TCPView 4.19는 현재 Windows에서 열려 있는 TCP·UDP endpoint를 프로세스 이름과 PID별로 보여주는 Microsoft Sysinternals 무료 도구입니다. Local Address와 Local Port, Remote Address와 Remote Port, TCP State를 한 화면에서 확인할 수 있어 어느 프로그램이 외부 서버와 통신하는지 추적할 때 유용합니다.
설치 프로그램은 없습니다. 공식 TCPView.zip을 풀고 일반 64비트 Intel·AMD PC는 tcpview64.exe, 32비트 Windows는 tcpview.exe, ARM64 PC는 tcpview64a.exe를 실행합니다. 목록에서 프로세스를 찾고 State와 원격 주소를 확인한 뒤 저장 결과까지 남기면 첫 점검이 끝납니다.
TCPView는 어떤 네트워크 점검 도구인가요?
TCPView는 Windows의 netstat 정보를 GUI로 읽기 쉽게 보여주며 endpoint를 소유한 프로세스와 서비스 이름도 함께 표시합니다. 기본적으로 1초마다 갱신하며 새 endpoint는 초록색, 상태가 바뀐 항목은 노란색, 사라지는 항목은 빨간색으로 표시합니다.
공식 ZIP에는 GUI인 TCPView와 명령줄판 Tcpvcon이 함께 있습니다. Tcpvcon은 -a로 모든 endpoint, -c로 CSV, -n으로 주소 이름 확인을 끈 결과를 만들 수 있습니다.
TCPView 실제 프로세스·주소·포트·상태 UI
Microsoft Learn 공식 화면에서 Process Name, Process ID, Protocol, State, Local Address·Port, Remote Address·Port, Create Time, Module Name과 전송 패킷 열을 확인했습니다. 상단에는 새로 고침, 주소 이름 확인, TCP v4·TCP v6·UDP v4·UDP v6 필터와 Search가 있습니다.
| 64비트 Intel·AMD | tcpview64.exe |
|---|---|
| 32비트 Windows | tcpview.exe |
| ARM64 Windows | tcpview64a.exe |
| 새 연결 | 초록색 |
| 변경 상태 | 노란색 |
| 종료 연결 | 빨간색 |
ZIP과 단일 실행 파일 선택
여러 CPU용 TCPView와 Tcpvcon을 모두 보관하려면 TCPView.zip을 받습니다. 일반 64비트 PC에서 바로 실행하려면 Sysinternals Live의 tcpview64.exe를 선택할 수 있습니다.
32비트 Windows는 tcpview.exe를 사용합니다. ARM64용 tcpview64a.exe는 공식 ZIP에 들어 있으므로 ZIP을 내려받아 압축을 풉니다.
압축 해제와 첫 실행
TCPView.zip을 신뢰할 수 있는 로컬 폴더에 모두 풉니다. ZIP 안에서 직접 실행하면 도움말과 동반 파일을 찾기 어렵거나 실행 위치가 임시 폴더가 될 수 있습니다.
CPU에 맞는 EXE를 실행하고 처음 나타나는 Sysinternals EULA의 게시자를 확인한 뒤 동의합니다. 설치 과정이나 서비스 등록은 필요하지 않습니다.
- 공식 TCPView.zip을 받습니다.
- ZIP을 별도 폴더에 모두 풉니다.
- PC 구조에 맞는 tcpview 실행 파일을 엽니다.
- Process Name 또는 Search로 점검할 앱을 찾습니다.
- State와 Local·Remote Address·Port를 확인합니다.
- 필요하면 File > Save로 결과를 저장합니다.
- 의심 항목은 종료 전에 프로세스와 원격 주소를 다시 확인합니다.
CPU 구조에 맞는 EXE 선택
대부분의 Intel·AMD 64비트 Windows는 tcpview64.exe를 실행합니다. 오래된 32비트 Windows만 tcpview.exe를 사용합니다.
ARM 기반 Windows PC는 tcpview64a.exe를 사용합니다. 파일명이 비슷하므로 Windows 설정 > 시스템 > 정보의 시스템 종류와 맞는지 확인합니다.
