우키의 보안이야기

  Trendmicro는 세계백신시장에서 점유율 3위의  보안기업입니다.  타 업체와는 달리  바이러스방어와 연관된 사업에만 집중하고 있는 기업이지요. 과거에 국내의 A사와  글로벌기업인 S사의 백신을 사용한 적이 있었는데  4년전부터 Trendmicro의 Officescan이란 백신시스템을 사용하고 있습니다.   개인이 백신을 사용할 때의 주된 선택 기준은 백신자체의 치료율입니다.  하지만  기업에서 백신시스템을 선택할 때의 기준은  운영및 통제가 얼마나 쉽고 정확하게 이루어 지느냐라고 할 수있습니다.  치료율이 좋은 백신들이 대부분 무겁다는 사실은  기업에서는 그다지 반가운 일이 아니지요..    Officescan이 확실히 치료율이 우수한 백신이라고 하기는 힘든 면이 있습니다.  하지만 기업내에 흩어져 있는 수많은 클라이언트들을 한눈에  보고 쉽게 관리할 수 있게 해주는 면에 있어서는 탁월하다고 할 수 있습니다.

  기업내에선 네트웍 대역폭이 매우 작은 지점들이 다수 존재합니다.  백신은 매일 한번씩은 패턴 업데이트를 다운받아야 하는데  패턴의 용량이 갈수록 커지는 현실을 놓고 볼때   어떻게 백신 클라이언트들을 관리할 것이냐는 어려운 문제라고 할 수있습니다.  트렌드에서는 기존에 Update agent를 통해서  이런 고민에 대해서 해결책을 제시해왔고  최근 Officescan10 버전이 나오면서 Smartscan이라고 하는 새로운 Cloud방식의 관리로  새로운 해결책을 제시했습니다.  Smartscan은 차후에 다시 언급하기로 하고 여기서는 Update agent을 구성하고 사용하는 방법에 대해서 정리해보았습니다.

==================================================================
상      황 : 1M 대역폭의 전용선 에  50대의 PC를 보유하고 있는  A지점
요구사항: 50대의 pc중에서 한 대만 중앙서버로부터 패턴을 업데이트 받고 
              이 pc를 통해  내부의 다른pc들에 설치된 백신이 업데이트 되게하라.
              백신업데이트때문에  업무트래픽이 느려지거나 장애가 발생해서는 안된다.
해 결 책:  지점의 한 PC를 Update agent로 설정하고  
              A 지점에서는 이 update agent를 통해서  패턴을 업데이트 받게 한다.
===================================================================

1. 준비: 일단 Updateagent로 사용할 시스템을 준비한다.  서버가 아니라도 상관이 없다 (XP도 가능)
    될수있으면 24시간 켜있는 시스템을 활용하는것이 좋다. (이중화를 위해 여러대를 설정할 수도 있다)
    지점의 시스템은 Officescan 백신 client가  이미 설치되어 있어야 한다.

2.  먼저 Update agent를 만들어야 한다.  (중앙서버의 웹콘솔에서 작업 가능)
   1) Networked Computers / Client Management 메뉴로 이동
   2) Update agent로 사용할 시스템을 클릭한다.
   3) 상부의 Settings메뉴를 클릭하여  [Update agents settings]항목을 클릭한다.    4) update agent settings 창이 나오면 아래와 같이  [clients can act as Update agents] 항목을 체크한다   5) 이제 막 만든 Update agent를 웹콘솔에서 확인할 수 있다.  아이콘이 색다르다. (약간의 시간 소요)
3.  이제는 Update 정책을 만들어 주어야 한다.
   1) 웹콘솔에서  Updates / Network computers/ Update source 메뉴로 이동
   2) A지점의 네트웍 대역을 입력한다.
   3) 조금 전에 만든 Update agent가 리스트에 나오는데  이것을 선택해준다.
   4) 저장
 
4. Update정책의 확인하고 배포합니다.
   1) A지점의 아이피 대역과  Update agent 시스템의 업데이트 주소를 확인합니다.
   2) Notify All Clients 버튼을 클릭하여  정책을 배포합니다.
  
    3) 제안: Update agent외의 어떤 pc도 중앙서버에서 패턴을 받아가는 일이 없도록 하기위해서
        Update source 메뉴의 상단에 보이는 [Update from Officescan server if all ......]을 체크한다.
        실제로 Update agent가 다운되면  A 지점의 pc들은  중앙서버가 아닌 인터넷상에 존재하는
        Trend update  서버에 접속하여  업데이트를 받게된다.  

5. Update agent의 정상 작동 확인
    1) 실제로 A지점의 백신클라이언트들이  Update agent로부터 업데이트를 잘 받아 갈 수 있을지 확인하려면
       http://update_agent_update_url/server.ini 를 접근해 본다.
       다운로드가 되면  update agent가 정상 작동하고 있는 것이다.  

