Linux 엔드포인트용 Microsoft Defender 대한 제외 구성 및 유효성 검사

제외 설정을 사용하여 리눅스에서 엔드포인트용 Microsoft Defender가 신뢰할 수 있는 파일, 폴더, 프로세스, 파일 확장자를 스캔하거나 모니터링하지 못하게 하세요. 제외 항목은 조직 고유의 파일이나 소프트웨어에 대한 잘못된 탐지를 방지하는 데 도움을 줍니다.

리눅스용 Defender for Endpoint는 다음과 같은 제외 범위를 지원합니다:

• 안티바이러스 (범위 epp): 배제는 주문형 스캔, 실시간 보호(RTP), 행동 모니터링(BM)에 적용되며, 엔드포인트 탐지 및 대응(EDR) 가시성을 유지합니다.

  • 안티바이러스 스캔에서 제외된 파일도 EDR 경고 및 기타 감지 신호로 이어질 수 있습니다. EDR 전용 제외를 요청하려면 Microsoft 365 관리 센터를 통해 Microsoft 지원에 연락하세요.

• 전역 (범위 global): RTP, BM, EDR에는 제외 대상이 적용되며, EDR은 관련 안티바이러스 감지, EDR 알림, 제외 항목의 가시성을 차단합니다. 전역 제외는 센서 수준에서 적용되며, 처리 전에 제외 조건과 일치하는 이벤트를 음소거합니다.

  • 글로벌 제외 항목은 리눅스 버전 101.24092.0001 (2024년 10월) 이후 버전의 Defender for Endpoint에서 제공됩니다.
  • 글로벌 제외 조항은 네트워크 보호에 적용되지 않습니다. 프로세스 제외는 트래픽 검사나 제외된 프로세스에 대한 규칙 집행을 막아 네트워크 보호에 영향을 줄 수 있습니다. 자세한 내용은 엔드포인트용 Microsoft Defender의 제외 항목 및 지표 개요를 참조하세요.
  • 글로벌 제외는 리눅스에서 Defender for Endpoint로 인한 성능 문제를 완화하는 데 유용할 수 있습니다.

경고

제외를 정의하면 Linux 엔드포인트용 Defender에서 제공하는 보호가 줄어듭니다. 항상 제외 구현과 관련된 위험을 평가해야 하며 악의적이지 않다고 확신하는 파일만 제외해야 합니다.

중요

여러 보안 솔루션을 함께 실행하려면 성능, 구성 및 지원에 대한 고려 사항을 참조하세요.

엔드포인트용 Microsoft Defender 온보딩된 디바이스에 대한 상호 보안 제외를 이미 구성했을 수 있습니다. 충돌을 방지하기 위해 상호 제외를 설정해야 하는 경우 기존 솔루션의 제외 목록에 엔드포인트용 Microsoft Defender 추가를 참조하세요.

지원되는 제외 유형

리눅스용 Defender for Endpoint는 다음과 같은 배제 유형을 지원합니다:

• 파일 확장자: 기기 내 어디에서든 지정된 확장자를 가진 모든 파일입니다.

  • 파일 확장자 제외는 전역 제외 항목에 사용할 수 없습니다.
  • 예:.test

• 파일: 전체 경로로 식별되는 특정 파일입니다.

  • 글로벌 제외 항목의 경우, 제외 항목을 추가하거나 제거하기 전에 파일 경로가 존재해야 합니다.
  • 예시:
    • /var/log/test.log
    • /var/log/*.log
    • /var/log/install.?.log

• 폴더: 지정된 폴더 내 모든 파일을 재귀적으로 저장합니다.

  • 예시:
    • /var/log/
    • /var/*/

• 프로세스: 전체 경로 또는 파일 이름으로 식별되는 특정 프로세스이며, 프로세스가 열린 모든 파일로 식별됩니다.

  • 안티바이러스 제외 설정은 전체 경로나 파일 이름을 지정할 수 있습니다. 전체 경로를 이용하는 것을 권장합니다.
  • 글로벌 제외 시에는 시스템 신뢰성과 보안에 필요한 것만 제외하세요. 프로세스가 알려져 있고 신뢰할 수 있는지 확인하고, 전체 경로를 지정하며, 그 신뢰받는 경로에서 일관되게 시작하는지 확인하세요.
  • 예시:
    • /bin/cat
    • cat
    • c?t

중요

배제 경로는 상징적 링크가 아니라 하드 링크여야 합니다. 경로가 심볼릭 링크인지 확인하려면 를 실행 file <path-name>하세요.

