Microsoft 365 감사 로그 전략: 실무 거버넌스 가이드

By Mirko Peters · 2026-04-21 · Updated 2026-07-29

Microsoft Purview Audit, 보존, 보안 모니터링, 규정 준수 증적, 실행 가능한 조사를 활용한 Microsoft 365 감사 로그 전략을 수립합니다.

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft 365 Audit Readiness and Governance Debt

Microsoft 365 감사 로그 전략에는 명확한 비즈니스 목표, 지정된 책임자, 실용적인 통제 방안이 필요합니다. 가장 위험도가 높거나 가치가 큰 사용 사례부터 시작하고, 최신 Microsoft 지침을 검증하며, 대표적인 사용자와 함께 테스트하고, 확장하기 전에 결정 사항을 문서화하십시오. 이렇게 하면 구현이 유용하고 지속 가능하며, 보안 및 거버넌스 요구 사항과도 일관되게 유지됩니다.

Microsoft 365 감사 로그 전략: 실무 체크리스트

시나리오, 책임자, 결정 기준을 정의합니다.
보안, 액세스, 라이선스, 운영상의 영향을 검토합니다.
광범위하게 배포하기 전에 결과를 테스트하고, 문서화하고, 검토합니다.

최신 지침은 Microsoft Learn에서 확인하십시오.

최종 검토: 2026년 7월.

M을 위한 효과적인 감사 로그 전략 구축

Microsoft 365를 조직에서 운영하고 계시다면, 감사 로그는 선택 사항이 아니라 규정 준수와 보안 체계의 핵심입니다. 이 가이드는 감사 로그를 관리하고 세부적으로 조정하며 실질적인 가치를 얻는 데 필요한 모든 측면을 안내합니다. 어떤 활동이 기록되는지, 로그가 얼마나 오래 보관되는지, 그리고 다양한 보고 도구의 세부 사항을 명확하게 이해하실 수 있습니다.

SharePoint와 Teams부터 Exchange 등 팀이 실제로 사용하는 모든 서비스를 포함하여, Microsoft 365 환경 전반에서 감사 로깅을 사용하도록 설정하는 실습 단계를 제공합니다. 고급 관리 전략을 자세히 살펴보고, 로그 보존을 위한 실용적인 팁과 예산과 보안 및 규제 요구 사항의 균형을 맞추는 비용 효율적인 방법도 소개합니다.

이는 단순히 규정 준수 체크리스트를 채우기 위한 것이 아닙니다. 감사 로그가 보안 모니터링, 사고 대응, 그리고 근거 기반 의사 결정의 토대가 되는 방식을 보여 드립니다. 특히 하이브리드 및 원격 근무 환경 모니터링, 로그 관리 규모 확장, 통합 모니터링을 위한 데이터 통합과 같은 현재의 과제에 주목합니다. 보안 위험을 줄이고자 하든, 감사를 무사히 통과하고자 하든, 아니면 M365의 변화를 따라가고자 하든, 이 가이드는 탄력적이고 효율적이며 미래지향적인 로깅 전략의 기반을 마련해 줍니다.

정의

Microsoft 365 감사 로깅은 Exchange Online, SharePoint, OneDrive, Teams, Azure AD 등 Microsoft 365 서비스 전반에서 사용자, 관리자, 시스템 작업을 기록하는 중앙화된 기능입니다. 이를 통해 보안, 규정 준수 및 포렌식 목적을 위한 변경 불가능한 이벤트 추적 기록을 생성합니다.

간략 설명 : 감사 로그는 로그인, 파일 액세스, 사서함 활동, 구성 변경, 권한 상승 등 Microsoft 365 전반에서 누가, 언제, 어디서 무엇을 했는지 기록합니다. 이를 통해 의심스러운 활동을 탐지하고, 규제 요건을 충족하며, 조사를 수행하고, 사고 대응을 위한 증적을 확보할 수 있으므로 감사 로그 전략 M365 구현의 기반이 됩니다. 관리자는 Microsoft Purview 규정 준수 포털, 고급 감사 기능, API를 사용하여 이러한 로그를 검색, 내보내기, 보존할 수 있습니다. 효과적으로 활용하려면 완전성과 무결성을 보장하기 위해 로깅 수준, 보존 정책, 알림, 안전한 로그 저장소를 구성해야 합니다.

Microsoft 365 감사 로깅의 기본 이해

설정을 켜거나 대시보드를 살펴보기 전에, Microsoft 365에서 감사 로깅이 실제로 무엇을 의미하는지 이해해 두는 것이 좋습니다. 이 로그는 SharePoint의 파일 편집부터 Teams의 채팅 삭제, Exchange의 사서함 액세스에 이르기까지 모든 M365 워크로드에서 누가, 언제, 어디서 무엇을 했는지에 대한 기록입니다. '감사 로그'를 떠올릴 때는 환경 전반의 작업을 파악할 수 있도록 시간이 기록된 상세한 추적 기록을 생각하시면 됩니다.

감사 로깅은 단순한 기술 작업이 아닙니다. 조직의 전반적인 거버넌스와 위험 관리에서 핵심적인 부분입니다. 이러한 로그는 비정상적인 동작을 포착하고, 사고를 조사하고, 규정 준수를 입증하며, 감사관이 필연적으로 방문했을 때 통제 상태를 유지하는 데 도움이 됩니다. 규제가 강화되면서 견고한 로깅 설정은 인증을 유지하고 규제 벌금을 피하기 위해 반드시 필요해졌습니다.

Microsoft 365에는 여러 수준의 감사 로깅이 포함되어 있으며, 일부 기능은 라이선스 등급이나 지역에 따라 달라집니다. 이러한 로그는 사용자 로그인, 공유 활동, 관리자 변경 작업부터 적절한 라이선스를 사용하는 경우 제공되는 심층 신호까지 여러 서비스에 걸쳐 있습니다. 따라서 기본기를 확실히 다져 두면 나중에 중요한 정보를 놓치지 않고, 배포, 문제 해결, 보고를 더 원활하게 진행할 수 있습니다.

다음 섹션에서는 이러한 로그를 실제로 사용하도록 설정하고 구성하는 방법을 설명합니다. 클릭 중심으로 진행하려면 Microsoft Purview 포털을, 자동화를 선호한다면 PowerShell을 사용하는 방법을 다룹니다. 감사 추적에서 소음이 아닌 실질적인 가치를 얻을 수 있도록 함께 살펴보겠습니다.

Microsoft 365 감사 로깅에 대한 놀라운 사실 7가지

통합 로그가 모든 활동을 즉시 기록하는 것은 아닙니다: Microsoft 365 통합 감사 로그는 여러 신호를 중앙에서 수집하지만, 이벤트가 표시되기까지 최대 24시간(경우에 따라 그 이상)이 걸릴 수 있습니다. 이는 감사 로깅 전략 m365의 실시간 구성 요소에 영향을 줍니다.
서비스마다 기본 보존 기간이 다릅니다: SharePoint, Exchange, Teams, AzureAD 이벤트는 기본 보존 기간이 서로 다를 수 있습니다. 따라서 감사 로깅 전략 m365에서는 규정 준수 요구 사항을 충족하기 위해 보존 정책을 명시적으로 구성하거나 장기 내보내기를 활용해야 합니다.
명시적으로 사용하지 않으면 기록되지 않는 활동이 있습니다: 일부 민감한 작업(예: 사서함 감사, 특정 관리자 작업)은 캡처하려면 사용하도록 설정하거나 라이선스를 갖추어야 합니다. 따라서 감사 로깅 전략 m365에는 서비스별 감사 설정을 확인하는 절차가 반드시 포함되어야 합니다.
내보내기 및 저장소 한도가 아키텍처에 영향을 줍니다: 통합 감사 로그에는 조절(throttling), API 한도, 크기 관련 고려 사항이 있습니다. 효과적인 감사 로깅 전략 m365는 내구성 있고 검색 가능한 아카이브를 위해 데이터를 Azure Storage, Sentinel 또는 SIEM으로 오프로드하는 경우가 많습니다.
검색 결과는 오해를 낳을 수 있습니다. 결과는 샘플링되고 페이지로 나뉩니다: 보안 및 규정 준수 센터의 감사 로그 검색은 페이징을 사용하며, 한 번의 쿼리로 과거 항목을 모두 반환하지 않을 수 있습니다. 포렌식 완전성을 확보하려면 감사 로깅 전략 m365는 체계적인 내보내기에 의존해야 합니다.
개인 정보 보호 및 수정(redaction)이 볼 수 있는 내용에 영향을 줍니다: 사용자 개인 정보 보호, 보존 레이블, 데이터 거버넌스는 감사 결과의 세부 정보를 수정하거나 숨길 수 있습니다. 사각지대를 피하려면 감사 로깅 전략 m365를 계획할 때 거버넌스 및 법적 요구 사항을 포함하십시오.
중요한 신호 상당수는 통합 감사 로그 외부에 있습니다: 엔드포인트 텔레메트리, Azure AD 로그인 진단, 조건부 액세스 보고는 별도의 수집기가 필요한 경우가 많습니다. 포괄적인 감사 로깅 전략 m365는 완전한 적용 범위를 위해 이러한 소스를 통합해야 합니다.

