Office 365 감사 로그를 구성하는 방법

Microsoft Office 365는 Microsoft Teams, Exchange Online, Azure AD, SharePoint Online, OneDrive for Business와 같은 여러 서비스로 구성된 견고하고 다양한 생태계입니다. 관리해야 할 요소가 많기 때문에 전역(글로벌) 관리자는 종종 여러 하위 관리자 및 때로는 수천 명의 사용자를 감독해야 합니다.

Office 365 감사 로그는 관리자와 사용자의 활동을 추적하는 데 도움이 됩니다. 여기에는 특정 문서에 누가 액세스하고, 보고하거나, 이동하는지와 리소스가 어떻게 사용되는지가 포함됩니다. 이러한 로그는 보안 사고를 조사하고 준수 사항을 입증하는 데 필수적입니다. 하지만 기본 로그에는 여러 가지 제한이 있으므로, 활동을 효과적으로 모니터링하고 시스템을 안전하게 유지하며 규제 준수를 보장하려면 보통 추가 서비스가 필요합니다.

Office 365 감사 로깅 설정 방법

기본 로그 감사를 기본값으로 활성화하지 않습니다. 기본 로그 감사를 활성화하려면:

1. Office 365 보안 및 규정 준수 센터로 이동하세요.
2. “Search”로 이동한 다음 “Audit log search.”를 클릭하세요.
3. “Turn on auditing.”를 클릭하세요.

또는 다음 PowerShell 명령을 사용하여 로그 감사를 활성화할 수 있습니다.

      Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
      

Power BI 및 기타 보조 애플리케이션에 대한 감사 로깅도 기본적으로 활성화되어 있지 않습니다. 해당 감사 기록을 받으려면 별도의 관리 포털에서 이를 직접 활성화해야 합니다.

라이선스 요구 사항을 확인하여 로그 데이터가 얼마나 오래 저장될 수 있는지 확인하세요. 예를 들어, 현재 Office 365 E3 라이선스는 최대 90일, Office 365 E5 라이선스는 1년입니다.

감사 로그 검색을 실행하는 방법

사전 요구 사항

감사 로그 검색을 실행하기 전에 관리자(어드민)가 계정에 권한을 할당해야 합니다. 권한은 “View-Only Audit Logs” 또는 “Audit Logs” 중 하나여야 합니다.

로그 감사를 활성화한 시점부터 감사 로그 검색을 실행할 수 있을 때까지 몇 시간 정도 기다려야 할 수 있습니다.

통합 감사 로그 검색은 여러 Office 365 서비스의 분석 데이터를 하나의 로그 보고서로 통합하며, 완료하는 데는 30분부터 24시간까지 소요될 수 있습니다.

절차

감사 로그 검색을 실행하려면 다음 단계를 수행하세요:

1. 로그인합니다.

다음에서 로그인하세요: https://protection.office.com.

팁: 현재 사용 중인 자격 증명이 자동으로 사용되지 않도록, 시크릿(개인) 브라우징 세션을 여세요:

• Internet Explorer 또는 Edge에서 CTRL+SHIFT+P를 누르세요.
• 대부분의 다른 브라우저에서는 CTRL+SHIFT+N을 누르세요.

2. 새 검색을 시작합니다.

Security & Compliance Center에서 왼쪽 창의 “Search”를 클릭한 다음 “Audit log search”를 선택하세요.

3. 검색 기준을 구성하세요.

지정해야 하는 주요 기준은 다음과 같습니다.

• 활동 — Microsoft의 감사 대상 활동 목록 을 확인하세요. 100개가 넘기 때문에 Microsoft에서 관련 활동별로 그룹화했습니다. 이 범위를 좁히지 않으면 지정한 기간 동안 수행된 모든 활동이 감사 보고서에 포함됩니다.
• 날짜 — 기본 시간 범위는 최근 7일이지만, 최근 90일 내의 어떤 기간으로도 검색을 구성할 수 있습니다.
• 사용자 — 보고서에 포함할 사용자 또는 사용자 그룹을 지정합니다.
• 위치 — 특정 파일, 폴더 또는 사이트로 검색을 제한하려면 위치 또는 키워드를 입력하세요.

그 외 검색 조건에는 다음이 포함됩니다:

• 웹사이트와 관련된 활동 — 해당 사이트의 모든 항목을 가져오려면 URL 뒤에 별표(*)를 추가하세요. 예: “https://contoso-my.sharepoint.com/personal/*”.
• 특정 파일과 관련된 활동 — 해당 파일의 모든 항목을 가져오려면 파일 이름 앞에 별표(*)를 추가하세요. 예: “*Customer_Profitability_Sample.csv”.

4. 검색 결과를 필터링합니다.

검색 조건 옵션은 개요를 확인하는 데 도움이 되지만, 검색 결과를 필터링하면 데이터를 더 효과적으로 살펴볼 수 있습니다. 키워드, 특정 날짜, 사용자, 항목 또는 기타 세부 정보를 입력할 수 있습니다.

