Microsoft Graph Activity Logs로 OAuth 앱 악용을 분석하는 단계

By Mirko Peters · 2026-03-09 · Updated 2026-03-24

Entra ID와 Microsoft Graph Activity Log를 활용해 Microsoft 365를 겨냥한 OAuth 위협을 탐지합니다. 활동 로그와 Graph API로 OAuth 앱 위협을 탐지하는 방법을 알아봅니다.

Automatically translated with AI from the original post. Read the English original

조직의 보안을 유지하고 OAuth 앱 악용을 예방하려면 OAuth 앱 사용 현황을 모니터링하는 것이 필수적입니다. Microsoft Graph Activity Logs를 활용하면 OAuth 애플리케이션이 어떻게 동작하는지 중요한 가시성을 확보할 수 있습니다. 이러한 로그를 통해 잠재적인 OAuth 앱 악용을 탐지하고, OAuth 앱 활동과 관련된 위협을 찾아낼 수 있습니다.

• Microsoft Graph Activity Logs는 다음 작업에 매우 중요합니다.

  • OAuth 앱 활동 모니터링

  • 잠재적인 OAuth 앱 악용 탐지

  • 위협을 찾아내는 데 필요한 기본 가시성 제공

OAuth 앱 악용에 따른 위험이 있으므로 규정 준수 기준을 수립하는 것이 중요합니다. 보안 및 규정 준수를 평가하기 위한 명확한 기준을 마련하면 엔터프라이즈 환경에 적합한 앱을 선택할 수 있습니다.

Microsoft Graph Activity Logs로 OAuth 앱 악용 분석하기: 놀라운 사실 5가지

Microsoft Graph Activity Logs로 OAuth 앱 악용을 분석할 때 보안 조사관은 탐지와 대응에 영향을 주는 예상 밖의 기능과 한계를 자주 발견합니다.

1. 활동 로그에서 앱 중심 이벤트의 OAuth client_app_id를 확인할 수 있습니다. Microsoft Graph Activity Logs에는 많은 로그인 및 동의 이벤트에 대한 client_app_id(애플리케이션의 appId)가 포함되어 있어, 의심스러운 토큰이나 작업을 사용자뿐 아니라 등록된 OAuth 앱까지 직접 거슬러 추적할 수 있습니다.
2. 앱 활동이 한곳에만 기록되지 않으며, 여러 로그 유형을 함께 봐야 합니다. OAuth 관련 이벤트는 Sign-In Logs, Audit Logs, 통합 Microsoft Graph 활동 로그에 나뉘어 기록될 수 있습니다. 단일 피드에만 의존하면 악용 조사와 관련된 동의 부여, 토큰 발급, 앱 권한 변경을 놓칠 수 있습니다.
3. 별도로 설정하지 않으면 보존 및 내보내기 옵션이 포렌식 타임라인을 제한할 수 있습니다. 일부 활동 로그의 테넌트 기본 보존 기간은 제한적입니다. 진단 설정으로 Log Analytics 작업 영역이나 스토리지 계정에 내보내지 않으면 과거 앱 악용 증거가 빠르게 사라질 수 있습니다.
4. Graph 로그의 일부 민감한 필드는 마스킹되거나 편집됩니다. 개인 정보를 보호하기 위해 활동 페이로드의 일부 PII 및 토큰 세부 정보가 잘리거나 난독화되므로, 전체 공격 체인을 재구성하려면 여러 로그나 조건부 액세스 로그를 상호 연관시켜야 합니다.
5. 변경 알림과 델타 쿼리로 거의 실시간 탐지가 가능하지만 설정이 필요합니다. Microsoft Graph는 활동 로그에 대해 변경 알림(웹훅)과 델타 쿼리를 지원하므로, 새로 부여된 앱 권한이나 비정상적인 앱 작업을 자동으로 탐지할 수 있습니다. 다만 악용이 발생하는 순간 이를 포착하려면 사전에 적극적으로 구성해야 합니다.

핵심 요약

• Microsoft Graph Activity Logs를 활용해 OAuth 앱 활동을 모니터링하여 잠재적인 악용과 위협을 탐지하십시오.

