통합 감사 로그가 작동하지 않는 문제

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

Microsoft 365에서 통합 감사 로그가 작동하지 않을 때 감사 설정, 권한, 검색 필터, 라이선스, 지연 현상을 점검하는 방법을 정리합니다.

Automatically translated with AI from the original post. Read the English original

Titelbild: Unified Audit Log Not Working

Microsoft 365 감사 로그를 열었는데 아무것도 나오지 않는다면, IT 담당자에게 이보다 답답한 상황도 드뭅니다. 통합 감사 로그(Unified Audit Log)는 사용자와 관리자의 활동을 전체적으로 보여주는 창구로, 인시던트 대응, 규정 준수, 그리고 기본적인 운영 확인에 꼭 필요합니다. 데이터가 누락되거나, 검색이 되지 않거나, 내보내기 버튼이 계속 멈춰 있으면 전체 보안 프로세스가 멈출 수 있습니다.

이 가이드에서는 통합 감사 로그(unified audit log)가 제대로 동작하지 않는 핵심 원인들을 다룹니다. 필요한 권한이 없는 경우부터 데이터 지연, 그리고 숨겨진 Microsoft 업데이트가 원인인 경우까지 살펴봅니다. 로그를 정상 상태로 되돌리기 위한 실질적인 단계와 앞으로 문제를 미리 피하기 위한 팁도 함께 제공합니다. 또한 라이선스 격차, 구성 충돌, 실제 장애처럼 보이는 백그라운드 처리 지연 등 다른 곳에서는 잘 다루지 않는 문제들도 살펴봅니다. 이 글을 끝까지 읽으면 감사 문제를 어떻게 해결하는지뿐만 아니라, 감사 로그를 아침 커피만큼이나 믿을 수 있게 유지하는 방법도 알게 되실 겁니다.

Microsoft 365 앱 전반에서 감사 로깅 켜기

Exchange Online, SharePoint, OneDrive, Teams 전반에서 감사 로깅을 켜는 것은 Microsoft 365에서 신뢰할 수 있는 통합 감사 데이터를 얻기 위한 첫 단계이며, 종종 가장 간과되는 단계이기도 합니다. 이 작업은 대부분의 조직에서 이제 Microsoft Purview로 이름이 바뀐 Microsoft 365 규정 준수 포털에서 수행해야 합니다.

상용 테넌트의 경우 Microsoft Purview 포털로 이동해 "감사"를 선택한 다음, 감사 로깅이 실제로 켜져 있는지 확인하십시오. 믿기 어려울 수 있지만, 최신 테넌트에서도 감사 로깅이 항상 자동으로 켜져 있는 것은 아닙니다. 기존 규정 준수 포털을 사용하거나 정부(GCC 또는 DOD) 테넌트에 있는 경우 UI가 약간 다를 수 있지만, 설정은 "검색" 또는 "감사 로그 검색" 아래에 비슷한 위치로 있습니다.

통합 감사 로깅을 켤 때는 "기본값"이 곧 "완료"를 의미한다고 가정하지 마십시오. 새로운 Microsoft 365 앱은 전체 감사 범위를 확보하기 위해 다시 활성화해야 하는 경우가 있습니다. 예를 들어 기반 서비스가 나중에 생성되었다면 Teams나 새 SharePoint 사이트가 완전히 포함되지 않을 수 있습니다. 새 서비스를 온보딩한 후에는 항상 로깅 상태를 확인하는 것이 현명합니다.

참고로 일부 환경에서는 완전한 설정을 위해 여러 단계가 필요합니다. Microsoft Purview로 사용자 활동 감사하기에서는 보유한 계층(Audit Standard와 Audit Premium)을 확인하고, 무엇이 기록되고 있는지, 그리고 모든 클라우드 워크로드가 포함되도록 하는 방법을 살펴볼 수 있습니다. 로그가 가장 필요한 순간에 없는 가장 큰 이유는 바로 이 확인 과정을 건너뛰는 것입니다.

