코모도 인터넷 시큐리티 HIPS 설정

🚩 이 글은 코모도 방화벽 및 인터넷 시큐리티 10 버전(정확히는 10.1 버전)의 HIPS 설정 매뉴얼을 번역한 것입니다. 사용자 입장에서 기능을 익히기 위해 번역한 것이므로 이를 감안하고 보시는 것이 좋겠습니다. 자신이 없는 부분은 구글 번역의 도움을 받았습니다. 내용 중 모호한 부분이 있다면 반드시 원문을 확인하시기 바랍니다. 이 글은 1회성입니다. 향후 패치나 업데이트가 있어도 그에 맞춰 번역을 업데이트 해 드리지 못하는 점 양해 바랍니다.

HIPS Settings (HIPS 설정)

🔆 HIPS는 호스트 침입 방지 시스템(The Host Intrusion Protection System)을 의미.

HIPS 설정 패널에서 사용자는 HIPS의 활성/비활성 여부를 선택하고 HIPS의 보안 수준 및 HIPS 행동 양식을 설정할 수 있습니다.

HIPS 설정 패널을 열려면

CIS(코모도 인터넷 시큐리티) 홈 화면 상단의 'Settings(설정)'을 클릭하여 'Advanced Settings(고급 설정)' 인터페이스를 엽니다.
왼쪽의 'HIPS' > 'HIPS 설정(HIPS Settings)'을 클릭합니다.
또는 CIS 'Home(홈)' 화면의 'Advanced View(고급 뷰)'에서 'HIPS' 링크를 클릭합니다.

Enable HIPS (HIPS 활성화) - HIPS 보호를 활성화 또는 비활성화합니다. (기본값 = 비활성화)

HIPS를 활성화시키면 HIPS의 보안 레벨과 모니터링 단계를 설정할 수 있습니다.

Configuring HIPS Security Level (HIPS 보안 수준 설정)

HIPS의 보안 수준은 'Enable HIPS(HIPS 활성화)' 체크박스 아래의 드롭다운 메뉴에서 선택할 수 있습니다.

Paranoid Mode (파라노이드 모드) : 이것은 가장 높은 단계의 보안 설정이며 사용자가 안전하다고 판단한 파일을 제외한 모든 실행 파일들을 모니터하고 제어함을 의미합니다. Comodo Internet Security는 응용 프로그램으로부터 행동 양식을 습득하려 시도하지 않습니다. 이는 코모도 안전 목록에 있는 프로그램들도 포함됩니다. 시스템의 활동을 필터링하는데 있어 오직 사용자의 설정만을 따릅니다. 마찬가지로, Comodo Internet Security는 실행 파일에 대해 'Allow(허용)' 규칙을 자동으로 작성하지 않습니다 ─ 다만, 사용자는 HIPS 경고에서 응용 프로그램을 'Trusted(신뢰할 수 있음)' 으로 처리할 수 있는 선택권을 여전히 갖고 있습니다. 이 옵션을 선택하면 가장 많은 양의 HIPS 경고가 생성되므로, 파라노이드 모드는 시스템 활동을 완전히 인식하는 고급 사용자(advanced users)에게 권장됩니다.

Safe Mode (안전 모드) : 중요한 시스템 활동을 모니터링하는 동안 HIPS는 Comodo가 'Safe(안전함)'로 인증한 실행 파일 및 응용 프로그램의 활동을 자동으로 학습합니다. 또한 'Create rules for safe applications(안전한 응용 프로그램 규칙 생성)' 체크박스를 선택하면 이러한 활동에 대해 'Allow(허용)' 규칙이 자동으로 작성됩니다. 인증되지 않은 알 수 없는 응용 프로그램의 경우 해당 응용 프로그램이 실행될 때마다 경고 메시지가 나타납니다. 경고 메시지가 나타나면 사용자는 'Remember my answer(내 답변 기억)' 을 선택한 상태에서 'Treat as(처리 방법)'을 선택하고 'Allowed Application(허용된 응용 프로그램)'을 선택하여 HIPS 규칙 목록에 새 응용 프로그램을 추가할 수 있습니다. 이것은 다음에 실행될 때 HIPS가 경고를 생성하지 않도록 지시합니다. 새로운 기기가 아니고 멀웨어 및 기타 위협이 없는 경우라면 대다수의 사용자에게 '안전 모드 (Safe Mode)' ─ 최고 수준의 보안과 관리하기 쉬운 HIPS 경고 횟수의 결합이 권장됩니다.