Microsoft 365에서 감사 로깅을 사용하도록 설정하는 방법

권한 확인: 일반적으로 “규정 준수 관리자” 또는 “전역 관리자” 같은 적절한 관리자 역할이 필요합니다. 이 역할이 없으면 감사 로깅 기능을 관리할 수 없습니다.
Purview 규정 준수 포털로 이동: Microsoft Purview 규정 준수 포털로 이동하십시오. 이곳이 감사 로그 설정, 조사 및 보고를 위한 중앙 허브입니다.
감사 켜기: 현재 대부분의 테넌트에서는 감사가 기본적으로 사용하도록 설정되어 있습니다. 하지만 메시지가 표시되면 “사용자 및 관리자 활동 기록 시작”을 클릭하십시오. 그러면 조직의 활동이 기록됩니다.
라이선스 요구 사항 확인: 장기 보존이나 더 풍부한 신호와 같은 일부 고급 로깅 기능에는 Microsoft 365 E5 또는 프리미엄 추가 기능이 필요합니다. 중요한 로그 범위를 놓치지 않도록 라이선스를 검토하십시오.
상태 확인: 감사 섹션에서 로깅이 활성 상태인지 확인하십시오. 활성 상태가 아니라면 다음 단계로 넘어가기 전에 권한 또는 구독상의 장애 요인을 해결하십시오.
로깅 범위 검토: 감사 로그는 Exchange, SharePoint, Teams 등을 포함합니다. 다만 세부 수준은 서비스와 라이선스에 따라 다를 수 있습니다.

더 자세한 시각 자료와 감사 로그 계층에 대해서는 Microsoft Purview를 활용한 사용자 활동 감사 가이드를 참고하시기 바랍니다.

PowerShell로 감사 로그 구성하기

Exchange Online PowerShell에 연결: PowerShell을 열고 Connect-ExchangeOnline cmdlet으로 연결합니다. 관리자 권한이 있는 계정으로 로그인합니다.
통합 감사 로깅 사용: 이전 테넌트에서 필요한 경우 Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true를 사용합니다. 대부분의 최신 테넌트는 통합 로깅이 이미 사용하도록 설정되어 있지만, 확인해 두는 것이 좋습니다.
사서함 감사 사용: Exchange의 경우 Set-Mailbox -Identity "user@domain.com" -AuditEnabled $true를 실행하여 사서함 활동이 기록되도록 합니다.
대규모 배포 스크립트화: PowerShell 스크립트로 사용자나 그룹을 순회하며 대량 변경을 자동화합니다. 특히 대규모 환경을 관리할 때는 로깅과 오류 처리를 포함하십시오.
검증 및 감사: Get-Mailbox | FL Name,AuditEnabled를 사용하여 모든 사서함의 감사 상태를 검토합니다. 배포 후에도 감사 구성을 정기적으로 확인하십시오.

이러한 스크립트를 배포 파이프라인에 통합하여 감사 체계를 확장 가능하고 일관되게 유지하는 방법을 고민해 보십시오. PowerShell과 자동화에 대한 추가 팁이 필요하시다면 PowerShell 자동화를 통한 Microsoft 365 거버넌스 운영화(팟캐스트 에피소드 리디렉션)에서 최신 조언을 확인해 보십시오.

감사 로그 관리 및 보존 전략

감사 로그를 켜는 것은 시작에 불과합니다. 진짜 과제이자 기회는 조직의 활동이 늘어날 때 이러한 로그를 효율적으로 관리하는 데 있습니다. 보존과 관리는 얼마나 많은 데이터를, 얼마 동안 보관해야 하는지, 그리고 규정 준수 요청부터 IT 조사까지 모든 상황을 어떻게 처리할지를 판단하는 문제입니다. 이 과정에서 불필요한 스토리지 비용에 발목 잡히거나 중요한 것을 놓치지 않아야 합니다.

이 섹션에서는 정책 설정에서 적절한 균형을 찾는 방법을 살펴봅니다. 로그를 너무 짧게 보관하면 필요할 때 결정적인 증거가 사라질 수 있습니다. 반대로 영구 보관하면 비용이 늘고 개인정보 보호 문제가 생길 수 있습니다. 효과적인 보존 전략은 비즈니스의 위험 허용 범위와 운영 현실을 고려하면서도, 규정 준수 요건(GDPR, HIPAA 등)에 맞춰야 합니다.

지속 가능한 로그 관리를 위해서는 운영 루틴을 마련해야 합니다. 누가 로그를 검토할지, 얼마나 자주 검토할지, 그리고 지속적인 접근성, 보안, 정확성을 어떻게 보장할지 고려하십시오. 데이터 양이 급증하면(특히 하이브리드 환경이나 빠르게 성장하는 팀의 경우) 비용 통제와 거버넌스를 위해 쇼백(showback)과 소유권 검토 같은 방식이 필수적입니다. 관련 내용은 Microsoft 365 IT 비용 관리를 위한 쇼백 책임성 같은 에피소드에서 확인할 수 있습니다.

이 글에서는 워크로드별로 실용적인 보존 정책을 설정하는 방법, 로그를 체계적으로 정리하고 보호하는 방법, 그리고 환경이 발전함에 따라 도움이 되는 관리 습관을 다룹니다. 각 세부 모범 사례를 살펴보기 전에, 소유권, 정기 검토, 정책 시행이 감사 로그 관리의 핵심이라는 점을 생각해 보십시오. 이는 감사를 통과하기 위해서뿐만 아니라 일상적인 보호와 운영 명확성을 위해서도 중요합니다.

Microsoft 365에서 감사 로그 보존 정책 설정하기

기본 보존 이해하기: 표준 감사 로그는 일반적으로 M365 E3 라이선스에서 90일 동안 보존됩니다. E5 및 Premium 플랜은 설정에 따라 감사 레코드를 1년 이상 보관할 수 있습니다.
규제 요구 사항 평가: 최소 보존 기간을 정하는 규정 또는 인증(GDPR, HIPAA, SOX 등)을 확인합니다. 이를 기준으로 특定 로그를 얼마나 오래 보관해야 하는지 결정합니다.
워크로드별 정책 맞춤 설정: 위험과 규정 준수 요구에 맞춰 Exchange, SharePoint, Teams 같은 서비스마다 서로 다른 보존 기간을 설정합니다.
비용과 위험의 균형 맞추기: 스토리지 비용과 법적·운영상 위험을 함께 따져 보십시오. 때로는 더 긴 보존 기간이 매우 중요하지만, "혹시 몰라서"라는 이유만으로 불필요한 로그를 보관하지는 마십시오.
구성 및 검토: Microsoft Purview를 사용해 이러한 정책을 설정하고, 여전히 적절한지 정기적으로 감사하십시오. 새로운 비즈니스 또는 규제 요인이 생기면 정책을 업데이트하십시오.

보존 계획을 데이터 손실 방지(DLP)와 함께 세우고 계시다면, Microsoft 365 보안 및 규정 준수 시너지를 높이는 데 도움이 되는 Microsoft 365에서 DLP를 설정하고 정책을 통합하는 방법에 관한 이 자료를 들어 보시기 바랍니다.

감사 로그 관리를 위한 모범 사례

정기적인 검토 수행: 감사 로그를 주기적으로 검토하여 이상 징후, 잘못된 구성 또는 새로운 위험의 신호를 탐지하십시오. 로그를 수집하기만 하지 말고 활용하십시오.
안전한 액세스 보장: 감사 로그 액세스 권한은 적절한 역할에만 부여하십시오. 강력한 인증을 사용하고, 실패한 액세스 시도를 모니터링하여 내부 또는 외부 위협을 줄이십시오.
전략적인 아카이빙: 장기간 보관해야 하는 로그에 대한 아카이빙 전략을 수립하여, 법적 보존(legal hold)이나 향후 감사에 대비해 로그가 손상되지 않고 접근 가능한 상태를 유지하도록 하십시오.
변경 사항 모니터링: 권한 상승이나 로깅 정책 자체의 변경과 같은 의심스러운 변경에 대한 경고를 설정하십시오. 이를 통해 변조 시도를 조기에 발견할 수 있습니다.
소유권과 프로세스 문서화: 감사 결과를 누가 검토하고, 관리하고, 에스컬레이션할지 명확한 책임을 할당하십시오. 진정한 거버넌스는 기술이 아니라 의도적인 프로세스에서 나옵니다.

기본 제공 컨트롤을 넘어선 거버넌스에 필요한 통찰을 원하신다면 Microsoft 365의 거버넌스 착각을 확인하고 혼란을 피하는 방법을 알아보십시오. 최종 사용자를 불편하게 하지 않으면서 보안을 강화하고 싶다면, 이 실용적인 보안 구성 가이드에도 모범 사례가 나와 있습니다.

감사 로그를 규정 준수 및 보안 모니터링과 통합하기

감사 로그는 감사 시점까지 가만히 쌓여 있기만 하는 것이 아닙니다. 모든 규정 준수 프로그램의 핵심 구성 요소이자 보안 운영의 최전선 방어 도구입니다. 규제가 엄격한 산업에서는 올바른 감사 추적을 유지하는 것이 원활한 감사와 막대한 과태료 사이의 차이를 만들 수 있습니다. 로그는 사전 모니터링과 사후 인시던트 대응 모두에 명확한 증거를 제공합니다.

