실제 랜섬웨어에 대해 Windows 11 25H2를 테스트했습니다. 발생한 상황은 다음과 같습니다.

테스트 설정 방법

Windows 11에 대한 랜섬웨어 테스트는 실제로 하나의 바이러스 백신이 아닌 4개의 개별 계층에 대한 테스트입니다. 비디오에서 테스트는 완전히 격리된 실험실 내부의 Windows 11 25H2에서 실행되며, 이후에 지워지는 일회용 기계에서 실행됩니다. 이는 이러한 테스트를 수행할 수 있는 유일한 안전한 방법입니다. 대답되는 질문은 단순히 "바이러스 백신이 이를 포착했는가?"가 아니라 실제 암호화 도구가 풀렸을 때 각 내장 레이어가 순서대로 어떻게 작동하는지입니다.

레이어 1 - SmartScreen이 문 앞에서 파일을 판단합니다

대부분의 랜섬웨어는 마술처럼 도착하지 않습니다. 다운로드, 이메일 첨부 파일 또는 USB 드라이브에서 복사된 파일로 도착하며 일반적으로 송장, 이력서, 소프트웨어 크랙, 청구서 등 다른 것으로 가장합니다. SmartScreen은 그 문에 있는 검문소입니다. 인터넷에서 가져온 파일을 실행하면 Windows는 해당 파일의 평판을 확인합니다. 수백만 대의 PC가 안전하게 실행했던 파일은 조용히 지나간다. 새롭거나 알 수 없는 파일이 있으면 많은 사람들이 읽지 않고 클릭하는 파란색 경고 화면이 나타납니다.

이 경고는 장식이 아닙니다. 이는 설계된 대로 정확하게 작동하는 레이어로, 이 파일에 기록이 없음을 알려줍니다. 정직한 한계: SmartScreen은 의도가 아닌 평판을 판단합니다. 새롭지만 무해한 파일은 경고를 받고, 누군가가 신고하기 전에 널리 퍼진 파일은 통과될 수 있습니다. 이는 판정이 아닌 강력한 첫 번째 필터입니다.

레이어 2 - 이면의 평판 및 클라우드 검사

Defender는 PC에 저장된 서명 데이터베이스에만 의존하지 않습니다. 클라우드 제공 보호를 사용하면 지속적으로 업데이트되는 Microsoft의 클라우드 인텔리전스와 비교하여 의심스러운 파일을 검사하고 자동 샘플 제출을 통해 의심스러운 파일을 보내 심층 분석을 수행할 수 있습니다. 이는 한 시간 전에 세계 어딘가에 나타난 위협이 다음 데이터베이스 업데이트 이후가 아닌 오늘 PC에서 인식될 수 있는 방법입니다.

이 두 토글은 Windows 보안 > 바이러스 및 위협 방지 > 바이러스 및 위협 방지 설정 > 설정 관리에서 활성화됩니다. 많은 PC에서는 기본적으로 켜져 있지만 누군가가 Windows를 "최적화"했거나 Defender 기능을 비활성화한 PC에서는 조용히 꺼져 있습니다. 이 단 하나의 차이점은 겉보기에 동일해 보이는 두 컴퓨터에서 동일한 테스트가 다르게 끝날 수 있는 이유를 설명합니다.

레이어 3 - 방어자는 파일뿐만 아니라 행동도 감시합니다

전통적인 바이러스 백신 작업은 알려진 잘못된 서명과 파일을 일치시키는 것입니다. 모든 캠페인은 이전에 누구도 본 적이 없는 새로 압축된 파일을 사용할 수 있기 때문에 랜섬웨어는 이러한 작업을 쉽게 무력화합니다. 따라서 Defender는 행동도 감시합니다. 갑자기 수백 개의 문서, 사진, 스프레드시트를 몇 초 만에 열고 다시 쓰기 시작하는 프로그램은 파일 이름이 무엇이든 간에 랜섬웨어처럼 행동하며 행동 모니터링과 실시간 보호 기능이 존재하여 이러한 패턴을 정확히 방해합니다.