Training Mode (훈련 모드) : HIPS는 모든 실행 파일의 활동을 모니터링하고 학습하며 보안 수준이 조정될 때까지 자동 'Allow(허용)' 규칙을 만듭니다. '훈련 모드'에서는 어떠한 HIPS 경고도 받지 않습니다. 컴퓨터에 설치된 모든 응용 프로그램 및 실행 파일이 안전하다고 100% 확신할 때 '훈련 모드'를 선택하는 것이 좋습니다.

Configuring Monitoring Settings (모니터링 설정 구성)

Monitoring Settings(모니터링 설정) 링크를 클릭하여 HIPS가 모니터링하는 활동, 개체, 오브젝트를 구성할 수 있습니다.

🔎 참고 : 여기서 선택한 설정은 보편적으로(universally) 적용됩니다. 이 인터페이스를 사용하여 활동, 개체 또는 오브젝트의 모니터링을 비활성화하면 해당 활동에 대한 모니터링을 전체적으로 완전히 해제하여 사실상 해당 활동에 대한 보편적인 'Allow(허용)'규칙을 만들게 됩니다. 이 'Allow(허용)' 설정은 'Access Rights(액세스 권한)' 및 'Protection Settings(보호 설정)' 인터페이스를 사용하여 규칙집합(Ruleset)에서 지정한 'Block(차단)'이나 'Ask(요청)' 설정을 무효화(over-rule)시킵니다.

Activities To Monitor (모니터링 할 활동) :

Interprocess Memory Access (프로세스 간 메모리 액세스) - 멀웨어 프로그램은 다양한 유형의 공격에 악성 코드를 삽입하기 위하여 메모리 공간 수정을 사용합니다. 여기에는 키보드 입력을 기록하는 것도 포함됩니다; 한 프로세스에서 다른 프로세스로 기밀 정보를 보내어 응용 프로그램의 동작을 수정하고 데이터를 도용합니다. 메모리 공간 침해의 가장 심각한 측면 중 하나는 악의적인 멀웨어가 손상된 프로세스의 ID를 사용하여 공격을 받는 응용 프로그램을 '가장하는(impersonate)' 기능입니다. 이는 전통적인 바이러스 검색 소프트웨어와 침입 탐지 시스템의 일처리를 더 어렵게 만듭니다. 이 체크박스를 선택하면 응용 프로그램이 다른 응용 프로그램에 할당된 메모리 공간을 수정하려고 할 때 경고 메시지가 표시됩니다. (기본값 = 사용)

Windows/WinEvent Hooks (Windows/WinEvent 후크) - Microsoft Windows® 운영 체제에서 후크는 응용 프로그램에 도달하기 전에 이벤트를 가로챌 수 있는 메커니즘입니다. 인터셉트된 이벤트의 예로는 메시지, 마우스 동작 및 키 입력이 포함됩니다. 후크는 이러한 이벤트에 반응할 수 있으며 경우에 따라 이벤트를 수정하거나 삭제할 수 있습니다. 원래 합법적인 소프트웨어 개발자가 보다 강력하고 유용한 응용 프로그램을 개발할 수 있도록 개발된 후크는 해커가 보다 강력한 멀웨어를 만들 때에도 악용되었습니다. 키보드의 모든 키입력을 기록하거나; 마우스의 움직임을 기록하거나; 컴퓨터의 모든 메시지를 모니터하고 수정하며 컴퓨터를 원격 제어하는 멀웨어 등을 예로 들 수 있습니다. 이 체크박스를 선택하면 신뢰되지 않은 응용 프로그램이 후크를 실행할 때마다 경고 메시지가 표시됩니다. (기본값 = 사용)