이 섹션에서는 Microsoft 365 감사 로그가 SOX, HIPAA, GDPR 등 다양한 규정 준수 표준에 어떻게 대응하는지, 그리고 지속적인 규정 준수를 측정하고 입증하거나 문제가 발생했을 때 이를 감지하는 데 어떻게 도움이 되는지 소개합니다. 하지만 규정 준수만이 전부는 아닙니다. 로그는 포렌식 조사를 뒷받침하고, 위협 탐지를 강화하며, 사용자 활동, 시스템 변경, 위험 신호 사이의 연관성을 파악하는 데도 도움을 줍니다.

이러한 유용한 데이터도 실제 보안 인텔리전스로 전환할 수 있어야 가치가 있습니다. 이때 Microsoft 365를 더 넓은 클라우드 및 온프레미스 보안 플랫폼과 연결하는 SIEM 도구와의 통합이 큰 효과를 냅니다. 스마트한 통합은 통합 모니터링, 더 빠른 인시던트 분류, 더 효율적인 보안 워크플로를 가능하게 합니다. 또한 숨겨진 AI 에이전트 활동이나 규정 준수 편차와 같은 새로운 위험에 대응하는 데 필요한 맥락도 얻을 수 있습니다. 이에 대해서는 Defender for Cloud로 규정 준수를 모니터링하는 가이드와 AI 에이전트와 섀도 IT 거버넌스를 깊이 있게 다룬 자료 같은 리소스에서 더 자세히 다룹니다.

요약하면, 감사 로깅을 더 넓은 규정 준수 및 보안 생태계와 통합하면 "체크리스트 완료"에서 "완전한 보호"로 나아갈 수 있습니다. 이어지는 섹션에서는 규정 준수, 보안 조사, 실시간 모니터링에서 이 로그들이 맡는 핵심 역할을 살펴보겠습니다.

규정 준수 및 규제 표준을 위한 감사 로그 활용

핵심 로그 유형 식별: 업계 표준에서 요구하는 중요한 로그에 집중하십시오. 예를 들어 관리자 활동, 데이터 액세스, 공유 이벤트, Purview의 정책 변경 등이 해당됩니다.
감사 준비 상태 입증: Microsoft Purview의 감사 보고서와 대시보드를 활용하면 규제 검토나 제3자 감사에 필요한 증거를 빠르게 정리할 수 있어, 준비 과정이 한결 간소해집니다.
복잡한 시나리오 지원: 자동 저장이나 공동 작성 같은 기능의 경우 로그에서 기록이 압축되어 보일 수 있다는 점에 유의하십시오. 증거는 정적인 보존 설정이 아니라 실제 사용자 행동을 반영해야 합니다.
증거 수집 자동화: Copilot/Azure AI의 영향이나 기타 고급 규정 준수 시나리오를 조사할 때 Purview와 Sentinel을 활용하여 로그를 수집하고 내보내십시오.
규정 준수 격차 해소: 로그 적용 범위를 규제 요건과 주기적으로 비교 검토하고, 새로운 데이터 흐름이나 워크플로를 포함하도록 정책을 업데이트하십시오.

숨겨진 규정 준수 편차를 자세히 알아보려면 M365 보존 규정 준수 편차에 관한 이 팟캐스트 에피소드를 확인하십시오. Copilot 및 기타 AI 기능을 보호하고 있다면 AI 프로젝트를 규정에 맞고 통제된 상태로 유지하는 단계를 확인하십시오.

Microsoft 365 감사 로그를 활용한 보안 감사 및 조사

핵심 필드 분석: 심층 조사에는 타임스탬프, 사용자, 워크로드, 클라이언트 IP, 이벤트 세부 정보를 활용하십시오. 이러한 단서는 여러 서비스에 걸쳐 의심스러운 사용자 활동을 추적하는 데 필수적입니다.
인시던트 워크플로 따르기: 예기치 않은 공유나 로그인 이벤트 같은 경보 또는 탐지 신호에서 시작하여, 필터링된 감사 로그를 사용해 계정, 디바이스, 서비스 전반의 단서를 따라가십시오.
위협 패턴 식별: 관련 로그를 검토하고 알려진 패턴을 살펴보면서 동의 피싱, OAuth 토큰 남용, 섀도 IT 앱 같은 공격 기법을 식별하십시오.
에스컬레이션 및 문서화: 조사 결과를 명확히 문서화하고, 修復 또는 법적 조치를 위해 에스컬레이션하십시오. 사고가 심각해질 때 좋은 감사 추적이 핵심이 됩니다.

AiTM 피싱이나 불법 앱 추적 같은 고급 위협 탐지 팁이 필요하십니까? 실제 침해 사례는 이 공격 체인 분석에서 살펴보고, 실질적인 섀도 IT 거버넌스는 이 관리 플레이북에서 확인하십시오.

Microsoft 365 감사 로깅을 위한 SIEM 통합

SIEM 선택: Microsoft Sentinel, Splunk, QRadar는 로그 모니터링을 중앙 집중화하고 플랫폼 전반의 위협을 상관 분석하는 데 많이 선택되는 도구입니다.
로그 수집 설정: 기본 제공 커넥터나 API를 통해 Microsoft 365 감사 로그를 연결하여, 올바른 데이터가 실시간으로 SIEM에 수집되도록 하십시오.
정규화 및 상관 분석: SIEM 정규화 규칙을 사용하여 로그 필드를 읽기 쉽게 만들고, M365 감사 이벤트를 Azure, Entra ID, 엔드포인트 데이터와 결합하여 더 넓은 관점에서 위협 헌팅을 수행하십시오.
대응 자동화: 감사 로그의 신호를 기반으로 SIEM에서 경보나 자동화된 워크플로를 트리거하여, 더 빠르고 조율된 인시던트 대응을 가능하게 하십시오.
지속적인 거버넌스: Azure 거버넌스 전략 인사이트와 ID 중심 보안 루프에서 강조한 대로, 통합 구성을 정기적으로 검토하여 정책 편차를 점검하고 설계 단계부터 거버넌스를 반영하십시오.

Microsoft 365 감사 로깅 도구 및 포털 살펴보기

감사 로그가 수집되기 시작하면 이를 이해하는 데 적합한 도구가 필요합니다. Microsoft는 Purview 규정 준수 포털, Activity Explorer, 감사 로그 검색 등 여러 도구를 제공합니다. 이 도구들은 규정 준수 담당자와 보안 전문가 모두를 위해 설계되어, 인시던트를 조사하고 규정을 충족하며 디지털 환경에서 무슨 일이 일어나고 있는지 명확하게 파악할 수 있게 해 줍니다.

Microsoft Purview 감사 포털에서는 주요 M365 서비스 전반의 사용자 활동을 세부적으로 살펴볼 수 있습니다. 포렌식 및 규정 준수 수준의 로그를 빠르게 제공하도록 설계되었으며, 비즈니스 위험이나 규제가 우선 고려 사항이라면 표준 등급에서 프리미엄 등급으로 업그레이드할 시점도 확인할 수 있습니다. 한편, Activity Explorer는 활동 패턴을 보여 주며, 데이터를 다양한 기준으로 나누고 필터링하여 문제 징후, 과도한 공유, 정책 위반을 찾을 수 있게 해 줍니다.

집중적인 검색을 실행하고, 검색 쿼리를 저장하고, 필터를 활용하는 방법을 익히면 시간을 절약하고 조사 과정을 깔끔하게 유지할 수 있습니다. 부서 간에 감사 요구가 겹쳐 있다면, 특히 규정 준수 검토나 보안 조사를 위해 증거 자료를 제출해야 하는 경우에는 이해하기 쉬운 검색 및 내보내기 옵션이 필수적입니다.

이러한 포털과 대시보드를 효과적으로 활용하면 지속적인 모니터링, 사고 대응, 그리고 테넌트에서 무슨 일이 일어나고 있는지 정확히 파악하고 있음을 경영진이나 규제 기관에 보여 주는 데 큰 차이가 생깁니다. "그냥 잘되기를 바라는" 단계에서 벗어나 실제 증거에 기반한 보고를 할 수 있게 됩니다. 다음 부분에서는 이러한 도구를 단계별로 실제 사용하는 방법을 안내합니다.

Microsoft 365에서 Activity Explorer 및 감사 로그 검색 사용하기

Activity Explorer 접속: Microsoft Purview 규정 준수 포털을 열고 Activity Explorer를 선택하면 환경 전반에서 사용자와 관리자가 수행한 작업을 한눈에 확인할 수 있습니다.
집중 감사 로그 검색 실행: 검색 창을 사용하여 특정 사용자, 활동 또는 워크로드를 찾습니다. 기간, 활동 유형 또는 워크로드별로 필터링하면 중요한 이벤트에 빠르게 집중할 수 있습니다.
검색 분석 및 쿼리 저장: 필요한 로그 데이터 범위를 확보했다면, 검색 매개 변수를 저장해 두고 반복적인 검토나 조사에 활용하세요. 향후 감사에서 시간을 절약할 수 있습니다.
결과 내보내기: 필터링된 결과를 CSV 파일로 다운로드하여 추가 분석, 오프라인 보관 또는 외부 이해관계자와의 공유에 활용할 수 있습니다.
보안 모니터링 강화: Activity Explorer와 로그 검색을 꾸준히 사용하면 이상 징후를 탐지하고 지속적으로 감시 체계를 유지할 수 있다는 확신이 생깁니다.

