업무 중 일반 문서를 프린트하는 것 외 별도로 라벨 인쇄 프로그램을 사용할때가 있습니다. 이 라벨 프린트 프로그램 업데이트 후 미리보기는 열리는데 출력 버튼을 누르면 작업이 중단됐을때 문의 시 공급사는 해당 실행파일 및 어플리케이션 설치 폴더 전체를 Microsoft Defender 검사에서 제외해 달라고 요청합니다. 이 설명용 사례에서 보안 담당자가 먼저 찾을 것은 설치 경로가 아니라 중단 시각에 지목된 파일입니다. 화면을 띄운 실행 파일과 인쇄 작업을 처리한 실행 파일이 다를 수 있고, 백신이 탐지한 대상은 두 파일 중 하나일 수도, 그중 한 프로세스가 읽은 양식 파일일 수도 있습니다.
폴더 전체를 예외로 등록하면 이 차이를 확인하기 전에 검사 범위부터 바뀝니다. 아래 절차는 기업에서 관리하는 Windows PC의 Microsoft Defender 바이러스 백신을 기준으로, 파일과 프로세스를 식별하고 예외 요청을 판단하는 방법입니다.
중단 시각의 탐지 기록과 대상 경로
먼저 오류가 난 동작과 시각을 기록합니다. 프로그램 시작, 미리보기, 실제 인쇄, 자동 업데이트를 구분해 두면 같은 버전의 프로그램에서도 어느 단계에서 문제가 나타났는지 다시 확인할 수 있습니다. 공급사에는 “Defender를 끄면 동작한다”는 결론 대신 문제가 난 프로그램 버전, 파일 전체 경로, 오류 메시지, 오류 직전의 업무 동작을 요청합니다. 프로그램의 자체 오류 로그와 Windows 기록은 시각을 같은 시간대로 맞춰 대조합니다.
이벤트 뷰어의 응용 프로그램 및 서비스 로그 → Microsoft → Windows → Windows Defender → Operational에서 해당 시간대를 확인합니다. 이벤트 ID 1116은 탐지, 1117은 Defender가 수행한 조치에 해당합니다. 먼저 Path에서 탐지된 파일을, Process Name에서 기록에 연관된 프로세스를 확인합니다. 1117에서는 Action과 결과를 함께 읽고 탐지 시각·위협 ID·경로가 앞선 기록과 맞는지 확인합니다. 탐지 기록만으로 격리나 차단까지 완료됐다고 기록하면 실제 조치 상태가 빠집니다. Microsoft Learn의 이벤트 ID와 필드 설명
예를 들어 Path에 인쇄 양식이 있고 Process Name에 인쇄 보조 실행 파일이 있으면, 요청서에는 탐지 대상은 양식 파일, 연관 프로세스는 인쇄 보조 프로그램이라고 적습니다. 실행 파일이 탐지됐다고 적으면 이후 서명이나 해시를 대조할 대상이 달라집니다. 반대로 탐지 경로가 보조 실행 파일을 직접 가리킨다면 시작 프로그램이나 공급사가 안내한 대표 실행 파일 대신 그 보조 실행 파일의 배포 기록을 조회합니다.
Defender for Endpoint를 사용하는 조직이라면 포털의 경고 상세에서 탐지를 발생시킨 제품 기능도 확인합니다. EDR(엔드포인트 탐지 및 대응), SmartScreen, 바이러스 백신은 조사·신고 경로가 다릅니다. Windows 로컬 이벤트의 Detection Source는 실시간 검사 등 바이러스 백신 내부에서 탐지를 시작한 경로를 가리킬 수 있으므로, 포털에서 구분하는 제품 기능과 같은 항목으로 취급하면 안 됩니다. 해당 시간대에 탐지 기록을 찾지 못했다면 보존 기간과 조회 범위를 확인하고, 앱 오류 기록 또는 성능 측정으로 다음 조사 방향을 정합니다. Microsoft Learn의 탐지 원본별 오탐 대응
실행 파일과 승인된 배포본의 대조
같은 이름의 실행 파일이 설치 위치와 업데이트 작업 위치에 따로 존재할 수 있습니다. 파일명만 기록하면 어느 사본을 확인했는지 남지 않으므로 전체 경로, 파일 버전, 서명 상태와 서명자, SHA-256 해시를 한 묶음으로 확보합니다. 해시는 파일 내용으로 계산한 값입니다. SHA-256은 같은 버전의 승인된 배포본에서 꺼낸 동일 파일과 내용을 대조할 때 사용합니다. 설치 패키지 전체의 해시를 패키지 내부 실행 파일의 해시와 비교하면 서로 다른 파일을 비교하게 됩니다.
