감사 로그로 사용자 및 관리자 활동을 확인하는 방법
Microsoft 365에서 사용자나 관리자가 어떤 작업을 했는지 확인하려면 Microsoft Purview의 감사 로그 검색을 사용합니다. 조사 대상자, 활동 종류, 발생 기간을 좁힌 뒤 결과의 시각·작업·대상을 해석하세요. 감사 로그는 실제 활동을 조사하는 자료이지 모든 서비스의 모든 세부 행동을 무제한 보관하는 기록은 아닙니다.
감사 로그로 무엇을 확인할 수 있나요?
파일 접근·공유, 사서함 작업, 그룹·설정 변경 등 여러 Microsoft 365 서비스의 사용자·관리자 활동을 조회할 수 있습니다. 수집되는 이벤트 유형, 검색 가능 시점과 보존 기간은 서비스와 라이선스에 따라 달라집니다. Microsoft의 Purview 감사 시작 안내에서 현재 조직의 기능과 조건을 확인하세요.
로그인 성공·실패를 조사하려는 경우에는 Purview 감사 검색보다 Microsoft Entra 로그인 로그가 더 직접적인 자료입니다. 메일의 배달 경로는 Exchange 메시지 추적을 사용합니다. 질문에 맞는 로그를 고르는 것이 검색어를 늘리는 것보다 중요합니다.
감사 검색의 준비
- 확인할 질문을 하나 정합니다. 예: “이 파일의 공유 설정을 누가 언제 바꿨나요?”
- 대상 사용자, 파일·사이트 또는 작업의 식별 정보를 확보합니다.
- 발생 시각과 시간대를 확인합니다. 화면 표시 시간과 로그 시간대가 다를 수 있습니다.
- 감사 검색 권한을 확인합니다. 권한이 없으면 결과가 없다는 뜻이 아니라 검색할 수 없는 상태일 수 있습니다.
Purview에서 검색하기
- Microsoft Purview 포털의 [감사]로 이동하고, 검색 화면에서 날짜 범위를 설정합니다.
- 대상 사용자와 활동 종류를 필터링합니다. 처음부터 조건을 너무 많이 넣기보다 핵심 조건으로 시작합니다.
- 검색을 실행하고 결과를 열어 작업 시각, 사용자, 대상 개체와 세부 정보를 확인합니다. 필요하면 이벤트 ID나 기록을 내부 조사 문서에 남깁니다.
- 결과가 없으면 범위와 시간대, 검색 권한, 로그 수집 지연, 해당 활동이 감사 대상인지 확인합니다. 로그가 없다는 이유만으로 작업이 없었다고 결론 내리지 않습니다.
Microsoft의 감사 로그 검색 문서에서 검색 권한, 결과 형식과 내보내기 방법을 확인할 수 있습니다. 내보낸 CSV는 개인 정보와 보안상 민감한 내용을 포함할 수 있으므로 공개 글에 원본으로 첨부하지 않습니다.
결과를 해석할 때 주의할 점
한 활동에 여러 관련 이벤트가 남거나 서비스별 기록 반영 시점이 다를 수 있습니다. 자동화 계정, 앱 또는 위임 작업이 사용자 이름과 다르게 표시될 수도 있습니다. 중요한 사건이라면 해당 서비스의 세부 로그와 설정 변경 기록, 사용자의 설명을 교차 확인합니다. 조사 목적이 끝난 뒤에도 감사 결과를 필요 이상으로 복제·보관하지 않도록 조직의 데이터 처리 기준을 따르세요.
