Linux에서 엔드포인트용 Microsoft Defender 대한 제외 구성 및 유효성 검사

적용 대상:

• 엔드포인트 서버용 Microsoft Defender
• 서버용 Microsoft Defender

엔드포인트용 Defender를 경험하고 싶으신가요? 무료 평가판을 신청하세요.

이 문서에서는 엔드포인트용 Microsoft Defender 대한 바이러스 백신 및 전역 제외를 정의하는 방법에 대한 정보를 제공합니다. 바이러스 백신 제외는 주문형 검사, RTP(실시간 보호) 및 BM(동작 모니터링)에 적용됩니다. 글로벌 제외는 RTP(실시간 보호), BM(동작 모니터링) 및 EDR(엔드포인트 검색 및 응답)에 적용되므로 관련된 모든 바이러스 백신 검색, EDR 경고 및 제외된 항목에 대한 가시성을 중지합니다.

Linux의 엔드포인트용 Defender에서 특정 파일, 폴더, 프로세스 및 프로세스 열기 파일을 제외할 수 있습니다.

제외는 organization 고유하거나 사용자 지정된 파일 또는 소프트웨어에서 잘못된 검색을 방지하는 데 유용할 수 있습니다. 전역 제외는 Linux의 엔드포인트용 Defender로 인한 성능 문제를 완화하는 데 유용합니다.

지원되는 제외 범위

이전 섹션에서 설명한 대로 바이러스 백신() 및 전역(eppglobal) 제외의 두 가지 제외 범위를 지원합니다.

바이러스 백신 제외는 EDR 가시성을 유지하면서 실시간 보호에서 신뢰할 수 있는 파일 및 프로세스를 제외하는 데 사용할 수 있습니다. 전역 제외는 센서 수준에서 적용되며, 처리가 완료되기 전에 흐름 초기에 제외 조건과 일치하는 이벤트를 음소거하여 모든 EDR 경고 및 바이러스 백신 검색을 중지합니다.

지원되는 제외 유형

다음 표에서는 Linux의 엔드포인트용 Defender에서 지원하는 제외 유형을 보여 있습니다.

파일, 폴더 및 프로세스 제외는 다음 와일드카드를 지원합니다.

제외 목록을 구성하는 방법

관리 콘솔 사용

Puppet, Ansible 또는 다른 관리 콘솔 제외를 구성하려면 다음 샘플을 mdatp_managed.json참조하세요.

{
   "exclusionSettings":{
     "exclusions":[
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/home/*/git<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":true,
           "path":"/run<EXAMPLE DO NOT USE>",
           "scopes": [
              "global"
           ]
        },
        {
           "$type":"excludedPath",
           "isDirectory":false,
           "path":"/var/log/system.log<EXAMPLE DO NOT USE><EXCLUDED IN ALL SCENARIOS>",
           "scopes": [
              "epp", "global"
           ]
        },
        {
           "$type":"excludedFileExtension",
           "extension":".pdf<EXAMPLE DO NOT USE>",
           "scopes": [
              "epp"
           ]
        },
        {
           "$type":"excludedFileName",
           "name":"/bin/cat<EXAMPLE DO NOT USE><NO SCOPE PROVIDED - GLOBAL CONSIDERED>"
        }
     ],
     "mergePolicy":"admin_only"
   }
}

자세한 내용은 Linux의 엔드포인트용 Defender에 대한 기본 설정 설정을 참조하세요.

명령줄 사용

다음 명령을 실행하여 제외를 관리하는 데 사용할 수 있는 스위치를 확인합니다.

mdatp exclusion

예제:

• 파일 확장명(확장명 제외는 전역 제외 scope 지원되지 않음)에 대한 제외를 추가합니다.

  mdatp exclusion extension add --name .txt
  

  Extension exclusion configured successfully
  

  mdatp exclusion extension remove --name .txt
  

  Extension exclusion removed successfully
  

• 파일에 대한 제외를 추가/제거합니다(전역 scope 제외를 추가하거나 제거하는 경우 파일 경로가 이미 있어야 합니다.)

  mdatp exclusion file add --path /var/log/dummy.log --scope epp
  

  File exclusion configured successfully
  

  mdatp exclusion file remove --path /var/log/dummy.log --scope epp
  

  File exclusion removed successfully"
  

  mdatp exclusion file add --path /var/log/dummy.log --scope global
  

  File exclusion configured successfully
  

  mdatp exclusion file remove --path /var/log/dummy.log --scope global
  

  File exclusion removed successfully"
  