Microsoft Sysinternals의 Sigcheck는 실행 파일의 버전과 디지털 서명 정보, 서명 인증서 체인, 파일 해시를 확인할 수 있습니다. 서명이 유효하더라도 조직에서 승인한 배포본과 일치하는지는 별도로 대조합니다. 승인된 배포본에서 서명자가 달라졌다면 공급사의 인증서 변경이나 제품 인수 등 변경 이력을 확인합니다. 같은 배포본이라는데 해시가 다르면 다른 빌드·패치·설치 후 변환 여부를 먼저 확인하고, 설명이 끝날 때까지 예외 판단을 보류합니다. Microsoft Learn의 Sigcheck 기능과 옵션
설치 패키지가 여러 고객사에 서로 다른 빌드를 배포한다면 제품 이름과 표시 버전만으로 동일 파일을 고르기 어렵습니다. 사내 소프트웨어 배포 도구의 패키지 식별자, 배포 시점, 단말에 실제 설치된 제품 버전을 묶어서 확인하면 어떤 패키지에서 파일을 꺼내 대조해야 할지 좁힐 수 있습니다. 이미 파일이 격리된 상황에서는 사용자가 임의로 복원하거나 다시 실행하기보다 승인된 저장소에 있는 배포본과 기록부터 확인합니다. 일치 여부를 확인할 수 있는 원본이 없다면 공급사에 배포본이나 확인 자료를 요청합니다.
파일 경로와 프로세스 예외의 적용 범위
파일 경로 예외에서 실행 파일의 전체 경로를 지정하면 검토 범위는 그 위치의 실행 파일 자체입니다. 프로세스 예외에서 실행 파일을 식별자로 쓰면 대상은 그 프로세스가 여는 파일입니다. 따라서 같은 실행 파일 경로를 제안받아도 어느 유형으로 요청했는지에 따라 영향 범위가 달라집니다. 설치 폴더 전체를 경로 예외로 지정하면 해당 폴더 아래의 파일까지 범위가 넓어지고, 업데이트로 나중에 같은 위치에 들어오는 파일도 영향을 받을 수 있습니다. Microsoft Learn의 파일·폴더·프로세스 예외 설명
| 요청 유형 | 검토할 범위 | 승인 전 확인 |
|---|---|---|
| 실행 파일의 경로 | 지정한 위치의 실행 파일 한 개 | 탐지 경로와 일치하는지, 업데이트로 같은 경로의 파일이 교체되는지 |
| 폴더 경로 | 지정한 폴더와 그 아래의 파일 | 실행 파일 외에 추가 구성 요소나 작업 파일까지 포함되는지 |
| 프로세스 | 지정한 프로세스가 여는 파일 | 프로그램이 설치 폴더 밖의 업무 파일도 여는지, 개별 파일의 문제를 설명하는 범위인지 |
라벨 양식 하나를 검사하는 데 시간이 걸렸다는 이유로 인쇄 프로그램을 프로세스 예외에 넣으면, 그 프로그램이 함께 여는 다른 양식이나 업무 파일도 검토해야 합니다. 반대로 실행 파일이 바이러스 백신에 격리됐다면 그 프로세스가 여는 파일을 대상으로 하는 설정은 기록에 찍힌 대상과 맞지 않습니다. 요청서에는 예외 유형과 대상 경로를 별도로 적고, 경로가 승인 파일의 해시를 고정한다는 식으로 기록하지 않습니다.
