Ntoskrnl.exe, Ntkrnlpa.exe, Win32k.sys란? 윈도우 핵심 시스템 파일 완벽 정리

Windows 11/10 운영체제는 OS의 핵심을 구성하는 수많은 시스템 파일로 이루어져 있습니다. 일반 사용자는 작업 관리자에서 이런 파일들이 실행되는 모습을 보거나, 블루스크린(BSOD)이 발생했을 때 비로소 그 존재를 알게 되곤 합니다. 오늘은 그중에서도 Ntoskrnl.exe, Ntkrnlpa.exe, Win32k.sys라는 세 가지 대표적인 시스템 파일의 역할과 특징을 자세히 살펴보겠습니다.

Ntoskrnl.exe, Ntkrnlpa.exe, Win32k.sys는 Windows 운영체제가 원활하게 작동하도록 돕는 핵심 시스템 파일입니다.

1] Ntoskrnl.exe란 무엇인가?

NT-OS-Kernel = Ntoskrnl.exe

Ntoskrnl.exe는 운영체제의 커널(Kernel)로, 거의 모든 시스템 작업을 수행하고 제어하는 심장부 역할을 합니다. 이 파일이 없거나 시스템에 심각한 문제가 있다고 판단해 패닉 상태에 빠지면 Windows는 정상적으로 작동하지 않습니다. 흥미로운 점은 이 파일이 Windows 10 부팅 과정에서 가장 마지막에 로드된다는 사실입니다. Ntoskrnl.exe는 레지스트리 설정과 추가 드라이버를 불러온 뒤, 제어권을 시스템 관리자 프로세스(시스템 매니저)에 넘기며 부팅을 마무리합니다.

Ntoskrnl.exe는 하드웨어 가상화, 프로세스 관리, 메모리 관리를 담당합니다. 그래서 블루스크린 메시지에 Ntoskrnl.exe가 언급되고 메모리 관련 오류로 표시되는 경우를 종종 볼 수 있습니다. 참고로 ntoskrnl.exe 외에도 함께 작동하는 커널 파일이 세 개 더 있는데, 각각 ntkrnlmp.exe, ntkrnlpa.exe, ntkrpamp.exe입니다.

함께 읽으면 좋은 글: NTOSKRNL.exe의 CPU·메모리·디스크 사용량이 높을 때 해결 방법

2] Ntkrnlpa.exe란 무엇인가?

New Technology Kernel Process Allocator = NTKrnlPA

Ntkrnlpa.exe는 Ntoskrnl.exe와 마찬가지로 커널 파일 목록에 속하는 시스템 파일입니다. Windows가 시작될 때 이러한 커널 프로그램들이 RAM에 로드되면서 실제 부팅 실행이 시작됩니다.

Ntkrnlpa.exe는 주로 프로세스 할당(Process Allocation)과 관련된 역할을 수행합니다. 이 파일은 일반 프로그램이 접근할 수 없는 시스템 리소스, 컴퓨터 하드웨어, 메모리 영역에 직접 접근할 수 있는 특별한 권한을 가지고 있습니다.

3] Win32k.sys란 무엇인가?

Win32 Subsystem = win32k.sys

부팅 과정이 완료되고 드라이버가 모두 로드되면, Windows는 세션 관리자(Session Manager)를 시작하여 사용자 모드로 전환합니다. 이때 세션 관리자 서브시스템이 Win32 서브시스템의 커널 모드 영역, 즉 win32k.sys를 로드합니다. Win32k.sys는 Win32 API DLL들과 Win32 서브시스템 프로세스로 구성됩니다.

kernel32.dll: Windows용 동적 링크 라이브러리(DLL)
user32.dll: Windows 사용자 인터페이스(UI)와 관련된 Windows API 함수들을 포함
gdi32.dll: Windows GDI(그래픽 장치 인터페이스) 관련 함수들을 보관
csrss.exe: 클라이언트-서버 런타임 프로세스(Client Server Runtime Process)

시스템 파일의 위치와 보안 확인 방법

Ntoskrnl.exe, Ntkrnlpa.exe, Win32k.sys 파일은 모두 System32 폴더에 위치해 있습니다. 64비트 운영체제를 사용하는 경우 SysWOW64 디렉터리에서도 찾을 수 있습니다. 만약 이 파일들이 그 밖의 다른 위치에도 존재한다면 악성코드가 위장한 파일일 가능성이 있으므로, 즉시 백신 프로그램으로 전체 검사를 실행하는 것이 안전합니다.

다른 프로세스나 파일 형식에 대해 궁금하신가요?