프로세스와 PID로 연결 찾기
Process Name은 연결을 연 실행 파일이고 Process ID는 해당 실행 인스턴스의 PID입니다. 같은 프로그램 이름이 여러 번 보이면 작업 관리자 세부 정보의 PID와 비교합니다.
상단 Search에 프로세스 이름, 주소 또는 포트를 입력해 목록을 줄입니다. 프로그램을 실행하거나 종료하면서 새 항목과 사라지는 항목의 색상 변화를 함께 봅니다.
TCP와 UDP 상태 읽기
TCP의 ESTABLISHED는 현재 연결된 상태, LISTENING은 연결을 기다리는 로컬 포트입니다. TIME_WAIT와 CLOSE_WAIT는 연결 종료 과정에서 나타날 수 있으므로 한 줄만 보고 악성으로 판단하지 않습니다.
UDP는 연결 상태 개념이 달라 State가 비어 보일 수 있습니다. Protocol과 Local Port, 소유 프로세스를 기준으로 확인합니다.
Local·Remote Address와 Port 해석
Local Address와 Port는 내 PC 쪽 endpoint이고 Remote Address와 Port는 상대 서버 쪽입니다. HTTPS는 Remote Port가 https 또는 443으로 표시되는 경우가 많습니다.
같은 원격 주소라도 CDN이나 클라우드 서비스일 수 있습니다. 프로세스 서명, 실행 경로와 실제 사용 중인 앱을 함께 확인합니다.
주소 이름 확인 켜기와 끄기
TCPView는 기본적으로 IP를 도메인 이름으로 확인합니다. 툴바 버튼이나 Options 메뉴에서 resolved names 표시를 꺼 원래 IP 주소로 볼 수 있습니다.
이름 확인 때문에 목록 갱신이 느리면 기능을 끄고 IP로 확인합니다. 조사 기록에는 도메인과 원시 IP 중 어떤 표시였는지 남깁니다.
새 연결과 종료 색상 구분
한 갱신 주기에서 새로 생긴 endpoint는 초록색, 상태가 바뀐 endpoint는 노란색, 삭제되는 endpoint는 빨간색으로 잠시 표시됩니다.
웹 브라우저처럼 짧은 연결을 많이 만드는 앱에서는 색상이 빠르게 바뀌는 것이 정상일 수 있습니다. 반복되는 프로세스·주소·포트 패턴을 봅니다.
Refresh Rate 조정
기본 갱신은 1초입니다. Options > Refresh Rate에서 연결 변화를 더 자세히 보거나 화면 변화를 줄이도록 속도를 바꿀 수 있습니다.
너무 느린 주기에서는 짧은 연결을 놓칠 수 있고 너무 빠른 주기에서는 비교가 어려울 수 있습니다. 조사 목적에 맞춰 일시적으로 바꾼 뒤 상태 표시를 확인합니다.
프로토콜 필터와 Search 사용
상단 TCP v4, TCP v6, UDP v4, UDP v6 필터로 필요한 유형만 남깁니다. 특정 앱은 Search에 실행 파일 이름을 입력합니다.
필터가 켜져 목록이 비어 보일 수 있으므로 찾는 항목이 없으면 네 가지 프로토콜 버튼과 검색어를 먼저 확인합니다.
연결 결과 저장
File > Save로 현재 출력 창을 파일에 저장합니다. 문제 발생 시각, 실행한 앱과 필터 상태를 함께 기록하면 나중에 비교하기 쉽습니다.
저장 파일에는 내부 주소, 외부 주소와 프로세스 이름이 포함될 수 있습니다. 공개 공유 전에 사내 호스트명과 개인 정보를 검토합니다.
ESTABLISHED 연결 닫기
ESTABLISHED 행을 선택하고 File > Close Connections 또는 우클릭 메뉴의 Close Connections로 해당 TCP 연결을 닫을 수 있습니다.
이 동작은 로그인, 파일 전송이나 업무 앱 세션을 끊을 수 있습니다. 프로세스와 원격 주소를 확실히 확인하고 저장 중인 작업이 없는 경우에만 사용합니다.
Tcpvcon 명령줄 사용
ZIP의 tcpvcon64.exe는 64비트 명령줄판입니다. 기본 실행은 설정된 TCP 연결을 보여주고 -a는 모든 endpoint를 표시합니다.
