Antimalware Service Executable CPU high

😠 증상

작업 관리자 내 CPU 점유율 확인 시 Antimalware Service Executable 프로세스가 50% 이상 차지하는 현상 발생

조치

🙅‍♀️ 1차 작업 스케줄러 조정

작업 스케줄러 라이브러리> Microsoft> Windows > Windows Defender > Windows Defender Scheduled Scan > 일반 - 가장 높은 수준의 권한으로 실행 옵션 취소 ,
조건 - 전원에 있는 항목 모두 옵션 취소

🙅‍♀️ 2차 바이러스 및 위협 실시간 감사 제외 설정

Windows 설정 > 업데이트 및 보안 > Windows 보안 > Windows 보안 열기 > 바이러스 및 위협 방지 > 바이러스 및 위협 방지 설정 - 설정 관리 > 제외 - 제외 추가 또는 제거 > MsMpEng.exe 경로 제외

💁‍♀️ ※ Windows Server 2019 기준 3개의 디렉토리 내 파일이 존재하여 모두 제외

처음에는 작업 관리자에 CPU 부하를 일으키는 프로세스의 실행파일 경로만 제외하였으나 해결되지 않아 모두 제외

C:\Program Files\Widnows Defender\MsMpEng.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\버전1\MsMpEng.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\버전2\MsMpEng.exe

필요 시 리부팅을 진행합니다.

🙅‍♀️ 3차 CPU 할당량 10%로 제한 설정

Set-MpPreference -ScanAvgCPULoadFactor 10
Get-MpPreference | select ScanAvgCPULoadFactor
===

ScanAvgCPULoadFactor
--------------------
                  10

===

🙅‍♀️ 4차 로컬 그룹 정책 편집기 Windows Defender 바이러스 백신 사용 안 함 '사용'

실행 또는 윈도우 로고 - 검색 > gpedit.msc > 컴퓨터 구성 > 관리 템플릿 > Windows 구성요소 > Windows Defender 바이러스 백신 > Windows Defender 바이러스 백신 사용 안 함 - 사용 (E) 설정

💁‍♀️ 위 작업을 거치면 Antimalware Service Executable 프로세스가 종료됨과 동시에 실시간 보호 기능이 꺼지기 때문에 빠르게 CPU 부하를 낮출 수 있으나 근본적 해결이 되지 않습니다.

🙆‍♀️ 5차 최신 설치 S/W 점검

위 작업들을 모두 거친 뒤에도 변화가 없다면 이제 cpu high 시점 직전에 한 작업과 행위를 돌아볼 필요가 있습니다. 어느 시점에 cpu 부하가 급증하였는지 파악하고 바로 직전 작업들부터 원복을 해봅니다.

4차 작업을 통해 Antimalware Service Executable 프로세스 종료 후 다른 프로세스가 갑자기 CPU 차지율이 급증하는 것을 발견했습니다.

추가적으로 조회한 리소스 내역입니다.

System 프로세스 상세내역은 ntoskrnl.exe (시스템 커널, 관리 프로세스), rg.exe 는 vscode 관련 프로세스로 최근 vscode-server 운영이 추가되었음을 확인하였습니다.

vscode-server 폴더를 2차 바이러스 및 위협 실시간 감사 제외 설정에 추가하였음에도 증상 완화가 되지 않아 vscode-server 일반 사용인지 확장 모듈 설치 또는 업그레이드 때문인지 원인 파악 중 vscode 삭제 최종 결정하게 되었습니다.

💁‍♀️ 관련 사례

3일 모니터링 시 Antimalware Service Executable CPU high 증상은 사라졌습니다.