• 권한이 적절한지 확인하도록 OAuth 애플리케이션을 정기적으로 감사하고, 의심스러운 앱은 철저히 조사하십시오.

• 타사 앱에 대한 사용자 동의를 비활성화하는 등 엄격한 액세스 제어를 구현하여 보안을 강화하십시오.

• Kusto Query Language(KQL)를 활용해 로그를 분석하고 OAuth 앱 악용을 나타낼 수 있는 비정상 패턴을 식별하십시오.

• 보안 위협과 피싱 수법에 대해 직원을 교육하여 OAuth 앱 악용 위험을 줄이십시오.

OAuth 앱 악용 개요

주요 공격 벡터

공격자는 흔히 OAuth 앱 동의를 악용해 민감한 데이터에 무단으로 접근합니다. 또한 보안 조치를 우회하기 위해 다양한 수법을 사용합니다. 예를 들어 피싱 캠페인이 널리 퍼져 있습니다. 공격자는 사용자를 속여 정상적인 Microsoft 인증 페이지에 디바이스 코드를 입력하도록 유도합니다. 이 방법으로 공격자는 피해자 계정에 연결된 액세스 토큰을 획득할 수 있습니다. 이러한 공격은 다중 인증을 포함한 기존 보안 통제를 우회할 수 있습니다.

또한 많은 서드파티 애플리케이션이 OAuth 토큰을 사용해 SaaS 플랫폼에 연결합니다. 이러한 토큰은 적극적으로 관리하지 않으면 무기한으로 접근 권한을 유지할 수 있습니다. 이는 중대한 위험을 낳습니다. 더 이상 사용하지 않는 애플리케이션을 통해 조직이 자신도 모르는 사이에 민감한 데이터에 대한 접근을 허용하고 있을 수 있기 때문입니다. 보안 연구원들은 OAuth 공격은 탐지하기 특히 어렵다고 지적해 왔습니다. 포렌식 흔적이 거의 남지 않으며, 비밀번호를 재설정한 뒤에도 지속될 수 있습니다.

장기적 접근 위험

지속적인 OAuth 앱 접근과 관련된 장기적 위험은 매우 우려스럽습니다. 클라우드 중심 환경에서는 ID가 새로운 경계가 되었습니다. 공격자는 서버나 비밀번호를 침해하지 않고도 기업 시스템에 지속적으로 접근할 수 있습니다. 최신 ID 시스템에 내재된 신뢰 관계를 악용하는 것입니다.

OAuth 앱 악용의 결과는 심각할 수 있습니다. 문서화된 주요 위험은 다음과 같습니다.

• 내부 피싱: 신뢰할 수 있는 계정에서 보낸 이메일은 더 많은 피해자를 유인합니다.

• 민감한 데이터 탈취: 기밀 파일, 계약서, 지적 재산이 유출될 수 있습니다.

• 지속적 접근: 자격 증명을 재설정하더라도 토큰은 활성 상태로 남아 있을 수 있습니다.

• 평판 손상: 침해 사실이 공개되면 고객과 파트너의 신뢰를 잃게 됩니다.

조직은 계속 경계해야 합니다. 정기적으로 OAuth 앱 동의를 검토하고 의심스러운 활동을 모니터링해야 합니다. 이렇게 하면 OAuth 앱 악용과 관련된 위험을 완화하고 민감한 데이터를 보호할 수 있습니다.

보안을 위한 Microsoft Graph 활동 로그

OAuth 앱의 동작을 모니터링하려면 Microsoft Graph 활동 로그에 접근하는 것이 매우 중요합니다. 다음 단계에 따라 로그를 효과적으로 가져올 수 있습니다.

1. Azure 포털의 진단 설정을 통해 로그를 스트리밍하거나 Azure Resource Manager API를 사용합니다. 자세한 내용은 여기에서 확인하십시오.

2. 활동 로그를 Azure Monitor 로그와 통합합니다.