-c는 CSV 형식, -n은 주소를 이름으로 확인하지 않습니다. 예를 들어 tcpvcon64.exe -a -c -n 결과를 파일로 리디렉션하면 비교 가능한 기록을 만들 수 있습니다.
관리자 권한과 빈 목록 문제
일반 권한에서도 많은 연결을 볼 수 있지만 서비스 정보나 일부 프로세스 세부 정보는 제한될 수 있습니다. 필요한 경우 게시자가 Microsoft인지 확인한 뒤 관리자 권한으로 다시 실행합니다.
목록이 비면 검색어와 프로토콜 필터를 지우고 새로 고칩니다. 보안 프로그램이 실행 파일을 차단했다면 공식 ZIP에서 다시 풀고 디지털 서명을 확인합니다.
의심 원격 연결 조사
모르는 Remote Address가 보여도 즉시 종료하지 말고 Process Name, PID, Module Name과 실행 파일 경로를 먼저 확인합니다. 작업 관리자나 Process Explorer로 같은 PID를 비교합니다.
Microsoft, 브라우저, 클라우드 CDN처럼 주소가 수시로 바뀌는 서비스도 있습니다. 파일 서명과 설치 위치가 비정상적이거나 사용하지 않은 앱이 반복 연결할 때 추가 검사합니다.
LISTENING 포트 확인
State가 LISTENING인 항목은 외부 또는 로컬 연결을 기다리는 서비스일 수 있습니다. Local Address가 127.0.0.1인지 0.0.0.0 또는 ::인지 확인합니다.
필요하지 않은 서비스라고 판단하기 전에 PID와 서비스 이름을 확인합니다. TCPView에서 연결을 닫는 것만으로 시작 원인이 제거되는 것은 아니므로 해당 앱 설정이나 Windows 서비스를 점검합니다.
Close Wait가 오래 남을 때
CLOSE_WAIT는 상대가 종료했지만 로컬 앱이 socket을 아직 닫지 않은 상태를 뜻합니다. 같은 프로세스에서 계속 쌓이면 앱의 네트워크 처리 문제일 수 있습니다.
프로세스 이름과 PID, 발생 시각을 저장하고 앱을 정상 종료한 뒤 다시 관찰합니다. 업무 서버라면 임의 연결 종료보다 앱 로그와 담당자 절차를 우선합니다.
과도한 연결이나 트래픽 점검
연결 수가 많은 프로세스를 찾아도 TCPView는 대역폭 분석 도구가 아니라 endpoint 목록 도구입니다. Remote Address, 포트, 연결 개수와 생성 시각을 기준으로 범위를 좁힙니다.
실제 전송량은 작업 관리자나 Resource Monitor, 네트워크 분석 도구와 함께 확인합니다. TCPView의 Sent Packets 열이 보이면 상대적 변화만 참고합니다.
점검 결과 확인 마무리
CPU에 맞는 TCPView를 실행하고 Search와 프로토콜 필터로 대상 프로세스를 찾습니다. State, Local·Remote Address와 Port를 확인하고 색상 변화를 관찰합니다.
File > Save 또는 Tcpvcon CSV로 결과를 보관합니다. 연결을 닫을 때는 프로세스와 원격 주소를 다시 확인해야 점검 작업이 안전하게 끝납니다.
브라우저 연결을 앱 동작과 비교
브라우저 탭을 모두 닫은 상태와 특정 사이트를 연 직후의 목록을 비교합니다. 새로 나타난 브라우저 프로세스, Remote Address, Remote Port와 생성 시각을 함께 보면 해당 동작에서 만들어진 연결 범위를 좁힐 수 있습니다.
브라우저는 여러 보조 프로세스를 사용하고 광고·분석·CDN 서버에도 연결할 수 있습니다. 화면에 보이는 사이트 도메인과 원격 주소가 정확히 일치하지 않아도 즉시 이상으로 판정하지 않습니다.
업데이트 프로그램과 백그라운드 통신 구분
앱을 직접 열지 않았는데 연결이 생기면 Process Name과 PID를 작업 관리자 세부 정보에서 찾고 실행 파일 위치와 서명을 확인합니다. 정상 업데이트 서비스도 로그인 직후나 예약 시각에 짧은 HTTPS 연결을 만들 수 있습니다.