Device Driver Installations (장치 드라이버 설치) - 장치 드라이버는 응용 프로그램 또는 운영 체제가 컴퓨터의 하드웨어 장치와 상호 작용할 수 있게 해주는 작은 프로그램입니다. 하드웨어 장치에는 디스크 드라이브, 그래픽 카드, 무선 및 LAN 네트워크 카드, CPU, 마우스, USB 장치, 모니터, DVD 플레이어 등이 포함됩니다. 완벽하게 의도대로 장치 드라이버를 설치하더라도 충돌이 발생하면 시스템이 불안정해질 수 있습니다. 악성 드라이버의 설치는 컴퓨터에 복구할 수 없는 손상을 입히거나 해당 장치에 대한 통제권울 해커에게 넘길 수 있습니다. 이 체크박스를 선택하면 장치 드라이버가 신뢰할 수 없는 응용 프로그램에 의해 기기에 설치 될 때마다 HIPS가 사용자에게 경고합니다. (기본값 = 사용)

Processes' Terminations (프로세스의 종료) - 프로세스는 실행중인 프로그램 인스턴스입니다. (일례로, Comodo Internet Security 프로세스를 'cis.exe' 라고 합니다. 작업관리자를 실행하고 '프로세스'를 클릭하여 시스템에서 실행중인 전체 목록을 보십시오.) 프로세스를 종료하면 분명히 프로그램이 종료됩니다. 바이러스 및 트로이 목마는 종종 실행중인 보안 소프트웨어의 프로세스를 종료시켜 이를 우회하려 합니다. 이 설정을 사용하면, HIPS는 신뢰할 수 없는 응용 프로그램이 다른 응용 프로그램을 닫으려는 모든 시도를 모니터링하며 경고합니다. (기본값 = 사용)

Process Execution (프로세스 실행) - 루트킷(rootkits) 및 키로거(key-loggers) 같은 멀웨어는 종종 백그라운드 프로세스로 실행됩니다. 이 설정을 사용하면, HIPS는 신뢰할 수 없는 응용 프로그램이 프로세스를 호출할 때마다 이를 모니터링하고 경고합니다. (기본값 = 사용)

Windows Messages (윈도우즈 메시지) - 특정 응용 프로그램이 다른 응용 프로그램의 동작을 수정하기 위해 특수한 윈도우즈 메시지(Windows Messages)를 보내려고 하는지를 Comodo Internet Security가 모니터링하고 감지합니다. (윈도우즈 메시지의 예 : WM_PASTE 커맨드 사용) (기본값 = 사용)

DNS/RPC Client Service (DNS/RPC 클라이언트 서비스) - 이 설정은 응용 프로그램이 DNS 재귀 공격(DNS recursion attack)을 시작하기 위해 'Windows DNS 서비스'에 접근하려고 시도하는 경우 사용자에게 경고합니다. DNS 재귀 공격은 악의적인 엔터티(entity)가 수천 개의 스푸핑 된 요청을 DNS 서버로 보내는 분산 서비스 거부 공격(D-DOS)의 한 유형입니다. 이 요청은 스푸핑되어 표적이나 '희생자' 서버에서 오는 것처럼 보이지만 실제로는 소유자가 알지 못하는 사이에 이러한 요청을 보내는 '좀비' PC의 네트워크인 경우가 많습니다. DNS 서버는 속아서 모든 응답을 희생자 서버로 전송하게 되고 요청에 압도되어 충돌을 일으킵니다. 이 설정을 사용하면 멀웨어가 DNS 클라이언트 서비스를 사용하여 이러한 공격을 시작할 수 없습니다. (기본값 = 사용)

🔎 참고 : DNS는 Domain Name System의 약자입니다. 123.456.789.04와 같은 IP 주소를 익숙한 도메인 이름(예 : 'example.com')에 일치시키는 것은 인터넷 인프라의 일부입니다. 이 인프라는 인터넷이 브라우저에 입력되는 도메인 이름이 아닌이 IP 주소를 사용하여 목적지로 메시지를 라우팅하기 때문에 필수적입니다. 사용자가 도메인 이름을 입력할 때마다 인터넷 브라우저는 DNS 서버에 접속하여 'DNS 쿼리'를 작성합니다. 이 쿼리는 쉽게 말해 'example.com의 IP 주소는 무엇입니까?' 입니다. DNS 서버는 브라우저에 응답하여 질문한 IP에 연결하도록 알려줍니다.

