다음을 통해 공유

공격 표면 감소 규칙 문제 해결

  • 아티클

적용 대상:

엔드포인트용 Defender를 경험하고 싶으신가요? 무료 평가판을 신청하세요.

공격 표면 감소 규칙을 사용하는 경우 다음과 같은 문제가 발생할 수 있습니다.

  • 규칙은 파일을 차단하거나, 처리하거나, 그렇지 않아야 하는 다른 작업을 수행합니다(가양성). 또는
  • 규칙은 설명된 대로 작동하지 않거나 파일 또는 프로세스를 차단하지 않습니다(거짓 부정).

이러한 문제를 해결하는 네 가지 단계가 있습니다.

  1. 필수 구성 요소 확인
  2. 감사 모드를 사용하여 규칙 테스트
  3. 지정된 규칙에 대한 제외 추가 (가양성)
  4. 지원 로그 제출

필수 구성 요소 확인

공격 표면 감소 규칙은 다음 조건이 있는 디바이스에서만 작동합니다.

이러한 필수 구성 요소가 충족되면 다음 단계로 진행하여 감사 모드에서 규칙을 테스트합니다.

그룹 정책 사용하여 공격 표면 감소 규칙을 설정할 때의 모범 사례

그룹 정책 사용하여 공격 표면 감소 규칙을 설정할 때 일반적인 실수를 방지하기 위한 몇 가지 모범 사례는 다음과 같습니다.

  1. 공격 표면 감소 규칙에 대한 GUID를 추가할 때 GUID의 시작 또는 끝에 큰따옴표 (예: "ASR 규칙 GUID")가 없는지 확인합니다.

  2. 공격 표면 감소 규칙에 대한 GUID를 추가할 때 시작 또는 끝에 공백이 없는지 확인합니다.

감사 모드를 사용하여 규칙 테스트

데모 도구 사용의 다음 지침에 따라 공격 표면 감소 규칙이 작동하는 방식을 확인하여 문제가 발생하는 특정 규칙을 테스트합니다.

  1. 테스트하려는 특정 규칙에 대해 감사 모드를 사용하도록 설정합니다. 공격 표면 감소 규칙 사용에서 설명한 대로 그룹 정책 사용하여 규칙을 Audit mode (값: 2)로 설정합니다. 감사 모드를 사용하면 규칙이 파일 또는 프로세스를 보고할 수 있지만 실행할 수 있습니다.

  2. 문제를 일으키는 활동을 수행합니다. 예를 들어 파일을 열거나 차단해야 하지만 허용되는 프로세스를 실행합니다.

  3. 공격 표면 감소 규칙 이벤트 로그를 검토 하여 규칙이 로 설정된 Enabled경우 규칙이 파일 또는 프로세스를 차단하는지 확인합니다.

    규칙이 차단해야 하는 파일 또는 프로세스를 차단하지 않는 경우 먼저 감사 모드가 사용하도록 설정되어 있는지 확인하기 위해 검사. 감사 모드는 다른 기능을 테스트하거나 자동화된 PowerShell 스크립트에서 사용하도록 설정될 수 있으며 테스트가 완료된 후 사용하지 않도록 설정되지 않을 수 있습니다.

데모 도구와 감사 모드로 규칙을 테스트했고 공격 표면 감소 규칙이 미리 구성된 시나리오에서 작동하지만 규칙이 예상대로 작동하지 않는 경우 상황에 따라 다음 섹션 중 하나를 진행합니다.

가양성 제외 추가

공격 표면 감소 규칙이 차단해서는 안 되는 항목(가양성이라고도 함)을 차단하는 경우 공격 표면 감소 규칙이 제외된 파일 또는 폴더를 평가하지 못하도록 제외를 추가할 수 있습니다.

제외를 추가하려면 공격 표면 감소 사용자 지정을 참조하세요.

중요

제외할 개별 파일 및 폴더를 지정할 수 있지만 개별 규칙을 지정할 수는 없습니다. 즉, 제외된 모든 파일 또는 폴더는 모든 ASR 규칙에서 제외됩니다.

가양성 또는 가음성 보고

Microsoft 보안 인텔리전스 웹 기반 제출 양식을 사용하여 네트워크 보호에 대한 가음성 또는 가양성 보고서를 작성합니다. Windows E5 구독을 사용하면 연결된 경고에 대한 링크를 제공할 수도 있습니다.

파일 제출에 대한 진단 데이터 수집

공격 표면 감소 규칙에 대한 문제를 보고하는 경우 Microsoft 지원 및 엔지니어링 팀에서 문제를 해결하는 데 사용할 수 있는 진단 데이터를 수집하고 제출해야 합니다.

  1. 관리자 권한으로 명령 프롬프트를 열고 Windows Defender 디렉터리를 엽니다.

    cd "c:\program files\Windows Defender"

  2. 진단 로그를 생성하려면 다음 명령을 실행합니다.

    mpcmdrun -getfiles

  3. 기본적으로 에 저장됩니다 C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cab. 제출 양식에 파일을 첨부합니다.

팁

더 자세히 알아보고 싶으신가요? 기술 커뮤니티: 엔드포인트용 Microsoft Defender Tech Community의 Microsoft 보안 커뮤니티와 Engage.