의심스러운 경우 TCPView의 행을 저장하고 프로세스를 정상 종료한 뒤 같은 연결이 다시 생기는지 봅니다. 시작 프로그램과 서비스 설정을 바꾸기 전에는 복원 지점과 조직 정책을 확인합니다.
IPv4와 IPv6 항목 비교
TCP v4·TCP v6 필터를 각각 켜 같은 프로세스가 어떤 주소 체계를 사용하는지 확인합니다. IPv6의 ::1은 로컬 루프백이며 0.0.0.0이나 :: 리스닝은 여러 인터페이스에서 대기할 수 있음을 뜻합니다.
IPv6 주소가 길거나 익숙하지 않다는 이유만으로 비정상 연결로 판단하지 않습니다. Protocol, State, 프로세스, 원격 포트와 함께 읽습니다.
두 시점 결과 비교
문제가 재현되기 전 File > Save로 기준 목록을 남기고 문제가 나타난 직후 다시 저장합니다. 프로세스 이름, PID, 원격 주소, 포트와 생성 시각이 달라진 항목을 비교합니다.
PID는 프로그램을 다시 실행하면 바뀔 수 있으므로 PID 하나만 기준으로 삼지 않습니다. 같은 실행 파일과 원격 endpoint가 반복되는지 확인합니다.
보안 프로그램이 실행을 막을 때
Windows SmartScreen이나 백신이 경고하면 파일을 우회 실행하기 전에 다운로드 주소가 download.sysinternals.com 또는 live.sysinternals.com인지 확인합니다. 파일 속성의 디지털 서명 게시자는 Microsoft Corporation이어야 합니다.
서명이 없거나 파일 크기와 버전 정보가 공식 ZIP과 다르면 실행하지 말고 공식 ZIP을 다시 받습니다. 조직 PC에서는 보안 담당자의 허용 절차를 따릅니다.
프로세스가 종료돼 행이 사라질 때
짧게 실행되는 프로세스는 확인하기 전에 빨간색으로 사라질 수 있습니다. Refresh Rate를 조정하고 Search를 비운 뒤 같은 동작을 다시 재현해 프로세스 이름과 원격 주소를 기록합니다.
실시간 목록만으로 포착하기 어렵다면 Save 결과나 Tcpvcon 명령을 반복 실행해 시점을 남깁니다. 장기 기록이 필요하면 목적에 맞는 이벤트·패킷 추적 도구를 함께 사용합니다.
자주 묻는 질문
TCPView 4.19는 무료인가요?
예. Microsoft Sysinternals 공식 페이지에서 무료로 내려받아 사용할 수 있습니다.
설치 프로그램을 실행해야 하나요?
아니요. ZIP을 풀고 CPU에 맞는 tcpview 실행 파일을 열면 됩니다.
64비트 일반 PC는 어떤 파일을 쓰나요?
Intel·AMD 64비트 Windows는 tcpview64.exe를 사용합니다.
초록·노랑·빨강 행은 무엇인가요?
새 endpoint는 초록색, 상태 변경은 노란색, 삭제되는 endpoint는 빨간색입니다.
UDP에 State가 없으면 오류인가요?
아니요. UDP는 TCP와 같은 연결 상태가 없으므로 Protocol, Local Port와 소유 프로세스를 중심으로 봅니다.
프로세스와 원격 주소를 확인하고 결과를 저장하세요
공식 ZIP을 풀어 tcpview64.exe, tcpview.exe 또는 tcpview64a.exe를 실행합니다. Search로 대상 프로세스를 찾고 State와 Local·Remote Address·Port를 확인한 뒤 File > Save 또는 Tcpvcon CSV로 기록하세요. 연결 종료는 프로세스와 원격 주소가 확실할 때만 실행합니다.
공식 자료와 확인일
Microsoft Sysinternals TCPView 공식 다운로드·사용법 · Microsoft Sysinternals 유틸리티 목록 · Microsoft Sysinternals Live | 2026-10-02T02:39:08.087080+00:00