감사 도구 권한과 규정 준수 포털 접근

감사 로그가 제대로 작동하는지는 스위치를 올바르게 켰는지만의 문제가 아닙니다. Microsoft 365에서 사용자가 어떤 역할을 맡고 있는지가 큰 영향을 미칩니다. 감사 로그에 접근하고 검색하려면 관리자에게 Microsoft Purview 또는 Security & Compliance Center를 통해 올바른 권한이 할당되어 있어야 합니다.

필수 역할은 보통 Compliance Administrator, Audit Logs 또는 Security Reader입니다. 이러한 역할은 Microsoft Purview 포털(또는 경우에 따라 Entra ID)의 역할 그룹을 통해 부여됩니다. 로그를 가져오는 중에 문제가 발생하거나 항목이 비활성화되어 보인다면, 계정이 올바른 그룹의 구성원인지 다시 확인하고, 최근 변경 사항이 Microsoft 365 백엔드 전체에 동기화될 시간이 충분했는지도 점검하십시오.

흔한 함정으로는 사용자를 잘못된 그룹에 배정하는 경우(예: Compliance Administrator 대신 Global Reader에 배정), Entra ID 역할에만 의존하고 Purview 설정을 빠뜨리는 경우, 일부 접근 권한 변경이 활성화되기까지 최대 24시간이 걸릴 수 있다는 점을 간과하는 경우가 있습니다. 또한 일관되지 않은 역할 배정이나 수동 검토를 우회하는 긴급 액세스(break-glass) 관리자 계정을 사용하면 감사 도구가 예상대로 작동하지 않을 수 있습니다.

감사 접근을 잘 관리하는 것은 단순히 문을 여는 것이 아니라, 좋은 거버넌스를 유지하고, 더 이상 필요 없는 사용자를 제거하며, 정기적으로 접근 권한을 검토하는 일이기도 합니다. 이 내용은 이 Microsoft 365 데이터 액세스 및 거버넌스 가이드에서 자세히 다룹니다. 권한을 엄격하게 관리하면 의도하지 않은 감사 공백을 피하고, 자체 보안 정책을 준수하는 상태도 유지할 수 있습니다.

Microsoft 365에서 통합 감사 로그 장애 문제 해결하기

통합 감사 로그가 제대로 작동하지 않는 것처럼 보일 때(검색 결과가 비어 있거나, 레코드가 누락되거나, 내보내기 옵션이 불안정할 때), 이는 대개 구성, 라이선스 또는 백엔드 지연과 같은 더 깊은 문제의 증상입니다. 이러한 문제는 겉보기에는 매우 비슷하지만 근본 원인과 해결 방법은 크게 다른 경우가 많습니다.

지원 센터에 문의하거나 에스컬레이션하기 전에 '정상' 상태가 어떤 모습인지 파악하고, 이벤트가 누락된 것인지, 잘못된 시간 범위를 보고 있는 것인지, 권한이 부족한 것인지, 아니면 Microsoft가 설정한 제한에 걸린 것인지 찾아낼 수 있는 문제 해결 단계를 알아두는 것이 좋습니다. 때로는 수집 지연이라는 단순한 원인일 수도 있고, 다른 경우에는 눈에 잘 띄지 않았던 미묘한 라이선스 문제나 정책 변경이 원인일 수도 있습니다.

다음 섹션에서는 공백 진단, 로그 완전성 확인, PowerShell 및 내보내기 관련 문제 해결, 실무 분석을 위한 결과 필터링에 대한 실용적인 조언을 다룹니다. 이 단계들을 이해하면 가장 흔하면서도 까다로운 감사 로그 장애를 더 빠르게 식별하고 해결할 수 있습니다.

