M365 가시성 확보하기: 기본 SIEM 커넥터가 사각지대를 남기는 이유

By Mirko Peters · 2026-08-11

블로그에 다시 오신 것을 환영합니다! Microsoft 365를 활용하는 조직의 보안 운영을 담당하고 계신다면, 아마 잘못된 안도감을 느끼고 계실 것입니다. 여러분은 "en…"을 클릭했습니다.

Automatically translated with AI from the original post. Read the English original

블로그에 다시 오신 것을 환영합니다. Microsoft 365를 사용하는 조직의 보안 운영을 담당하고 계신다면 아마 실제보다 안심하고 계실 가능성이 높습니다. SIEM의 기본 M365 커넥터를 "사용"으로 설정하고 로그가 들어오는지 확인한 뒤 규정 준수 항목에도 체크했을 것입니다. 그런데 정말로 보호되고 있을까요? 불편하지만 현실은, 기본 제공 SIEM 커넥터가 최신 공격자들이 주로 노리는 고급 클라우드 워크로드를 통째로 놓치면서 큰 사각지대를 남기는 경우가 많다는 것입니다. 이 주제를 자세히 살펴보시려면 동반 팟캐스트 에피소드 Send Critical Microsoft 365 Logs to Your SIEM도 함께 들어 보시기 바랍니다. 여기서 이러한 공백을 자세히 다루고 있습니다.

이번 글에서는 기본 구성이 제대로 작동하지 않는 이유, 숨어 있는 사각지대가 어디에 있는지, 그리고 분석가가 실제로 활용할 수 있는 고신호 탐지를 제공하는 탄력적이고 비용 효율적인 수집 파이프라인을 구축하는 방법을 깊이 있게 다루겠습니다.

주요 SIEM 전반에 걸친 Microsoft 365 사각지대

Microsoft Sentinel, Splunk, QRadar 중 어떤 제품을 사용하든, 기본 수집 템플릿은 보통 기본적인 Azure AD 로그인과 단순한 Office 365 활동 로그에 초점을 맞춥니다. 이것으로 가장 기본적인 부분은 다루지만, 중요한 워크로드는 완전히 노출된 채로 남습니다. 주요 SIEM 플랫폼 전반에서 다음과 같은 주요 사각지대가 꾸준히 나타납니다.

• Exchange: 기본 커넥터는 소유자가 아닌 사용자의 사서함 접근, 의심스러운 규칙 및 전달 규칙 생성, SendAs 또는 SendOnBehalf 활동, 갑작스러운 사서함 권한 변경을 놓치는 경우가 많습니다.
• SharePoint 및 OneDrive: 파일 다운로드는 보일 수 있지만, 외부 및 익명 링크의 생성과 사용, 파일 재공유, 권한 있는 사이트 권한 변경은 보이십니까?
• Teams: 공격자는 열린 공간에서 협업하는 것을 좋아합니다. 기본 구성은 SharePoint 기반 채널을 통한 외부 공유, 메시지 삭제 및 편집, 모임 정책 변경, 승인되지 않은 앱 사이드로딩을 거의 포착하지 못합니다.
• Power Platform: 로우코드/노코드 환경이 늘어나면서 숨은 위험도 함께 커지고 있습니다. 플로우와 앱 생성이 급증하는 현상, Outlook, Teams 또는 임의의 HTTP 커넥터 같은 위험한 커넥터 사용, 데이터 손실 방지(DLP) 정책 우회는 종종 누락됩니다.
• 민감도 및 DLP: 명시적으로 대상을 지정하지 않으면 레이블 적용, 레이블 제거 이벤트, 정책 적중, 수동 재정의가 완전히 누락되는 경우가 많습니다.
• Azure AD 컨텍스트: 위험한 로그인, 조건부 액세스 결과, 디바이스 또는 지리적 이상 징후에 관한 중요한 컨텍스트가 표준 쿼리에서 빠지는 경우가 많습니다.

