Windows 11/10에는 레지스트리를 실시간으로 감시하는 기본 도구가 내장되어 있지 않습니다. 하지만 Windows 명령줄 프로그램인 파일 비교(File Compare), 즉 fc.exe를 활용해 두 개의 레지스트리 내보내기 파일을 비교함으로써 Windows 레지스트리 변경 사항을 효과적으로 모니터링할 수 있습니다. 또한 무료 유틸리티를 이용하면 더욱 편리하게 변경 내역을 추적할 수 있습니다.
Windows에서 레지스트리 변경 사항을 모니터링하고 추적하는 방법
레지스트리 변경 사항은 명령줄 기반의 파일 비교 도구 fc.exe나 WhatChanged, RegShot, Sysinternals Process Monitor 같은 무료 프로그램을 사용해 확인할 수 있습니다. 사용 가능한 방법들을 하나씩 살펴보겠습니다.
1] 파일 비교(fc.exe) 활용하기
파일 비교(fc.exe) 프로그램을 사용하려면 먼저 변경 전 상태의 .reg 파일을 내보내고 rega와 같이 이름을 지정합니다.
변경 작업이 완료된 후 다시 .reg 파일을 내보내어 regb로 저장합니다.
이제 명령 프롬프트를 열고 아래 명령어를 입력합니다.
fc /u rega.reg regb.reg > regcompare.txt
.reg 파일은 유니코드(Unicode) 형식이므로, /u 스위치는 fc.exe에게 유니코드 방식으로 파일을 처리하도록 지시합니다.
생성된 결과 파일 regcompare.txt를 메모장으로 열면 두 시점 사이의 레지스트리 차이점을 자세히 확인할 수 있습니다.
2] WhatChanged
WhatChanged라는 서드파티 유틸리티를 사용하면 Windows 10/8/7의 레지스트리 변경 사항을 손쉽게 모니터링할 수 있습니다.
설치가 필요 없는 포터블 앱인 WhatChanged를 다운로드한 뒤, 시스템 변경 전과 후에 각각 실행하여 스냅샷을 비교하는 방식입니다.
3] Sysinternals Process Monitor
Sysinternals Process Monitor는 레지스트리 변화를 실시간으로 감시할 수 있는 훌륭한 무료 도구입니다. Process Monitor는 파일 시스템, 레지스트리, 프로세스/스레드 활동을 실시간으로 보여주는 고급 모니터링 도구로, 과거의 Filemon과 Regmon이라는 두 가지 Sysinternals 유틸리티의 기능을 통합한 것입니다. 여기에 세션 ID와 사용자 이름 등 상세한 이벤트 정보, 강력하고 비파괴적인 필터링 기능, 정확한 프로세스 정보, 심볼 지원이 통합된 전체 스레드 스택, 파일 동시 로깅 등 다양한 향상된 기능이 포함되어 있습니다.
4] RegShot
RegShot은 레지스트리의 스냅샷을 빠르게 촬영한 후, 시스템 설정 변경이나 새 소프트웨어 설치 이후에 촬영한 두 번째 스냅샷과 비교할 수 있는 가벼운 레지스트리 비교 유틸리티입니다. 비교 결과 보고서는 텍스트 또는 HTML 형식으로 생성되며, 첫 번째 스냅샷과 두 번째 스냅샷 사이에 발생한 모든 수정 사항 목록을 담고 있습니다.
5] MJ Registry Watcher
MJ Registry Watcher는 레지스트리와 파일, 디렉터리를 감시하는 간단한 도구로, 멀웨어의 주요 공격 대상이 되는 중요한 시작 파일, 레지스트리 키 및 값을 보호합니다. 리소스 사용량이 매우 적으며, 기본적으로 30초마다 폴링하도록 설정되어 있지만 필요에 따라 0초부터 9999초까지 자유롭게 조정할 수 있습니다.
그 외에도 Windows 레지스트리 변경 사항을 모니터링하는 데 도움이 되는 도구들이 있습니다:
- Registry Live Watch
- LeeLu Monitors AIO System Monitor
- FRSSystemWatch
- RegFromApp
- Registrar Registry Manager Lite
다음 글들도 참고해 보세요:
- Windows 레지스트리 완벽 이해하기
- Windows 레지스트리 백업, 복원 및 관리 방법
- 레지스트리 편집기 접근 권한 제한 방법
- 레지스트리 편집기 다중 인스턴스 실행 방법