 넷스탯 -o: 추가합니다 프로세스 ID 각 연결과 관련된 PID입니다.
- netstat -p TCP프로토콜별 필터(TCP, UDP, TCPv6, UDPv6 등)를 제공합니다.
정기적으로 정보가 자동으로 업데이트되도록 하려면 매개변수와 간격을 함께 사용할 수 있습니다. 예를 들어 ` netstat -n 7` 은 7초마다 정보를 새로 고칩니다. 이는 의심스러운 세션이 설정될 때 매우 빠르게 나타났다 사라지는 연결을 확인하는 데 유용합니다.
이미 연결된 데이터만 찾으려면 findstr 명령어를 사용하는 기존 콤보 상자를 이용하면 됩니다.
- netstat | findstr 설정됨
ESTABLISHED를 LISTENING, CLOSE_WAIT 또는 TIME_WAIT 로 변경하면 분석하려는 문제에 따라 관심 있는 TCP 상태에 집중할 수 있습니다. 여기에 netstat -f 명령어를 사용하여 얻은 PID와 정규화된 도메인 이름을 함께 활용하면 어떤 프로세스가 어떤 원격 서버에 연결하고 있는지 매우 명확하게 파악할 수 있습니다.
보안을 확인하는 일반적인 예는 `netstat -ano` 명령어를 실행하여 확인하는 것입니다.
- 알 수 없는 원격 IP 주소.
- 로컬 고전압 포트가 뚜렷한 이유 없이 수신 대기 중입니다.
- 연결 시도 실패 횟수가 많은 프로세스.
의심스러운 IP 주소가 보이면 작업 관리자를 열고 PID를 검색하여 어떤 애플리케이션인지 확인할 수 있습니다. 그 후 해당 애플리케이션을 제거하거나, 바이러스 검사를 실행하거나, 방화벽을 사용하여 연결을 차단 할지 결정할 수 있습니다.
네트워크 모니터링 및 분석 대안
netstat은 연결 상태를 확인하는 데 좋은 시작점이지만, 네트워크 보안을 더 자세히 살펴보려면 전문 도구가 필요합니다 . 일반적인 도구로는 다음과 같은 것들이 있습니다.
- 와이어 샤크패킷을 저수준에서 캡처하고 분석합니다. 전송되는 데이터를 정확히 확인하세요암호화되지 않은 트래픽이나 악용 시도를 탐지하여 보안을 강화합니다.
- GlassWire이는 교통 모니터링과 결합된 것입니다. 시각적 방화벽 및 알림고급 사용자 또는 소규모 사무실에서 매우 유용합니다.
- 클라우드샤크패킷 캡처 파일을 업로드하고 분석하며 팀원들과 공유할 수 있는 웹 솔루션입니다.
- ss, iptraf, iftop 리눅스에서는 netstat보다 더 현대적이고 명확한 방식으로 소켓, 트래픽 흐름 및 연결 상태를 실시간으로 보여줍니다.
- 아이피루트2리눅스에서 경로, 터널 및 고급 네트워크 정책을 처리하기 위한 유틸리티 모음입니다(기존 도구를 대부분 대체합니다).
전문적인 환경에서는 Uptrends, Germain UX, Atera 등과 같은 플랫폼이 흔히 사용되는데, 이러한 플랫폼은 웹사이트와 서비스의 가용성, 성능 및 사용자 경험을 모니터링 하고 , 문제가 발생하거나 성능이 저하되기 시작하면 알림을 보내도록 설계되었습니다.
Microsoft Defender, 네트워크 보호 및 C2 차단
Windows 10, Windows 11, macOS 및 Linux에서 의심스러운 네트워크 연결을 차단하는 핵심 구성 요소는 Microsoft Defender 네트워크 보호 입니다 . 이 기능은 Microsoft Edge의 SmartScreen 기능을 시스템 전체로 확장하여 브라우저뿐만 아니라 다른 브라우저, PowerShell 또는 데스크톱 애플리케이션과 같은 프로세스 도 모니터링합니다.
원리는 간단합니다. 프로그램이 평판이 좋지 않은 URL이나 IP 주소(피싱, 멀웨어, 명령 및 제어 시스템 등)에 연결을 시도하면 Windows Defender는 해당 요청을 자체 목록(및 사용자 지정 플래그 )과 비교하여 허용, 감사 또는 차단 여부를 결정합니다. 이 검사 기능은 HTTP 및 HTTPS 트래픽 모두에 적용되며 포트 80이나 443에만 국한되지 않고 모든 포트로 나가는 연결을 검사합니다.