신뢰성 및 완전성: 누락되거나 불완전한 감사 레코드 해결

보존 정책 및 라이선스 확인: Microsoft 365 라이선스가 확장 보존을 지원하지 않는 경우(E5 또는 Premium 전용) 또는 사용자의 라이선스가 최근에 변경된 경우 데이터 공백이 발생하는 경우가 많습니다. 필요한 레코드와 기간에 맞는 라이선스 등급을 갖추고 있는지 항상 확인하십시오.
수집 지연 검토: 감사 로그는 실시간으로 기록되지 않습니다. 기본적으로 15분에서 최대 several 시간까지 지연될 수 있으며, 드물게는 주말이나 Microsoft 서비스 장애 중에 더 길어지기도 합니다. 이러한 지연으로 인해 로그가 누락된 것처럼 보일 수 있지만, 실제로는 기록이 늦게 반영된 것뿐인 경우가 많습니다.
조절(Throttling) 및 내보내기 제한 확인: 대규모 테넌트에서는 특히 감사 내보내기나 검색이 대량으로 실행될 때 조절이 발생할 수 있습니다. 속도 제한이나 세션 상한에 도달하면 일부 작업이 누락되거나 지연되어 표시될 수 있습니다.
잘못된 긍정 결과 걸러내기: 사용자, 날짜 또는 활동 필터가 의도치 않게 너무 좁거나 잘못 구성되어 있지 않은지 확인하십시오. 검색 기간을 지나치게 좁게 설정하거나, 잘못된 사용자나 그룹을 선택하거나, 무해한 '노이즈 이벤트'를 걸러내면 실제보다 문제가 더 심각해 보일 수 있습니다.
테넌트 전체 구성 문제 확인: 때로는 조건부 액세스, 서비스 주체 권한, 또는 규정 준수 보존 승인(compliance hold) 정책이 감사 이벤트 생성을 방해할 수 있습니다. 숨은 원인을 배제하려면 최근의 구성 및 보안 업데이트를 검토하십시오.

Microsoft PowerShell에서 Search-UnifiedAuditLog cmdlet 사용하기

PowerShell의 Search-UnifiedAuditLog cmdlet은 웹 포털을 거치지 않고 Microsoft 365 전반의 통합 감사 로그를 직접 조회할 수 있어 고급 문제 해결에 매우 유용합니다. 특히 대량 내보내기, 대규모 데이터 범위 확인, 반복적인 조사 자동화에 적합합니다.

일반적인 관리 작업으로는 날짜, 사용자 또는 활동별 검색과 심층 분석을 위한 결과 내보내기가 있습니다. 다만 50,000건 내보내기 제한이나 반복적인 대량 검색 시 발생하는 조절 같은 알려진 제한 사항은 주의해야 합니다. 여기서 발생하는 오류를 보면 백엔드 문제인지, 포털 문제인지, 아니면 단순히 세션의 규모 제한 때문인지 판단할 수 있습니다.

자동화 가능성이 매우 크지만, PowerShell 거버넌스 심층 분석과 같은 일부 자료는 콘텐츠가 이동되면 다른 자료로 리디렉션될 수 있습니다. 그래도 최신 cmdlet 옵션과 주의 사항을 확인하려면 공식 문서와 포럼이 여전히 매우 유용합니다.

로그 내보내기 시 날짜, 사용자 필터링 및 세부 정보 보기

날짜 범위로 필터링: 검색 결과를 제한하고 노이즈를 줄이려면 항상 일주일이나 며칠처럼 구체적인 시간 범위를 지정하십시오. 날짜 범위가 넓은 검색은 이벤트를 놓치거나 내보내기 기능에 과부하를 주는 경우가 많습니다.
사용자 또는 활동 유형 지정: 사용자 계정 이름(UPN)이나 활동 키워드를 사용해 관심 있는 이벤트만 가져오십시오. 이렇게 하면 긴 대기 시간을 줄이고 내보내기 크기 상한에 걸릴 가능성도 낮아집니다.
내보내기 전에 이벤트 세부 정보 미리 보기: 대량 내보내기 전에 개별 로그 항목을 클릭해 보면 이벤트가 예상대로 기록되고 있는지, 올바른 메타데이터가 포함되어 있는지 확인할 수 있습니다.
관리 가능한 배치로 내보내기: 규모가 큰 감사의 경우 시간 제한이나 CSV 파일 일부 누락을 피하기 위해 내보내기를 작은 범위로 나누되, 범위가 서로 겹치도록 하십시오.

