'설정 후 방치'가 실패하는 이유: 살아 있는 시스템으로 다루는 Microsoft Defender

By Mirko Peters · 2026-08-11

팟캐스트와 클라우드 환경 보안을 깊이 다루는 시리즈에 다시 오신 것을 환영합니다. Microsoft 365 보안을 켜 두었는데도 정교한 피싱 메일이 사용자의 받은 편지함에 그대로 도착했을 때 가슴이 철렁했던 경험이 있다면, 여러분만 그런 것이 아닙니다…

Automatically translated with AI from the original post. Read the English original

Titelbild: Why 'Set-and-Forget' Fails: Treating Microsoft Defender as a Living System

팟캐스트와 클라우드 환경 보안을 깊이 다루는 시리즈에 다시 오신 것을 환영합니다. Microsoft 365 보안을 켜 두었는데도 정교한 피싱 메일이 사용자의 받은 편지함에 그대로 도착했을 때 가슴이 철렁했던 경험이 있다면, 여러분만 그런 것이 아닙니다. 많은 조직이 Microsoft Defender for Office 365를 단순히 체크박스 하나 켜는 작업으로 취급합니다. 기능을 켜고, 설정값은 기본값 그대로 두고, 나머지는 클라우드 사업자가 뒤에서 알아서 처리하겠거니 하고 손을 놓아 버리죠. 안타깝게도 이런 '설정 후 방치' 사고방식이야말로 최신 위협 행위자가 방어를 뚫고 들어올 때 정확히 노리는 허점입니다.

Microsoft 365의 기본 보안 설정은 출발점일 뿐, 완벽한 방어가 아닙니다. 진화하는 피싱 공격, 비즈니스 이메일 침해(BEC), 악성 첨부 파일로부터 조직을 실제로 보호하려면 지속적인 튜닝, 정기적인 검토, 능동적인 피드백 루프가 필요합니다. 이 주제를 더 자세히 다루고 환경 튜닝에 대한 상세한 논의를 듣고 싶다면, 관련 에피소드 피싱에 대응하도록 Microsoft Defender for Office 365 튜닝하기를 꼭 들어 보시기 바랍니다. 이번 글에서는 보안 파이프라인이 실제로 어떻게 동작하는지 분석하고, 숨은 설정 함정을 짚어 보며, 업무 운영에 지장을 주지 않으면서 방어를 강화할 수 있는 실용적인 청사진을 제시하겠습니다.

이 글에서 배울 내용

Safe Links, Safe Attachments, anti-phishing 머신 러닝, 전송 규칙이 이메일 전달 파이프라인 안에서 실제로 어떻게 상호작용하는지 알아봅니다.
표적 피싱 캠페인이 여전히 방어를 빠져나가는 숨겨진 경계와 사각지대를 살펴봅니다.
관리자가 흔히 빠지는 대표적인 설정 함정과 이를 능동적으로 피하는 방법을 정리합니다.
일반적인 업무 이메일 흐름을 방해하지 않으면서 Defender의 효과를 극대화하는 단계별 청사진을 제시합니다.

파이프라인 내부: 메시지가 막히는 지점과 빠져나가는 지점

기본 설정이 실패하는 이유를 이해하려면 먼저 Microsoft Defender가 수신 이메일을 처리하는 방식을 자세히 들여다봐야 합니다. Defender는 단일 관문이 아니라 여러 계층으로 이루어진 보안 파이프라인입니다. 이 계층들이 서로 연계되도록 구성되지 않았거나 제대로 튜닝되지 않았다면, 메시지가 틈새로 그대로 빠져나갈 수 있습니다.