근본 원인: 중요한 이벤트를 놓치는 이유

이러한 핵심 텔레메트리 스트림이 누락되는 이유는 무엇일까요? 우연히 발생하는 경우는 드뭅니다. 오히려 플랫폼 제공업체와 기업 구매자가 함께 내린 아키텍처 및 상업적 선택의 결과인 경우가 많습니다.

첫째, 라이선스 제한이 큰 역할을 합니다. 고급 감사, 세분화된 Exchange 텔레메트리, 풍부한 SharePoint 이벤트 로깅은 Microsoft 365 E5 같은 상위 등급 라이선스나 Advanced Audit 추가 기능 뒤에 잠겨 있는 경우가 많습니다. 테넌트가 E3 등급이라면 해당 이벤트는 애초에 생성되지도, 보존되지도 않습니다.

둘째, 커넥터 범위 제한이 데이터 수집을 제약합니다. 표준 커넥터는 일반적으로 기본 "OfficeActivity" 스트림만 가져오고 고급 워크로드는 무시합니다. 셋째, API 처리량 제한과 일괄 처리 지연으로 인해 피크 시간대에 기본 수집기가 과부하될 수 있으며, 그 결과 로그가 누락될 수 있습니다. 넷째, 파서 격차가 있으면 원시 JSON 데이터가 SIEM에 도착하더라도 매핑되지 않은 필드와 소리 없이 발생하는 스키마 변경 때문에 의미를 알 수 없는 데이터처럼 보이게 됩니다. 마지막으로, 예산을 중시하는 팀이 적용한 비용 통제는 보안적 영향을 충분히 고려하지 않은 채 노이즈가 많은 범주를 조용히 제외하기도 합니다.

사각지대를 만들지 않으면서 비용 통제하기

"완전한" Microsoft 365 가시성을 수집하는 데 가장 큰 반대 의견 중 하나는 비용입니다. 대규모 M365 테넌트에서 생성되는 모든 로그를 수집하면 보안 스토리지 예산이 바닥날 수 있습니다. 하지만 파산과 사각지대 사이에서 선택할 필요는 없습니다. 중요한 것은 덜 수집하는 것이 아니라 똑똑하게 걸러내는 것입니다.

먼저 상류 단계에서 필터링하십시오. 수집 메커니즘을 구성하여 New-InboxRule, Add-MailboxPermission, 익명 링크 생성 및 사용 이벤트처럼 신호 가치가 높은 작업만 포함하도록 하십시오. SIEM에 도달하기 전에 SharePoint 백그라운드 버전 저장처럼 노이즈가 많고 가치가 낮은 이벤트는 중복을 제거하고 롤업하십시오.

계층형 스토리지 전략을 구현하십시오. 활성 조사를 위해 핫 스토리지는 30~60일로 짧게 유지하고, 콜드 또는 아카이브 스토리지는 더 저렴한 객체 스토리지로 보내 규정 준수 기간을 충족하십시오. 또한 새로운 스트림을 활성화하기 전에 볼륨을 모델링하십시오. 소스별로 일일 기가바이트를 예측한 다음, 업무 급증, 분기별 감사, 법적 증거 개시 기간을 고려해 그 추정치를 두 배로 잡으십시오.

복원력 있는 수집 파이프라인 설계

직접 폴링하는 취약한 커넥터에 의존하면 보안 사고가 긴박한 순간에 경고를 놓치기 쉽습니다. 대신 스로틀링을 고려한 복원력 있는 파이프라인을 설계하십시오. 견고한 패턴은 다음과 같습니다.

• 소스: M365 통합 감사 로그, 고급 감사, Azure AD 로그인 및 위험 로그, Microsoft Information Protection(MIP), DLP 경고, Microsoft Defender 보안 경고에서 데이터를 가져옵니다.
• 전송: Graph 또는 Management API의 데이터를 SIEM으로 전달하기 전에 Azure Event Hub(버퍼 및 재생 메커니즘 역할)로 라우팅합니다.
• 처리: 랜딩 존에서 데이터를 바로 정규화하고 보강하여 사용자 컨텍스트, 부서 플래그, VIP 지정, 디바이스 상태, 지리적 데이터를 추가합니다.
• 거버넌스: 일일 완전성 검사, 429 속도 제한 백오프 처리기, 스키마 변경 감시, 데드레터 큐 경고를 구현합니다.