감사 검색 실행 및 통합 감사 데이터 내보내기

Microsoft 365 감사 검색을 실행하려면 Microsoft Purview 포털로 이동하여 감사 섹션을 선택합니다. 날짜 범위, 사용자, 작업 유형을 선택해 쿼리를 구성합니다. 정말 필요한 경우가 아니라면 모든 사용자나 전체 테넌트를 대상으로 한 검색은 피하십시오. 이런 검색은 UI와 내보내기 엔진에 과부하를 줄 수 있습니다.

결과가 표시되면 웹 포털에서 미리 보거나 CSV 파일로 내보낼 수 있습니다. 결과가 매우 많으면 실패하거나 시간 초과가 발생할 수 있으므로 쿼리 범위를 좁게 유지하십시오. 내보내기 중 오류가 발생하면 날짜 범위를 더 짧게 설정하거나 PowerShell을 사용해 감사 로그를 일괄적으로 추출해 보십시오.

조사에 활용하기 전에 내보낸 파일의 열과 기간이 빠짐없이 포함되어 있는지 항상 확인하십시오.

통합 감사 로그 지연 및 데이터 지연 문제

"누락된" 감사 데이터의 원인으로 가장 자주 간과되는 것은 바로 단순한 지연입니다. 감사 로그가 항상 실시간으로 기록되는 것은 아니며, Microsoft는 활동 이벤트를 일괄적으로 처리합니다. 그래서 실제 로그 항목이 사용자 작업이 발생한 뒤 한참 후에야 나타나기도 합니다.

로그가 느리게 나타나는 것일 뿐 문제가 있는 것이 아닌데도 다급한 지원 요청이 접수되고 문제 해결에 시간이 낭비될 수 있습니다. 일반적인 수집 소요 시간을 이해하고, 정상적인 로그 지연과 실제 데이터 손실 또는 시스템 오류를 구별하는 방법을 아는 것이 중요합니다. 이 섹션에서는 이러한 지연이 어떻게 발생하는지, 그리고 실제로 누락된 이벤트(단순히 처리가 밀린 이벤트가 아닌)를 어떻게 추적할 수 있는지 살펴봅니다.

정상 및 비정상 감사 로그 처리 지연 이해하기

Microsoft 365 통합 감사 로그는 일반적으로 사용자 및 관리자 작업을 15분에서 1시간 이내에 처리합니다. 다만 서비스 점검, 리전 장애, 또는 우선순위가 낮은 일부 이벤트의 경우 최대 24시간까지 지연되는 경우도 드물지 않습니다.

Microsoft 공식 SLA는 정상적인 상황에서 로그 가용성의 상한을 24시간으로 규정하고 있으므로, 그보다 짧은 지연은 예상 범위 내에 있다고 볼 수 있습니다. 감사 이벤트가 그보다 오래 누락되거나 여러 유형의 활동이 정상 범위를 넘어 지연된다면 그때부터 추가 조사를 시작해야 합니다.

Teams나 타사 앱 활동처럼 일부 서비스는 SharePoint나 Exchange와 다른 방식으로 로그를 일괄 처리할 수 있다는 점에 유의하십시오. 로그 장애가 시스템 전반의 문제라고 판단하기 전에 항상 Microsoft의 최신 공지를 확인하십시오.

