Microsoft Defender for Office 365의 사전 설정 vs 사용자 지정 피싱 방지 정책

By Mirko Peters · 2026-10-29

Microsoft Defender for Office 365에서 사전 설정 정책과 사용자 지정 피싱 방지 정책을 언제 사용해야 하는지 알아보고, 우선순위 함정을 피하며 클라우드 테넌트를 보호하는 방법을 소개합니다.

Automatically translated with AI from the original post. Read the English original

Microsoft Defender for Office 365에서 사전 설정 보안 정책과 사용자 지정 구성 중 무엇을 선택하느냐에 따라 조직이 표적형 피싱 공격을 얼마나 효과적으로 차단할지가 결정됩니다. 이 가이드에서는 정책 평가 순서, 숨겨진 우선순위 함정, 그리고 내장된 Microsoft 권장 사항보다 사용자 지정 규칙이 정말 필요한 경우를 판단하는 실용적인 기준을 살펴봅니다.

핵심 요약

• Microsoft는 이메일 보호 정책을 엄격한 위에서 아래 순서로 평가합니다. 엄격 사전 설정, 표준 사전 설정, 사용자 지정 정책, 마지막으로 기본 제공 보호 순서입니다.
• 평가 엔진은 처음으로 일치하는 정책에서 멈춥니다. 즉, 사전 설정 범위에 포함된 사용자는 직접 만든 피싱 방지 정책을 모두 우회하게 됩니다.
• 사전 설정 보안 정책은 유지 관리와 정책 드리프트 관리를 Microsoft에 맡기므로, 새로운 위협에 맞춘 기본 보호 수준이 자동으로 업데이트됩니다.
• 사용자 지정 정책은 관리 부담이 크므로, 실제로 필요하고 문서화된 업무상 예외에만 사용해야 합니다.
• 임원, 재무 담당자, IT 관리자와 같은 고위험 사용자는 직접 구성한 격리 규칙보다 엄격 사전 설정 범위에 포함하는 것이 바람직합니다.

우선순위 함정: 사용자 지정 규칙이 조용히 실패하는 이유

많은 이메일 보안 관리자가 Microsoft Defender 포털에서 사용자 지정 피싱 방지 정책을 만드는 데 며칠을 씁니다. 피싱 신뢰도 수준을 세밀하게 조정하고, 보호 사용자 목록을 길게 작성하며, 가장 공격 시도에 대한 작업도 지정합니다. 포털에는 '사용' 상태가 표시되고 구성은 종이 위에서 완벽해 보입니다. 그러나 이렇게 신중하게 작업했음에도 정책이 단 한 명의 사용자에게도 실제로 작동하지 않을 수 있습니다.

핵심 문제는 Microsoft 365가 여러 겹치는 규칙을 처리하는 방식에 있습니다. 평가 엔진은 설정을 섞거나 가장 엄격한 규칙을 골라 적용하지 않습니다. 대신 엄격한 계층 구조를 따릅니다. 엄격 사전 설정 정책이 먼저 평가되고, 그다음 표준 사전 설정 정책, 사용자 지정 정책, 맨 아래의 기본 제공 보호 순서로 진행됩니다. 수신자가 상위 정책과 일치하는 순간 평가는 영구적으로 중단됩니다. 재무팀 구성원이 표준 사전 설정 정책의 범위에 속하면, 직접 만든 재무팀 피싱 방지 규칙은 완전히 무시됩니다. 오류 메시지도 경고도 나타나지 않으므로, 공격자가 쉽게 악용할 수 있는 보이지 않는 보안 공백이 남습니다.

사전 설정 정책과 사용자 지정 정책: 관리상의 절충점

장기적인 클라우드 아키텍처 관리를 위해서는 Microsoft의 사전 설정 보안 정책과 사용자 지정 테넌트 구성 사이의 근본적인 차이를 이해하는 것이 필수적입니다. 사전 설정 정책(표준 및 엄격)은 전 세계 수백만 개의 사서함에서 수집된 집단 지능을 반영합니다. Microsoft는 실시간 위협 텔레메트리를 기반으로 이 설정을 지속적으로 업데이트하므로, 개별 테넌트가 단독으로는 따라갈 수 없는 업계 전반의 관찰 결과를 활용할 수 있습니다.

반대로 커스텀 정책은 특정 시점에 한 관리자의 주관적 판단을 한 조직에 적용한 결과입니다. 커스텀 규칙은 특정 메일 흐름이나 고유한 비즈니스 요구 사항에 맞춰 세밀한 제어를 제공하지만, 유지 관리 부담이 큽니다. 공격 벡터가 진화해도 커스텀 정책은 그대로 고정되어 있습니다. 별도의 검토 주기가 없으면 커스텀 구성은 최신 보안 표준과 조용히 어긋나기 시작하며, 사고가 발생한 뒤에야 원인을 파악하기 어려운 취약점이 생깁니다.