사용자 활동 감사에 대한 더 자세한 안내와 전문가의 조언을 원하시면 이 포괄적인 Purview 감사 가이드를 참고하세요.

SharePoint, Teams, Exchange Online의 감사 로깅 기능

모든 활동이 같은 방식으로 기록되는 것은 아닙니다. 특히 여러 Microsoft 365 애플리케이션을 함께 운영할 때는 더욱 그렇습니다. SharePoint Online, Microsoft Teams, Exchange Online은 각각 감사 보고 방식에 고유한 특징이 있습니다. 사용자가 새로운 방식으로 협업하고 소통하거나 익숙한 이메일을 계속 사용하더라도, 어떤 내용이 캡처되고 있는지 정확히 알고 그 세부 정보에 접근하는 방법을 알아야 합니다.

이 섹션에서는 워크로드별 로그를 어디에서 찾을 수 있는지, 그리고 각 서비스가 어떤 유형의 활동과 이벤트를 기록하는지 이해하도록 돕습니다. SharePoint의 파일 공유와 액세스 권한, Teams의 채팅 및 파일 활동, Exchange의 사서함 작업까지, 각 로깅 기능의 범위를 알면 누락된 부분을 메우고 규정 준수 태세를 강화할 수 있습니다.

또한 많은 조직에서 "새로운 표준"이 된 하이브리드 근무와 원격 근무가 로그 분석의 초점을 어떻게 바꾸는지도 살펴봅니다. 분산된 환경에서는 모니터링, 액세스 감사, 디지털 경계를 넘나드는 문제 징후나 데이터 유출을 발견하는 일이 더 어려워집니다. 이러한 로그가 어떻게 동작하는지 이해하면 신속하게 대응하고 모든 규제 요건을 충족하는 데 도움이 됩니다.

이 과정에서 거버넌스 실수와 지속 가능한 설계에 관한 유용한 조언도 확인할 수 있습니다. 예를 들어 SharePoint 목록을 원래 목적이 아닌 용도로 무리하게 사용하지 않는 것이 중요합니다. 이와 관련해서는 SharePoint와 Dataverse 거버넌스 실수에 대한 이 설명을 참고하세요. 다음 두 섹션에서는 SharePoint/Teams와 Exchange의 세부 사항을 다룹니다.

SharePoint 감사 보고서와 Microsoft Teams 활동 로그

SharePoint 활동 캡처: SharePoint 감사 로그는 파일 액세스, 공유, 삭제, 권한 변경과 같은 이벤트를 추적합니다. 보고서를 통해 콘텐츠 이동과 액세스 패턴을 추적하고 승인되지 않은 활동을 식별할 수 있습니다.
Microsoft Teams 로깅: Teams 로그에는 채팅 수정 및 삭제, 팀과 채널 생성, 게스트 액세스, 파일 공유, 멤버십 변경 내역이 자세히 기록되며, 협업 분석과 조사 모두에 활용할 수 있습니다.
보고서 생성 및 내보내기: Microsoft Purview 또는 워크로드 기본 보고서를 사용해 필요할 때마다 로그를 추출할 수 있으며, 사이트, 사용자, 작업별로 필터링할 수 있습니다. 규정 준수 증거 자료나 오프라인 검토를 위해 CSV 형식으로 내보낼 수 있습니다.
고유 필드와 사용 사례: 외부 공유 이벤트, 익명 링크 활동, 관리자 변경 사항에 특히 주의를 기울이십시오. 이 영역은 규정 준수와 보안 모니터링 모두에서 위험도가 높은 부분입니다.
하이브리드 및 원격 근무 인사이트: 감사 데이터를 활용해 사내망 외부 액세스, 비정상적인 공유, DLP 이벤트를 모니터링하십시오. 원격 근무와 분산 팀이 일반화되면서 이는 더욱 중요해졌습니다.

SharePoint 및 Power Platform 거버넌스를 안정적으로 운영하기 위한 체크리스트와 전략은 이 SharePoint 거버넌스 자료에서 더 자세히 확인하실 수 있습니다. 플랫폼 선택을 고민 중이라면 Dataverse와 SharePoint를 비교한 상세 분석에서 장기적인 안정성 전략을 비교해 보십시오.

Exchange Online 감사 보고서 및 주요 로깅 기능

사서함 활동 로깅: Exchange 감사 로그에는 사서함 로그인, 항목 액세스, 메시지 발송 및 수신, 삭제, 사서함 권한 변경 내역이 포함되며, 이는 운영 관리와 법적 보존(Legal Hold) 모두에 활용됩니다.
관리 및 구성 이벤트: 규칙 변경, 정책 업데이트, 사서함 위임 등 관리자 작업을 기록합니다. 이는 규정 준수와 운영 감독에 매우 중요합니다.
감사 보고서 생성: Exchange 관리 센터 및/또는 Purview 규정 준수 포털을 사용해 사용자, 기간, 활동 유형별로 맞춤형 보고서를 생성할 수 있습니다.
법적 및 보안 시나리오: Exchange 로그를 eDiscovery, 소송 보존(Litigation Hold), 침해 사고 조사에 활용하거나 위험할 수 있는 위임 설정을 검토하는 데 사용할 수 있습니다.
모범 사례: 이러한 로그를 정기적으로 내보내고 검토하여 완전성과 정확성을 확보하고, 감사인이나 조사관이 요청할 때 즉시 제공할 수 있도록 준비해 두십시오.

Microsoft 365 감사 로그에 대한 흔한 실수 (audit logging strategy m365)

이 목록은 Microsoft 365 감사 로깅 전략을 계획하거나 운영할 때 조직이 자주 범하는 실수를 정리한 것입니다.

1. 감사 로깅이 기본적으로 활성화되어 있다고 가정하기

많은 조직이 모든 테넌트와 서비스에서 감사 로깅이 자동으로 활성화되어 있다고 생각합니다. 실제로는 통합 감사 로깅을 직접 켜야 하며, 일부 기능이나 워크로드는 이벤트를 수집하기 위해 추가 구성이나 라이선스가 필요합니다.

2. 보존 기간과 라이선스 제한을 이해하지 못하기

보존 기간이 무제한일 것이라고 기대하는 것은 흔한 실수입니다. 보존 기간은 Microsoft 365 라이선스와 구성에 따라 달라지며, 예를 들어 기본 90일 또는 Microsoft 365 E5나 추가 솔루션을 통한 더 긴 보존 기간이 적용됩니다. 보존 기간을 규정 준수 요구 사항에 맞추지 않으면 데이터 공백이 생깁니다.

3. 워크로드별 로깅 공백을 간과하기

Exchange, SharePoint, Teams, Azure AD 및 기타 워크로드의 모든 활동이 감사 로그에 동일하게 나타난다고 가정하는 것은 잘못된 생각입니다. 일부 활동은 별도의 감사 설정이 필요하거나, 다른 로그에 기록되거나, 통합 감사 로그에서 전혀 수집되지 않습니다.

4. 보안 모니터링을 Microsoft 365 감사 로그에만 의존하기

감사 로그는 가치가 크지만 완전한 SIEM을 대체할 수는 없습니다. 조직은 로그를 SIEM이나 로그 분석 플랫폼으로 전달하고, 이벤트를 보강하며, 네트워크, 엔드포인트, ID 등 다른 텔레메트리와 상관 분석하고, 경고와 침해 사고 대응 플레이북을 구현해야 합니다.

5. 검색 및 보존 정책을 제대로 설계하지 않기

필터, 인덱싱된 필드, 저장된 쿼리 없이 원시 감사 로그를 검색하면 중요한 신호를 놓치고 비효율이 생깁니다. 보존 및 내보내기 정책(예: 스토리지 계정이나 SIEM으로 내보내기)을 구현하지 않으면 조사에 필요한 증거를 보존하기 어렵습니다.

6. 관리자 및 서비스 계정 활동 무시하기

권한이 높은 계정, 서비스 주체, API 호출자에 집중하지 않으면 고위험 활동을 놓치게 됩니다. 감사 정책은 관리자 작업, 역할 변경, 동의 부여, 자동화 실행 이벤트를 중점적으로 식별해야 합니다.

7. 로그의 무결성과 완전성 검증하지 않기

로그가 항상 완전하고 변조되지 않았다고 가정하는 것은 위험합니다. 조직은 로그 전달을 테스트하고, 구성을 변경한 뒤 감사 이벤트 수를 확인해야 합니다. 가능한 경우 삭제와 변조를 방지하는 통제를 구현하고, 필요하면 변경할 수 없는 사본을 보존해야 합니다.

8. 경고 및 대응 절차 부재

정의된 경고, 분류 절차, 사고 대응 단계 없이 로그만 수집하면 운영상 가치가 떨어집니다. 임계값을 정의하고, 중요 이벤트에 대한 경고를 자동화하며, 에스컬레이션 경로를 문서화해야 합니다.

9. 개인 정보 보호와 데이터 최소화 간과

개인 정보 보호와 데이터 최소화를 고려하지 않고 가능한 모든 감사 데이터를 수집하면 규정 준수 문제가 생길 수 있습니다. 수집 범위는 법률, 개인 정보 보호, 보존 정책에 맞게 조정해야 합니다. 필요하면 민감한 필드를 가리거나 해당 필드에 대한 접근을 제한해야 합니다.