파일, 폴더 및 프로세스 제외에 지원되는 와일드카드

안티바이러스 파일, 폴더, 프로세스 제외 항목을 정의할 때 다음과 같은 와일드카드 패턴을 사용할 수 있습니다. 와일드카드는 전역 제외에 지원되지 않습니다.

• 별표(Asterisk) (*): 문자가 없는 문자를 포함한 모든 수의 문자를 매칭합니다. 이 와일드카드가 경로 끝에 사용되지 않으면 하나의 폴더만 대체합니다.

  • 바이러스 백신 제외 항목의 경우, 경로 끝의 * 와일드카드는 해당 와일드카드의 상위 디렉터리 아래에 있는 모든 파일 및 하위 디렉터리와 일치합니다.
  • 예시:
    • /var/*/tmp:
      • 포함: 와 /var/def/tmp 안에 있는 /var/abc/tmp 모든 파일 및 그 하위 폴더.
      • 포함되지 않음: /var/abc/log 또는 /var/def/log.
    • /var/*/:
      • 포함: 다음과 같은 하위 디렉터리의 파일 /var/abc/
      • 포함되지 않음: /var에 직접 있는 파일.

• 물음표 (?): 모든 단일 문자와 일치시킵니다.

  • 예:file?.log
    • 포함:file1.log 그리고 file2.log.
    • 포함되지 않음: file123.log.

제외 설정

다음 방법 중 하나를 사용하여 제외 항목을 설정하세요.

관리된 JSON으로 제외 항목을 설정하세요

기업 환경에서는 Puppet이나 Ansible과 같은 구성 관리 도구를 사용하여 mdatp_managed.json라는 이름의 구성 프로파일을 /etc/opt/microsoft/mdatp/managed/에 배포합니다. 자세한 내용은 Linux 엔드포인트용 Defender에 대한 기본 설정 설정을 참조하세요.

다음 mdatp_managed.json 예제에서는 파일, 폴더, 확장 및 프로세스에 대한 바이러스 백신 및 전역 제외를 구성하는 방법을 보여 줍니다.

{
   "exclusionSettings":{
     "exclusions":[
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/home/*/git<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/run<EXAMPLE DO NOT USE>",
           "scopes": [
              "global"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":false,
           "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
           "scopes": [
              "epp", "global"
           ]
        },
        {
           "$type":"excludedFileExtension",
           "extension":".pdf<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedFileName",
           "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
        }
     ],
     "mergePolicy":"admin_only"
   }
}

엔드포인트 보안 설정 관리에 Defender 사용하여 제외 구성

참고 항목

시작하기 전에 Defender for Endpoint 보안 설정 관리 전제 조건을 검토하세요.

Microsoft Intune 관리자 센터나 Microsoft Defender 포털을 사용하여 제외 항목을 엔드포인트 보안 정책으로 관리하고 Microsoft Entra 그룹에 정책을 할당할 수 있습니다. 보안 설정 관리를 처음 사용한다면, 다음 단계를 완료하세요:

1단계: 리눅스용 보안 설정 관리 활성화

1. Microsoft Defender 포털의 엔드포인트>구성 관리>강제 범위 페이지로 이동하세요.https://security.microsoft.com/securitysettings/endpoints/configuration_management
2. 집행 범위 페이지에서 설정 관리 활성화 섹션에서 다음 설정을 확인하세요:
   • 리눅스 장치를 선택한 후 다음 값 중 하나를 선택합니다:
     • 선택한 기기에서 보안 설정 관리를 테스트하려면 태그가 지정된 기기에서를 선택하세요. 각 테스트 기기에 태그를 MDE-Management 추가하세요. 지침 및 기타 태깅 방법에 대해서는 ' 디바이스 태그 생성 및 관리'를 참조하세요.
     • 모든 장치를 선택하여 모든 자격이 되는 리눅스 기기를 등록하세요.

대부분의 기기는 몇 분 내에 할당된 정책을 등록하고 적용하지만, 일부 기기는 최대 24시간이 걸릴 수 있습니다.

