Microsoft Defender 제외 설정은 왜 점검해야 하나
Microsoft Defender Antivirus에는 특정 파일·폴더·프로세스·파일 확장자를 바이러스 백신 검사에서 제외하는 기능이 있습니다.
정상 프로그램에서 Defender 검사 때문에 성능 문제가 생기거나 제품 공급업체가 특정 경로 제외를 요구할 때 유용합니다.
문제는 제외 범위를 지나치게 넓혀 두는 경우입니다.
예를 들어 아래 설정이 장기간 남아 있다고 가정해 보겠습니다.
C:\ 전체 제외
사용자 프로필 전체 제외
Downloads 폴더 전체 제외
Temp 폴더 전체 제외
.exe 확장자 전체 제외이런 구성은 Defender가 검사하지 않는 영역을 크게 늘릴 수 있습니다.
Microsoft는 Defender Antivirus에서 파일·폴더·확장자·프로세스 사용자 지정 제외를 구성할 수 있고 이런 제외가 Antivirus 검사 범위에 직접 영향을 준다고 설명합니다. 폴더 제외는 하위 파일까지 적용되며 확장자 제외는 해당 확장자를 가진 파일에 시스템 전체에서 적용될 수 있습니다. (Microsoft Learn)
실무에서는 아래처럼 접근하는 편이 좋습니다.
제외 항목 존재
↓
무조건 삭제
X대신:
현재 제외 확인
↓
왜 필요한 설정인지 확인
↓
범위가 과도하지 않은지 판단
↓
필요한 항목만 유지
↓
불필요한 항목 제거
↓
업무 기능과 Defender 상태 재검증순서로 진행합니다.
먼저 알아둘 Defender 제외 유형
Microsoft Defender의 대표적인 사용자 지정 제외는 세 가지입니다.
| 제외 유형 | 예 | 의미 |
|---|---|---|
| 파일·폴더 경로 | C:\Example\Data | 해당 파일 또는 폴더를 검사에서 제외 |
| 파일 확장자 | .log | 해당 확장자의 파일을 위치와 관계없이 제외 |
| 프로세스 | C:\Program Files\App\app.exe | 해당 프로세스가 여는 파일을 검사에서 제외 |
여기서 프로세스 제외가 어떻게 동작하는지 정확히 구분해야 합니다.
ExclusionProcess에 특정 실행 파일을 등록했다고 해서 그 실행 파일 자체가 검사에서 제외되는 것은 아닙니다.
Microsoft 문서에 따르면 프로세스 제외는 지정된 프로세스가 여는 파일에 대한 검사를 제외합니다. 프로세스 실행 파일 자체를 제외하려면 별도의 파일 또는 경로 제외가 필요합니다. (Microsoft Learn)
예를 들어:
ExclusionProcess
C:\Program Files\Example\App.exe라면:
App.exe 자체
→ 자동으로 제외되는 것이 아님
App.exe가 여는 파일
→ Defender Antivirus 검사 제외 대상이 될 수 있음입니다.
이 차이를 모른 채 프로세스 제외를 추가하면 예상보다 훨씬 넓은 영역이 검사에서 빠질 수 있습니다.
Defender 제외는 EDR 전체를 끄는 설정은 아니다
Microsoft Defender for Endpoint를 쓰는 기업 환경에서는 한 가지를 더 구분해야 합니다.
Defender Antivirus의 사용자 지정 제외는 Antivirus 검사에 적용되는 설정입니다.
Microsoft는 Windows의 Antivirus 제외가 EDR 기능 전체에 동일하게 적용되지는 않는다고 설명합니다. Antivirus 검사에서 제외된 파일이라도 Defender for Endpoint의 EDR에서 이벤트나 경고가 발생할 가능성은 남아 있습니다. (Microsoft Learn)
예를 들면:
Defender Antivirus 제외
=
Microsoft Defender 전체에서 완전히 보이지 않음이라고 이해하면 정확하지 않습니다.
그래도 Antivirus의 탐지 범위가 줄어드는 만큼 불필요하게 넓은 제외 설정은 그대로 두면 안 됩니다.
