Windows 11에서 랜섬웨어 보호 활성화 및 사용 가이드

Windows 11의 랜섬웨어 보호는 기본적으로 비활성화되어 있습니다. 관리자 권한 계정으로 Windows 보안 설정에서 ‘제어된 폴더 액세스’를 켜고, 정상 앱을 허용 목록에 추가하면 랜섬웨어의 파일 암호화 및 삭제 시도로부터 데이터를 보호할 수 있습니다. 이 문서에는 설정 방법, 사용 시 주의사항, 문제 해결, 운영팀과 일반 사용자별 체크리스트, 위험 완화 방안이 포함되어 있습니다.

목차

• Windows 11에서 랜섬웨어 보호 활성화 방법
• 활성화 후 PC 사용 방법
• 랜섬웨어 보호를 켜야 하는 3가지 이유
• 왜 기본적으로 비활성화되어 있나
• 설치 및 운영 체크리스트
• 문제 해결 및 검증 절차
• 위험 매트릭스와 완화 방안
• FAQ

이미지 설명: Windows 11의 Windows Defender 보안 센터 인터페이스 화면

Windows 11에서 랜섬웨어 보호 활성화 방법

사전 준비

• 관리자 권한 계정으로 로그인했는지 확인하세요. 게스트 계정은 이 기능에 접근할 수 없습니다.
• 중요한 데이터는 외장 드라이브나 클라우드에 백업하세요.

단계별 가이드

1. 작업 표시줄의 Windows 버튼을 클릭하고 시작 메뉴에서 ‘설정’을 찾습니다. 설정을 클릭해 메뉴를 엽니다.

이미지 설명: Windows 11 시작 메뉴에서 설정 아이콘이 강조된 화면

2. 설정이 열리면 “개인정보 및 보안”을 선택합니다.

이미지 설명: Windows 설정의 개인정보 및 보안 항목 목록 화면

3. “Windows 보안” 메뉴를 찾습니다.

이미지 설명: Windows 보안 메뉴로 이동하는 화면

4. “Windows 보안 열기” 버튼을 클릭하여 Windows 보안 앱을 엽니다.

이미지 설명: Windows 보안 앱 시작 버튼이 보이는 화면

5. 새 창에서 “바이러스 및 위협 방지“를 클릭하고 아래로 스크롤하여 “랜섬웨어 보호” 항목을 찾습니다.

이미지 설명: 바이러스 및 위협 방지 메뉴와 랜섬웨어 보호 항목 위치 화면

6. “랜섬웨어 보호 관리”를 클릭합니다.

이미지 설명: 랜섬웨어 보호 관리 페이지 버튼이 보이는 Windows 보안 화면

7. 오른쪽 창에서 “제어된 폴더 액세스” 항목을 찾습니다.

이미지 설명: 제어된 폴더 액세스 옵션이 강조된 화면

8. 토글을 켜서 기능을 활성화합니다.

이미지 설명: 제어된 폴더 액세스 토글이 켜져 있는 상태의 화면

활성화 후 설정

• 보호된 폴더에 중요한 폴더(문서, 사진 등)를 추가하세요.
• 자주 사용하는 앱 중 차단되는 경우, 허용된 앱 목록에 추가합니다.

활성화 후 PC 사용 방법

랜섬웨어 보호를 활성화하면 몇 가지 운영 변경이 필요합니다. 주요 흐름은 다음과 같습니다.

1. 제어된 폴더 액세스 창에서 “제어된 폴더 액세스를 통해 앱 허용”을 클릭합니다.

이미지 설명: 제어된 폴더 액세스에서 앱 허용 항목이 표시된 화면

2. “허용된 앱 추가“를 클릭합니다.

이미지 설명: 허용된 앱 추가 버튼이 보이는 설정 화면

3. “모든 앱 찾아보기” 또는 “최근에 차단된 앱”을 선택해 Windows 보안이 차단하거나 보관한 앱 목록을 확인합니다.

이미지 설명: 최근에 차단된 앱과 전체 앱 찾아보기 옵션이 보이는 화면

4. “모든 앱 찾아보기”를 선택하면 .exe 실행 파일을 골라 허용할 수 있는 팝업이 열립니다.
5. “최근에 차단된 앱”에서는 차단된 항목을 검토하고, 필요한 항목을 허용하거나 영구 차단할 수 있습니다.