2단계: Microsoft Entra 장치 그룹 생성

리눅스 운영체제 유형을 기반으로 동적 Microsoft Entra 장치 그룹을 생성합니다. 동적 멤버십은 자동으로 일치하는 장치를 추가하므로, 그룹 멤버십을 수동으로 유지할 필요가 없습니다. 자세한 내용은 보안 설정 관리를 위한 Microsoft Entra 그룹 만들기를 참조하세요.

3단계: 리눅스 제외 정책 생성

자세한 지침은 '엔드포인트 보안 정책 생성 '(링크가 새 탭에서 열림)을 참조하세요.

Defender 포털 https://security.microsoft.com/policy-inventory?osPlatform=Linux의 엔드포인트 보안 정책 페이지 내 리눅스 정책 탭에서 정책을 생성할 때는 다음과 같은 특정 설정을 사용하세요:

• 플랫폼 선택: 리눅스를 선택하세요.
• 템플릿 선택:
  • 글로벌 안티바이러스 및 EDR 제외 항목을 위해 Microsoft Defender 글로벌 제외 항목(AV+EDR)을 선택하세요.
  • 안티바이러스 제외 항목을 위해 Microsoft Defender 안티바이러스 제외 항목을 선택하세요.

정책 생성 마법사에서 다음 설정을 사용하세요:

• 구성 설정 탭: 이 프로필로 관리하고 싶은 설정을 설정하세요.
• 할당 탭: 할당 그룹 제한은 Defender for Endpoint 보안 설정 관리를 통해 관리하는 장치에 적용됩니다. 자세한 내용은 할당 단계를 참조하세요.

명령줄을 사용하여 제외 구성

제외 명령어와 관리 가능한 하위 명령어를 보려면, 다음 mdatp exclusion 명령을 실행하세요:

mdatp exclusion

명령 구문

다음 문법은 사용 가능한 배제 하위 명령어, 옵션 및 값을 요약합니다:

mdatp exclusion {extension {add|remove} --name <extension> | file {add|remove} --path <file-path> [--scope {epp|global}] | folder {add|remove} --path <folder-path> [--scope {epp|global}] | process {add|remove} {--path <process-path> [--scope {epp|global}] | --name <process-name> [--scope epp]} | list}

참고 항목

제외 항목을 제거할 때는 추가할 때 사용한 동일한 범위를 지정하세요.

옵션의 --scope 기본 값은 epp이므로, 제외 항목에만 global 옵션을 지정하세요.

--scope 옵션이 도입되기 전에는 모든 명령줄 제외 항목에 epp 범위가 사용되었습니다. 기존 제외 항목들은 계속 epp를 사용합니다.

배제 값에 와일드카드가 포함되어 있을 경우, 값을 이중 따옴표로 감싸세요. 이 문법은 셸이 와일드카드를 처리하기 전에 mdatp 확장하는 것을 방지합니다.

파일 확장자 제외 항목 추가나 제거

파일 확장자 제외는 백신 범위epp()만 지원합니다. 다음 명령어는 .txt 확장자 제외 항목을 추가하거나 제거합니다:

mdatp exclusion extension add --name .txt

mdatp exclusion extension remove --name .txt

파일 제외 항목 추가나 제거

해당 파일은 스코프에서 global 제외 항목을 추가하거나 제거하기 전에 반드시 존재해야 합니다.

다음 명령어들은 백신(epp) 파일 제외 항목을 추가하거나 제거합니다:

mdatp exclusion file add --path /var/log/dummy.log

mdatp exclusion file remove --path /var/log/dummy.log

다음 명령어들은 전역 파일 제외를 추가하거나 제거합니다:

mdatp exclusion file add --path /var/log/dummy.log --scope global

mdatp exclusion file remove --path /var/log/dummy.log --scope global

폴더 제외 항목 추가나 제거

다음 명령어들은 백신(epp) 폴더 제외를 추가하거나 제거하는 방법입니다:

mdatp exclusion folder add --path /var/log/

mdatp exclusion folder remove --path /var/log/

다음 명령들은 전역 폴더 제외를 추가하거나 제거합니다:

mdatp exclusion folder add --path /var/log/ --scope global

mdatp exclusion folder remove --path /var/log/ --scope global

제외하고 싶은 각 폴더마다 한 번씩 명령을 실행하세요. 폴더마다 다른 범위(scope)를 할당할 수 있습니다.