시간 경과에 따른 로그 데이터 완전성 모니터링 및 확인 방법

예상 활동 기준선 설정: 알려진 사용자 작업(예: 사서함 로그인 또는 파일 업로드)을 하나 선택해 발생 시각을 기록한 다음, 해당 감사 이벤트가 나타나기까지 걸리는 시간을 확인하십시오.
PowerShell 스크립트 사용: 최근 로그 항목을 가져와 타임스탬프를 비교하고 이상 징후를 표시하는 스크립트를 예약하여 매일 자동으로 점검하십시오. 수동 검토에 의존하지 않을 수 있습니다.
여러 날에 걸쳐 누락 항목 추적: 로그 항목이 보이지 않으면 24시간 및 48시간 후에 다시 확인하십시오. 지연은 시간이 지나면 저절로 해소되는 경우가 많으며, 지속적인 누락 패턴은 백엔드 병목 현상을 드러낼 수 있습니다.
사용자 신고와 대조 확인: 사용자가 중요한 작업이 감사되지 않았다고 주장하면, 지원 사례를 열기 전에 해당 활동 날짜와 내보내기 타임스탬프를 비교하여 수집 누락이 아닌지 확인하십시오.

감사 로그 준비 상태 및 규정 준수 전략

안정적인 Microsoft 365 감사 로그는 사고가 발생하기 훨씬 전에 준비되어야 합니다. 조직에는 라이선스, 보존, 자동화, 규정 준수 전략까지 전체 수명 주기를 포괄하는 계획이 필요합니다. 많은 로그 장애는 구독 누락, 역할 미할당, 정책 설정 불일치와 같은 단순한 실수에서 비롯됩니다.

이 섹션에서는 핵심 요소를 모두 다룹니다. 로그가 얼마나 오래 보존되는지(E3와 E5, 정부 플랜에 따라 어떻게 달라지는지 포함), 설정을 견고하게 유지하는 데 도움이 되는 체크리스트, 조용한 서비스 중단을 피하기 위한 실용적인 라이선스 팁을 소개합니다. 또한 Microsoft Purview와 DLP, 민감도 레이블 같은 관련 보안 통제가 더 넓은 규정 준수 체계에서 어떻게 맞물리는지도 살펴봅니다.

클라우드 협업에서는 감사 로그를 켜 두는 것만으로는 충분하지 않습니다. 실질적이고 지속 가능한 준비 상태를 만드는 것은 정기적인 검토, 전략적인 정책, 그리고 기술적 세부 사항을 비즈니스 및 규제 위험에 맞추는 일입니다. 더 까다로운 컴플라이언스 및 AI 기반 콘텐츠 측면이 궁금하다면 숨겨진 컴플라이언스 드리프트에 대한 이 분석과 Purview로 Copilot을 거버넌스하는 방법을 확인해 보십시오. 안정적인 대시보드가 전체 그림의 일부일 뿐이라는 점을 잘 보여 줄 것입니다.

감사 로그 보존 기본 사항과 실무용 M365 감사 체크리스트

올바른 관리자 역할 할당: Purview와 Entra ID 모두에서 Compliance Administrator, Audit Logs 등 필요한 감사, 컴플라이언스 및 보안 역할이 모두 할당되어 있는지 확인하십시오.
라이선스 요구 사항 확인: 대부분의 E3(상용) 테넌트에서 표준 감사 보존 기간은 90일입니다. E5 또는 Audit Premium을 사용하면 보존 기간이 1년 이상으로 연장되고, 더 나은 신호와 일부 고가치 이벤트를 확인할 수 있습니다. 특히 변경 후나 그룹 기반 라이선스를 배포한 후에는 감사가 필요한 모든 사용자에게 올바른 라이선스가 있는지 다시 확인하십시오.
Purview 감사 설정 구성: 감사 로깅이 명시적으로 활성화되어 있고 Exchange, SharePoint, OneDrive, Teams 및 중요한 모든 앱 등 핵심 서비스를 모두 포함하는지 검토하십시오. 새 서비스를 온보딩할 때도 빠뜨리지 마십시오.
보존 및 내보내기 정책 점검: 비즈니스 및 규제 요구 사항에 맞게 보존 기간을 설정하십시오. 서비스 간 일관성 문제를 일으킬 수 있는 상충하는 Purview 정책이나 보존 保留(retention hold)가 있는지 주의하십시오.
정기적으로 테스트하고 범위 검토: 샘플 감사 검색을 실행하고, 예상 보존 기간을 문서화하며, 필요할 때 데이터가 존재하고 접근 가능한지 확인하기 위해 샘플 로그를 매월 내보내십시오.
추가 컴플라이언스 조치 고려: 위험도가 높은 환경에서는 DLP, 민감도 레이블, 정기적인 액세스 및 소유권 검토를 통해 거버넌스를 강화하여 감사 공백을 방지하고 실질적인 인시던트 대응이 가능하도록 하십시오.

