기본 M365 감사 로그가 위험한 외부 공유를 숨기고 있는 이유

By Mirko Peters · 2026-08-11

블로그에 다시 오신 것을 환영합니다. Microsoft 365 테넌트를 관리하신다면, 기본 제공 감사 로그가 든든하게 지켜 주고 있다고 믿고 밤에 편히 주무실 가능성이 높습니다. Microsoft가 기본으로 강력한 보안 및 규정 준수 기능을 제공하니 당연해 보이죠. 그러나 SharePoint와 OneDrive 외부 공유에 대해 기본 설정만 믿는 것은 재앙을 부르는 지름길입니다. 많은 조직이 감사가 켜져 있으니 모든 파일 이동, 게스트 로그인, 링크 생성이 안전하게 추적되고 쉽게 검토할 수 있다고 가정합니다. 하지만 실제로는 기본 M365 감사 로그가 위험한 외부 공유 활동을 눈에 띄지 않게 숨기고 있을 가능성이 큽니다.

Automatically translated with AI from the original post. Read the English original

블로그에 다시 오신 것을 환영합니다. Microsoft 365 테넌트를 관리하신다면, 기본 제공 감사 로그가 든든하게 지켜 주고 있다고 믿고 밤에 편히 주무실 가능성이 높습니다. Microsoft가 기본으로 강력한 보안 및 규정 준수 기능을 제공하니 당연해 보이죠. 그러나 SharePoint와 OneDrive 외부 공유에 대해 기본 설정만 믿는 것은 재앙을 부르는 지름길입니다. 많은 조직이 감사가 켜져 있으니 모든 파일 이동, 게스트 로그인, 링크 생성이 안전하게 추적되고 쉽게 검토할 수 있다고 가정합니다. 하지만 실제로는 기본 M365 감사 로그가 위험한 외부 공유 활동을 눈에 띄지 않게 숨기고 있을 가능성이 큽니다.

이 종합 가이드에서는 Microsoft 365 감사의 사각지대를 낱낱이 살펴보고, 최신 규정 준수에 90일 보존 기간이 충분하지 않은 이유를 짚어 보겠습니다. 또한 방대하고 관리하기 어려운 원시 데이터를 정확하고 실행 가능한 보안 인텔리전스로 바꾸는 데 필요한 기술 청사진을 단계별로 안내합니다. 눈을 가린 채 운영하는 상태에서 벗어나 협업 환경을 완전히 통제하는 방법을 깊이 있게 다뤄 보겠습니다.

기본 M365 감사 로그가 위험한 외부 공유를 숨기고 있는 이유

Microsoft 365 관리에서 가장 큰 함정은 "감사 사용" 상태가 완전한 가시성을 뜻한다고 가정하는 것입니다. 그렇지 않습니다. 기본 테넌트 설정은 특히 익명 링크 생성, 게스트 사용자의 링크 사용, 특정 파일 접근 상호 작용과 같이 중요한 세부 이벤트를 기본적으로 생략합니다. 사용자가 민감한 재무 스프레드시트에 "링크가 있는 모든 사용자" 권한의 익명 링크를 만들고 외부 행위자가 이를 다운로드하더라도, 기본 제공 감사 쿼리는 사용 이벤트를 완전히 놓칠 수 있습니다.

또한 표준 감사 로그 보존 기간은 기본적으로 90일에 불과합니다. 대부분의 내부 조사, 규정 준수 감사, 또는 체류 기간이 3개월을 넘는 정교한 사이버 공격에서는 이러한 로그가 흔적도 없이 사라집니다. 애초에 데이터가 기록되지 않았다면 SIEM, 자동화 스크립트, 포렌식 조사관 어느 것도 이를 복구할 수 없습니다. 하위 자동화나 보안 오케스트레이션을 시도하기 전에 기본 감사 범위부터 바로잡아야 합니다.

감사 기반 정비하기(필수 설정)

PowerShell 한 줄을 작성하거나 알림을 구성하기 전에, 테넌트의 기준 구성을 강화해야 합니다. 지금 즉시 수행해야 할 필수 단계는 다음과 같습니다.

• Exchange Online PowerShell 또는 Microsoft Purview 규정 준수 포털을 사용하여 테넌트 수준에서 SharePoint와 OneDrive에 대한 향상된 감사를 사용하도록 설정합니다.
• 링크 생성과 링크 사용 모두에 대해 로깅이 활성화되어 있는지 명시적으로 확인하고, 특히 익명 링크와 게스트 링크에 주의를 기울입니다.
• 최신 규정 준수 프레임워크와 내부 조사 요구 사항을 충족하도록 감사 로그 보존 정책을 기본 90일보다 훨씬 길게 연장합니다(180~365일을 권장합니다).
• 새로 만든 SharePoint 사이트와 Microsoft 365 그룹이 수동 작업 없이 이러한 강화된 감사 설정을 자동으로 상속하도록 사이트 프로비저닝 정책을 표준화합니다.