이미지 설명: 차단된 앱 목록에서 앱을 선택해 허용하거나 삭제할 수 있는 화면

팁: 정상적인 소프트웨어가 차단될 경우 해당 실행 파일(.exe)을 허용된 앱에 추가하거나, 관련 폴더를 보호된 폴더에서 제외하지 말고 앱을 허용하세요.

랜섬웨어 보호를 켜야 하는 3가지 이유

1. 갈취 및 악용 방지

랜섬웨어는 파일을 암호화하거나 시스템 접근을 차단해 금전적 요구를 합니다. 개인 사용자든 기업이든 피해는 금전, 운영 중단, 평판 손상으로 이어집니다. 랜섬웨어 보호를 켜면 암호화 시도를 차단하거나 빠르게 탐지할 수 있습니다.

2. 데이터 손실, 손상, 삭제, 도난 방지

랜섬웨어는 파일을 암호화함과 동시에 삭제하거나 외부로 유출할 수 있습니다. 보호 기능은 의심스러운 프로세스를 식별해 격리함으로써 추가 피해를 줄입니다.

3. 자동 방어와 확산 억제

랜섬웨어는 네트워크를 통해 확산될 수 있습니다. 각 단말에서 랜섬웨어 보호를 활성화하면 악성 활동이 빠르게 차단되어 내부 확산을 억제합니다.

왜 기본적으로 비활성화되어 있나

다음 이유로 Windows는 기본적으로 랜섬웨어 보호를 꺼 둡니다.

오탐지 방지

보호 기능이 활성화되면 일부 합법 프로그램이 제어된 폴더에 접근하지 못해 기능이 제한될 수 있습니다. 기본 비활성화는 일반 사용자 환경에서 빈번한 오탐을 줄여 호환성을 유지하려는 의도입니다.

타사 백신 사용 시 충돌 방지

서드파티 백신을 설치하면 해당 제품이 Windows 보안 기능을 대체합니다. 이 경우 제어된 폴더 액세스 권한도 새 백신으로 이전되어 Windows의 랜섬웨어 보호는 비활성화됩니다.

이미 시스템이 손상되었을 가능성

악성코드에 의해 시스템이 이미 손상되면 보안 서비스가 비활성화될 수 있습니다. 이 경우 먼저 시스템 복구와 클린업이 필요합니다.

설치 및 운영 체크리스트

관리자(IT 담당자)용 체크리스트

• 모든 엔드포인트에서 관리자 권한으로 랜섬웨어 보호 정책을 검토하고 활성화할지 결정
• 보호 대상 폴더 목록(문서, 공유 폴더, 백업 저장소 등)을 정의
• 기업용 소프트웨어의 정상 작동을 보장하기 위해 허용된 앱 리스트를 사전작성
• 중앙 로그(이벤트 로그, SIEM)에서 랜섬웨어 경보를 수집하도록 설정
• 정기 백업 정책 및 복구 절차를 검증

일반 사용자용 체크리스트

• 관리자 계정으로 설정을 열 수 있는지 확인
• 자주 사용하는 앱이 차단되면 허용된 앱에 추가 요청
• 중요한 파일을 정기적으로 백업
• 의심스러운 파일이나 알림이 있으면 IT에 즉시 보고

배포 SOP(간략)

1. 테스트 그룹에서 먼저 활성화하여 오탐을 관찰합니다.
2. 허용된 앱 목록 조정을 통해 업무 영향도를 최소화합니다.
3. 전체 배포 전 정책과 백업 복구 절차를 점검합니다.
4. 전체 단말에 순차적으로 배포하고 로그를 모니터링합니다.

문제 해결 및 검증 절차

일반적인 문제

• 정상 앱이 차단됨: 허용된 앱에 해당 실행 파일(.exe)을 추가합니다.
• 랜섬웨어 보호 토글이 회색으로 비활성화됨: 다른 백신이 설치되어 있거나 그룹 정책에 의해 제어될 수 있습니다.
• Windows 보안 앱이 열리지 않음: 서비스가 중지됐을 수 있으므로 Windows 보안 서비스와 관련 서비스 상태를 확인하세요.