Objects To Monitor Against Modifications (변경을 모니터링할 오브젝트들) :

Protected COM Interfaces (COM 인터페이스 보호) : COM 보호(COM Protection) 설정에서 지정한 COM 인터페이스를 모니터링할 수 있습니다. (기본값 = 사용)

Protected Registry Keys (레지스트리 키 보호) : 레지스트리 보호(Registry Protection) 설정에서 지정한 레지스트리 키를 모니터링할 수 있습니다. (기본값 = 사용)

Protected Files/Folders (파일/폴더 보호) : 파일 보호(File Protection) 설정에서 지정한 파일과 폴더를 모니터링할 수 있습니다. (기본값 = 사용)

Objects To Monitor Against Direct Access (직접 액세스를 모니터링할 오브젝트들) :

Comodo Internet Security가 컴퓨터의 시스템 중요 개체에 대한 액세스를 모니터링해야 하는지 여부를 결정합니다. 악의적인 응용 프로그램은 직접 액세스 방법을 사용하여 저장 장치에서 데이터를 가져오고 다른 실행 가능한 소프트웨어를 수정 또는 감염시키고 키 입력을 기록하는 등의 작업을 수행 할 수 있습니다. 코모도는 일반 사용자에게 다음 설정을 '사용(enabled)' 상태로 유지하도록 권고합니다 :

Physical Memory (물리적 메모리) : 응용 프로그램 및 프로세스의 컴퓨터 메모리에 대한 직접 액세스를 모니터링합니다. 악성 프로그램은 물리적 메모리에 액세스하여 광범위한 악용을 시도합니다. 가장 유명한 것은 '버퍼 오버플로(Buffer Overflow)' 공격입니다. 버퍼 오버런(buffer overruns)은 메모리의 특정 주소에 특정 양의 데이터를 저장하도록 설계된 인터페이스가 악의적인 프로세스로 하여금 해당 주소에 너무 많은 데이터를 제공하도록 허용할 때 발생합니다. 그렇게 되면 내부 구조가 덮어 쓰여지고 악성 코드가 시스템을 통해 코드를 실행하도록 할 수 있습니다. (기본값 = 사용)

Computer Monitor (컴퓨터 모니터) : Comodo Internet Security는 프로세스가 컴퓨터 모니터에 직접 액세스하려고 할 때마다 경고 메시지를 표시합니다. 합법적인 응용 프로그램에서 이 액세스가 필요한 경우도 있지만 스파이웨어 또한 이러한 액세스를 사용하여 현재 데스크톱의 스크린 샷을 찍고 검색 활동 등을 기록할 수 있습니다. (기본값 = 사용).

Disks (디스크) : 실행중인 프로세스의 로컬 디스크 드라이브 직접 액세스를 모니터링합니다. 악의적인 소프트웨어는 드라이브에 저장된 데이터를 얻거나, 하드 디스크에 있는 파일을 파괴하거나, 정크 데이터 작성으로 드라이브를 포맷하거나 파일 시스템을 손상시키기 위해 디스크 드라이브 액세스를 필요로 합니다. 이를 모니터링함으로써 악의적인 소프트웨어로부터 보호받을 수 있습니다. (기본값 = 사용)

Keyboard (키보드) : 키보드 액세스 시도를 모니터링합니다. '키 로거(key loggers)'로 알려진 악성 소프트웨어는 사용자의 모든 키보드 입력을 기록할 수 있으며 이는 암호, 신용카드 번호 및 기타 개인 데이터 도용에 사용될 수 있습니다. 이 설정을 선택하면 응용 프로그램이 키보드에 직접 액세스를 시도할 때마다 Comodo Internet Security가 알려줍니다. (기본값 = 사용)

Checkbox Options (체크박스 옵션)

Do not show popup alerts (팝업 경고 표시 안 함) - HIPS가 맬웨어를 발견했을 때 알림을 받을지 여부를 설정합니다. '팝업 경고 표시 안 함'을 선택하면 사용자의 위험 인식이 다소 떨어질 수 있지만 방해는 최소화됩니다. (기본값 = 사용 안 함)

경고 표시하지 않기를 선택하면 CIS에서 자동으로 수행해야 하는 기본 응답 ('Block Requests(요청 차단)'또는 'Allow Requests(요청 허용)')을 선택할 수 있습니다.

