포트 그룹

개요

포트 그룹은 여러 포트 번호를 하나의 정책 객체로 묶어 관리하는 기능입니다. 정책 > 포트 그룹에서 데이터베이스 포트, 파일 공유 포트, 웹 서비스 포트처럼 용도가 비슷한 포트를 하나의 그룹으로 정리하세요.

포트 그룹은 이름과 설명, 그리고 그룹에 등록한 포트 목록으로 이루어집니다. 포트 항목은 프로토콜(TCP 또는 UDP), 포트 범위(시작-끝), 설명으로 구성되며 시작과 끝을 같은 값으로 등록하면 단일 포트가 됩니다.

설치하면 포트 그룹 두 개가 함께 만들어집니다. 데이터베이스 포트는 MySQL(3306), Oracle(1521), Postgres(5432), MS SQL(1433), MongoDB(27017) 다섯 개 포트를 담고 있으며, 기본 제공 탐지 시나리오인 실시간 탐지의 데이터베이스 포트 스캔 시도가 이 그룹을 기준으로 목적지 포트를 대조합니다. 파일공유 포트는 FTP, SMB, BitTorrent, eDonkey, Telegram, IRC, VNC 등 파일 공유·P2P·메신저·원격 접속 프로그램이 쓰는 포트 항목 26개를 담고 있으며, 기본 제공 탐지 시나리오인 실시간 탐지의 미허가 파일공유 포트 접속이 이 그룹을 기준으로 삼습니다. 두 시나리오는 설치 직후에는 모두 비활성화되어 있습니다.

등록한 포트 그룹은 실시간 탐지의 시나리오 빌더, matchport 명령어, matchport() 함수에서 사용합니다. 배치 탐지에는 시나리오 빌더가 없으므로 배치 탐지 시나리오의 쿼리문에 matchport 명령어나 함수를 직접 적습니다. 활용 방법은 포트 그룹 활용을 참고하세요.

정책 > 포트 그룹 메뉴는 클러스터 관리자, 관리자, 사용자 역할의 계정에 모두 표시되고 세 역할 모두 포트 그룹과 그룹 안의 포트를 조회할 수 있습니다. 포트 그룹을 추가, 수정, 삭제하고 그룹 안의 포트를 등록, 수정, 삭제하는 것은 클러스터 관리자와 관리자 역할만 할 수 있으며, 사용자 역할의 계정에는 추가, 저장, 포트 추가와 삭제 도구가 나타나지 않습니다. 역할별 권한은 계정 권한 일람표를 참고하세요.

포트 그룹 목록 조회/검색

정책 > 포트 그룹에서 포트 그룹 목록을 조회하거나 검색할 수 있습니다. 목록에는 정렬 기준이 따로 지정되어 있지 않으며 열 머리글을 클릭해 정렬 기준을 바꿀 수도 없습니다. 한 페이지에 기본 15건을 표시하고, 페이지 크기는 목록 아래쪽 선택 상자에서 바꿀 수 있습니다.

이름: 포트 그룹 이름
설명: 포트 그룹 설명
소유자: 포트 그룹을 추가했거나 수정 패널에서 마지막으로 저장한 계정의 이름. 다른 계정이 수정 패널에서 저장하면 소유자가 그 계정으로 바뀝니다. 소유자와 관계없이 같은 회사의 계정은 모든 포트 그룹을 봅니다.
수정일: 수정 패널에서 마지막으로 저장한 날짜와 시각. 그룹 안의 포트를 추가, 수정, 삭제해도 바뀌지 않습니다.

특정 포트 그룹을 찾으려면 도구 모음의 검색 상자에 검색어를 입력하고 Enter 키를 누르세요. 검색어에 공백으로 여러 낱말을 입력하면 낱말마다 이름 또는 설명에 들어 있어야 하며, 대소문자를 구분하지 않고 부분 일치로 찾습니다.

다음은 파일공유로 검색한 결과입니다. 이름에 그 낱말이 든 파일공유 포트만 남았습니다.

목록 다운로드

포트 그룹 목록을 파일로 내려받으려면 도구 모음에서 를 클릭하세요. 포트 그룹 목록 다운로드 대화상자가 열립니다.

파일 이름(필수): 내려받을 파일의 이름(기본값 포트 그룹, 최대 200자)
컬럼(필수): 파일에 넣을 열. 목록에 보이는 네 열에 생성일을 더한 다섯 열이 모두 선택되어 있으며, 체크박스로 열을 빼거나 오른쪽 손잡이를 끌어 순서를 바꿀 수 있습니다.
파일 형식(필수): 내려받을 파일의 형식. CSV(기본값), XML, Microsoft Word, HTML, JSON, PDF 가운데 고릅니다.
인코딩(필수): 파일 인코딩. 파일 형식이 CSV나 JSON일 때만 나타나며, 고를 수 있는 값은 웹 콘솔 언어에 따라 다릅니다. 한국어 웹 콘솔에서는 UTF8, UTF16, MS949 가운데 고를 수 있고, 파일 형식이 CSV이면 MS949, JSON이면 UTF8이 기본값입니다.
범위(필수): 내려받을 구간의 시작 번호와 끝 번호(기본값은 현재 페이지의 첫 행 번호부터 전체 건수까지)

지정을 마치고 다운로드를 클릭하세요. 검색어를 입력해 목록을 걸러 둔 상태라면 걸러진 목록을 내려받습니다. 목록이 비어 있으면 다운로드 아이콘은 비활성 상태입니다.