Microsoft Defender 제외 점검을 5단계로 진행
이 글에서는 아래 순서로 확인합니다.
1. Defender 보호 상태 확인
↓
2. 현재 제외 항목 확인
↓
3. 과도하거나 불필요한 제외 판단
↓
4. 필요한 항목만 남기고 불필요한 제외 제거
↓
5. Tamper Protection·로그·보호 상태 검증1단계: 먼저 Microsoft Defender가 정상 동작하는지 확인
제외 목록보다 먼저 Defender 자체 상태를 확인합니다.
관리자 권한 PowerShell을 열고 다음 명령을 실행합니다.
Get-MpComputerStatus전체 결과가 너무 길다면 아래처럼 필요한 항목만 확인합니다.
Get-MpComputerStatus |
Select-Object AMProductVersion,
AntivirusEnabled,
RealTimeProtectionEnabled,
IsTamperProtectedMicrosoft의 Get-MpComputerStatus는 현재 설치된 맬웨어 방지 소프트웨어 상태를 조회하는 Defender PowerShell 명령입니다. 결과에서 RealTimeProtectionEnabled와 IsTamperProtected 등의 상태를 확인할 수 있습니다. (Microsoft Learn)
일반적인 점검에서는 아래 상태를 확인합니다.
AntivirusEnabled
→ True
RealTimeProtectionEnabled
→ True
IsTamperProtected
→ True조직에서 다른 Antivirus 제품을 쓰거나 Microsoft Defender Antivirus가 Passive Mode로 구성된 환경에서는 결과가 다를 수 있습니다.
값이 False라고 바로 이상 상태라고 단정하기보다 현재 조직의 Endpoint Security 구성과 비교해야 합니다.
2단계: 현재 Defender 제외 항목 확인
Windows 11에서는 GUI로도 제외 항목을 확인할 수 있습니다.
아래 위치로 이동합니다.
Windows 보안
→ 바이러스 및 위협 방지
→ 바이러스 및 위협 방지 설정
→ 설정 관리
→ 제외
→ 제외 추가 또는 제거여기에서는 현재 등록된 다음 제외를 확인합니다.
파일
폴더
파일 형식
프로세스제외를 확인할 수 있습니다.
Microsoft도 Windows Security 앱의 이 경로에서 파일·폴더·파일 형식·프로세스 제외를 관리하도록 안내합니다. (Microsoft Learn)
PowerShell로 한 번에 확인
여러 항목을 빠르게 확인할 때는 PowerShell이 편리합니다.
Get-MpPreference |
Select-Object ExclusionPath,
ExclusionProcess,
ExclusionExtension보기 좋은 형식으로 출력하려면 Microsoft 공식 문서에서 제시한 형태를 사용합니다.
$p = Get-MpPreference
'ExclusionExtension','ExclusionPath','ExclusionProcess' |
ForEach-Object {
$t = $_
$p.$t |
ForEach-Object {
[pscustomobject]@{
Type = $t
Value = $_
}
}
} |
Format-Table -AutoSizeMicrosoft는 현재 구성된 사용자 지정 제외를 확인할 때 Get-MpPreference를 사용할 수 있다고 안내합니다. (Microsoft Learn)
예를 들어 아래와 같이 나온다면:
Type Value
---- -----
ExclusionPath C:\ProgramData\Example
ExclusionPath D:\Database\Data
ExclusionProcess C:\Program Files\Vendor\App.exe
ExclusionExtension .tmp각 항목이 왜 등록됐는지 하나씩 확인합니다.
3단계: 과도하거나 불필요한 제외인지 판단
제외 항목이 있다고 해서 곧바로 보안 문제라는 뜻은 아닙니다.
아래 세 가지 질문으로 판단하면 됩니다.
이 제외를 누가 만들었는가?
왜 필요한가?
현재도 필요한가?오래 운영한 PC나 서버에서는:
예전 프로그램 설치
성능 문제 임시 대응
Vendor 기술 지원
장애 테스트
개발 환경 설정이런 과정에서 추가한 제외가 몇 년 동안 그대로 남기도 합니다.