10. 감사 데이터에 대한 부적절한 액세스 제어

감사 로그에는 민감한 정보가 포함되어 있습니다. 로그나 내보내기 파일에 대한 액세스 권한을 광범위하게 부여하면 노출 위험이 커집니다. 최소 권한 액세스와 역할 기반 제어를 적용하고, 누가 감사 데이터를 보거나 내보내는지 감사해야 합니다.

11. 지연 시간과 데이터 지연 고려 부족

감사 이벤트는 통합 감사 로그에 즉시 나타나지 않을 수 있습니다. 지연이 발생할 수 있음을 전제로 모니터링과 사고 대응을 설계하고, 수집 지연과 최종 일관성을 감안해야 합니다.

12. 감사 로깅 전략을 문서화하고 공유하지 않음

감사 로깅(수집, 보존, 액세스, 대응)에 대한 정책, 책임, 운영 runbook이 문서화되어 있지 않으면, 조사나 규정 준수 감사 중에 팀이 로그를 안정적으로 활용하기 어렵습니다.

13. 복잡한 분석에도 기본 검색 UI로 충분하다고 가정

Microsoft 365 감사 검색 UI는 임시 쿼리에 유용하지만, 대규모 분석에는 한계가 있습니다. 로그를 SIEM, Azure Monitor, Log Analytics로 내보내면 고급 쿼리, 대시보드, 장기 보관이 가능합니다.

14. 로깅 구성 변경 추적 누락

감사 설정, 보존, 서비스 업그레이드 변경은 수집되는 내용을 의도치 않게 바꿀 수 있습니다. 변경 관리를 구현하고, Microsoft 365 감사 로깅 전략 m365에 대한 구성 드리프트를 모니터링해야 합니다.

요약

Microsoft 365용 감사 로깅 전략을 의도적으로 설계하면 이러한 흔한 실수를 피할 수 있습니다. 로깅을 활성화하고 테스트하며, 보존을 규정 준수 요건에 맞추고, 로그를 중앙화하여 풍부하게 만들며, 액세스를 보호하고, 경고와 대응을 구현하며, 프로세스를 문서화하십시오.

Microsoft 365 감사 로그의 고급 분석 및 내보내기

감사 로그의 진정한 가치는 단순히 저장하거나 검토하는 데 있지 않고, 그 데이터를 비즈니스 인사이트, 보안 포렌식, 보고에 어떻게 분석하고 활용하느냐에 있습니다. 데이터 사고를 조사하든, 규제 기관에 규정 준수를 입증하든, 시간에 따른 추세를 파악하든, Microsoft 365에서 데이터를 꺼내 전문가처럼 다루는 방법을 알아두어야 합니다.

이 섹션에서는 내보내기 방법, CSV 같은 일반 데이터 형식, 그리고 통합 조사를 위해 로그를 빅데이터 분석 도구나 SIEM 플랫폼과 연결하는 방법을 소개합니다. 필요하다면 Microsoft 365 감사 데이터를 Entra ID나 엔드포인트 시스템의 로그와 결합하여 ID 및 디바이스 수준 활동을 통합한 뷰를 만들 수도 있습니다. 이는 전체 보안 맥락을 파악하고 사고에 빠르게 대응하는 데 필수적입니다.

하지만 모든 플랫폼에는 한계가 있으며 Microsoft 365도 예외는 아닙니다. 모든 달걀을 한 바구니에 담기 전에, 로그 보존 기간, 볼륨 및 내보내기 제한, 또는 활동 캡처의 사각지대처럼 규정 준수나 보안 조사에 영향을 줄 수 있는 격차를 먼저 확인하십시오. 이러한 제약을 이해하면 추가 도구나 장기 데이터 아카이빙이 필요한 부분을 포함하여 탄력적인 위험 및 규정 준수 전략을 수립하는 데 도움이 됩니다.

다음으로, Microsoft 365 감사 로그를 내보내고 심층 분석하는 실행 단계와 마주치게 될 제한 사항을 인식하고 우회하는 방법을 살펴보겠습니다.

내보내기 결과 및 심층 감사 로그 분석 수행

PowerShell로 내보내기: Search-UnifiedAuditLog 같은 cmdlet을 사용하여 로그 결과를 필터링하고 CSV로 직접 내보내면, 대규모 또는 반복적인 감사를 자동화할 수 있습니다.
포털에서 다운로드: Microsoft Purview 규정 준수 포털에서 사용자, 서비스, 이벤트별로 결과를 필터링한 다음 CSV로 내보내면 오프라인 분석이나 보고서 작성에 활용할 수 있습니다.
API 활용: 타사 도구나 SIEM과 통합하려면 Microsoft Graph 또는 Office 365 Management API를 사용하여 대규모로 감사 데이터를 가져올 수 있습니다.
다른 데이터 소스와 결합: M365 로그를 Azure AD, 엔드포인트 또는 기타 보안 로그와 상관 분석하면 더 풍부한 공격 또는 규정 준수 스토리를 구성할 수 있습니다.
감사 무결성 유지: 로그를 내보낼 때 증거로 제출될 수 있는 경우에는 체크섬이나 서명을 사용해 증거 연쇄(chain of custody)가 보존되도록 하십시오.

Microsoft 365 감사 로그의 한계 이해하기

보존 공백: E5/Premium 라이선스를 사용하지 않는 한 기본 로그 보존 기간은 90일에 그칠 수 있습니다. 그 이후의 기록은 사라집니다.
부분적 범위: 특히 일부 앱이나 하이브리드 및 클라우드-온프레미스 환경에서는 모든 사용자 작업이나 워크로드 이벤트가 기록되지는 않습니다.
볼륨 제약: 대량 내보내기나 빈번하게 발생하는 이벤트는 비율 제한이나 집계에 부딪힐 수 있으며, 이는 주요 인시던트 중 데이터의 완전성에 영향을 줄 수 있습니다.
지연 시간: 일부 이벤트는 로그에 나타나기까지 몇 분(또는 그 이상) 지연되며, 이는 실시간 대응에 어려움을 줄 수 있습니다.
내보내기 형식의 제약: 데이터 형식과 필드 가용성은 다를 수 있습니다. 모든 로그를 후속 분석에 쉽게 활용할 수 있는 것은 아닙니다.

Microsoft 365 감사 로깅의 비용 최적화 및 라이선스 전략

감사 로깅은 단순한 기술 문제가 아니라 IT 예산에 실질적인 영향을 줄 수 있으며, 특히 Microsoft 365 사용량이 늘어날수록 그렇습니다. 이 섹션에서는 소규모 비영리 단체든 대량의 기록을 처리하는 글로벌 엔터프라이즈든, 감사 로그 스토리지와 관리를 감당 가능한 수준으로 유지하기 위한 비용 요소, 라이선스 옵션, 실용적인 전략을 살펴봅니다.

Microsoft 365 E3에서 E5로의 업그레이드 경로는 복잡하게 느껴질 수 있지만, 핵심은 위험과 규제 요구 사항을 기능 세트와 가격에 매핑하는 것입니다. 확장된 감사 로그 보존과 고급 검색 또는 조사 기능은 E5에서만 제공되거나 추가 라이선스가 필요할 수 있습니다. 이러한 투자와 잠재적 위험 및 규정 준수 의무를 비교하는 것은 근거 있는 의사 결정에 매우 중요합니다.

하지만 로깅 비용은 라이선스만의 문제가 아닙니다. 특히 원격 근무와 클라우드 우선 전략으로 스토리지 사용량이 급증하면서, 적절한 데이터 계층화, 아카이빙, 그리고 '더 스마트한' 보존 정책이 핵심이 됩니다. 과도하게 보존하면 스토리지 비용이 크게 늘어나고, 너무 짧게 보존하면 규정 준수에 실수가 생길 위험이 있습니다. 단순한 showback이나 '형식적 체크' 방식의 예산 편성이 아니라 거버넌스와 책임 소재를 고려한 정책이 실질적인 책임감을 만들어 냅니다(Microsoft 365의 showback과 책임에 관한 이 논의에서 강조된 바와 같습니다).

다음 섹션에서는 E3와 E5 기능을 직접 비교하고, 감사 데이터를 대량으로 관리하면서도 비용 부담을 줄이는 실용적인 방법을 설명합니다. 장기적으로 더 현명한 선택을 할 수 있도록 도와주는 짧고 실행 가능한 목록을 기대하셔도 좋습니다.

Microsoft 365 E3와 E5의 감사 기능 및 비용 비교

보존 기간: E3는 기본 90일 감사 로그 보존을 제공합니다. E5(또는 Compliance 추가 기능)를 사용하면 1년 이상으로 늘어나며, 이는 더 긴 규제 주기에서 매우 중요합니다.
고급 감사 기능: E5에서는 사서함 항목 액세스 로깅, 장기 보존, 그리고 '파일 액세스'와 같은 고가치 신호 등의 기능을 사용할 수 있습니다.
비용 영향: E5 라이선스는 훨씬 비쌉니다. 중소기업의 경우, 규정 준수 주기가 짧고 데이터 위험이 낮다면 E3로 충분할 수 있습니다.
엔터프라이즈 고려 사항: 대기업이나 규제 산업에서는 규정 준수, 고급 조사, 내부자 위험 모니터링을 위해 E5가 필요한 경우가 많습니다. 이는 단순한 비용 문제가 아니라 전략적 선택입니다.
추가 기능의 유연성: 전체 E5가 현실적이지 않다면 일부 고급 감사 기능을 독립형 추가 기능으로 구매할 수 있어, 필요한 기능만 선택적으로 라이선스를 업그레이드할 수 있습니다.