Set popup alerts to verbose mode (팝업 경고를 상세 모드로 설정) - 이 옵션을 활성화하면 CIS가 HIPS 경고를 상세 모드로 표시합니다. 상세 모드에서는 HIPS 경고가 사용자에게 보다 많은 정보를 제공하며, 사용자가 요청을 허용 또는 차단할 수 있는 더 많은 옵션을 제공합니다. (기본값 = 사용 안 함)

Create rules for safe applications (안전한 응용 프로그램 규칙 작성) - HIPS 규칙집합(Ruleset)에서 안전한 응용 프로그램을 위한 규칙을 자동으로 작성합니다. (기본값 = 사용 안 함)

🔎 참고 : HIPS는 다음의 경우에 응용 프로그램을 신뢰합니다.

File List(File Rating의 하위 메뉴)에서 응용 프로그램 / 파일이 '신뢰할 수 있는(Trusted)'으로 평가(rate)되어 있다.

해당 응용 프로그램이 신뢰할 수 있는 소프트웨어 공급업체(Trusted Software Vendors) 목록에 포함된 공급 업체의 응용 프로그램이다.

해당 응용 프로그램이 광범위하고 지속적으로 업데이트되는 코모도의 안전목록(safelist)에 포함되어 있다.

기본적으로 CIS는 안전한 응용 프로그램을 위한 '허용' 규칙을 자동으로 작성하지 않습니다. 그렇게 함으로써 리소스 사용을 줄이고, '허용(Allow)' 규칙의 수를 줄여 규칙 인터페이스를 단순화하며 팝업 경고 수를 줄일 수 있습니다. 이 체크박스를 선택하면 CIS가 안전한 응용 프로그램의 동작을 학습하여 '허용' 규칙을 자동으로 생성하도록 지시합니다. 이 규칙은 HIPS 규칙(HIPS Rules) 인터페이스에 나열되어 있습니다. 고급 사용자는 규칙을 원하는대로 편집 / 수정할 수 있습니다.

🔎 참고 : 버전 4.x 이전에는 CIS가 '안전한(safe)' 파일에 대한 허용 규칙을 규칙 인터페이스에 자동으로 추가했습니다. 이로 인해 고급 사용자는 규칙을 세부적으로 제어할 수 있었지만 이는 복잡한 규칙 인터페이스로 이어질 수도 있었습니다. '허용' 규칙의 자동 추가와 이미 '안전'으로 간주되는 응용 프로그램의 동작을 배우기 위한 요구조건도 시스템 자원에 피해를 주었습니다. 버전 4.x 이상에서는 '안전'으로 간주되는 응용 프로그램의 '허용' 규칙이 자동으로 생성되지 않으므로 규칙 인터페이스가 단순화되고 보안상 손실없이 리소스 오버 헤드가 절감됩니다. 고급 사용자는 안전한 응용 프로그램에 대한 규칙을 편집해야하는 경우 (또는 CIS 3.x 버전의 규칙 만들기 방식을 선호하는 경우) 이 설정을 다시 활성화 할 수 있습니다.

Set new on-screen alert time out to (화면에 표시되는 경고 시간 설정) : HIPS가 사용자 개입없이 경고를 표시하는 시간을 결정합니다. 기본적으로 제한 시간은 120 초로 설정됩니다. 이 설정은 원하는대로 조정할 수 있습니다.

Advanced HIPS Settings (고급 HIPS 설정)

🔎 참고 : 이 설정은 고급 사용자에게만 권장됩니다.

Enable adaptive mode under low system resources (낮은 시스템 자원에서 적응 모드 활성화) - 매우 드물게 (그리고 과중한 시스템에서만), 메모리 조건이 낮으면 특정 CIS 기능이 실패할 수 있습니다. 이 옵션을 사용하면 CIS는 적응 기술을 사용하여 메모리를 찾고 활용하게 되며, 보류중인 작업을 완료할 수 있습니다. 그러나 이 옵션을 활성화하면 로드(load)가 적은 시스템에서도 성능이 저하될 수 있습니다. (기본값 = 사용 안 함)

Block all unknown requests when the application is not running (응용 프로그램이 실행되고 있지 않을 때 알 수 없는 모든 요청 차단) - 이 옵션을 선택하면 CIS가 실행중이 아니거나 종료된 경우 알 수 없는 실행 요청이 모두 차단됩니다. 이 옵션은 실제로 매우 엄격하므로 대부분의 경우 심각하게 감염되거나 손상된 시스템에서 사용자가 해당 문제들을 해결하는 동안만 사용하도록 설정해야 합니다. (기본값 = 사용 안 함)