우선 재검토해야 할 넓은 경로
아래 제외가 있다면 이유부터 확인하는 편이 좋습니다.
C:\
C:\Users\
사용자 프로필 전체
Downloads 전체
Temp 전체
공용 쓰기 가능 디렉터리 전체이런 경로에는 다양한 프로그램과 사용자가 파일을 만들 수 있습니다. 필요한 특정 파일 하나를 제외하는 것보다 탐지 사각지대가 훨씬 넓어집니다.
예를 들어:
C:\Program Files\Vendor\Product\Data\라는 정확한 제품 데이터 디렉터리만 필요했는데:
C:\전체가 제외돼 있다면 범위가 지나치게 넓습니다.
확장자 전체 제외는 특히 범위를 확인
확장자 제외는 특정 디렉터리에만 적용되지 않습니다.
예를 들어:
.tmp가 ExclusionExtension으로 등록돼 있다면 해당 확장자가 있는 파일은 시스템 위치와 관계없이 제외 범위에 들어갈 수 있습니다.
Microsoft는 파일 확장자 제외가 해당 확장자를 가진 모든 파일에 위치와 관계없이 적용된다고 설명합니다. (Microsoft Learn)
실행 가능한 콘텐츠와 관련된 확장자가 전체 제외돼 있다면 특히 이유를 확인해야 합니다.
.exe
.dll
.ps1
.vbs
.js위 항목이 언제나 악성이라는 뜻은 아닙니다.
문제는:
특정 업무 프로그램 때문에 발생한 탐지 문제를 해결하기 위해:
시스템 전체 .exe 제외같은 식으로 범위를 지나치게 확대하는 것입니다.
가능하면 필요한 제품의 정확한 파일이나 경로 수준으로 범위를 좁히는 편이 좋습니다.
프로세스 제외도 전체 경로를 확인
프로세스 제외에서는 아래 차이도 중요합니다.
example.exe와:
C:\Program Files\Example\example.exe는 적용 범위가 다를 수 있습니다.
Microsoft 문서의 예에 따르면 파일 이름만 지정한 프로세스 제외는 다른 경로에 있는 같은 이름의 프로세스에도 적용될 수 있습니다. 반면 전체 경로를 지정하면 대상 프로세스를 더 좁게 제한할 수 있습니다. (Microsoft Learn)
Vendor가 단순히:
database.exe를 제외하라고 한 것인지 아니면:
C:\Program Files\Vendor\Database\database.exe같은 특정 실행 경로를 요구한 것인지 공식 문서에서 다시 확인합니다.
제외 항목을 무조건 삭제하면 안 되는 이유
여기서 특히 주의해야 합니다.
서버에서는 Defender가 자체적으로 사용하는 제외와 관리자가 설정한 사용자 지정 제외를 구분해야 합니다.
Windows Server 2016 이상에서는 설치된 일부 서버 역할에 대해 Microsoft Defender Antivirus가 기본 제공 또는 자동 서버 역할 제외를 적용할 수 있습니다.
Microsoft는 이런 기본·자동 제외가 보안 인텔리전스 업데이트로 관리되며 일반 사용자 지정 제외 목록과 별도로 동작한다고 설명합니다. 자동 서버 역할 제외를 임의로 비활성화하면 성능 저하나 데이터 손상 위험이 있을 수 있다고도 경고합니다. (Microsoft Learn)
제외 유형을 다음처럼 구분합니다.
Defender 제외가 있다
↓
모두 제거가 아니라:
Microsoft 자동 제외인가?
Vendor 공식 권장 제외인가?
조직 정책에 의한 제외인가?
관리자가 임시로 만든 사용자 지정 제외인가?를 구분해야 합니다.
Vendor 권장 제외도 그대로 믿지 말고 범위를 확인
데이터베이스, 백업 프로그램, 개발 도구, 보안 솔루션처럼 대량의 파일 I/O가 발생하는 제품은 공급업체가 특정 Defender 제외를 권장할 수 있습니다.
이 경우에는 아래 정보를 확인합니다.