Safe Links: 수신 메시지의 URL을 다시 쓰고, 이메일이 전달된 뒤 며칠이 지나도 사용자가 링크를 클릭하는 시점에 이를 검사합니다. 다만 범위를 잘못 설정한 정책이나 지나치게 공격적인 차단 설정은 마케팅 팀이나 설문조사 플랫폼에서 쓰는 정상 링크까지 쉽게 막아 버릴 수 있습니다. 그러면 내부에서 제한을 아예 풀어 달라는 압박이 커지기 마련입니다.
Safe Attachments (ATP): 사용자에게 파일이 전달되기 전에 안전한 클라우드 샌드박스에서 파일을 실행해 봅니다. 이 기능을 차단이나 Dynamic Delivery 대신 모니터링 모드로 설정하면 위협은 차단되지 않고 기록만 남습니다. 결과적으로 사용자는 악성 페이로드를 받게 되고, 보안팀은 사후에 경고를 받는 데 그치게 됩니다.
Anti-Phishing: 고급 머신 러닝과 사칭 방지 기능을 결합해 표시 이름 스푸핑, 도메인 유사 도용, 비정상적인 발신자 행동으로부터 보호합니다. 임계값을 잘못 튜닝하면 정상적인 외부 파트너 메일이 거슬리는 오탐으로 분류되거나, 반대로 임원을 노린 표적 스푸핑을 완전히 놓치는 결과가 나올 수 있습니다.
전송 규칙: 메일 흐름 규칙은 보호 기능 자체를 우회하거나 메시지를 의도치 않게 이중으로 필터링할 수 있는 위험한 권한을 가지고 있습니다. 전송 규칙으로 파트너 도메인 전체를 허용 목록에 추가하면, 공격자가 기쁘게 악용할 수 있는 대규모 사각지대가 만들어지는 경우가 많습니다.

피해야 할 설정 함정

많은 조직이 흔히 빠지는 설정 함정 때문에 자신도 모르게 보안 태세를 스스로 약화시키고 있습니다. 이러한 함정을 인식하는 것이 탄력적인 이메일 방어 아키텍처를 구축하는 첫걸음입니다.

전사 공통, 획일적인 정책: 재무팀과 경영진은 마케팅 부서나 일반 직원과 같은 위험 프로필을 가지고 있지 않습니다. 역할 기반 정책을 사용하지 않으면 가장 가치가 높은 표적이 보호를 충분히 받지 못하게 됩니다.
모니터 전용으로 설정된 Safe Attachments: 경고는 발생할 수 있지만 사용자는 여전히 위험한 페이로드를 받게 됩니다. Dynamic Delivery 및 엄격한 차단 정책으로 전환해야 합니다.
전송 규칙 허용 목록: 도메인 전체에 대해 Defender를 완전히 우회하지 마십시오. 대신 검사 엔진을 계속 활성화한 상태에서 신뢰할 수 있는 발신자 메커니즘을 사용하십시오.
조정되지 않은 임퍼스네이션 보호: 임원, 재무팀, 미지급금(AP) 담당자를 표시 이름 및 도메인 스푸핑으로부터 적극적으로 보호하지 않는다면, 송금 사기 피싱을 직접 유도하고 있는 것입니다.
기본값을 영구적으로 유지: 머신 러닝 모델에는 사람의 피드백 루프와 주기적인 임계값 조정이 필요합니다. 기본 제공 기본값은 출발점일 뿐입니다.
피드백 또는 검토 주기 없음: 오탐(false positive)과 미탐(false negative)이 한 번도 수정되지 않으면 모델이 점차 어긋나고, 사용자는 보안 도구에 대한 신뢰를 빠르게 잃게 됩니다.

작업용 청사진(계층형 및 비즈니스 인식형)

안전한 환경을 구축하려면 강력한 보호와 업무 생산성의 균형을 맞추는 전략적 접근이 필요합니다. 다음은 계층화되고 비즈니스를 고려한 보안 태세를 구성하는 방법입니다.

1) 위험 그룹별 정책 설계

재무 및 임원:

Safe Links: 사용, 클릭 시점 확인, 알 수 없는 링크 차단, Office 앱 및 Microsoft Teams 전반에서 실시간 검사 활성화.
Safe Attachments: Dynamic Delivery 및 차단으로 구성.
Anti-Phishing: 높은 보호 수준으로 설정하고, VIP, 내부 도메인, 알려진 공급업체와 유사한 도메인에 대해 엄격한 임퍼스네이션 보호 적용.

일반 직원:

Safe Links: 사용, URL 다시 쓰기를 유지하면서 정상적인 오탐에 대해 명확한 제출 및 신고 절차 제공.
Safe Attachments: 동적 전달 및 차단
Anti-Phishing: 표준 보호 수준과 함께 지속적인 사용자 신고 및 보안 인식 교육 병행.