분석가가 바로 활용할 수 있는 데이터를 위한 정규화 및 보강

원시 M365 로그는 중첩된 JSON 객체와 워크로드마다 일관성 없는 필드 명명 규칙으로 가득해 다루기 어렵기로 유명합니다. 원시 데이터를 1차 분석가(Tier 1)에게 그대로 넘기면, 분석가는 교대 근무 시간의 절반을 페이로드 해독에 쓰고 위협 분류에는 시간을 적게 쓰게 됩니다.

수집 시점에 핵심 필드를 평탄화하십시오. Actor, Target, Action, ResourcePath, LinkType(익명, 조직, 특정 사용자), ExternalRecipient, LabelName이 해당합니다. 이 필드들을 Azure Monitor Common Security Incident Model(ASIM) 또는 Elastic Common Schema(ECS) 같은 통합 스키마에 매핑하면 워크로드 전반에 걸쳐 탐지 엔지니어링을 일관되게 적용할 수 있습니다. 마지막으로 이벤트를 HR 데이터(역할, 고용 형태, 부서), VIP 목록, 파트너 허용 목록, 디바이스 규정 준수 상태, 민감도 분류로 보강하십시오.

지금 바로 배포할 고신호 탐지

파이프라인이 작동하고 데이터가 정규화되면, 정교한 공격자 행위를 실제로 잡아낼 수 있는 고신호 탐지를 배포할 수 있습니다. 즉시 구축해야 할 기본 탐지 여덟 가지는 다음과 같습니다.

• 메일함 유출: 외부로 전달하거나 메시지를 RSS/정크로 이동하는 새 수신함 규칙이 새로운 지리적 위치 또는 인식되지 않은 디바이스에서의 로그인 후 1시간 이내에 발생하는 경우를 탐지합니다.
• 은밀한 액세스: 앞선 24시간 내에 Add-MailboxPermission 이벤트가 동반된 상태에서 VIP 계정에 대한 소유자가 아닌 사용자의 메일함 액세스를 표시합니다.
• SharePoint 유출: 기밀 또는 제한됨으로 레이블이 지정된 파일에 생성된 익명 또는 "특정 사용자" 공유 링크에 대해 경고합니다.
• 링크 악용: 새로 생성된 공유 링크에서 새로운 IP 또는 ASN을 통해 발생한 외부 다운로드가 15분 창 내에 대량으로 발생하는 경우를 탐지합니다.
• Teams 피벗: 파일이 외부에 공유되고 같은 사용자가 2시간 이내에 외부 게스트를 팀에 추가하는 상황을 포착합니다.
• Power Automate 악용: 개발자가 아닌 계정이 특히 HTTP 또는 Outlook 커넥터를 사용하여 하루에 흐름을 세 개 이상 갑자기 많이 만드는 경우를 표시합니다.
• 권한 누적: 24시간 창 내에 같은 민감한 워크스페이스 또는 사이트에서 멤버 또는 관리자 역할이 반복적으로 추가되고 제거되는 것을 추적합니다.
• 오래된 정보: 경영진 또는 재무 콘텐츠 데이터 세트가 두 번 이상의 주기 동안 새로 고쳐지지 않으면 이를 탐지하여, 리더십이 오래된 데이터로 의사결정을 내리지 않도록 보호합니다.

30일 격차 해소 구현 계획

M365 가시성 상태를 개선하는 데 1년이 걸릴 필요는 없습니다. 체계적으로 진행하면 가시성 격차를 30일 만에 해소할 수 있습니다.