행동 관찰은 강력하지만 완벽하지는 않습니다. 패턴을 부인할 수 없게 되려면 파일 몇 개 분량의 활동이 필요하며 빠른 SSD의 빠른 암호화기는 빠릅니다. 이것이 정직한 전문가가 바이러스 백신만으로 안전하다고 약속할 수 없는 정직한 이유이자 다음 계층이 존재하는 이유입니다.

레이어 4 - 제어된 폴더 액세스로 파일 자체 보호

제어된 폴더 액세스에 대한 질문이 바뀌었습니다. "이 프로그램이 나쁜가요?"라고 묻는 대신 "이 프로그램이 중요한 폴더를 만질 수 있는 허용 목록에 있습니까?"라고 묻습니다. 문서, 사진, 비디오, 음악 및 데스크톱은 기본적으로 보호되며 자신만의 작업 폴더를 추가할 수 있습니다. 신뢰할 수 없고 해당 폴더의 파일을 변경하려고 시도하는 모든 프로그램은 차단됩니다. 여기에는 레이어 1~3에서 한 번도 본 적이 없는 새로운 암호화기가 포함됩니다.

대부분의 실제 결과를 결정하는 문제는 다음과 같습니다. 일반 Windows 설치에서는 제어된 폴더 액세스가 기본적으로 꺼져 있습니다. 왜냐하면 지나치게 엄격한 보호 장치가 때때로 합법적인 프로그램을 차단할 수 있기 때문입니다. Windows 보안 > 바이러스 및 위협 방지 > 랜섬웨어 방지 > 랜섬웨어 방지 관리에서 이 기능을 켭니다. 이 가이드의 모든 설정 중에서 이것은 대부분의 가정용 PC에 없는 설정입니다.

탬퍼 방지 - 경비원 위의 경비원

위의 모든 레이어는 계속 유지되는 설정에 따라 달라집니다. 최신 악성 코드는 이를 알고 있으며 첫 번째 조치 중 하나는 조용히 Defender를 끄는 것입니다. 변조 방지는 이를 정확하게 방지하기 위해 존재합니다. 켜져 있는 동안 Defender의 주요 설정은 앱이나 스크립트로 변경할 수 없으며 Windows 보안 앱에서 사용자만 변경할 수 있습니다. 3단계에서 클라우드가 전환되는 것과 동일한 설정 관리 페이지에 있습니다.

테스트와 실제 사건에서 이는 반격하는 방어와 전투가 시작되기 전에 조용히 제거된 방어의 차이입니다. 켜져 있는지 확인하세요. 10초 정도 걸립니다.

Windows 외부 레이어 - 오프라인 백업

위의 모든 레이어는 공격을 중지하려고 합니다. 백업 계층은 공격이 성공했다고 가정하고 이를 중요하지 않게 만듭니다. 랜섬웨어는 도달할 수 없는 복사본을 암호화할 수 없으므로 하나의 백업 복사본은 감염된 PC가 쓸 수 없는 위치, 즉 백업 후 플러그를 뽑은 외부 드라이브 또는 적절한 버전 기록이 있는 클라우드 저장소에 있어야 합니다.

평결 - 점수가 아닌 체크리스트

실험실 테스트에서는 해당 설정을 사용하여 그날 선택한 샘플에 대해 이러한 레이어가 어떻게 작동하는지 보여줍니다. 영원히 승자가 되는 것은 아닙니다. 공격자는 패키징과 트릭을 끊임없이 변경하고 Microsoft는 지속적으로 인텔리전스를 업데이트합니다. Windows 11 25H2는 교체하지 않고 동일한 계층 모델을 계속 유지합니다. 대부분의 사용자에게 실질적인 차이점은 완전히 새로운 보호막이 아니라 최신 인텔리전스 및 기본값입니다.

따라서 시험에서 얻은 정직한 교훈은 점수가 아니라 체크리스트입니다. 이 다섯 가지를 올바르게 수행하면 테스트 결과의 가장 강력한 부분을 자신의 PC에서 재현할 수 있습니다. (1) SmartScreen 경고 준수, (2) 클라우드 제공 보호 켜짐, (3) 변조 방지 켜짐, (4) 제어된 폴더 액세스 활성화, (5) 하나의 백업 복사본이 오프라인으로 유지됩니다. 위의 전체 동영상을 시청하여 테스트 자체를 확인한 다음 설정을 적용하세요.