• 폴더에 대한 제외 추가/제거:

  mdatp exclusion folder add --path /var/log/ --scope epp
  

  Folder exclusion configured successfully
  

  mdatp exclusion folder remove --path /var/log/ --scope epp
  

  Folder exclusion removed successfully
  

  mdatp exclusion folder add --path /var/log/ --scope global
  

  Folder exclusion configured successfully
  

  mdatp exclusion folder remove --path /var/log/ --scope global
  

  Folder exclusion removed successfully
  

• 두 번째 폴더에 대한 제외를 추가합니다.

  mdatp exclusion folder add --path /var/log/ --scope epp
  mdatp exclusion folder add --path /other/folder  --scope global
  

  Folder exclusion configured successfully
  

• 와일드카드가 포함된 폴더에 대한 제외를 추가합니다.

  참고

  와일드카드는 전역 제외를 구성하는 동안 지원되지 않습니다.

  mdatp exclusion folder add --path "/var/*/tmp"
  

  참고

  / var/*/tmp/의 경로만 제외되지만 tmp의 형제인 폴더는 제외되지 않습니다. 예를 들어 /var/this-subfolder/tmp이지만 /var/this-subfolder/log는 아닙니다.

  mdatp exclusion folder add --path "/var/" --scope epp
  

  또는

  mdatp exclusion folder add --path "/var/*/" --scope epp
  

  참고

  그러면 부모가 /var/; 인 모든 경로가 제외됩니다. 예: /var/this-subfolder/and-this-subfolder-as-well.

  Folder exclusion configured successfully
  

• 프로세스에 대한 제외를 추가합니다.

  mdatp exclusion process add --name /usr/bin/cat --scope global 
  

  Process exclusion configured successfully
  

  mdatp exclusion process remove --name /usr/bin/cat  --scope global
  

  Process exclusion removed successfully
  

    mdatp exclusion process add --name /usr/bin/cat --scope epp 
  

  Process exclusion configured successfully
  

  mdatp exclusion process remove --name /usr/bin/cat  --scope epp
  

  Process exclusion removed successfully
  

• 두 번째 프로세스에 대한 제외를 추가합니다.

  mdatp exclusion process add --name cat --scope epp
  mdatp exclusion process add --name dog --scope global
  

  Process exclusion configured successfully
  

EICAR 테스트 파일을 사용하여 제외 목록 유효성 검사

를 사용하여 curl 테스트 파일을 다운로드하여 제외 목록이 작동하는지 확인할 수 있습니다.

다음 Bash 코드 조각에서 를 제외 규칙을 준수하는 파일로 바꿉 test.txt 니다. 예를 들어 확장을 제외한 경우 를 .testing 로 test.testing바꿉니다test.txt. 경로를 테스트하는 경우 해당 경로 내에서 명령을 실행해야 합니다.

curl -o test.txt https://secure.eicar.org/eicar.com.txt

Linux의 엔드포인트용 Defender가 맬웨어를 보고하는 경우 규칙이 작동하지 않습니다. 맬웨어에 대한 보고가 없고 다운로드한 파일이 있는 경우 제외가 작동합니다. 파일을 열어 내용이 EICAR 테스트 파일 웹 사이트에 설명된 내용과 동일한지 확인할 수 있습니다.

인터넷에 액세스할 수 없는 경우 고유한 EICAR 테스트 파일을 만들 수 있습니다. 다음 Bash 명령을 사용하여 새 텍스트 파일에 EICAR 문자열을 씁니다.

echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > test.txt

빈 텍스트 파일에 문자열을 복사하여 파일 이름 또는 제외하려는 폴더에 저장하려고 시도할 수도 있습니다.

위협 허용

특정 콘텐츠가 검사되지 않도록 제외하는 것 외에도 일부 위협 클래스(위협 이름으로 식별됨)를 검색하지 않도록 제품을 구성할 수도 있습니다. 이 기능을 사용할 때는 디바이스가 보호되지 않도록 할 수 있으므로 주의해야 합니다.

허용된 목록에 위협 이름을 추가하려면 다음 명령을 실행합니다.

mdatp threat allowed add --name [threat-name]

디바이스에서 검색과 연결된 위협 이름은 다음 명령을 사용하여 가져올 수 있습니다.

mdatp threat list

예를 들어 허용된 목록에 (EICAR 검색과 연결된 위협 이름)을 추가 EICAR-Test-File (not a virus) 하려면 다음 명령을 실행합니다.

mdatp threat allowed add --name "EICAR-Test-File (not a virus)"