보안 측면에서 가장 중요한 기능 중 하나는 많은 악성코드 및 랜섬웨어 계열이 명령을 수신하고 데이터를 유출하는 데 사용하는 명령 및 제어(C2) 서버와의 통신을 탐지하고 차단하는 능력입니다 . 이러한 통신 채널을 차단하면 공격 진행을 막을 수 있습니다.
실제로 네트워크 보호는 SmartScreen 평판, Microsoft 내부 IoC, 사용자 지정 차단 목록 , 웹 필터링 범주(성인 콘텐츠, 도박 등)와 같은 여러 소스를 기반으로 합니다. 감지된 내용을 바탕으로 피싱, 악성 프로그램, C2, 사용자 지정 정책 등과 같은 이벤트를 분류하며, 이러한 분류는 보고서, 고급 검색 또는 Microsoft Defender for Endpoint 에서 확인할 수 있습니다.
작동 모드: 감사 또는 차단
Windows Defender는 감사 모드 와 차단 모드 , 두 가지 모드로 네트워크 보호 기능을 활성화할 수 있도록 해줍니다 . 이는 운영 환경에서 발생하는 문제를 방지하는 데 매우 유용합니다.
- En 감사 모드시스템은 차단했을 모든 접근 기록을 저장하지만, 연결이 끊어지지 않습니다콘솔에서 (ActionType을 ExploitGuardNetworkProtectionAudited로 설정하여 DeviceEvents를 쿼리하면) 이러한 로그를 검토하고 잠재적인 영향을 확인할 수 있습니다.
- En 잠금 모드수비수가 조치를 취합니다: 표시된 도메인 및 IP 주소로 향하는 트래픽을 차단합니다. SmartScreen, 사용자 지정 표시기 또는 콘텐츠 필터링 정책에 따라 차단할 수 있습니다.
사용자 입장에서 "의심스러운" 사이트를 접했을 때 세 가지 상황이 발생할 수 있습니다.
- 평판이 좋다면, 그는 이상한 점을 전혀 발견하지 못했다.내비게이션은 정상적으로 계속됩니다.
- 평판이 불확실한 경우, 경고 화면 몇 시간 동안은 해당 항목을 건너뛸 수 있는(차단을 해제할 수 있는) 가능성이 있습니다.
- 평판이 명백히 악의적이거나 명시적으로 차단한 경우, 우회할 방법이 없는 차단 (관리자가 정책을 변경하지 않는 한)
이러한 모든 동작은 정책을 통해 세부적으로 조정할 수 있습니다. 예를 들어, 모든 경고를 영구 차단으로 전환하여 사용자가 이를 우회할 수 없도록 하는 옵션이 있습니다. 이는 장치 관리 방식에 따라 CSP, GPO 또는 MDM 도구를 통해 구성할 수 있습니다.
이 과정을 완료하기 위해 관리자는 오탐을 감지하거나 특정 서비스를 활성화해야 할 때 허용 플래그를 생성할 수 있습니다 . 이러한 허용 플래그는 대부분의 차단보다 우선순위가 높으므로 모든 네트워크 보호 기능을 비활성화하지 않고도 설정을 조정할 수 있습니다.
Windows 방화벽 및 규칙을 통한 연결 차단
Windows Defender 외에도 의심스러운 네트워크 연결을 차단하는 또 다른 방법은 Windows 방화벽 자체를 이용하는 것입니다 . 이 방화벽은 시스템에 통합되어 자동으로 업데이트되며, 인터넷에 액세스할 수 있는 프로그램과 외부에서 허용되는 포트를 모두 제어할 수 있도록 해줍니다.
그래픽 인터페이스를 통해 인바운드 및 아웃바운드 규칙을 생성할 수 있지만, 세부 조정이나 자동화를 위해서는 netsh advfirewall 명령어를 알아두는 것도 유용합니다 . 예를 들면 다음과 같습니다.
- netsh advfirewall 설정 현재 프로파일 상태현재 프로필에서 방화벽을 활성화합니다.
- netsh advfirewall 방화벽 규칙 추가 name="Block IP X" dir=in action=block remoteip=xxxx: 특정 IP 주소에서 들어오는 트래픽을 차단합니다.