대규모 감사 로그 스토리지 및 보존 비용 관리

데이터 계층화: 오래되었거나 덜 중요한 감사 로그는 비용이 낮은 스토리지 계층이나 외부 아카이빙 솔루션을 사용하여 지속적인 비용을 줄이십시오.
보존 정책: 워크로드나 사업 부서별로 보존 기간을 조정하십시오. 규정 준수상 요구되지 않는다면 감사 데이터를 과도하게 보존하지 말고, 안전한 범위에서 불필요한 부분은 줄이십시오.
정기 점검: 스토리지 사용량과 비용 보고서를 자주 검토하십시오. 자동 알림과 showback 대시보드는 이해관계자들이 실제 로그 비용을 인지하도록 돕습니다. 자세한 내용은 이 Microsoft 365 비용 최적화 에피소드를 참고하십시오.
2단계 아카이빙: 보존 또는 스토리지 한도에 도달하면 장기 콜드 스토리지를 위해 Microsoft 365 외부로 로그를 내보내는 방안을 검토하십시오.
책임 소재가 관리를 이끕니다: 감사 로그 비용에 대한 책임을 특정 역할이나 부서에 할당하여, 실제로 무엇을 저장할지 더 현명하고 의도적으로 관리하도록 하십시오.

Microsoft 365의 감사 로깅(M365 감사 로깅 전략)

장점

포괄적인 가시성: Exchange, SharePoint, OneDrive, Teams, Azure AD 및 기타 M365 서비스 전반의 사용자, 관리자, 시스템 활동을 중앙에서 수집하므로 보안 및 규정 준수와 관련된 이벤트를 폭넓게 파악할 수 있습니다.
포렌식 및 사고 대응 지원: 상세한 이벤트 기록을 통해 조사자는 타임라인을 재구성하고, 영향을 받은 리소스를 식별하며, 보안 사고의 범위와 영향을 판단할 수 있습니다.
규정 준수 및 규제 증빙: 보존된 감사 로그는 보존 및 액세스 정책에 따라 구성된 경우 GDPR, HIPAA, SOX 등의 규제 요건을 충족하고 내부 및 외부 감사를 지원할 수 있습니다.
경고 및 자동 탐지: Microsoft Sentinel 및 기타 SIEM과 통합하면 감사 이벤트를 기반으로 실시간 경고, 상관 관계 규칙, 자동 대응이 가능합니다.
구성 가능한 보존 및 내보내기: 관리자는 감사 로그 보존 정책을 설정하고, 로그를 장기 스토리지(예: Azure Storage)로 내보내며, 외부 아카이빙 시스템에 통합하여 보존 기간을 연장할 수 있습니다.
역할 기반 액세스 제어 및 감사 액세스 로깅: RBAC를 통해 감사 로그에 대한 액세스를 제한할 수 있으며, 감사 로그에 대한 작업 자체도 기록하여 검토자의 책임성을 확보할 수 있습니다.
검색 및 필터링 가능한 로그: Microsoft Purview Audit 솔루션의 기본 검색과 고급 필터링을 통해 특정 이벤트를 더 쉽게 찾고 재사용 가능한 쿼리를 만들 수 있습니다.
운영 및 정책 시행: 감사 데이터는 내부 정책(예: 권한 있는 액세스 사용, 데이터 유출 시도)의 시행을 지원하고 정책의 효과를 측정하는 데 도움이 됩니다.

단점

데이터 양과 비용: 감사 이벤트가 대량으로 발생하면 특히 로그를 장기간 보존하거나 외부 시스템으로 내보낼 때 상당한 스토리지 및 수집 비용이 발생할 수 있습니다.
복잡한 구성: 감사 대상 활동의 범위를 적절히 정하고, 보존을 구성하고, 서비스 전반에 걸쳐 통합 감사 로그를 활성화하고, SIEM과 연동하려면 신중한 계획과 운영 전문성이 필요합니다.
노이즈와 신호 대 잡음비: 기본 감사 스트림은 가치가 낮은 이벤트를 대량으로 생성할 수 있어, 튜닝과 필터링 없이는 의미 있는 지표를 식별하기 어렵습니다.
지연 및 완전성 문제: 서비스 기능과 라이선스 등급에 따라 일부 감사 이벤트는 지연되거나, 집계되거나, 수집되지 않을 수 있으며, 이는 실시간 탐지와 전체 가시성에 영향을 줄 수 있습니다.
라이선스 및 기능 제한: 고급 감사 기능, 더 긴 보존 기간, 또는 특정 감사 기능에 대한 액세스에는 특정 Microsoft 365 또는 Microsoft Purview 라이선스 수준이 필요할 수 있으며, 이는 비용과 복잡성을 높입니다.
개인정보 및 액세스 위험: 감사 로그에는 민감한 메타데이터와 개인 식별 정보가 포함되어 있으며, 액세스 제어가 부적절하거나 보존 범위가 지나치게 넓으면 개인정보 및 규정 준수 위험이 생길 수 있습니다.
관리 부담: 감사 로깅 전략을 효과적으로 유지하려면 경고 튜닝, 보존 정책 업데이트, 내보내기 및 스토리지 관리, RBAC 보장 등 지속적인 유지 관리가 필요합니다.
이벤트 해석의 어려움: 감사 레코드는 의도와 심각도를 정확히 해석하기 위해 종종 상황 정보(예: 사용자 역할, 디바이스, 지리적 위치)를 보강하고 전문가의 분석이 필요합니다.

Microsoft 365 감사 로깅 전략 — 체크리스트

이 체크리스트를 사용하여 Microsoft 365 전반의 감사 로깅을 계획, 활성화, 검증 및 유지 관리하십시오.

계획 및 거버넌스

감사 로깅의 목표와 범위(보안, 규정 준수, 포렌식, 내부자 위험)를 정의하십시오.
필요한 데이터 소스를 확인하십시오: Azure AD, Exchange Online, SharePoint/OneDrive, Teams, Defender, Purview, Power Platform, Endpoint.
법적, 규제적, 비즈니스 요구 사항에 따라 데이터 소스별 필요 보존 기간을 결정하십시오.
책임자를 지정하십시오: 로깅 책임자, 규정 준수 책임자, SIEM/통합 책임자, 검토자.
감사 데이터 액세스 및 내보내기에 대한 액세스 제어와 승인 절차를 문서화하십시오.

감사 로깅 활성화 및 구성

테넌트에 대해 Microsoft Purview(보안 및 규정 준수 센터)에서 통합 감사 로그(Unified Audit Log)가 활성화되어 있는지 확인하십시오.
모든 사서함에 대해 사서함 감사를 활성화하고, 필요한 경우 기본 사서함 감사 로깅을 설정하십시오.
Azure AD 로그인, 위험 로그인, 디렉터리 변경 내용에 대한 감사를 사용하도록 설정합니다.
파일 및 공유 활동에 대해 SharePoint와 OneDrive 감사를 사용하도록 설정합니다.
채널, 채팅, 모임, 앱 이벤트에 대해 Teams 감사를 사용하도록 설정합니다.
관리자와 사용자 사서함 활동에 대해 Exchange Online 감사를 사용하도록 설정합니다.
해당하는 경우 Power Platform과 Microsoft 365 Defender 로깅을 사용하도록 설정합니다.

보존 및 스토리지

법적 요건과 정책 요건을 충족하도록 Purview에서 감사 로그 보존 설정을 구성합니다.
감사 로그의 장기 스토리지 및 보관 전략을 수립합니다(기본 보존 기능 또는 외부 SIEM이나 스토리지 활용).
조사에 필요한 메타데이터와 타임스탬프가 보존되도록 합니다.

접근 제어 및 보안

최소 권한 역할(예: 규정 준수 관리자, 보안 판독기)을 사용하여 감사 로그를 검색, 내보내기, 관리할 수 있는 사용자를 제한합니다.
감사 로그에 접근할 수 있는 계정에 다단계 인증을 사용하도록 설정합니다.
감사 로그 구성과 보존 설정의 변경 내용을 모니터링하고 감사합니다.

통합 및 전달

상관 분석과 장기 보관을 위해 감사 로그를 SIEM(Azure Sentinel/Microsoft Sentinel 또는 타사 제품)으로 내보내도록 구성합니다.
Office 365 Management Activity API 또는 기본 제공 커넥터를 사용하여 로그 내보내기를 자동화합니다.
내보낸 로그의 무결성을 검증하고 시간 동기화(UTC 및 NTP)가 보장되도록 합니다.

알림 및 모니터링

중요 이벤트(관리자 역할 변경, 데이터 유출, 대량 다운로드, 의심스러운 로그인)에 대한 알림 규칙을 정의하고 구현합니다.
주요 감사 지표와 이상 징후에 대한 대시보드와 정기 보고서를 만듭니다.
감사 데이터 활용 방안을 참조하는 인시던트 대응 플레이북을 수립합니다.