3. Azure Resource Manager API를 통해 진단 설정을 구성합니다.

4. Azure Log Analytics 작업 영역, Azure Storage, Azure Event Hubs 같은 스토리지 대상을 설정합니다.

5. Log Analytics 작업 영역으로 전송된 경우 Kusto Query Language(KQL)를 사용해 로그를 쿼리합니다.

로그에 접근했다면 OAuth 앱의 의심스러운 동작을 나타낼 수 있는 주요 항목에 집중하십시오. 모니터링해야 할 로그 항목은 다음과 같습니다.

실시간 알림은 OAuth 앱 남용 사고를 탐지하고 대응하는 데 중요한 역할을 합니다. 의심스러운 동작을 가시화하고, 자동 대응을 통해 위험을 완화할 수 있습니다. 예를 들어, Drift의 OAuth 토큰은 수명이 연장되어 있었고, 이로 인해 Salesforce 고객은 앱 연결 상황을 제대로 파악하지 못했습니다. 탈취된 토큰은 MFA와 SSO를 우회할 수 있으며, 대량 API 호출과 같은 이상 징후를 탐지하려면 실시간 알림이 필요하다는 점을 보여 줍니다.

효과적인 실시간 알림을 구성하려면 다음 모범 사례를 고려하십시오.

• Microsoft Graph Activity Logs에서 높은 권한의 권한 할당이나 비정상적인 로그인 같은 의심스러운 활동에 대한 알림을 설정하십시오.

• Microsoft Defender for Cloud Apps(MCAS)를 사용하여 세션 제어를 모니터링하고 적용하며, 위험한 OAuth 앱 로그인에 대한 알림을 생성하십시오.

• Microsoft 365 Unified Audit Log에서 'Add application'이나 'Consent to application'과 같은 주요 이벤트를 검색하여 잠재적인 OAuth 앱 남용을 식별하십시오.

• 비정상적인 로그인 알림을 감사 로그와 상호 연관시켜 악의적인 OAuth 앱 활동을 탐지하십시오.

이러한 전략을 구현하면 조직의 보안 태세를 강화하고 OAuth 앱 남용으로부터 더 효과적으로 보호할 수 있습니다.

OAuth 앱 남용 탐지 방법

KQL 쿼리

Kusto Query Language(KQL)은 Microsoft Graph Activity Logs를 분석하는 강력한 도구입니다. KQL을 사용하면 OAuth 앱 남용을 나타낼 수 있는 패턴과 이상 징후를 식별할 수 있습니다. KQL 활용에 효과적인 전략은 다음과 같습니다.

• 과도한 권한을 식별하도록 Entra 애플리케이션을 정기적으로 감사하십시오. 이를 통해 위험을 초래할 수 있는 애플리케이션을 찾아낼 수 있습니다.

• Microsoft Graph API에 대한 예상치 못한 액세스를 모니터링하십시오. 이러한 액세스는 침해를 나타낼 수 있으므로 신속하게 조치할 수 있습니다.

• 승인된 애플리케이션의 안전 목록을 만드십시오. 이 목록은 지속적인 모니터링을 돕고 새로운 고권한 애플리케이션을 탐지하는 데 도움이 됩니다.

KQL을 시작하려면 비정상적인 로그인 활동을 확인하는 다음 예제 쿼리를 참고하십시오.

AuditLogs
| where ActivityType == "SignIn"
| where Result == "Failure"
| summarize Count = count() by UserPrincipalName, bin(TimeGenerated, 1h)
| order by Count desc

이 쿼리는 로그인 실패가 발생한 사용자를 식별하므로, 무단 액세스 가능성을 조사할 수 있습니다.

PowerShell 자동화

PowerShell 자동화를 사용하면 OAuth 앱 남용 탐지를 크게 간소화할 수 있습니다. PowerShell 스크립트를 활용하면 OAuth 애플리케이션과 그 활동에 대한 모니터링을 자동화할 수 있습니다. 주요 도구와 기능은 다음과 같습니다.