검증 방법

1. 보호된 폴더에 가짜 테스트 파일을 생성합니다.
2. 안전한 테스트 툴(예: EICAR와 같이 검증된 악성 테스트 파일을 사용하지 않는 내부 테스트 파일)로 차단 이벤트를 유발합니다.
3. Windows 보안의 기록(차단 기록)을 확인해 이벤트가 기록되는지 검증합니다.

중요

• 실환경에서 악성 코드를 사용한 테스트는 절대 금지합니다. 대신 로그 생성과 권한 검증으로 정상 동작을 확인하세요.

위험 매트릭스와 완화 방안

위험 매트릭스

완화 원칙

• 예방: 정기 백업과 패치 적용
• 탐지: 중앙 로그 수집 및 모니터링
• 대응: 격리 절차와 복구(runbook) 준비

추가 자료와 대안

대체 접근 방식

• 엔드포인트 탐지 및 대응(EDR)을 통한 행위 기반 탐지 도입
• 백업-격리-검증 전략으로 랜섬웨어 성공 가능성을 낮춤
• 네트워크 분할 및 권한 최소화로 확산 경로 차단

검토 포인트

• 소규모 조직은 Windows 기본 보호와 정기 백업으로도 큰 효과를 볼 수 있습니다.
• 대기업은 EDR, 중앙 정책 관리, SIEM 연동이 필요합니다.

의사결정 헬프라인(간단 흐름도)

flowchart TD
  A[랜섬웨어 보호 비활성] --> B{타사 백신 설치 여부}
  B -- 예 --> C[타사 백신 정책 확인 및 중앙관리]
  B -- 아니오 --> D[Windows 보안에서 제어된 폴더 액세스 활성화]
  D --> E{앱 차단 발생}
  E -- 예 --> F[허용된 앱에 실행 파일 추가]
  E -- 아니오 --> G[모니터링 및 백업 검증]

짧은 용어집

• 랜섬웨어: 파일을 암호화하거나 시스템 접근을 차단해 금전을 요구하는 악성 소프트웨어
• 제어된 폴더 액세스: 지정한 폴더에 대해 승인된 프로세스만 쓰기/변경을 허용하는 기능
• 오탐: 정상 소프트웨어를 악성으로 잘못 식별하는 것

자주 묻는 질문

1. 랜섬웨어 보호를 켜야 하나요?

예. 랜섬웨어는 심각한 피해를 초래합니다. 기본 보호를 켜고 백업 정책을 함께 운영하세요. 개인 사용자와 기업 모두에게 권장됩니다.

2. 랜섬웨어 감염 여부는 어떻게 알 수 있나요?

• Windows 보안이 랜섬웨어 행위를 탐지하면 알림을 발송합니다.
• 시스템 속도 저하, 파일 이름이 변경되거나 확장자가 이상해지는 경우 의심해야 합니다.
• Windows 보안의 차단 기록에서 탐지된 항목을 확인하세요.

3. 랜섬웨어가 데이터를 탈취하기도 하나요?

일부 변종은 파일을 암호화하는 동시에 데이터를 외부로 유출합니다. 이는 금전 지불 이후에도 데이터 유출 위험을 발생시킵니다. 따라서 복구 전략과 예방이 핵심입니다.

4. 다른 백신을 쓰면 Windows 랜섬웨어 보호는 필요 없나요?

타사 백신이 동일하거나 더 강력한 보호를 제공한다면 중복될 수 있습니다. 그러나 중앙 정책, 로그 수집, 복구 절차 차원에서 Windows의 보호 기능을 이해하고 필요 시 보완하는 것이 좋습니다.

이미지 출처: Unsplash

요약

• Windows 11의 랜섬웨어 보호는 기본 비활성화입니다. 관리자 권한으로 설정을 활성화하세요.
• 보호를 켠 뒤에는 정상 앱을 허용 목록에 추가해 오탐을 관리해야 합니다.
• 백업과 중앙 모니터링, 테스트 절차가 병행되어야 실효성이 확보됩니다.

중요

항상 실환경에서 악성 코드 테스트는 금지되어 있습니다. 로그와 권한 검증으로 기능을 점검하세요.