링크 중심 업무를 수행하는 마케팅/운영:

Safe Links: 사용, 검증된 플랫폼에 대해 신중하게 조정된 예외 적용. 조직 전체를 대상으로 하는 전역 우회는 피하십시오.
Safe Attachments: 동적 전달
공유 사서함 또는 SecOps 큐를 통해 차단된 캠페인 링크를 빠르고 체계적으로 검토할 수 있는 경로를 추가하십시오.

2) 관찰에 그치지 말고 적용하십시오

수동적인 관찰에서 능동적인 적용으로 태세를 전환하십시오. Dynamic Delivery를 활용하여 Safe Attachments를 차단 또는 대체로 설정하십시오. 피싱 방지 정책의 경우, 신뢰도가 높은 피싱 시도는 바로 격리로 보내고, 중간 신뢰도의 위협은 정크 편지함으로 보내며, 신뢰도가 낮은 항목에 한해 보안 태그를 붙여서만 전달하십시오.

3) 우회 경로 점검

테넌트 전체의 전송 규칙을 감사하여 스팸, 맬웨어 또는 피싱 필터를 우회하는 조건이 있는지 확인하십시오. 광범위한 도메인 단위 우회 규칙은 범위가 적절히 지정된 신뢰할 수 있는 발신자로 대체하고, 백그라운드 검사는 계속 켜 두십시오. 또한 외부 주소로의 자동 전달 메일을 엄격하게 통제하십시오.

4) 피드백 루프 및 모니터링

정기적인 운영 주기를 확립하십시오. 매주 격리 로그, 오탐 및 미탐 신고, Threat Explorer 데이터, 메시지 추적을 검토하십시오. 사용자가 Report Message 추가 기능을 적극적으로 사용하도록 교육하고, 보안 운영 센터(SOC)가 이러한 신고를 허용 및 차단 목록에 반영하여 머신 러닝 모델을 학습시키도록 하십시오.

5) 사고 대응 근육 기억

피싱 메시지가 결국 받은 편지함에 도달하면, 팀은 신속하고 정확하게 대응해야 합니다. Threat Explorer를 통해 조직 전체에서 유사한 메일 항목을 찾고, 일괄 삭제를 실행하며, 링크를 클릭한 경우 자격 증명을 강제로 재설정하고, OAuth 애플리케이션 동의 내역을 점검한 후, 문제가 된 도메인을 활성 감시 목록에 추가하십시오.

빠른 구성 체크리스트

감사 프로세스를 마무리하기 전에, 이 빠른 체크리스트를 따라 Microsoft Defender for Office 365 환경이 제대로 강화되었는지 확인하십시오.

이메일, Office 앱, Teams에 대해 Safe Links가 사용되고, 클릭 시점 보호가 켜져 있습니다.
Safe Attachments가 Dynamic Delivery 및 Block/Replace로 설정되어 있습니다(모니터 모드 제외).
Anti-Phishing이 VIP, 재무, AP 및 내부 도메인에 대한 임퍼스네이션 보호와 함께 구성되어 있습니다.
도메인 전체에 대한 전송 규칙 우회가 없으며, 범위가 지정된 신뢰 발신자와 활성 검사로 대체되었습니다.
임원, 재무, 일반 직원, 마케팅을 위한 역할 기반 정책이 서로 다른 위험 임계값으로 수립되어 있습니다.
사용자 신고 추가 기능이 엔드포인트에 배포되어 있으며 적극적으로 모니터링되고 있습니다.
Threat Explorer, Quarantine, 오탐/미탐(False Positives/Negatives), 메시지 추적(Message Trace)에 대한 주간 검토 주기를 설정했습니다.
메일함 내 피싱 대응, 메시지 일괄 삭제(purge), 공급업체 스푸핑 대응을 위한 운영 런북을 문서화하고 테스트를 마쳤습니다.

Microsoft Defender를 정적인 체크리스트가 아니라 살아 있는 시스템으로 다루면, 보안 태세는 사후 대응에서 사전 대응으로 바뀝니다. 이러한 전략을 더 깊이 알아보려면 Tune Microsoft Defender for Office 365 Against Phishing 에피소드에서 전체 논의를 들어 보세요. 안전하게 지내시고, 정책을 계속 조정해 주십시오. 다음 에피소드에서 뵙겠습니다!