테스트 및 검증

여러 서비스에 걸친 대표적인 작업(만들기, 삭제, 권한 변경, 로그인, 공유)에 대해 이벤트가 기록되는지 정기적으로 테스트합니다.
구성을 변경하거나 서비스가 업데이트된 후 로그의 범위와 완전성을 검증합니다.
로그가 조사를 뒷받침하는지 확인하기 위해 주기적으로 포렌식 준비 상태 테스트를 수행합니다.

규정 준수 및 법무

감사 전략을 규제 의무(예: GDPR, HIPAA, SOX) 및 증거 요건에 맞춥니다.
감사 데이터에 대한 eDiscovery 및 법적 보존의 영향을 법무팀과 조율합니다.
필요한 경우 감사 로그를 변경 불가능한 방식으로 보존하고, 증거 연쇄(Chain of Custody) 절차를 문서화합니다.

운영 및 유지 관리

감사 설정, 보존 정책, 역할 할당을 정기적으로 검토합니다(분기별 또는 필요에 따라).
런북과 구성 문서를 최신 상태로 유지합니다.
고급 감사 기능에 필요한 라이선스를 파악하고 적용 범위를 보장합니다.
감사 기능의 변경 사항과 예정된 지원 종료에 관한 서비스 공지를 모니터링합니다.

교육 및 인식 제고

관리자와 규정 준수 팀에게 감사 로그를 검색, 필터링, 내보내는 방법을 교육합니다.
인시던트 대응 담당자와 조사관에게 M365 감사 이벤트를 해석하는 방법을 교육합니다.
관련 팀 간에 보고 및 알림 책임을 공유합니다.

검토 및 지속적 개선

인시던트 이후 감사 효과를 검토하고, 그에 따라 규칙, 보존 설정, 로그 소스를 업데이트합니다.
비즈니스 및 규제 요건에 비추어 감사 로깅 전략을 매년 감사합니다.
얻은 교훈과 새로운 위협을 감사 로깅 계획에 반영합니다.

이 체크리스트를 기준선으로 사용하고, 조직의 고유한 요건과 정책에 맞게 항목을 조정합니다.

Office 365 감사 로그의 통합 감사 로그

M365 감사 로깅 전략이란 무엇이며 왜 중요한가요?

M365 감사 로깅 전략은 수집할 감사 로그, 감사 로그 데이터의 보존 기간, 감사 기록에 접근할 수 있는 사용자, 로그를 분석하고 알림을 발생시키는 방법을 정의합니다. 사용자와 관리자 활동을 추적하고, 보안 이벤트를 드러내며, M365 테넌트 내에서 규정 및 내부 보고 요건을 충족하도록 지원하므로 Microsoft 365 보안, 규정 준수, 인시던트 대응에 중요합니다.

Microsoft 365 테넌트에서 감사 로깅이 켜져 있는지 어떻게 확인하나요?

대부분의 Microsoft 365 서비스는 감사 로깅이 기본적으로 켜져 있습니다. 그래도 Microsoft Purview 규정 준수 포털(또는 보안 및 규정 준수 센터)에서 통합 감사 로그가 사용하도록 설정되어 있는지 확인하는 것이 좋습니다. 관리자 감사 로그, SharePoint Online 및 OneDrive, 기타 워크로드의 설정을 확인합니다. Microsoft Learn 가이드와 Microsoft 서비스 보증 문서를 참고하여 M365 환경 전반의 로깅 및 모니터링 구성을 확인합니다.

통합 감사 로그에서 제공되는 로그 데이터에는 어떤 종류가 있나요?

통합 감사 로그에는 사용자 및 관리자 활동, 파일 및 공유 이벤트(SharePoint 사이트, SharePoint Online 및 OneDrive), 인증 및 액세스 이벤트, 사서함 작업, Microsoft Defender의 보안 이벤트 등 여러 유형의 로그 데이터가 포함됩니다. Office 365 감사 로그와 Office 365의 감사 로그는 추적된 활동을 검색할 수 있는 로그를 제공하며, 감사 레코드 콘텐츠에는 누가, 언제, 어디서, 어떤 IP에서 무엇을 했는지가 자세히 기록됩니다.

Office 365 감사 로그를 검색하고 내보내려면 어떻게 해야 하나요?

Microsoft Purview 감사 솔루션에서 감사 로그를 검색하거나 PowerShell(Search-UnifiedAuditLog)을 사용하여 검색 가능한 로그 쿼리를 만들 수 있습니다. 쿼리는 추적된 활동, 사용자, 날짜, 특정 Microsoft 365 서비스를 기준으로 필터링할 수 있습니다. 결과는 분석, SIEM 연동, 장기 보관을 위해 CSV로 내보낼 수 있습니다. 저장되는 로그 데이터가 보존 정책과 규정 준수 요구 사항을 충족하는지 확인하십시오.

감사 대상 이벤트 목록에는 어떤 이벤트를 포함해야 하나요?

Microsoft 365의 보안과 비즈니스 운영에 영향을 미치는 감사 대상 이벤트를 우선순위에 두십시오. 관리자 역할 변경, 사용자 프로비저닝 및 디프로비저닝, 로그인 및 인증 실패, 사서함 액세스, SharePoint 사이트의 권한 변경, 파일 다운로드 및 공유, Microsoft Defender가 플래그를 지정한 작업 등이 여기에 해당합니다. 위험 기반 접근 방식을 따르고, 포렌식 조사와 규제 보고를 지원하는 이벤트를 포함하십시오.

Microsoft 365 감사 로그에는 누가 액세스해야 하며, 액세스는 어떻게 제어하나요?

Microsoft 365 관리자 및 보안 팀, 규정 준수 담당자, 지정된 감사자로 액세스를 제한하십시오. Microsoft 365 관리 센터와 Purview에서 역할 기반 액세스 제어(RBAC)를 사용하여 필요한 최소 권한만 부여하십시오. 감사 로그 데이터에 누가 액세스하거나 내보냈는지 관리자 감사 로그에 기록하여 Microsoft 365 감사 정보에 대한 액세스 남용을 방지하십시오.

Microsoft 365 환경에서 감사 로그 데이터는 얼마나 보관해야 하나요?

보존 기간은 규제, 법적, 비즈니스 요구 사항에 따라 달라집니다. Microsoft는 일부 감사 로그를 기본 기간 동안 보관하지만, 고급 감사, 보존 정책을 사용하거나 로그를 외부 아카이브 또는 SIEM으로 내보내 더 길게 구성할 수 있습니다. 중요한 감사 레코드 콘텐츠와 저장된 로그 데이터가 규정 준수 요구 사항을 충족하도록 감사 로깅 전략에서 보존 기간을 정의하십시오.

Microsoft 365 감사 로깅에서 흔히 겪는 문제는 무엇인가요?

주요 문제로는 로그 데이터의 대량 발생, 일부 서비스의 불완전한 범위, 기본적으로 제한된 보존 기간, 여러 워크로드에 걸친 검색의 어려움, SharePoint 및 기타 서비스의 로그가 빠짐없이 수집되는지 확인하기 어려운 점 등이 있습니다. 또한 Microsoft 365 사용자 전반의 보안 이벤트를 상관 분석하는 일과, 감사 로그를 SIEM 및 Microsoft Defender와 같은 로깅 및 모니터링 솔루션과 통합하는 일도 어려움으로 꼽힙니다.

Microsoft 365 감사 로그를 SIEM 또는 로깅 및 모니터링 플랫폼과 통합하려면 어떻게 해야 하나요?

Office 365 Management Activity API, Microsoft Graph 또는 감사 로그 내보내기 기능을 사용하여 감사 로그를 SIEM으로 스트리밍할 수 있습니다. 많은 팀이 상관 분석, 경고, 장기 보존을 위해 감사 로그 데이터를 Azure Monitor, Sentinel 또는 타사 로깅 플랫폼으로 라우팅합니다. SharePoint Online, Exchange, Microsoft Defender의 이벤트가 포함되고 관련 경고 규칙 및 대시보드에 매핑되었는지 확인하십시오.

감사 로그를 사용하여 SharePoint 사이트와 OneDrive의 사용자 및 관리자 활동을 추적할 수 있나요?

예. 감사 로그는 파일 액세스, 다운로드, 공유 변경, 권한 업데이트, 사이트 관리 작업 등 SharePoint Online 및 OneDrive에서 추적된 활동을 기록합니다. 통합 감사 로그의 검색 기능을 사용해 SharePoint 사이트 작업 로그를 조회하고, 로그를 내보내거나 전달하여 더 심층적으로 분석하십시오.

조사를 지원하려면 감사 레코드 콘텐츠에 무엇이 포함되어야 하나요?

유용한 감사 레코드 콘텐츠에는 타임스탬프, 행위자(사용자 또는 관리자), 행위자의 역할, 수행된 작업, 대상 개체(파일, 사서함, 사이트), 개체 소유자, 원본 IP, 디바이스 세부 정보, 연관된 보안 이벤트 ID가 포함되어야 합니다. 관련 Microsoft 365 데이터를 함께 포함하면 감사 로그가 사고 대응자와 감사자에게 더 실질적으로 활용될 수 있습니다.

고급 감사와 Microsoft Defender 같은 Microsoft 365 기능은 로깅을 어떻게 강화하나요?