Vendor 공식 문서인가?
현재 제품 버전에도 필요한가?
폴더 전체가 필요한가?
특정 파일만 제외할 수 있는가?
프로세스 전체 제외가 필요한가?
더 좁은 범위로 적용할 수 있는가?예전 기술 지원 과정에서 임시로 추가한 항목은 문제가 해결된 뒤에도 그대로 남아 있을 수 있습니다.
제외에는 가능하면 아래 관리 기록을 남겨두는 편이 좋습니다.
제외 대상
추가 이유
요청한 Vendor
관련 티켓
적용 날짜
담당자
재검토 날짜이런 정보가 없으면 몇 달 뒤 해당 제외가 왜 필요한지 판단하기 어렵습니다.
4단계: 불필요한 제외 항목만 제거
제거하기 전에 현재 목록부터 기록합니다.
Get-MpPreference |
Select-Object ExclusionPath,
ExclusionProcess,
ExclusionExtension조직 정책이 있다면 정책 관리 화면과 변경 관리 기록도 확인합니다.
특정 경로 제외 제거
예를 들어 더 이상 필요하지 않은 아래 경로가 있다고 가정합니다.
C:\Example\OldApp관리자 PowerShell에서:
Remove-MpPreference -ExclusionPath "C:\Example\OldApp"를 실행합니다.
특정 확장자 제외 제거
Remove-MpPreference -ExclusionExtension ".example"특정 프로세스 제외 제거
Remove-MpPreference -ExclusionProcess "C:\Program Files\Example\App.exe"Remove-MpPreference는 기존 전체 목록을 교체하지 않고 지정한 항목을 제거할 때 사용합니다. Microsoft는 제외 추가에는 Add-MpPreference, 제거에는 Remove-MpPreference를 사용하도록 문서화합니다. (Microsoft Learn)
Set-MpPreference 사용 시 주의
여기서 다음 명령은 성격이 다릅니다.
Set-MpPreferenceMicrosoft는 Set-MpPreference에 제외 목록을 지정하면 해당 유형의 기존 값을 새 값으로 덮어쓸 수 있다고 설명합니다. (Microsoft Learn)
기존 제외 하나만 제거하려면:
현재 목록 확인 없이
↓
Set-MpPreference 실행하는 방식은 피해야 합니다.
기존 항목 하나를 제거하려면 Remove-MpPreference가 더 명확합니다.
조직 관리 PC라면 로컬에서 제거해도 다시 생길 수 있다
기업 환경에서는 Defender 설정이 아래 중앙 관리 도구에서 배포될 수 있습니다.
Microsoft Intune
Configuration Manager
Group Policy
Defender for Endpoint 보안 정책이 경우 로컬 PowerShell에서 제외를 변경해도 중앙 정책이 다시 적용될 수 있습니다.
회사 PC에서 발견한 제외 항목을 임의로 삭제하기 전에 어떤 정책이 해당 설정을 관리하는지 확인해야 합니다.
Microsoft는 DisableLocalAdminMerge 정책으로 로컬 관리자가 추가한 목록 설정과 조직에서 배포한 정책의 병합 방식을 제어할 수 있다고 설명합니다. 이 정책은 제외 목록에도 영향을 줍니다. (Microsoft Learn)
관리형 PC에서는:
로컬 설정
+
Intune
+
Group Policy
+
Defender 정책을 함께 확인해야 실제 적용 상태를 판단할 수 있습니다.
5단계: Tamper Protection과 Defender 상태 확인
제외 항목을 정리한 뒤 Defender의 주요 보호 기능도 다시 확인합니다.
PowerShell에서:
Get-MpComputerStatus |
Select-Object AntivirusEnabled,
RealTimeProtectionEnabled,
IsTamperProtected을 실행합니다.
Microsoft는 IsTamperProtected와 RealTimeProtectionEnabled로 변조 방지와 실시간 보호 상태를 확인할 수 있다고 안내합니다. (Microsoft Learn)
일반적인 정상 환경에서는 아래 상태를 기대할 수 있습니다.