PowerShell을 사용하면 Entra 애플리케이션에서 과도한 권한을 정기적으로 확인하는 스크립트도 만들 수 있습니다. 이러한 선제적 접근 방식은 안전한 환경을 유지하는 데 도움이 됩니다.

예를 들어, 높은 권한을 가진 모든 애플리케이션을 나열하는 스크립트를 실행할 수 있습니다.

Get-AzureADServicePrincipal | Where-Object { $_.AppRoles -ne $null -and $_.AppRoles.Count -gt 5 }

이 명령은 앱 역할이 5개를 초과하는 서비스 주체를 조회하므로, 잠재적 위험을 평가할 수 있습니다.

KQL 쿼리와 PowerShell 자동화를 결합하면 탐지 역량을 높일 수 있습니다. 이러한 방법을 활용하면 OAuth 앱 남용을 식별하고 효과적으로 대응하는 데 필요한 도구를 갖출 수 있습니다.

ID 기반 위협에 대한 완화 전략

사용자 행동 분석

OAuth 애플리케이션과 관련된 위험을 효과적으로 완화하려면 사용자 행동에서 이상 징후를 분석해야 합니다. UBA(User Behavior Analytics) 도구를 사용하면 OAuth 앱 남용을 나타낼 수 있는 비정상적인 패턴을 식별하는 데 도움이 됩니다. 고려해 볼 만한 방법은 다음과 같습니다.

이러한 전략을 구현하면 잠재적 위협을 조기에 탐지할 수 있습니다. OAuth 애플리케이션에 대한 정기 감사도 중요한 역할을 합니다. 권한이 사용자 역할과 일치하는지 정기적으로 검토해야 합니다. 과도한 접근 권한을 가졌을 수 있는 의심스러운 애플리케이션은 조사하십시오.

이벤트 상관 분석

이벤트 상관 분석은 ID 기반 위협을 탐지하는 또 다른 효과적인 전략입니다. 이 접근 방식을 통해 여러 소스의 정보를 종합하여 악성 앱 등록이나 보안 통제 우회를 식별할 수 있습니다. 다음은 이벤트 상관 분석의 중요성에 대한 몇 가지 인사이트입니다.

이벤트를 상관 분석하면 종합적인 위험 평가를 수행할 수 있습니다. 이 과정을 통해 서로 다른 활동이 어떻게 연관되는지 파악하고, OAuth 남용 기법을 나타낼 수 있는 패턴을 탐지할 수 있습니다.

이러한 완화 전략을 구현하려면 의지가 필요합니다. 정당한 OAuth 워크플로를 악용하는 공격을 탐지하기 어렵다는 점과 같은 어려움에 직면할 수 있습니다. 동의가 부여된 후에는 기존의 보안 통제가 제대로 작동하지 않는 경우가 많습니다. 그러나 선제적인 접근 방식을 취하면 OAuth 앱 남용 위험을 크게 줄일 수 있습니다.

보안 태세를 더욱 강화하려면 다음의 효과적인 완화 전략을 고려하십시오.

1. 감사: 권한이 적절한지 확인하고 의심스러운 애플리케이션을 조사하기 위해 OAuth 애플리케이션을 정기적으로 감사하십시오.

2. 사용자 동의 제한: 타사 앱에 대한 사용자 동의를 비활성화하여 모든 권한 부여 요청에 관리자 승인을 받도록 하십시오.

3. 역할 기반 액세스 제어(RBAC): 사용자 권한을 필요한 최소 수준으로 제한하도록 RBAC를 구현하십시오.

4. 사용자 교육: 직원들에게 보안 위협과 피싱 기법을 알리기 위해 정기 교육을 실시하십시오.

사용자 행동 분석과 이벤트 상관 분석에 집중하면 OAuth 앱 남용과 관련된 ID 기반 위협에 대한 방어를 강화할 수 있습니다.

요약하면, OAuth 앱 남용 분석을 통해 많은 애플리케이션에서 중대한 취약점이 드러났습니다. 최근 연구에 따르면 테스트된 애플리케이션의 약 8%가 OAuth 남용에 취약한 것으로 나타났습니다. 이는 보안 태세를 강화하기 위해 지속적인 모니터링이 필요하다는 점을 보여줍니다.