• 1주차: 필요한 경우 고급 감사를 켜고, 현재 SIEM 커넥터를 목록화하며, 누락된 이벤트 범주를 정리합니다.
• 2주차: Event Hub 파이프라인을 구축합니다. Unified Audit Logs, Advanced Audit, Azure AD, Defender 텔레메트리를 라우팅하고 상위 단계 필터를 구현합니다.
• 3주차: 데이터 스트림을 정규화하고 보강합니다. 중요 로그의 최근 30일분을 백필(backfill)하고, 위에 나열한 고신호 탐지 7개를 적절한 억제 기간(suppression window)과 함께 배포합니다.
• 4주차: 남은 불필요한 데이터를 제거하고 보존 계층을 조정해 비용을 최적화합니다. 완전성 모니터를 추가하고, 메일함 규칙, 외부 공유, 흐름 급증을 테스트하는 퍼플 팀 탁상 훈련(tabletop exercise)을 실시합니다.

효과를 입증하는 경영진 KPI

경영진이 파이프라인 개선에 투입된 보안 예산이 가치가 있었는지 물을 때, 성공을 입증할 지표가 필요합니다. 다음과 같은 경영진 KPI를 추적합니다.

• 범위(Coverage): 대상 M365 이벤트 계열 중 수집과 파싱에 성공한 비율(목표 95% 이상).
• 속도(Speed): M365 관련 인시던트의 평균 확인 시간(MTTA)과 평균 해결 시간(MTTR)(감소 추세).
• 노이즈(Noise): 경보 대비 실제 위협 비율(신호 품질이 높아지는 추세).
• 비용(Cost): 수집된 기가바이트당 비용(상위 단계 필터링 덕분에 약 40% 감소하는 추세).
• 신뢰성(Reliability): 수집 공백이 발생한 일수(목표: 0일)와 스키마 변경 SLA(Microsoft 스키마 변경 후 7일 이내 파서 업데이트).

흔한 함정과 해결 방법

아무리 잘 세운 계획이라도 장애물을 만날 수 있습니다. 다음과 같은 흔한 함정에 주의하십시오:

팀은 흔히 "기능을 켰다"고 말하지만, Advanced Audit 라이선스나 메일함 감사 기준선을 제대로 확인하지 않아 로그가 실제로는 생성되지 않는 경우가 많습니다. 또 다른 흔한 문제는 SIEM 규칙이 이벤트를 개별적으로만 평가해 규칙 생성, 지리적 위치 변화, 외부 공유를 상관 분석하지 못하는 경우입니다. 이때 규칙은 공격 중에도 완전히 침묵합니다.

사전 필터링을 건너뛰면 비용이 급증합니다. 노이즈가 많은 작업은 항상 미리 필터링하고, 백그라운드 동기화 이벤트는 제외하십시오. 파서 노후화(parser rot)도 조용히 시스템을 망가뜨리는 요인입니다. 매월 스키마 차이를 점검하는 루틴을 만들고, 샘플 페이로드에 대해 단위 테스트를 실행하십시오. 마지막으로, 경보에 맥락이 없으면 분석가는 금방 지칩니다. 경보에는 누가, 무엇을, 어디서, 그리고 민감도 레이블 정보가 항상 포함되도록 하고, 심층 분석을 위해 Microsoft Compliance Center로 바로 연결되는 링크도 함께 넣으십시오.

결론: 규정 준수에만 기대는 보호는 이제 그만

핵심은 간단합니다. 기본 SIEM 커넥터는 규정 준수를 유지하게 해 주지만, 보호까지 보장하지는 않습니다. 올바른 Microsoft 365 로그를 가져오고, 통합 스키마로 정규화하고, 핵심 비즈니스 맥락으로 보강한 뒤, 실제 공격자 행위에 맞춰 조정한 탐지 규칙으로 위협을 찾아낼 때 비로소 사각지대를 완전히 없앨 수 있습니다. 그래야 SIEM이 상황을 놓치는 대신 상황을 기록하기 시작합니다. 이 전략을 더 깊이 알고 싶다면 Send Critical Microsoft 365 Logs to Your SIEM 에피소드 전체를 들어 보고, 오늘부터 가시성 격차를 해소하십시오!