AntivirusEnabled : True
RealTimeProtectionEnabled : True
IsTamperProtected : TrueTamper Protection이 중요한 이유
Tamper Protection은 Microsoft Defender의 주요 보안 설정을 임의로 바꾸기 어렵게 만드는 기능입니다.
개인 Windows PC에서는 Windows Security의 아래 위치에서 확인합니다.
Windows 보안
→ 바이러스 및 위협 방지
→ 바이러스 및 위협 방지 설정
→ 설정 관리
→ 변조 방지조직에서 중앙 관리한다면 관리자가 정책으로 상태를 관리하므로 사용자가 직접 변경하지 못할 수도 있습니다.
Microsoft는 기업 환경에서 Antivirus 제외 정책 자체를 Tamper Protection으로 보호하는 별도 요구 조건도 문서화합니다. 이 구성에는 지원되는 Defender 플랫폼, DisableLocalAdminMerge, Intune 또는 Configuration Manager를 통한 관리 등이 포함됩니다. (Microsoft Learn)
Defender 설정 변경 기록은 이벤트 로그에서도 확인
제외 설정이 예상하지 못한 방식으로 바뀌었다면 Windows Defender Operational 로그도 확인합니다.
이벤트 뷰어에서 아래 위치로 이동합니다.
이벤트 뷰어
→ 응용 프로그램 및 서비스 로그
→ Microsoft
→ Windows
→ Windows Defender
→ OperationalMicrosoft Defender의 Event ID 5007은 Defender 구성이 변경됐을 때 기록될 수 있는 이벤트입니다. Microsoft도 예상하지 못한 구성 변경이 있으면 설정을 검토하도록 설명합니다. (Microsoft Learn)
PowerShell에서는 최근 7일의 Event ID 5007을 아래처럼 확인합니다.
Get-WinEvent -FilterHashtable @{
LogName = 'Microsoft-Windows-Windows Defender/Operational'
Id = 5007
StartTime = (Get-Date).AddDays(-7)
} |
Select-Object TimeCreated, Id, Message여기서 기억할 점은:
Event ID 5007 발생
=
악성코드 감염이 아니라는 것입니다.
Defender 업데이트, 관리 정책 변경, 정상적인 보안 설정 변경에서도 이 이벤트가 발생할 수 있습니다.
예상하지 못한 시점의 변경이 있는지 확인하고 실제 관리 작업 기록과 비교합니다.
악성코드 탐지 기록도 함께 확인
제외 범위가 지나치게 넓었던 PC라면 최근 Defender 탐지 기록도 확인해 봅니다.
Windows Security에서:
Windows 보안
→ 바이러스 및 위협 방지
→ 보호 기록을 확인합니다.
이벤트 로그에서는 Defender가 악성코드나 잠재적으로 원치 않는 소프트웨어를 탐지하면 Event ID 1116이 기록될 수 있습니다. (Microsoft Learn)
과도한 제외를 발견했다고 해당 PC가 이미 침해됐다고 판단해서는 안 됩니다.
넓은 Defender 제외 발견
=
탐지 범위 감소 가능성이지:
넓은 Defender 제외 발견
=
침해 확정은 아닙니다.
실제 침해 여부는 Defender 탐지 기록, EDR Alert, 실행 프로세스, 네트워크 연결, 파일 변경 같은 다른 증거와 함께 판단해야 합니다.
제외를 제거한 뒤 정상 동작을 반드시 확인
보안 설정을 강화했어도 업무 프로그램이 정상 동작하지 않으면 운영 환경에서는 문제가 됩니다.
제외를 제거한 뒤에는 해당 제외와 관련된 프로그램을 실제로 실행합니다.
예를 들어:
서비스 정상 시작
애플리케이션 로그인
파일 저장·읽기
백업 작업
데이터베이스 처리
로그 생성
업데이트 기능등을 확인합니다.
문제가 다시 발생하면 원래의 넓은 제외로 무조건 되돌리기보다 어떤 파일이나 프로세스에서 Defender 검사가 영향을 주는지 범위를 좁혀야 합니다.
