요즘 서버관리를 거의 하지 않다가 오랜만에 할려니 난감한일이 참 많이 발생하네요.
사무실에 exchange2010서버가 있습니다.
전용선이 있어서 공인 아이피를 사용하는데
공인아피를 할당할려고 하니까 중복된 아이피라고 나옵니다.
그래서 확인을 해보니 지정하지 않은 공인아이피가 8개를 사용하고 있네요...
그래서 해킹이 들어왔나 시피어서 확인해보니 핑은 가는데 어느서버인지 나오지가 않았습니다.\
UTM장비에서 해당 맥어드레스를 확인해보니 전부 같은 맥이네요..
이게 어디서 나온건지 스위치를 들어가서 확인하니 이그체인지 서버에서 나오는거였습니다.
문제는 아무리 뒤져봐도 장치가 보이지 않아서 요...
구글링해서 해당 맥을 검색해본 버츄얼박스에서 사용하는 맥어드레스인데
버츄얼박스를 설치한적도 없고 아무리 뒤져도 장치는 보이지 않고
외부에서 핑을 치면 아주 잘나가고 있습니다.
혹시 이런 경험있ㅇ신분 계신지요..
요즘 도통 머리가 안돌아가서 검색을 해도 잘 나오지 않네요..
보통 공인IP는 서버에 입력하는게 아니고 외부 엣지나 방화벽 단에서 서비스할 포트만 넘겨주는 식으로 사용하는데 다이렉트로 쓰나보네요.
근래 점검 했던 시스템에서 동일 증상을 여럿 봐와서리...
버쳘박스 관련 폴더와 파일이 어딘가에 숨겨져서 돌고 있긴한데, 시스템에 따라 위치가 좀 다르긴하더라구요.
대부분, 해당 시스템에 주요 프로세스와 거의 흡사한 위치에 같은 이름으로 변조되어 구동되고 있었습니다.
또, 버쳘박스 구동 파일 외에 이 프로세스들 상태 모니터링하는 녀석이 하나 더 있을 수도 있습니다.
요 걸 못 찾으면 죽여도 수분 이내에 다시 올라오더군요.