목록 새로 고침

포트 그룹 목록을 최신 정보로 다시 조회하려면 도구 모음에서 을 클릭하세요.

포트 그룹 추가

탐지 시나리오나 쿼리에서 대조할 새 포트 그룹을 추가하려면 다음 절차를 따르세요.

정책 > 포트 그룹에서 도구 모음의 추가를 클릭하세요.
포트 그룹 추가 패널에서 그룹 정보를 입력하세요.
- 이름(필수): 포트 그룹 이름. 최대 50자까지 입력할 수 있습니다.
- 설명: 포트 그룹 설명. 최대 2,000자까지 입력할 수 있습니다.
패널 오른쪽 위의 저장을 클릭하세요. 저장하면 패널이 닫히고 목록에 새 포트 그룹이 나타납니다.

Note

포트 그룹 이름은 다른 포트 그룹과 겹칠 수 없습니다. 이미 있는 이름으로 저장하면 중복된 이름이라는 오류 메시지가 나타납니다.

Note

포트 그룹을 추가하는 패널에는 포트 목록이 없습니다. 그룹을 먼저 저장한 다음 목록에서 저장한 그룹을 다시 열어 포트를 등록하세요.

포트 그룹 수정

포트 그룹의 이름이나 설명을 바꾸려면 다음 절차를 따르세요.

포트 그룹 목록에서 수정할 포트 그룹의 행을 클릭하세요. 포트 그룹 수정 패널이 열립니다.
이름이나 설명을 고친 뒤 패널 오른쪽 위의 저장을 클릭하세요. 저장하면 패널이 닫히고 목록이 새로 고쳐집니다.

패널 아래쪽은 그룹에 등록된 포트 목록입니다. 포트를 등록, 수정, 삭제하는 작업은 그 자리에서 바로 반영되므로 저장으로 확정할 내용은 이름과 설명뿐입니다.

포트 조회/검색

포트 그룹 수정 패널의 포트 목록에서 그룹에 등록된 포트를 확인할 수 있습니다. 한 페이지에 기본 15건을 표시하고, 페이지 크기는 목록 아래쪽 선택 상자에서 바꿀 수 있습니다. 정렬 기준은 따로 지정되어 있지 않아 표시 순서가 일정하지 않을 수 있으므로, 특정 포트를 확인할 때는 페이지를 넘기며 찾기보다 검색 상자를 쓰세요.

프로토콜: 포트 항목의 전송 계층 프로토콜(TCP 또는 UDP)
범위: 시작 포트와 끝 포트를 물결표로 이어 표시한 포트 범위(예: 3306 ~ 3306). 단일 포트도 같은 번호를 두 번 적어 표시합니다.
설명: 포트 항목 설명

특정 포트를 찾으려면 포트 목록의 검색 상자에 검색어를 입력하고 Enter 키를 누르세요. 낱말은 설명에서 부분 일치로 찾고, 공백으로 여러 낱말을 입력하면 낱말이 모두 설명에 들어 있어야 합니다. 검색어 전체가 숫자로만 이루어지면 그 숫자가 포트 범위(시작-끝) 안에 드는 포트도 함께 찾습니다. 예를 들어 1521을 입력하면 설명에 그 숫자가 없어도 시작과 끝이 모두 1521인 Oracle 포트가 나타납니다.

포트 추가

포트 그룹 안에 실제 포트 범위를 등록하려면 다음 절차를 따르세요.

포트 그룹 목록에서 수정할 포트 그룹의 행을 클릭하세요.
수정 패널의 포트 목록 도구 모음에서 포트 추가를 클릭하세요.
포트 추가 대화상자에서 포트 정보를 입력하세요.
- 프로토콜: 등록할 포트의 프로토콜(기본값 TCP, TCP 또는 UDP)
- 시작(필수): 포트 범위의 시작 번호(범위: 0-65,535)
- 끝(필수): 포트 범위의 끝 번호(범위: 0-65,535). 단일 포트를 등록하려면 시작과 끝에 같은 값을 입력하세요.
- 설명: 포트 항목 설명. 최대 255자까지 입력할 수 있습니다.
입력한 내용을 확인한 뒤 저장을 클릭하세요.

Note

시작 포트는 끝 포트보다 클 수 없습니다.

포트 수정

등록된 포트 항목을 수정하려면 다음 절차를 따르세요.

포트 그룹 목록에서 수정할 포트 그룹의 행을 클릭하세요.
수정 패널의 포트 목록에서 수정할 포트의 행을 클릭하세요. 포트 수정 대화상자가 열립니다.
값을 고친 뒤 저장을 클릭하세요.