- netsh advfirewall 방화벽 규칙 추가 name="Open Port 80" dir=in action=allow protocol=TCP localport=80: 수신 연결을 위해 80번 포트를 엽니다.
- netsh advfirewall 방화벽 규칙 삭제 name="Open Port 80": 이전 규칙을 제거합니다.
- 은 netsh advfirewall 재설정방화벽의 기본 설정을 복원합니다.
만약 무차별 대입 공격이나 강력한 스캐너 사용 등으로 인해 과도한 접근 시도가 발생하는 IP 주소를 차단하고 싶다면, Windows 고급 보안 방화벽 그래픽 콘솔에서 다음 과 같은 사용자 지정 인바운드 규칙을 만들 수 있습니다.
- 이는 "모든 프로그램"에 적용됩니다.
- "Anyone" 프로토콜을 사용하세요.
- "원격 주소"에 차단할 IP 주소 또는 IP 범위1를 지정하십시오.
- “연결 차단” 옵션을 선택하세요.
- 이는 도메인, 사설 네트워크 및 공용 네트워크에 적용됩니다.
이렇게 하면 해당 IP 주소가 시스템에 간섭하는 것을 방지할 수 있습니다. 하지만 너무 넓은 범위를 입력하면 검색 엔진이나 정상적인 사용자의 IP 주소가 차단될 수 있으므로 주의해야 합니다.
방화벽이 실제로 차단하는 포트를 확인하려면 프로필 속성에서 패킷 로깅을 활성화한 다음 %systemroot%\system32\LogFiles\Firewall에 있는 pfirewall.log 파일을 확인하십시오 . 해당 파일에서 차단된 포트 및 주소에 대한 자세한 정보를 확인할 수 있습니다.
호스팅, .htaccess 및 기타 계층에서 IP와 포트를 차단합니다.
웹사이트에 대한 의심스러운 연결 문제(로그인 시도, 스팸, 자동화 봇, 소규모 DDoS 공격 등)가 집중될 경우, 단순히 PC에서 조치를 취하는 것만으로는 충분하지 않을 수 있습니다. 호스팅 서버 또는 웹 서버 자체에서 IP를 직접 차단하는 것이 가장 효과적인 경우가 많습니다.
Plesk와 같은 제어판에서는 IP 주소를 차단 목록에 추가하여 해당 IP 주소가 사이트에 접속하지 못하도록 차단할 수 있습니다. 또 다른 일반적인 방법은 Apache를 사용하는 경우 .htaccess 파일을 편집하여 다음과 같은 규칙을 추가하는 것입니다 .
192.168.xx.x에서 허용, 거부, 모든 곳에서 허용
또는, 서로 다른 IP 주소에 대해 여러 개의 Deny 라인을 사용할 수도 있습니다. 그러면 해당 IP 주소에서 들어오는 모든 요청은 오류가 발생하여 콘텐츠 로드 또는 애플리케이션 리소스 사용을 차단하게 됩니다. 이는 CMS를 반복적으로 공격하는 봇 이나 양식에 스팸을 보내는 스크립트를 막는 간단하면서도 효과적인 해결책입니다.
특정 국가에서 공격이 발생하고 서버에서 이를 허용하는 경우, 국가 코드(예: 중국은 CN)를 분석하여 오류 페이지로 리디렉션하는 규칙을 사용하여 지리적 차단을 구현할 수 있습니다 . 하지만 제대로 관리하지 않으면 정상적인 사용자뿐만 아니라 검색 엔진 봇까지 차단될 수 있으므로 주의해야 합니다.
IP 주소 차단을 위한 또 다른 덜 공격적인 대안은 속도 제한 , CAPTCHA, CDN 사용을 DDoS 공격 완화와 결합하는 것입니다 . 이렇게 하면 IP 주소를 수동으로 차단하는 대신 정상적인 트래픽을 방해하지 않으면서 악용의 영향을 줄일 수 있습니다.
항만 운송, 위험 요소 및 관리 방법
많은 애플리케이션(온라인 게임, 홈 서버, P2P 프로그램, NAS 장치 등)은 제대로 작동하기 위해 포트를 열거나 포트 포워딩해야 합니다. 문제는 기본 서비스에 보안 취약점이 있거나 올바르게 구성되지 않은 경우, 열려 있는 각 포트가 잠재적인 침입 경로가 될 수 있다는 것입니다.