위 항목 중 어느 하나라도 빠지거나 보존 기간이 무한하지 않다는 사실을 잊는 것은, 조사 시점에 중요한 이벤트가 누락되는 가장 흔한 근본 원인입니다. 정확한 위험과 규제 의무에 맞춰 체크리스트를 정렬해야 준비 상태를 유지하고 충분히 대비할 수 있습니다.

통합 감사 로그 가치를 극대화하기 위한 실용 팁

Microsoft 365 통합 감사 로그를 다룰 때 표면적인 검색으로는 핵심을 놓치기 쉽습니다. 모든 항목을 포착하려면 특히 사용자나 관리자가 수행한 사서함 작업을 확인하도록 고급 검색 필터를 활용해야 합니다. PowerShell을 적극적으로 활용하십시오. Search-UnifiedAuditLog와 같은 명령을 사용하면 사용자, 날짜, 활동별로 세부적으로 파고들어 정확하게 찾을 수 있습니다.

내보내기 옵션도 활용하십시오. 감사 데이터를 정기적으로 CSV 파일로 내보내면 로그를 인시던트 타임라인과 대조하기가 훨씬 수월해집니다. 민감한 파일을 누가 삭제했는지 또는 예상치 못한 사서함 권한을 누가 언제 부여했는지 확인하려는 경우, 이렇게 내보낸 세부 정보는 감사 추적이나 인시던트 보고서를 작성하는 데 매우 귀중한 자료가 됩니다.

로그에서 놓치기 쉬운 공백도 주의해서 살펴보십시오. 많은 사람이 라이선스나 정책 관련 로그 실패를 발견하지 못합니다. 특히 라이선스 변경이나 대규모 업데이트 후에는 감사 범위가 일관되게 유지되는지 습관적으로 확인하십시오. 로그에 문제가 있는 것이 아니라 지연이나 관리자 정책 변경으로 인해 이벤트가 누락된 것일 수도 있으니 주의하십시오.

언제 에스컬레이션할지 판단하십시오. 필터를 다시 확인하고, 라이선스와 정책을 검증했는데도 원인을 알 수 없는 감사 공백이 계속 나타난다면, 이를 혼자 해결하려고 씨름할 때가 아닙니다. 이때는 발견 사항을 정리하여 Microsoft에 지원 케이스를 여는 시점입니다. 사용자 오류처럼 보이던 문제가 실제로는 Microsoft만 해결할 수 있는 백엔드 문제인 경우도 종종 있습니다.

함께 들어보면 좋은 에피소드

통합 감사 로그가 작동하지 않음을 살펴보고 계신다면, 다음 에피소드들이 거버넌스, 보안, 자동화 및 안정적인 Microsoft 365 운영에 대한 실질적인 배경 지식을 제공합니다.

Microsoft Purview – Simply Explained — 보존, 컴플라이언스, 감사 및 데이터 거버넌스를 연결하여 살펴봅니다.
Microsoft Teams Governance – Simply Explained — 협업에서 소유권과 수명 주기 규칙이 왜 중요한지 알아봅니다.
Microsoft Defender XDR – Simply Explained — 운영 신호를 탐지 및 대응과 연결하는 방법을 살펴봅니다.
Conditional Access – Simply Explained — 안전한 액세스를 뒷받침하는 ID 및 위험 제어의 원리를 이해합니다.

이 에피소드들은 글의 주제를 실제 구현 결정으로 옮기는 데 도움을 줍니다.