Microsoft는 성능이나 호환성 문제가 있을 때 필요한 범위에 맞춰 파일·폴더·프로세스 등의 사용자 지정 제외를 구성하도록 별도로 문서화합니다. (Microsoft Learn)
제외 설정이 실제로 동작하는지 검증하려면
Microsoft는 Antivirus가 정상 검사하는지, 특정 제외가 실제로 적용되는지 확인하는 방법으로 업계 표준인 EICAR 테스트 파일을 사용할 수 있다고 안내합니다.
실제 악성코드를 사용하지 않고 Antivirus의 탐지 동작을 확인하는 테스트 방식입니다.
Microsoft 문서는 EICAR 파일로 파일·폴더·확장자 제외의 동작 여부를 검증할 수 있다고 설명합니다. 프로세스 제외는 동작 방식이 달라 같은 방법으로 검증할 수 없습니다. (Microsoft Learn)
운영 서버에서는 임의로 테스트하지 말고 유지보수 환경이나 테스트 장비에서 진행하는 편이 좋습니다.
Windows Server에서는 자동 제외를 먼저 이해해야 한다
Windows Server에서 이 글의 명령을 쓸 때는 Client Windows보다 조금 더 주의해야 합니다.
Microsoft Defender Antivirus는 Windows Server에서 운영체제와 설치된 서버 역할에 필요한 일부 항목을 자동으로 제외할 수 있습니다.
Windows Server 2016 이상에서는 설치된 역할에 따라 자동 Server Role Exclusion이 구성될 수 있습니다. 이런 항목은 일반 Windows Security의 사용자 지정 제외 목록에 나타나지 않을 수 있습니다. (Microsoft Learn)
서버에서는:
Get-MpPreference 목록이 비어 있음
=
Defender에 어떠한 제외도 없음이라고 단정해서는 안 됩니다.
또한 Microsoft가 자동으로 관리하는 서버 역할 제외를 수동으로 모두 재작성하는 것도 권장하지 않습니다.
사용자 지정 제외를 추가해야 한다면 서버 제품의 공급업체 공식 문서와 Microsoft 권장 사항을 함께 확인하는 편이 좋습니다.
위험한 Defender 제외 설정을 판단하는 기준
실무에서는 아래처럼 구분하면 이해하기 쉽습니다.
| 설정 | 판단 |
|---|---|
| 제품 공식 문서에 지정된 정확한 데이터 경로 | 필요성 확인 후 유지 가능 |
| 특정 프로그램의 정확한 실행 경로 | 필요성 검토 |
| 과거 장애 대응용 임시 제외 | 우선 재검토 |
| 이유를 알 수 없는 제외 | 우선 재검토 |
| 드라이브 전체 제외 | 높은 우선순위로 검토 |
| 사용자 쓰기 가능 영역 전체 제외 | 높은 우선순위로 검토 |
| 일반 실행 파일 확장자 전체 제외 | 높은 우선순위로 검토 |
| 사용하지 않는 프로그램의 제외 | 제거 후보 |
기준은 제외 개수가 아니라 범위와 필요성입니다.
10개의 정확한 업무용 제외보다:
C:\하나가 훨씬 넓은 탐지 사각지대를 만들 수 있습니다.
Microsoft Defender 제외 점검 순서
전체 과정을 다시 정리하면 아래와 같습니다.
