프로세스·데몬·서비스 관리 | 정보보안기사 필기

1. 프로그램과 프로세스는 다르다

하나의 프로그램에서 여러 프로세스가 실행될 수 있으며, 각 프로세스는 서로 다른 사용자·환경·파일·네트워크 연결을 가질 수 있다.

보안 점검에서는 프로세스 이름만 보지 않는다. 같은 프로그램도 관리자·root 권한으로 실행되는지, 전용 서비스 계정으로 실행되는지에 따라 침해 시 영향이 달라진다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

부모 프로세스
   ↓ 새 프로세스 생성
자식 프로세스
   ↓ 다른 프로그램 실행 가능
서비스·사용자 프로그램

운영체제와 도구마다 표시 방식은 다르지만 일반적으로 다음 상태를 구분한다.

CPU 사용률이 낮다고 안전한 프로세스는 아니며, CPU 사용률이 높다고 곧 악성 프로세스도 아니다. 실행 경로, 계정, 부모 프로세스, 네트워크 연결, 파일 변경과 함께 판단한다.

좀비 프로세스는 자식 프로세스가 종료됐지만 부모가 종료 상태를 회수하지 않아 프로세스 표에 최소 정보가 남아 있는 상태다. 일반적으로 실행 코드는 끝났으므로 CPU를 계속 사용하는 살아 있는 프로세스와 다르다.

고아 프로세스는 부모가 먼저 종료되어 다른 시스템 프로세스가 부모 역할을 넘겨받은 프로세스다. 자식은 계속 실행 중일 수 있다.

구분	실행 여부	핵심 원인
좀비	종료됨	부모가 종료 상태를 회수하지 않음
고아	실행 중일 수 있음	부모가 먼저 종료됨

좀비가 반복적으로 많이 생긴다면 응용프로그램의 프로세스 관리 오류를 의심할 수 있다.

Unix/Linux의 신호는 프로세스에 사건을 알리는 수단이다.

강제 종료는 열린 파일, 트랜잭션, 임시 데이터가 정상적으로 정리되지 못하게 할 수 있다. 따라서 보안 사고가 아닌 일반 운영에서는 먼저 정상 종료를 시도한다. 사고 상황에서는 증거 보존과 확산 위험을 함께 판단한다.

데몬(daemon)은 Unix/Linux에서 백그라운드로 지속 실행되는 프로그램을 가리키는 전통적 표현이다. 서비스(service)는 운영체제의 서비스 관리자가 시작·중지·재시작·상태 확인 등을 관리하는 기능 단위다.

둘은 자주 겹치지만 완전히 같은 말은 아니다. 소켓 활성화처럼 요청이 들어올 때만 프로세스가 시작될 수도 있고, 여러 프로세스가 하나의 서비스를 구성할 수도 있다.

현대 Linux에서 systemd를 사용하는 경우 다음 상태를 구분한다.

서비스가 지금 실행 중이더라도 자동 시작이 아닐 수 있고, 자동 시작으로 설정돼 있어도 현재는 중지돼 있을 수 있다. 시험에서는 start/stop과 enable/disable의 목적을 구분한다.

전통적인 SysV runlevel과 inetd/xinetd는 과거·일부 환경에서 사용된 구조로 이해한다. 현재 시스템에서 실제 서비스 관리자가 무엇인지 먼저 확인해야 한다.

서비스 보안 점검은 다음을 단계별로 본다.

CODE코드 영역 안에서 좌우로 이동할 수 있습니다.

패키지·프로그램 존재
      ↓
서비스 설정 존재
      ↓
프로세스 실행
      ↓
소켓·포트 수신
      ↓
방화벽·라우팅을 거쳐 도달 가능
      ↓
업무상 허가된 노출인가?

프로세스가 실행 중이어도 네트워크 포트를 열지 않을 수 있다. 반대로 소켓 활성화 구조에서는 서비스 프로세스가 아직 없는데 포트가 수신 중일 수 있다.

불필요한 서비스는 공격 표면을 늘린다. 필요한 서비스도 관리자 권한이 아니라 가능한 한 전용 계정과 최소 권한으로 실행해야 한다.