포트 수정 대화상자는 포트 추가 대화상자와 입력 항목이 같으며, 등록된 값이 채워진 채 열립니다.

포트 삭제

그룹에서 더 이상 관리하지 않을 포트 항목을 제거하려면 다음 절차를 따르세요.

포트 그룹 목록에서 삭제할 포트가 있는 포트 그룹의 행을 클릭하세요.
포트 목록에서 삭제할 항목의 체크박스를 선택하고 도구 모음에서 를 클릭하세요. 항목을 하나도 선택하지 않으면 이 아이콘은 비활성 상태입니다.
포트 삭제 대화상자에서 지울 항목을 확인한 뒤 삭제를 클릭하세요.

포트 그룹 활용

등록한 포트 그룹은 다음과 같은 방법으로 활용할 수 있습니다.

시나리오 빌더

실시간 탐지 시나리오의 시나리오 빌더에서는 입력 필드의 포트 번호가 특정 포트 그룹에 포함되는지 조건으로 비교할 수 있습니다. 이를 이용하면 웹 서비스 포트, 원격 관리 포트, 데이터베이스 포트처럼 성격이 비슷한 포트 집합을 기준으로 이벤트를 분류할 수 있습니다.

필드에서 포트 유형 필드를 고르고 룰에서 포트 그룹에 포함을 고르면 아래에 비교 포트그룹 선택 상자가 나타납니다. 대조할 포트 그룹을 고른 뒤 를 클릭해 규칙을 등록하세요. 선택 상자의 기본값은 목록의 첫 포트 그룹입니다.

이 룰이 만드는 조건은 포트 번호와 함께 로그의 protocol 필드(값 TCP 또는 UDP)도 대조합니다. protocol 필드가 없거나 문자열이 아닌 레코드는 포트가 그룹에 드는지와 관계없이 규칙을 통과하지 못하며, 조건을 NOT으로 바꿔도 마찬가지입니다.

시나리오 빌더가 만드는 쿼리에는 화면에 보이는 이름이 아니라 포트 그룹의 GUID가 들어갑니다. 필드 유형별로 쓸 수 있는 룰과 매개변수는 필드 유형별 룰 및 매개변수를 참고하세요.

쿼리

쿼리에서는 matchport 명령어와 matchport() 함수로 필드의 포트 번호와 프로토콜 조합이 특정 포트 그룹에 드는지 판별합니다. matchport() 함수는 포트 그룹을 GUID로 지정하며, matchport 명령어에서 대상을 지정하는 옵션은 matchport 명령어 문서를 참고하세요. 포트 그룹의 GUID는 그 포트 그룹의 수정 패널을 열었을 때 웹 브라우저 주소 표시줄의 /port-group/ 뒤에 붙는 값입니다.

다음은 방화벽 로그에서 목적지 포트가 데이터베이스 포트에 드는 레코드만 골라내는 예입니다.

table duration=1d *:FW_FLOW | matchport guid="305839a6-d095-4c56-98fb-e0f129544401" port=dst_port

반대로 포트 그룹에 들지 않는 레코드만 보려면 invert=t를 지정합니다.

포트 그룹 삭제

더 이상 사용하지 않는 포트 그룹을 정리하려면 다음 절차를 따르세요.

포트 그룹 목록에서 삭제할 포트 그룹의 체크박스를 선택하세요. 하나 이상 선택하면 도구 모음 왼쪽이 선택한 항목에 수행할 작업을 묻는 모습으로 바뀝니다.
삭제를 클릭하세요. 선택을 되돌리려면 선택 취소를 클릭하세요.
포트 그룹 삭제 대화상자에서 지울 포트 그룹을 확인한 뒤 삭제를 클릭하세요.

Caution

포트 그룹을 삭제하면 그룹에 등록된 포트도 함께 사라집니다. 실시간 탐지 시나리오, 배치 탐지 시나리오, 쿼리가 그 포트 그룹을 참조하고 있어도 삭제는 그대로 진행되므로, 삭제하기 전에 사용 여부를 반드시 확인하세요. 이미 실행 중인 실시간 탐지 시나리오는 삭제한 뒤에도 그 시점까지 읽어 둔 포트 목록으로 당분간 계속 동작하지만, 수집 노드가 재시작되거나 시나리오를 다시 시작하면 참조하는 포트 그룹을 찾을 수 없어 오류가 나고 그때부터 탐지가 멈춥니다. 배치 탐지 시나리오와 쿼리는 다음 실행부터 바로 오류가 납니다. 해당 설정을 열어 포트 그룹을 다시 지정하세요. 데이터베이스 포트와 파일공유 포트는 기본 제공 실시간 탐지 시나리오인 데이터베이스 포트 스캔 시도와 미허가 파일공유 포트 접속이 GUID로 참조하므로 삭제하지 않는 것이 좋습니다. 같은 이름으로 다시 추가해도 GUID가 달라 그 시나리오는 복구되지 않습니다.