1. Defender 상태 확인
↓
AntivirusEnabled
RealTimeProtectionEnabled
IsTamperProtected
2. 현재 제외 확인
↓
ExclusionPath
ExclusionProcess
ExclusionExtension
3. 제외 필요성 판단
↓
Vendor 공식 권장인지 확인
범위가 지나치게 넓지 않은지 확인
오래된 임시 설정인지 확인
4. 불필요한 제외 제거
↓
Remove-MpPreference 사용
업무 프로그램 정상 동작 확인
5. 변경 후 검증
↓
Get-MpPreference 재확인
Defender 보호 상태 확인
Event ID 5007 검토
필요한 경우 탐지 기록 확인실무 점검 체크리스트
[ ] Microsoft Defender Antivirus 활성 상태 확인
[ ] 실시간 보호 활성 상태 확인
[ ] Tamper Protection 상태 확인
[ ] ExclusionPath 확인
[ ] ExclusionProcess 확인
[ ] ExclusionExtension 확인
[ ] 드라이브 전체 제외 존재 여부 확인
[ ] 사용자 프로필 전체 제외 확인
[ ] 다운로드·임시 디렉터리 전체 제외 확인
[ ] 실행 가능한 확장자 전체 제외 확인
[ ] 각 제외의 설정 이유 확인
[ ] Vendor 공식 문서 확인
[ ] 현재 프로그램에서도 필요한지 확인
[ ] 과거 장애 대응용 임시 제외 확인
[ ] 변경 전 기존 제외 목록 기록
[ ] 불필요한 제외만 개별 제거
[ ] 중앙 관리 정책 여부 확인
[ ] 변경 후 Get-MpPreference 재확인
[ ] 관련 업무 프로그램 테스트
[ ] RealTimeProtectionEnabled 확인
[ ] IsTamperProtected 확인
[ ] Defender Operational 로그 확인
[ ] 예상하지 못한 Event ID 5007 확인
[ ] 보호 기록 및 최근 탐지 내역 확인정리
Microsoft Defender의 제외 기능 자체가 잘못된 것은 아닙니다.
일부 애플리케이션이나 서버 역할에서는 정상 운영에 필요할 수 있습니다.
하지만:
장애 발생
↓
폴더 전체 제외
↓
문제 해결
↓
몇 년 동안 그대로 방치같은 운영 방식은 피해야 합니다.
Defender 제외는 아래 기준으로 관리하는 것이 핵심입니다.
필요한가?
↓
범위가 최소화되어 있는가?
↓
공식 근거가 있는가?
↓
현재도 필요한가?
↓
제거 후 정상 동작을 확인했는가?ExclusionPath, ExclusionProcess, ExclusionExtension을 정기적으로 확인하면 과거 장애 대응 과정에서 만든 불필요한 설정을 찾는 데 도움이 됩니다.
관리 흐름은 간단합니다.
현재 설정 확인
↓
필요성 확인
↓
범위 최소화
↓
불필요한 제외 제거
↓
Defender 상태 재확인
↓
로그와 업무 기능 검증보안 하드닝의 핵심은 모든 제외를 없애는 일이 아닙니다. 업무에 필요한 예외만 최소 범위로 관리하고 이유를 설명할 수 없는 탐지 사각지대를 줄이는 것입니다.
참고 자료
Microsoft Learn — Configure custom exclusions for Microsoft Defender Antivirus
PowerShell, 정책 및 기타 관리 방법을 이용한 사용자 지정 제외 구성과 Add-MpPreference, Set-MpPreference, Remove-MpPreference 사용법을 설명합니다. Microsoft Defender Antivirus 사용자 지정 제외 구성
Microsoft Learn — Exclusions in Microsoft Defender Antivirus
파일·폴더·확장자·프로세스 제외의 동작 차이와 적용 범위를 확인할 수 있습니다. Microsoft Defender Antivirus 제외 동작 설명
Microsoft Learn — Microsoft Defender Antivirus in the Windows Security app
Windows Security에서 Defender 상태, 검사, 보호 기록, 제외 항목을 관리하는 방법을 제공합니다. Windows Security의 Microsoft Defender Antivirus
Microsoft Learn — Tamper Protection
Microsoft Defender의 주요 보안 설정을 보호하는 Tamper Protection의 동작과 상태 확인 방법을 설명합니다. Tamper Protection 공식 문서
Microsoft Learn — Microsoft Defender Antivirus exclusions on Windows Server
Windows Server의 기본 제공 및 자동 Server Role Exclusion이 일반 사용자 지정 제외와 어떻게 다른지 확인할 수 있습니다. Windows Server Defender 제외 공식 문서
Microsoft Learn — Microsoft Defender Antivirus event IDs
Event ID 5007을 포함한 Defender 구성 변경 및 탐지 이벤트를 확인할 수 있습니다. Microsoft Defender Antivirus 이벤트 ID