안티바이러스 폴더 제외 기능은 와일드카드를 지원합니다. 다음 명령은 */var/*/tmp/* 아래의 경로는 제외하지만, */var/this-subfolder/log*와 같은 형제 폴더는 제외하지 않습니다:

mdatp exclusion folder add --path "/var/*/tmp"

/var/ 아래의 모든 경로를 제외하려면 다음 명령어 중 하나를 사용하세요:

mdatp exclusion folder add --path "/var/"

mdatp exclusion folder add --path "/var/*/"

프로세스 제외 항목을 추가하거나 제거

전역 프로세스 제외의 경우, 전체 프로세스 경로를 를 사용하여 --path지정합니다. 다음 명령들은 전역 프로세스 제외를 추가하거나 제거합니다:

mdatp exclusion process add --path /usr/bin/cat --scope global

mdatp exclusion process remove --path /usr/bin/cat  --scope global

안티바이러스(epp) 프로세스 제외 시 프로세스 이름이나 전체 경로를 지정할 수 있습니다. 다음 명령어들은 이름별로 안티바이러스 프로세스 제외를 추가하거나 제거합니다:

mdatp exclusion process add --name cat

mdatp exclusion process remove --name cat

제외하고 싶은 각 프로세스마다 한 번씩 명령을 실행하세요. 프로세스별로 다른 범위를 지정할 수 있습니다.

EICAR 테스트 파일로 제외 항목을 검증하세요

EICAR 테스트 파일은 안티바이러스 제품에서 악성코드로 인식하는 표준 문자열을 포함하는 작고 무해한 텍스트 파일 입니다. 실제 악성코드를 사용하지 않고도 제외가 작동하는지 안전하게 확인할 수 있습니다. Linux용 Defender for Endpoint는 파일 이름이 아니라 내용으로 파일을 감지합니다.

제외 항목을 테스트하기 전에 실시간 보호가 활성화되어 있는지 확인하세요. 다음 명령을 실행하고 반환 true되는지 확인하세요:

mdatp health --field real_time_protection_enabled

EICAR 테스트 파일을 생성하여 파일 이름, 확장자 또는 위치가 검증하려는 제외 항목과 일치하도록 합니다:

• 특정 파일 이름을 사용하거나 특정 폴더에 파일을 생성하여 파일 및 폴더 제외 여부를 검증하세요.
• 배제된 확장자를 가진 파일 이름을 사용해 파일 확장자 제외를 검증하세요.

Defender for Endpoint가 파일을 감지하면 제외 조치가 작동하지 않습니다. 파일이 존재하고 Defender for Endpoint가 감지하지 못하면 제외 조치가 작동합니다.

이 단계들은 파일, 폴더, 파일 확장자 제외 사항을 검증하기 위해 설계되었습니다. 프로세스 제외에 대한 일반적인 테스트는 제공하지 않으며, 이는 파일을 생성하거나 여는 프로세스에 따라 달라집니다.

제외 항목에 맞는 EICAR 테스트 파일을 생성하려면 다음 방법 중 하나를 사용하세요:

• 인터넷 접속 시: 테스트 파일을 다운로드하려면 다음 curl 문법을 사용하세요:

  curl -o <file-name-or-path> https://secure.eicar.org/eicar.com.txt
  

  예를 들어, 확장 프로그램을 제외 .testing 했다면, 그 확장자를 가진 테스트 파일을 다운로드하세요:

  curl -o test.testing https://secure.eicar.org/eicar.com.txt
  

  폴더 제외 설정을 테스트하려면 해당 폴더에서 명령을 실행하세요.

• 인터넷 접속이 안 되는 경우: EICAR 테스트 파일을 로컬에서 생성하세요. 예를 들어, 제외 항목과 일치하는 파일 이름이나 경로로 변경 test.txt 하세요:

  echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt
  

관련 콘텐츠

다음 문서에서는 Linux의 엔드포인트에 대한 Defender 구성하고 관리하는 방법에 대한 자세한 정보를 제공합니다.

• 엔드포인트용 Microsoft Defender(Linux용)
• Linux의 엔드포인트용 Microsoft Defender 기본 설정