프로세스 세 줄에서 질문 만들기

1. PID 2480은 websvc 계정의 앱이고, 2501의 PPID가 2480이므로 이 목록에서는 변환기가 그 앱의 자식으로 연결됩니다. PID는 재사용될 수 있어 다른 시점의 같은 번호를 같은 프로세스라고 합치면 안 됩니다. 실행 시각과 호스트도 함께 확인합니다.

2. 변환기가 생성되는 것은 업무상 정상일 수 있습니다. 이름이 낯설다는 이유로 바로 악성이라고 결론 내리지 말고 실행 파일 경로, 설치 출처, 입력 파일, 예정된 동작을 대조합니다. 반대로 익숙한 이름도 신뢰의 증거는 아닙니다.

3. websvc가 문서를 읽고 결과만 쓰는 데 충분한 권한을 갖게 하고, 시스템 설정이나 다른 업무 자료에는 접근하지 못하게 설계합니다. 정상 변환과 금지된 파일 접근을 각각 확인하면 “계정을 나누었다”가 실제 경계인지 검증할 수 있습니다.

깨달음보안의 실행 주체는 화면 앞의 사람만이 아닙니다. 그 사람이나 서비스를 대신해 움직이는 프로세스의 계정과 생성 관계를 읽어야 합니다.