고급 감사는 보존 기간을 늘리고, 장기 조사에 필요한 민감하고 중요한 이벤트를 추가로 제공합니다. Microsoft Defender는 보안 이벤트와 경고를 생성하여 위협 인텔리전스, 탐지 이름, 해결 단계 정보로 감사 로그를 보강합니다. 고급 감사, Defender, 중앙 집중식 로깅 및 모니터링을 함께 사용하면 위협을 탐지하고 대응하는 능력이 향상됩니다.

Microsoft 365 감사 로깅에서 권장되는 로깅 방식과 모범 사례는 무엇인가요?

모범 사례에는 통합 감사 로그와 고급 감사를 필요에 따라 사용하도록 설정하고, 감사 대상 이벤트 목록을 문서화하며, 감사 로그에 역할 기반 액세스를 사용하고, SIEM 또는 로깅 및 모니터링 도구와 연동하며, 감사 로그의 무결성을 검증하고, 중요한 보안 이벤트에 대한 알림을 자동화하는 것이 포함됩니다. 또한 로깅 방식을 정기적으로 검토하고, Microsoft 365 관리자와 보안 팀이 감사 로그 데이터를 효과적으로 활용할 수 있도록 교육해야 합니다.

감사 로그 데이터가 완전하고 신뢰할 수 있는지 어떻게 확인할 수 있나요?

Microsoft 서비스 어슈어런스 보고서를 활용해 정기적으로 감사를 수행하고, 알려진 감사 이벤트를 생성하는 테스트 시나리오를 실행한 뒤 해당 이벤트가 감사 로그에 나타나는지 확인하세요. 가동 시간 및 수집 지표로 누락을 모니터링하고, 아카이브나 SIEM에 저장된 로그 데이터를 검증하며, 로깅 구성을 변경할 때는 변경 관리를 유지하여 Microsoft 365 환경에서 추적되는 활동이 일관되게 기록되도록 하세요.

감사 로그 구성과 사용 가능한 이벤트에 대해 더 알아보려면 어디를 참고하면 되나요?

단계별 자습서는 Microsoft Learn을, 감사 로그 구성은 Microsoft Purview 문서를, 규정 준수 및 로깅 보장은 Microsoft 서비스 어슈어런스를 참고하세요. 감사 대상 이벤트의 전체 목록과 Microsoft 365 관리자 및 보안 팀에 유용한 감사 로그 쿼리 예시는 Office 365 감사 및 관리 감사 로그 문서를 참고하세요.

🎧 함께 들으면 좋은 에피소드

Microsoft 365 거버넌스 운영 모델
지속 가능한 의사 결정의 기반이 되는 소유권과 통제 방식을 알아봅니다.
Microsoft Purview – 쉽게 알아보기
규정 준수와 정보 거버넌스의 맥락을 살펴봅니다.
AI 에이전트 – 쉽게 알아보기
책임감 있는 AI 도입 방안을 이해합니다.

Microsoft 365 감사 로깅 전략

효과적인 전략은 보안 및 규정 준수 요구 사항을 이벤트, 보존 기간, 검색, 알림, 소유권, 조사 절차로 바꾸는 것입니다. 목표는 단순히 흩어진 기록이 아니라 실행 가능한 증거를 확보하는 것입니다.

감사 로깅 체크리스트

위험 요소와 의무 사항을 필요한 활동에 매핑합니다.
감사 라이선스, 적용 범위, 보존 기간, 수집 시간을 확인합니다.
조사 담당자의 역할과 증거 보호 방안을 정의합니다.
반복 가능한 검색과 의미 있는 알림 패턴을 만듭니다.
이벤트를 테스트하고, 누락된 부분을 문서화하며, 전략을 정기적으로 검토합니다.

흔한 실수

기본 보존 기간이 모든 요구 사항을 충족한다고 가정하는 것.
조사 절차 없이 이벤트만 수집하는 것.
예상한 활동이 실제로 나타나는지 테스트하지 않는 것.
감사 데이터에 대한 액세스를 광범위하게 허용하는 것.

Microsoft 365 감사 로깅 전략에 관한 자주 묻는 질문

Microsoft 365 감사 로깅 전략이란 무엇인가요?

위험 요소를 감사 대상 이벤트, 보존 기간, 검색, 역할, 알림, 조사 절차, 증거 처리, 검토 지표에 매핑하는 것입니다. 이를 일관되게 적용하고, Microsoft 서비스, 정책, 비즈니스 요구 사항이 변경될 때마다 다시 검토하세요.

Microsoft 365 감사 로깅 전략은 왜 중요한가요?

위험 요소를 감사 대상 이벤트, 보존 기간, 검색, 역할, 알림, 조사 절차, 증거 처리, 검토 지표에 매핑하세요. 비공식적인 관행에 의존하지 않고, 문서화된 담당자, 측정 가능한 결과, 승인된 절차를 사용하세요.

Microsoft 365 감사 로깅 전략은 어떻게 작동하나요?

위험을 감사 가능한 이벤트, 보존, 검색, 역할, 경고, 조사 절차, 증거 처리, 검토 지표에 매핑하십시오. 위험이 낮고 범위가 명확한 시나리오부터 시작하여 결과를 검증하고, 통제 및 지원 모델이 제대로 작동할 때에만 확장하십시오.

Microsoft 365 감사 로깅 전략은 누구에게 필요한가요?

위험을 감사 가능한 이벤트, 보존, 검색, 역할, 경고, 조사 절차, 증거 처리 및 검토 지표와 연결하십시오. 이를 일관되게 적용하고, Microsoft 서비스, 정책 및 비즈니스 요구 사항이 변경될 때마다 검토하십시오.

Microsoft 365 감사 로깅 전략의 주요 이점은 무엇입니까?

위험을 감사 가능한 이벤트, 보존, 검색, 역할, 경고, 조사 절차, 증거 처리 및 검토 지표와 연결하십시오. 비공식적인 관행에 의존하지 말고, 문서화된 담당자, 측정 가능한 결과 및 승인된 프로세스를 사용하십시오.

Microsoft 365 감사 로깅 전략의 주요 위험은 무엇입니까?

위험을 감사 가능한 이벤트, 보존, 검색, 역할, 경고, 조사 절차, 증거 처리 및 검토 지표와 연결하십시오. 위험이 낮고 범위가 명확한 시나리오로 시작하여 결과를 검증하고, 통제 및 지원 모델이 제대로 작동할 때에만 확장하십시오.

Microsoft 365 감사 로깅 전략의 요구 사항은 무엇입니까?

Microsoft 365 감사 로깅 전략은 어떻게 시작합니까?

Microsoft 365 감사 로깅 전략의 권장 체크리스트는 무엇입니까?

Microsoft 365 감사 로깅 전략의 모범 사례는 무엇입니까?

Microsoft 365 감사 로깅 전략에서 가장 흔한 실수는 무엇입니까?

Microsoft 365 감사 로깅 전략은 어떻게 거버넌스해야 합니까?

Microsoft 365 감사 로깅 전략은 보안에 어떻게 적용됩니까?

Microsoft 365 감사 로깅 전략은 컴플라이언스에 어떻게 적용됩니까?

Microsoft 365 감사 로깅 전략은 관리자에게 어떤 영향을 미칩니까?

Microsoft 365 감사 로깅 전략은 최종 사용자에게 어떤 영향을 미칩니까?

Microsoft 365 감사 로깅 전략은 어떻게 모니터링해야 합니까?

Microsoft 365 감사 로깅 전략은 어떻게 측정해야 합니까?

Microsoft 365 감사 로깅 전략에서 예외는 어떻게 처리해야 합니까?

위험을 감사 가능한 이벤트, 보존, 검색, 역할, 경고, 조사 절차, 증거 처리, 검토 지표에 매핑하십시오. 이를 일관되게 적용하고, Microsoft 서비스, 정책 및 비즈니스 요구 사항이 변경될 때마다 검토하십시오.

Microsoft 365 감사 로깅 전략은 어떻게 문서화해야 합니까?

위험을 감사 가능한 이벤트, 보존, 검색, 역할, 경고, 조사 절차, 증거 처리, 검토 지표에 매핑하십시오. 비공식적인 관행에 의존하지 말고, 문서화된 담당자, 측정 가능한 결과, 승인된 프로세스를 사용하십시오.

Microsoft 365 감사 로깅 전략은 엔터프라이즈 환경에서 어떻게 확장됩니까?

Microsoft 365 감사 로깅 전략에서 무엇을 자동화해야 합니까?

Microsoft 365 감사 로깅 전략에서 사람이 직접 통제해야 할 영역은 무엇입니까?

Microsoft 365 감사 로깅 전략은 Microsoft 365와 어떻게 통합됩니까?

Microsoft 365 감사 로깅 전략은 Microsoft Entra ID와 어떤 관계가 있습니까?

Microsoft 365 감사 로깅 전략은 Microsoft Purview와 어떤 관계가 있습니까?

Microsoft 365 감사 로깅 전략에서 문제 해결은 어떻게 진행해야 합니까?

Microsoft 365 감사 로깅 전략에서 정기적으로 검토해야 할 항목은 무엇입니까?

조직이 Microsoft 365 감사 로깅 전략에서 피해야 할 것은 무엇입니까?

Microsoft 365 감사 로깅 전략에서 가장 좋은 첫 단계는 무엇입니까?

M365.fm 관련 자료도 살펴보세요: M365.fm 학습 허브, Microsoft 365 거버넌스 체크리스트, Microsoft Copilot 보안 모델.