포트 포워딩은 라우터에게 인터넷에서 공용 IP 주소의 특정 포트로 들어오는 모든 연결을 로컬 네트워크 내의 특정 컴퓨터 및 포트로 리디렉션하도록 지시하는 것입니다 . 이를 위해서는 일반적으로 NAT가 활성화되어 있어야 하며 , 어떤 서비스를 외부에 노출할지 명확하게 파악해야 합니다.
메일 전달에는 몇 가지 기본적인 유형이 있습니다.
- 지방의: 컴퓨터에서 터널(예: SSH)을 통해 내부 서비스에 액세스하는 데 사용됩니다.
- 먼: 사용자의 컴퓨터에서 실행되는 서비스를 다른 원격 위치에서 접근할 수 있도록 합니다.
- 동적클라이언트를 일종의 SOCKS 프록시로 전환하여 다른 애플리케이션이 터널을 사용하여 다양한 목적지에 도달할 수 있도록 합니다.
외부로 물건을 열기 전에 다음 사항을 확인하는 것이 좋습니다.
- 확인 해당 서비스는 최신 버전이며 올바르게 구성되어 있습니다..
- 접근을 제한하려면 IP, VPN 또는 강력한 인증 가능할 때마다.
- 불필요하게 일반적인 포트를 열지 마십시오.RDP(중소기업 등)
최근의 많은 위협(DNS 변조, 중간자 공격, DoS 봇넷, 가짜 Wi-Fi 네트워크 생성 ) 은 가정이나 회사 라우터의 제어되지 않은 노출 포트를 악용한다는 점을 명심하십시오 . 따라서 최소한의 포트만 노출하고 면밀히 모니터링하는 것이 가장 좋습니다.
로그, 감사 및 의심스러운 활동 탐지
무턱대고 연결을 차단하는 것은 위험할 수 있습니다. 결정을 내리기 위해서는 근거가 필요합니다. 바로 이 부분에서 시스템, 방화벽, 애플리케이션 로그가 중요한 역할을 합니다. 예를 들어 Linux에서는 이러한 로그 대부분이 /var/log 디렉터리 에 저장되며 , rsyslog와 해당 설정 파일을 통해 관리됩니다.
Windows에서는 방화벽 로그 외에도 이벤트 뷰어를 사용하여 네트워크 및 방화벽 보호와 관련된 이벤트(ID: 5007, 1125, 1126 등)를 필터링하여 확인할 수 있습니다. 또한 Microsoft Defender 고급 검색을 통해 DeviceEvents 및 DeviceNetworkEvents와 같은 테이블을 쿼리하여 네트워크 보호에서 감사되거나 차단된 항목을 확인할 수 있습니다.
예를 들어, Edge 이외의 브라우저에서 네트워크 보호 기능이 감사 또는 차단한 이벤트를 나열 하려면 다음과 같은 쿼리를 실행할 수 있습니다.
DeviceEvents | ActionType이 ("ExploitGuardNetworkProtectionAudited"","ExploitGuardNetworkProtectionBlocked")에 해당하는 경우
또는 Edge에서 SmartScreen 경고에 집중하려면 SmartScreenUrlWarning으로 특정하여 필터링할 수 있습니다. 이 정보는 많은 사용자가 방문하고 차단되는 도메인, 전역 차단 목록에 추가해야 하는 IP 주소 등과 같은 패턴을 파악하는 데 도움이 됩니다.
규모가 큰 환경에서는 이러한 로그를 SIEM이나 Power BI와 같은 도구에 중앙 집중화하여 특정 응답 범주(악성, 피싱, 사용자 지정 차단 목록 등)가 나타날 때 사용자 지정 보고서, 보안 대시보드 및 자동 알림을 생성하는 것이 일반적입니다.
netstat, netsh, UFW, firewall-cmd 같은 명령어를 익히고, Microsoft Defender의 네트워크 보호 기능을 활용하고, Windows 방화벽, 호스팅 제공업체 또는 FortiGate에서 IP를 차단하는 방법을 알고, 네트워크 로그를 정기적으로 검토하면 심각한 문제를 일으키기 전에 의심스러운 네트워크 연결을 차단할 수 있는 강력한 도구를 갖추게 됩니다 . 통신 엔지니어가 아니더라도 시작할 수 있습니다. 몇 가지 명령어를 잘 익히고 약간의 상식을 활용하면 컴퓨터, 서버 및 웹사이트를 평균보다 훨씬 더 안전하게 보호할 수 있습니다.
