송진홍 2021-07

Host 중 하나가 유해정보로 등록된 외부 C&C(C2) IP랑 통신한 내역이 발견되었다는 것 같습니다.
보통 내부 PC 중 하나가 악성코드에 감염되었을 경우 발생합니다.

perls 2021-07

네 감사합니다. 해당서버 백신 돌려보니... 다시보니 별거 안나오네요;;

realforce111 2021-07

아마 FortiGate 방화벽에서 확인하신 것 같은데, Log & Report -> Intrusion Prevention에서 상세 로그 확인해보시면 될겁니다.
그리고 C&C 어택이라면 트래픽 로그에서 Outbound 트래픽으로 서비스와 관련없는 통신이 있었는지 확인해보시는게 좋을 겁니다.

관련 없는 통신으로 해외 IP로 나가는게 있다면 일단, 방화벽에서 정책으로 차단해주시고, 서버 점검해보시면 될 것 같네요.
서버에 관련 없는 악성파일들이 설치되어 있는지, 프로세스가 실행중인지 확인해보시면 될겁니다.

perls 2021-07

네 감사합니다!

dateno1 2021-07

그냥 비번 털리거나, 제로데이 찔리거나해서 뭔가 깔린 수준입니다

내버려두면 좀비 되어서 이상한짓 할 수 있으니 검사해보세요 (혼자 죽으면 괜찮은데, 로컬의 다른 장치 스캔해서 감염 시도하는 경우가 많음)

perls 2021-07

백신검사하는정도면 괜찮을까요. 다행히 백신 두개 돌려보니 아무것도 안나오네요

dateno1 2021-07

안 나오면 좀 더 문제가 복잡해집니다

장기적으로 모니터링해서 1회성 접속이면 그냥 넘기면 되는데, 지속적으로 발생하면 다 뒤져서 원인 찾거나, 엎어야하니까요

perls 2021-07

아.. 그렇군요. 그럼 일단 계속 모니터링 해봐야 되겠네요;;
감사합니다.