커스텀 피싱 방지 정책은 언제 정당화될까요?

프리셋이 대부분의 사용자 시나리오를 효과적으로 처리하므로, 커스텀 정책은 기본 배포 전략이 아니라 예외로 다뤄야 합니다. 커스텀 규칙의 지속적인 유지 관리 부담을 정당화하려면 일반적으로 다음 세 가지 운영 범주 중 하나에 해당해야 합니다.

• 직접 선정한 보호 대상 사용자 목록: 임원, 이사회 구성원, 재무 승인자처럼 맞춤형 가장(impersonation) 임계값으로 보호해야 하는 특정 인원 명단이 필요하다면, 커스텀 피싱 방지 정책으로 정확한 이름을 지정할 수 있습니다.
• 특수한 메일 흐름: 표준에서 벗어난 외부 파일을 정기적으로 수신하는 사업부나, 오탐을 유발하기 쉬운 내부 자동화 시스템에 의존하는 경우에는 업무 연속성을 유지하기 위해 범위를 좁힌 커스텀 규칙이 필요할 수 있습니다.
• 타사 이메일 게이트웨이: Microsoft 365 이전에 외부 보안 게이트웨이를 통해 메일을 라우팅하는 조직은 연결 세부 정보와 인증 결과가 바뀌는 경우가 많으므로, 커스텀 정책 매개 변수 내에서 별도의 처리가 필요합니다.

커스텀 규칙을 만드는 이유가 단순히 다른 감도 설정을 선호하거나 기본값이 너무 느슨하다는 막연한 느낌이라면, 해당 정책은 장기적인 운영 비용을 정당화하기 어렵습니다.

결론 및 다음 단계

자동화된 지능과 목표 지향적인 커스텀 구성의 균형을 맞추는 것이 성숙한 클라우드 보안 전략의 특징입니다. 일반 직원 대부분에는 Microsoft의 프리셋 정책을 적용하고, 커스텀 규칙은 문서화된 예외 사항에만 한정해서 사용하면 관리 피로도를 줄이면서 위협 탐지 효과를 극대화할 수 있습니다. 더 깊이 있는 구현 전략, 구성 루프, 보고 지표를 살펴보려면 전문가의 인사이트와 실무 가이드를 제공하는 M365 FM 팟캐스트의 전체 에피소드를 들어보시고 오늘 바로 Microsoft 365 보안 태세를 최적화해 보시기 바랍니다.

자주 묻는 질문

사용자가 프리셋 정책과 커스텀 정책에 모두 포함되면 어떻게 되나요?

Microsoft 365 평가 엔진은 엄격한 순서에 따라 정책을 처리하며, 커스텀 정책보다 프리셋 정책(Strict, 그다음 Standard)을 우선합니다. 사용자가 프리셋 정책과 일치하면 시스템은 평가를 중단하며, 해당 수신자에 대해 커스텀 정책은 완전히 무시됩니다.

Microsoft 프리셋 보안 정책은 자동으로 업데이트되나요?

네. 프리셋 정책은 Microsoft가 직접 관리합니다. 위협 환경이 바뀌어 권장 기준값이 변경되면, Microsoft가 Standard 및 Strict 프리셋의 기본 설정을 자동으로 업데이트하므로 관리자는 수동 검토 주기에서 벗어날 수 있습니다.

경영진 같은 고위험 사용자를 커스텀 규칙이 아니라 Strict 프리셋에 배치해야 하는 이유는 무엇인가요?

고위험 직무는 정교한 스피어 피싱 및 가장 공격의 주요 표적입니다. Strict 프리셋은 Microsoft의 전역 텔레메트리를 기반으로 한 공격적인 보호 임계값을 적용하므로, 관리자가 복잡한 커스텀 예외 목록을 직접 유지 관리하지 않고도 포괄적인 보안을 제공합니다.

특정 사용자의 메일박스에 실제로 어떤 정책이 적용되는지 어떻게 확인할 수 있나요?

Microsoft Defender 포털의 구성 분석기(Configuration Analyzer)를 사용하거나, 이메일 이벤트에 대한 고급 헌팅 쿼리를 실행하여 사용자의 수신 메시지에 어떤 탐지 메커니즘과 정책이 작동했는지 추적하면 유효 정책을 확인할 수 있습니다.