Windows Server 2022 파일 서버에서 서명되지 않은 코드가 실행되지 않도록 방지하고, Microsoft 서명 및 Contoso 서명 바이너리/드라이버만 허용하며, 적용 전에 일주일 동안 감사 모드에서 시작해야 합니다. 어떻게 해야 할까요?

Windows Defender Application Control (WDAC)은 서명되지 않은 코드가 실행되지 않도록 방지하고 특정 게시자의 코드만 허용하는 가장 강력하고 유연한 방법입니다. 다중 정책 형식으로 Microsoft 및 Contoso 게시자 규칙을 허용하는 기본 정책을 생성한 다음, 감사 모드(Enabled: Audit Mode)로 설정하여 적용 전에 잠재적인 문제를 식별할 수 있습니다. 정책을 바이너리(.cip)로 변환하여 C:\Windows\System32\CodeIntegrity\CiPolicies\Active 경로에 배포하면 시스템에 적용됩니다. 유효성 검사 후 적용 모드로 전환하여 정책을 강제할 수 있습니다. AppLocker는 사용자 모드 애플리케이션에 적합하지만 커널 모드 드라이버를 제어하는 데는 제한적입니다. SmartScreen은 주로 클라이언트 시스템의 웹 기반 위협으로부터 보호하며 서버 환경의 코드 무결성 제어에는 적합하지 않습니다. 소프트웨어 제한 정책(SRP)은 WDAC보다 기능이 적고 구성이 복잡하며 최신 Windows 버전에서는 WDAC가 권장됩니다.