다음 사항에 집중하십시오.

• 사용자 및 서비스 주체 ID에 대한 정기 감사

• 미승인 액세스를 차단하도록 동의 정책 구현하기.

• 위험한 애플리케이션을 선제적으로 찾아내기.

이러한 선제적 방어 전략을 도입하면 OAuth 앱 악용과 관련된 위험을 크게 줄이고, 잠재적 위협으로부터 조직을 보호할 수 있습니다.

자주 묻는 질문

OAuth 앱 악용이란 무엇입니까?

OAuth 앱 악용은 공격자가 OAuth 애플리케이션을 악용해 민감한 데이터에 무단으로 액세스할 때 발생합니다. 공격자는 흔히 피싱과 동의 피싱 같은 수법을 사용해 사용자가 권한을 부여하도록 속입니다.

OAuth 앱 악용은 어떻게 탐지할 수 있습니까?

Microsoft Graph 활동 로그를 모니터링해 의심스러운 활동을 찾으면 OAuth 앱 악용을 탐지할 수 있습니다. 비정상적인 로그인, 대량 다운로드, 예상치 못한 권한 변경을 확인하십시오.

동의 피싱의 위험은 무엇입니까?

동의 피싱을 이용하면 공격자가 사용자를 속여 계정에 대한 액세스 권한을 부여받을 수 있습니다. 그 결과 데이터 도난, 무단 액세스, 조직 평판에 대한 잠재적 피해로 이어질 수 있습니다.

OAuth 애플리케이션은 얼마나 자주 감사해야 합니까?

OAuth 애플리케이션은 정기적으로, 가능하면 몇 달에 한 번씩 감사하는 것이 좋습니다. 그래야 권한이 여전히 적절한지 확인하고, 의심스러운 애플리케이션을 신속하게 찾아낼 수 있습니다.

OAuth 앱 악용을 방지하려면 어떤 조치를 취할 수 있습니까?

OAuth 앱 악용을 방지하려면 엄격한 액세스 제어를 구현하고, 타사 앱에 대한 사용자 동의를 비활성화하며, 직원을 대상으로 피싱 인식 교육을 정기적으로 실시하십시오.

Microsoft Graph 조사: Log Analytics 작업 영역 및 위협 탐지

Microsoft Graph 활동 로그로 OAuth 앱 악용을 분석한다는 것은 무엇입니까?

Microsoft Graph 활동 로그로 OAuth 앱 악용을 분석한다는 것은, Microsoft 365 환경에서 OAuth 2.0 권한 부여를 악용하는 악성 활동을 Graph API 활동 및 Graph API 로그로 식별하는 것을 뜻합니다. Log Analytics 작업 영역의 Graph 활동 로그 시리즈와 함께 Graph API 호출, API 요청 패턴, Microsoft Entra ID 로그인 로그를 검토해 의심스러운 OAuth 동작과 위험한 OAuth 앱을 탐지합니다.

Microsoft Graph 활동 로그는 어떻게 사용하도록 설정하며, 로그는 어디로 전송됩니까?

Microsoft Graph 활동 로그를 사용하도록 설정하려면 Microsoft 365 서비스와 Microsoft Graph 서비스를 구성하여 Graph API 활동과 API 활동을 Log Analytics 작업 영역(또는 외부 SIEM)으로 전송해야 합니다. Microsoft Entra ID 진단 설정을 사용해 Graph API 요청, Entra ID 로그, 로그인 이벤트를 Log Analytics 작업 영역 ID로 라우팅하면, Graph API 로그를 쿼리하고 Kusto(활동 로그 및 Kusto 쿼리)로 위협 탐지 쿼리를 실행할 수 있습니다.

Graph API 호출에서 어떤 지표가 의심스러운 OAuth 활동을 나타냅니까?