바이러스 백신의 경로 예외가 적용된 뒤에도 EDR 경고가 발생할 수 있습니다. Microsoft는 프로세스 예외가 Defender for Endpoint의 네트워크 보호와 일부 보안 기능의 검사·집행에도 영향을 줄 수 있다고 설명합니다. 공급사가 두 유형을 섞어 요청했다면 먼저 어떤 기능에서 어떤 대상이 문제가 됐는지 확인합니다. 회사 PC에서 업무 프로그램 전체의 동작을 검증하는 일과 Defender의 모든 기능이 그 프로그램을 허용하도록 설정하는 일은 영향 범위가 다릅니다. Microsoft Learn의 예외 적용 범위와 보호 기능 영향
성능 측정과 임시 예외의 종료 조건
업무가 끝나지만 느려졌다면 지연을 탐지와 같은 방식으로 처리하기 어렵습니다. 관리되는 시험 PC에서 승인된 배포본과 비식별 시험 데이터를 준비하고, 느려지는 작업 구간만 Microsoft Defender 바이러스 백신 성능 분석기로 기록합니다. New-MpPerformanceRecording은 검사 관련 이벤트를 수집하고, Get-MpPerformanceReport는 경로·프로세스·검사 횟수·검사 시간 등을 기준으로 기록을 살펴보는 데 사용합니다. 보고서에서 합계가 큰 항목을 찾은 다음 한 번의 긴 검사인지, 짧은 검사가 반복된 결과인지 확인합니다. Microsoft Learn의 성능 분석기 절차와 지표
비교할 때는 같은 단말, 배포본 버전, 시험 데이터, 업무 동작을 사용합니다. 인쇄 작업이 언제 시작해 언제 끝났는지 기록하고 같은 구간의 검사 시간을 함께 봅니다. 검사에 걸린 시간이 길어도 인쇄 서버 응답이나 저장 경로의 지연이 동시에 있었다면 전체 지연을 백신 검사에 돌릴 근거가 부족합니다. 검사 보고서의 상위 항목과 실제 업무 대기 구간이 반복해서 겹칠 때 해당 파일을 우선 조사합니다. 시점이 맞지 않으면 인쇄 대기열과 앱 오류 기록을 먼저 살펴봅니다.
오탐으로 의심되는 건은 확인한 탐지 원본에 맞춰 공급사의 수정판과 Microsoft의 분석 절차를 검토합니다. 파일을 제출할 경우 조직의 외부 반출 기준에 따라 제출 가능 여부를 확인합니다. 보안 담당자가 임시 예외를 승인해야 하는 상황이라면 요청서에 대상 파일과 버전, 적용 단말, 재검토 날짜, 정책을 회수할 담당자, 시험에서 확인할 업무 결과를 명시합니다. 장애가 해소되는지를 판단할 자료가 없다면 적용 범위를 넓혀 얻을 수 있는 효과도 입증하기 어렵습니다. Microsoft Learn의 오탐 분류와 분석 요청
종료 기준은 변경 기록에 함께 남깁니다. 예를 들어 수정판을 배포했거나 분석 결과를 받았다면 해당 단말에서 정책이 제거됐는지 확인한 뒤 동일한 정상 작업을 다시 수행합니다. 업무가 완료되는지와 탐지가 다시 나타나는지를 함께 확인합니다. 설치 버전이나 파일 경로가 바뀌면 변경된 파일의 배포 기록과 해시를 다시 대조한 다음 기존 예외를 유지할 근거가 남았는지 판단합니다.
결론
폴더 전체 예외 요청을 받으면 중단 시각에 나온 탐지 대상 경로, 연관 프로세스, 조치 결과를 먼저 기록합니다. 파일을 특정한 다음 승인 배포본과 대조하고, 지연 사례는 같은 정상 작업에서 업무 시간과 검사 시간을 함께 확인합니다. 증거가 부족한 요청은 빠진 항목을 공급사에 요청합니다. 임시 조치를 승인할 근거가 확인되면 영향 범위와 회수 조건을 같은 변경 기록에 남깁니다.