또한 검색 결과는 가장 최근 이벤트 5,000개로 제한된다는 점에 유의하세요. 검색 결과가 정확히 5,000개로 나왔다면, 검색 결과 한도에 도달했을 가능성이 큽니다. 날짜 및 시간 범위 내의 관련 데이터를 중요한 정보를 놓치지 않고 모두 확인할 수 있도록 검색을 더 구체화하세요.

다른 방법으로, 데이터를 csv로 가져와 검색 조건에 맞는 원시 데이터 보고서를 생성할 수 있습니다. 이를 통해 5,000개가 아닌 최대 50,000개 이벤트까지 다운로드할 수 있습니다. 50,000개를 초과해 생성하려면, 더 짧은 날짜 범위로 배치 처리한 뒤 결과를 수동으로 결합하세요.

5. 결과를 저장하세요.

결과를 저장하려면 “Export results”를 클릭하고 “Save loaded results”를 선택하여 데이터가 포함된 CSV 파일을 생성하세요. Microsoft Excel로 파일에 액세스하거나 결과를 보고서로 공유할 수 있습니다.

“AuditData”라는 열을 확인할 수 있습니다. 이 열은 감사 로그 레코드에서 여러 속성을 포함하는 JSON 개체로 구성됩니다. 이러한 속성에 대해 정렬 및 필터링을 가능하게 하려면 Excel의 Power Query Editor에서 JSON 변환 도구를 사용하여 “AuditData” 열을 분할하고 각 속성에 해당하는 열을 별도로 만드세요.

자세한 내용은 Export, configure, and view audit log records 을(를) 참조하세요.

Office 365에서 기본 감사 로그 검색의 한계

Office 365의 감사 로그를 수동으로 직접 파헤치는 작업은 종종 어렵고 시간이 많이 걸립니다. 검색 도구는 도움이 되지만, 조직에서 감사를 처리하는 방법을 결정할 때 다음과 같은 단점을 고려해 보세요.

• 비정상적인 활동을 발견하기는 어렵습니다. 데이터를 해석하려면 훈련된 시각이 필요하며, 특히 특정 사용자나 파일에 문제가 있다는 사실을 이미 알고 있지 않은 경우에는 더욱 그렇습니다.
• 감사 데이터의 보안을 유지하기가 어렵습니다. — 시스템 내의 모든 이벤트에 대한 상세 데이터는 매우 민감한 정보입니다. 기본 내보내기 옵션은 편리하지만, 파일이 더 취약해질 수 있습니다.
• 사람이 읽을 수 있는 보고서를 만드는 것은 매우 어렵습니다. — 보고서를 얻으려면 특정 감사 데이터를 CSV 파일로 내보낸 다음, 실제로 실행 가능한 정보가 되기 전에 이를 정렬하고 해석해야 합니다.
• 필터링 옵션이 제한적입니다. — 기본 감사 로그 검색은 포괄적인 필터링 옵션을 제공하지 않아 인사이트를 파악하고 원하는 내용을 찾기가 더 어려워집니다.
• 미리 정의된 로그 보고서는 몇 가지뿐입니다. — 다른 보고서가 필요하다면 직접 수동으로 만들어야 합니다. 또한 보고서 구독 옵션이나 맞춤 검색을 저장하기 위한 기본 기능도 없습니다.
• 대부분의 속성이 하나의 JSON에 뭉쳐져 있습니다. — AuditData JSON은 감사 이벤트에 따라 서로 다른 속성을 포함할 수 있습니다. 그 결과, 감사 데이터에서 얻고자 하는 중요한 세부 정보와 사용자를 사이에 두고 불필요한 노이즈가 많이 발생합니다.
• 감사( Audit ) 데이터는 제한된 기간 동안만 저장됩니다. Microsoft의 기본 구독에서는 감사 로그에 대해 최대 90일의 데이터 보존 기간만 허용하므로, 정기적으로 감사 로그를 다운로드해 저장한 다음, 이를 서로 병합해 장기적인 활동 흐름을 파악해야 합니다. 로그를 저장하는 것을 잊으면 기록에 공백이 생깁니다.

감사 로그 데이터에 접근하는 다른 방법

Office 365 Management Activity API

Office 365 Management Activity API를 사용하면 Office 365 및 Azure AD 활동 로그에서 관리 시스템, 사용자 및 정책 이벤트에 대한 데이터를 확인할 수 있습니다. 이 도구는 감사 데이터를 모니터링, 분석 및 시각화하는 데 도움을 줍니다.

Netwrix Auditor

Netwrix Auditor IT 환경에서 발생하는 활동을 면밀히 파악하는 작업을 극적으로 단순화할 뿐 아니라, 문제를 사전에 예방하고 데이터를 체계적으로 유지할 수 있도록 도와줍니다. 이 솔루션은 OneDrive for Business, SharePoint Online 및 Exchange Online 환경은 물론 Azure AD에서의 활동과 구성에 대한 가시성을 한층 더 높여 줍니다.