단일 애플리케이션 ID에서 발생하는 대량 Graph API 호출, 반복적인 동의 부여, 테넌트 간 토큰 재사용, 익숙하지 않은 IP에서의 Graph API 활동처럼 비정상적인 Graph API 요청을 확인하십시오. 이를 Microsoft Entra ID 로그인 로그, Microsoft 인증 브로커 이벤트, API 호출 시점의 이상 징후와 상관 분석하면 Microsoft Graph 활동과 잠재적인 OAuth 애플리케이션 악용 위협을 찾아낼 수 있습니다.

Log Analytics와 Kusto 쿼리로 위험한 OAuth 앱은 어떻게 조사합니까?

Log Analytics 작업 영역에 Graph API 로그를 한곳에 모으고, Graph 활동 로그 시리즈에 대해 Kusto 쿼리를 실행하십시오. 일반적인 절차는 다음과 같습니다. Microsoft Graph API 요청과 Entra ID 로그를 수집하고, KQL을 작성해 비정상적인 Graph API 활동을 찾아낸 뒤, 애플리케이션 ID와 사용자를 기준으로 분석하고, Microsoft 365 서비스 이벤트와 상관 분석합니다. Graph 사용을 위한 플레이북에는 의심스러운 OAuth 토큰과 API 활동을 탐지하는 KQL 예제가 포함되어 있습니다.

OAuth 악용 탐지에서 Entra ID는 어떤 역할을 합니까?

Microsoft Entra ID(이전 명칭 Azure AD)는 어떤 앱이 액세스를 요청했고 어떤 사용자가 동의했는지 보여 주는 ID 및 액세스 신호, 즉 Entra ID 로그와 Entra ID 로그인 로그를 제공합니다. 이러한 로그를 Microsoft Graph API 및 Graph API 활동 로그와 함께 사용하면 OAuth 2.0 권한 부여 이벤트를 API 요청과 연결하고, 침해된 자격 증명이나 악성 애플리케이션을 식별하며, 조건부 액세스를 적용하거나 애플리케이션 권한을 취소할 수 있습니다.

OAuth 애플리케이션 악용에 대한 위협 탐지와 대응을 자동화할 수 있습니까?

네. Log Analytics 작업 영역에 Graph API 활동 로그를 모으고, 자동 경고와 플레이북을 결합하면 Microsoft Graph를 사용한 위협을 탐지할 수 있습니다. KQL로 이상 징후에 대한 경고를 트리거한 다음, Microsoft Graph API 호출과 Microsoft Graph 서비스를 이용해 자동 修復(토큰 취소, 애플리케이션 ID 차단, 동의 비활성화)을 실행하여 악성 활동을 차단하고 Microsoft 365 리소스에 대한 액세스를 줄일 수 있습니다.

의심스러운 OAuth 앱과 위험한 OAuth 앱으로 인한 위험을 줄이기 위한 모범 사례는 무엇입니까?

모범 사례는 다음과 같습니다. 애플리케이션에 최소 권한 원칙을 적용하고, Graph API 요청과 Entra ID 로그인 로그를 모니터링하며, 꼭 필요한 경우에만 관리자 동의를 요구하고, 조건부 액세스와 MFA를 사용합니다. 또한 Graph API 로그를 Log Analytics 작업 영역 ID가 포함된 Log Analytics 작업 영역에 중앙 집중화하고, Graph 활동 로그와 Kusto 쿼리로 정기적으로 조사를 수행하여 Microsoft Graph 활동에서 위협을 조기에 탐지합니다.

Microsoft Teams나 기타 Microsoft 365 서비스를 조사에 어떻게 연결합니까?

Microsoft Teams 및 기타 Microsoft 365 서비스의 텔레메트리를 Graph API 활동 로그에 포함하고 Graph API 요청과 상관 분석하십시오. 많은 OAuth 악용 시나리오는 메일, 파일 또는 Teams 메시지에 대한 액세스를 수반합니다. Microsoft Graph API를 사용해 서비스별 활동을 가져오고 이를 Log Analytics의 Entra ID 로그와 결합하면, API 요청에서 리소스 액세스까지의 전체 흐름을 확인하고 Microsoft 생태계 전반에 걸친 악성 활동을 탐지할 수 있습니다.