소음을 신호로 바꾸기(올바른 PowerShell 활용)

감사 로그가 실제로 올바른 데이터를 수집하기 시작하면, 곧 또 다른 사실을 깨닫게 됩니다. 원시 감사 데이터는 귀가 먹먹할 정도로 시끄럽습니다. 원시 로그를 가져오면 일상적인 이벤트가 수천 건씩 쏟아져 나와 운영 피로가 크게 쌓입니다. 이 데이터를 쓸모 있게 만들려면 목적을 분명히 하여 쿼리하고, 모든 행의 데이터에 맥락을 더해야 합니다.

SharingCreated, SharingSet, AnonymousLinkCreated, AnonymousLinkUsed, AccessRequestApproved와 같은 고위험 이벤트에 쿼리를 집중하세요. 그런 다음 모든 행에 핵심 맥락을 추가합니다.

• 대상 도메인 분류: 도메인을 자동으로 기업 파트너, 내부 도메인, 개인/소비자 도메인(gmail.com, yahoo.com, outlook.com 등)으로 분류합니다.
• 파일 민감도 및 컨테이너 맥락: 영향을 받은 파일의 Microsoft Purview 민감도 레이블과 상위 사이트 또는 OneDrive 컨테이너를 매핑합니다.
• 행위자 위험 맥락: 작업을 수행한 사용자를 HR 또는 ID 시스템과 대조하여 퇴사 예정 직원, 중요 인물(VIP), 또는 침해된 계정을 표시합니다.

주관적인 추측에 의존하지 않도록 엄격한 규칙을 적용하십시오. 민감도 레이블이 지정된 파일이 외부 개인 도메인과 결합되면 즉시 HIGH 위험으로 간주합니다. 결과물은 두 가지 별도 산출물로 정리하십시오. 하나는 사람의 검토가 필요한 10~50개 행으로 구성된 "조치 대기열(Action queue)"이고, 다른 하나는 SIEM 또는 BI 도구에서 활용할 수 있도록 완전히 정규화된 "증거 로그(Evidence log)"입니다.

실제로 작동하는 실시간 알림

모든 외부 공유에 대해 알림을 보내는 전략은 버리십시오. 이 방식은 알림이 지나치게 많아 보안 운영 팀이 알림을 무시하게 만듭니다. 대신 계층화된 알림 정책 매트릭스를 구축하십시오.

• 민감도 레이블이 지정된 파일이 사전 승인된 파트너 허용 목록에 없는 외부 수신자에게 공유되면 즉시 SecOps에 알림을 보내십시오.
• 민감한 파일에 익명 링크가 생성되면 알림을 보내는 동시에 해당 링크를 만료시키는 자동화 스크립트를 배포하십시오.
• 단일 사용자가 짧은 시간 안에 대량의 외부 공유를 실행하는 등 비정상적인 속도를 주시하고, 이런 경우 알림과 함께 일시적인 제한(스로틀)을 적용하십시오.

알림 피로를 방지하려면 항상 쿨다운 기간과 중복 제거 메커니즘을 포함하십시오. 알림은 명확한 담당자, 플레이북, 원클릭 롤백 링크를 갖춘 집중형 티켓 대기열 또는 전용 SecOps 채널로 직접 전달하십시오.

엔터프라이즈 규모로 확장하기

수백 명 이상의 사용자로 조직이 확장되면 수동 스크립트와 주간 CSV 내보내기는 곧 한계에 부딪힙니다. 탄력적인 엔터프라이즈 모니터링 엔진을 구축하려면 Azure Automation 또는 Azure Logic Apps를 기반으로 하고, 롤링 7일 델타와 월간 백필을 함께 실행하는 견고한 자동화 기반이 필요합니다.

페이지네이션과 체크포인트를 엄격하게 구현하여 마지막 커서에서 안정적으로 재개하고, API 제한(HTTP 429 오류)을 깔끔하게 처리하십시오. 또한 자동화가 새로 프로비저닝된 사이트를 지속적으로 탐지하고 기준 감사 및 레이블 지정 규칙을 자동으로 적용하도록 하십시오. 마지막으로 파이프라인 상태를 모니터링하십시오. 예상 이벤트 양이 갑자기 줄어들면 감사 수집 파이프라인이 중단되었음을 나타내므로, 이를 감지하는 자동 알림을 설정하십시오.

이번 주의 빠른 성과

경영진에게 즉각적인 위험 감소를 보여줘야 한다면, 며칠 안에 다음 빠른 성과 항목부터 처리하십시오.

