이벤트 로그 - SSL Certificate Settings created by an admin process for endpoint
이상하게 다음의 2개 이벤트가 어느 순간부터 대량으로 특정 시간에 남습니다.
Event ID 15300 — HTTP Service SSL Auditing
; https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc736054(v=ws.10)
Event ID 15301 — HTTP Service SSL Auditing
; https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc727876(v=ws.10)
대충 보면, 시스템에 등록된 네트워크 어댑터의 IP 주소마다 50443 포트에 대해 각각 한 개씩 SSL 인증서를 삭제했다는 것과,
Log Name: System
Source: Microsoft-Windows-HttpEvent
Date: 2022-12-19 오후 2:40:17
Event ID: 15300
Task Category: None
Level: Warning
Keywords: Classic
User: N/A
Computer: TESTPC
Description:
SSL Certificate Settings deleted for endpoint : [fe80::e4d3:c779:5e9b:726f%14]:50443 .
Log Name: System
Source: Microsoft-Windows-HttpService
Date: 2022-12-19 오후 2:40:17
Event ID: 119
Task Category: HTTP SSL Trace Task
Level: Information
Keywords: Flagged on all HTTP events handling SSL interactions
User: SYSTEM
Computer: TESTPC
Description:
SSL Certificate Settings deleted for endpoint : [fe80::e4d3:c779:5e9b:726f%14]:50443. Status 0x0. Process Id 0x15C4 Executable path \Device\HarddiskVolume6\Windows\System32\WebManagement.exe, User SYSTEM
이어서, 새로 생성했다는 로그가 남습니다.
Log Name: System
Source: Microsoft-Windows-HttpService
Date: 2022-12-19 오후 2:40:17
Event ID: 120
Task Category: HTTP SSL Trace Task
Level: Information
Keywords: Flagged on all HTTP events handling SSL interactions
User: SYSTEM
Computer: TESTPC
Description:
SSL Certificate Settings created by an admin process for endpoint : [fe80::e4d3:c779:5e9b:726f%14]:50443. Status 0x0. Process Id 0x15C4 Executable path \Device\HarddiskVolume6\Windows\System32\WebManagement.exe, User SYSTEM
Log Name: System
Source: Microsoft-Windows-HttpEvent
Date: 2022-12-19 오후 2:40:17
Event ID: 15301
Task Category: None
Level: Warning
Keywords: Classic
User: N/A
Computer: TESTPC
Description:
SSL Certificate Settings created by an admin process for endpoint : [fe80::e4d3:c779:5e9b:726f%14]:50443 .
이에 대해 검색해 보면, 정상이므로 무시하라는 답변만 있습니다. 그런데, 2개 중 하나는 "Inforamtion"이 아니고 "Warning"이라서 눈에 거슬리고, 게다가 이게 남기 시작하면 네트워크 어댑터의 수만큼 (1개당 4개씩) 쌓이므로 관리상으로도 좋지 않습니다.
따라서, 이런 경우에는 "Filter Current Log" 메뉴를 이용해 아예 "15300"과 "15301" 오류에 대해 앞에 "-"를 붙여 제외시키는 조건을 걸어두는 것이 좋습니다. (혹은, 아예 "Create Custom View..."를 만들거나.)
아마도, 마이크로소프트 측에서 위의 이벤트 항목을 없애거나 옵션으로 빼기 전까지는 필터링으로 해결해야 할 듯합니다. ^^
[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]