     2) 클라이언트 PC의 아래 경로에서 실제 클라이언트들의 업데이트 로그를 확인해본다.
       디렉토리 위치: C:\Program Files\Trend Micro\OfficeScan Client\ConnLog\
       가장 확실한 점검이죠.. ^^

1. Go to Services and stop the OfficeScan Master Service.
  
2. Open a command prompt and then go to C:\Program Files\Trend Micro\OfficeScan\PCCSRV.
  
3. Run the following command:
    SVRSVCSETUP.EXE -uninstall
4. Exit the command prompt.
 
5. Open the Registry Editor.
   Important: Always back up the whole registry before making any modifications. Incorrect changes to the registry can cause serious system problems.

6.Go to HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\
 
7.Make sure that ofcservice hive is deleted.
 
8.Go to HKEY_LOCAL_MACHINE\SOFTWARE\Trend Micro\OfficeScan\.
 
9.Delete the OfficeScan hive.
 
10.Go to HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
 
11.Delete the OfficeScan Management Console-<ServerName> folder.
 
12.Go to the C:\Program Files\Trend Micro\OfficeScan\PCCSRV folder.
 
13.Undo the sharing of the \PCCSRV folder.

14.Reboot the server.
 
15.Go to C:\Program Files\Trend Micro\OfficeScan\PCCSRV and delete the \PCCSRV folder.
 
16.Delete the OfficeScan Web site in the Internet Information Services (IIS).
    a.Open the IIS console.
    b.Expand the ServerName.
    c.If you installed OfficeScan on a separate web site, go to Web Sites folder and then delete OfficeScan.
    d.If you installed OfficeScan virtual directories under Default Web Site, go to Default Web Site and then delete the OfficeScan virtual directory.
 

하나의 백신이 모든 바이러스를 잡아주지 못한다는 것은 현실입니다.
왜 백신이 바이러스를 못잡느냐고 열받아 할 수 도 있지만   새로 제작되거나 변형되어 등장하는  바이러스가 워낙 많기때문에  백신사의 인력들이 이에 신속히 대처하는것은 사실상 힘들다고 생각합니다.  

  ▶ 트렌드마이크로의 오피스스캔의 특징 
1. 랜덤하게 생성되는 second process가 존재
  백신 서비스가 죽는 것을 방지하기 위해  백신서비스를 바이러스가 죽였을때 다시 백신서비스를 활성하시키는 역할을 합니다.
2. 클라이언트의 중앙관리가 편리합니다.
   패턴업데이트 뿐 아니라 프로그램의  업데이트도 자연스럽게 해줍니다.  백신서버의 클라이언트버전의 업데이트되면 자동으로 전사 클라이언트에 배포됩니다.
3. 웜에 대해 잘 대응하는 편입니다.
하지만 파일기반 바이러스엔 약한 면을 보입니다. (USB바이러스 등….)

  ▶ 트렌드마이크로이 바이러스를 잡지 못할 땐  이렇게
  어쨋든 백신이 바이러스를 잘 처리 못하는것을 발견했을시 행동요령을 정리해봅니다.
1. 백신이 잡지못하는 바이러스 샘플을 추출합니다.
   – 수상한 행동을 보이는 파일을 찾습니다. 방화벽 로그, 트렌드 자체로그, TCPview같은 간단 패킷뷰어 활용하면 되겠습니다. 트렌드의 경우  잡았다고 하는데 같은 바이러스 제거로그가 반복돠는 경우 처리못하는 것이므로  추가적인 수동 작업이 필요합니다.
   – 타백신을 활용합니다. (ex. 하우리등, 웹으로 서비스하는 백신을 활용)
     –> 이런류의 서비스는 마이폴더에 가보시면 많죠.. ^^
2. 트렌드마이크로 고객센타에 샘플을 보냅니다.
   email address: KR_Customer_Support@dl.trendmicro.com 
   실행파일의 경우  확장자를 바꾼후 (ex. .EXE –> EX_ ) 압축해서
   (압축시엔 암호를 거는것을 추천) 메일로 보냅니다.
  물론  메일내용엔 암호를 명시하셔야 겠죠?
   (바이러스 샘플이 차단되는것을 막기위한 것임)
3. 트렌드마이크로에서 임시 샘플을 받습니다.
   대개  전체 패턴에 적용하기전 임시 패턴을 만들어서 보내줍니다.
   
4. 임시 패턴 적용
   –  받은 임시 패턴을 아래의 서버의 officescan 서버 폴더에 복사해 넣습니다.
      \OfficeScan\PCCSRV\
   -  OfficeScan Master Service 재시작
   -  클라이언트로 자동배포 됨
 * 특정 클라이언트만 적용시엔 아래 경로에 패턴을 복사합니다.
   -  클라이언트 경로 : C:\Program Files\Trend Micro\OfficeScan Client
   -  OfficeScan Real-time Service 재시작