• Purview 포털에서 익명 링크 사용 로깅을 켜고 보존 기간을 연장하십시오.
• Gmail, Yahoo, Hotmail 같은 무료 이메일 제공업체를 표시하는 기본 "개인 도메인" 거부 목록을 만드십시오.
• 재무 및 HR 문서 라이브러리에 민감도 레이블을 적용하고, 정책으로 익명 링크 생성을 차단하십시오.
• 파일 소유자와 원클릭 해지 링크가 포함된 주간 "위험 공유 상위 10건" 요약을 IT 관리자에게 발송하십시오.
• 10분 이내에 외부 공유를 5회 이상 실행하는 사용자를 대상으로 버스트 탐지 규칙을 만드십시오.

30일 배포 계획(개요)

구현을 체계적이고 관리 가능한 상태로 유지하려면 다음의 단계별 30일 배포 로드맵을 따르십시오.

• 1주차: 감사 정책 강화, 보존 기간 연장, 기준 내보내기 수립, 도메인 허용/거부 목록 정의.
• 2주차: 민감도 레이블과 도메인에 대한 PowerShell 보강 스크립트 구현, 위험 점수 매트릭스 구축, 트리아지 조치 대기열 수립.
• 3주차: 중복 제거, 쿨다운 기간, 고위험 노출에 대한 자동 링크 만료 기능을 갖춘 실시간 알림 규칙 배포.
• 4주차: Azure Automation 또는 Logic Apps를 통한 자동화 확장, 경영진용 Power BI 대시보드 구축, 운영 플레이북 마무리.

경영진 및 운영 KPI

외부 공유 거버넌스 프로그램의 지속적인 성과를 측정하려면 다음 핵심 성과 지표를 추적하십시오.

• 외부 노출 속도: 사이트, 민감도 레이블, 대상 도메인별로 나눈 하루 동안 새로 생성된 외부 링크 수.
• 민감 정보 유출률: 민감도 레이블이 지정된 파일이 승인되지 않은 비파트너 도메인으로 공유되는 빈도.
• 해지까지 체류 시간: 위험한 공유가 발생한 시점부터 액세스가 성공적으로 해지될 때까지 걸린 평균 시간.
• 버스트 이상 징후: 정의된 공유 임계값을 초과하는 사용자의 빈도.
• 자동 修復 적용률: 자동으로 만료되거나 정책에 의해 차단된 위험 링크의 비율.

피해야 할 일반적인 함정

감사 및 해결 전략을 구축할 때는 다음과 같은 흔한 실수를 의식적으로 피하십시오.

• 기본 감사 구성과 표준 90일 보존 기간을 아무 검토 없이 신뢰하는 것.
• 적절한 컨텍스트 보강이나 분류(트리아지) 대기열 없이 "모든 항목 내보내기" 스크립트를 배포하는 것.
• 보안 담당자가 알림을 무시하게 만드는 지나치게 광범위한 "모든 항목에 대해 경고" 규칙을 만드는 것.
• 새로운 협업 공간을 동적으로 찾아내는 대신 정적 사이트 목록을 하드코딩하는 것.
• 거버넌스를 지속적이고 자동화된 프로세스가 아니라 일회성 정리 프로젝트로 취급하는 것.

늘 참고할 플레이북

헬프데스크와 보안 팀에 명확하고 반복 가능한 인시던트 대응 플레이북을 갖추십시오.

• 외부 공유 해제 및 알림: 악성 공유 링크를 즉시 비활성화하고, 자동 알림으로 파일 소유자에게 알리며, 재공유는 승인된 파트너 도메인을 통해서만 하도록 요구합니다.
• 퇴사 직원 점검: 퇴사 처리 대상 사용자와 연결된 모든 OneDrive 공유 항목을 확인하고, 개인 소비자 도메인에 부여된 액세스를 자동으로 취소하며, 소유권을 직속 관리자에게 넘깁니다.
• VIP 모니터링: 경영진 수준 콘텐츠와 관련된 활동에는 이상 징후 임계값을 더 엄격하게 적용하고, 링크 만료 기간을 짧게 설정하며, 즉시 호출 알림을 보냅니다.

결론

파악하고, 위험도를 평가하고, 차단하십시오. 먼저 감사 기반을 바로잡고, 원시 이벤트에 의미 있는 비즈니스 컨텍스트를 보강하며, 노이즈를 만들지 않도록 지능적으로 경고하고, 모든 것을 자동화해 진정한 엔터프라이즈 규모를 달성해야 합니다. 이것이 민감한 기업 데이터를 안전하게 울타리 안에 둔 채 비즈니스 협업을 빠르고 유연하며 안전하게 유지하는 방법입니다.

테넌트를 잠그고 큰 피해가 생기기 전에 노출을 찾아내는 방법을 더 알고 싶다면 관련 팟캐스트 에피소드 Detect Risky SharePoint and OneDrive External Sharing를 꼭 확인하십시오. 이 전략들을 더 자세히 다루며 M365 보안을 완전히 익힐 수 있도록 도와드립니다.