Microsoft 365 보안 경고를 확인하고 대응하는 기본 절차

Microsoft 365 보안 경고를 받으면 심각도만 보고 곧바로 닫지 말고 발생 시각, 탐지 원천, 영향받은 사용자·기기·메일, 관련 경고를 확인해야 합니다. 같은 사건의 여러 경고가 하나의 인시던트로 묶일 수 있으므로 개별 경고와 인시던트 전체를 함께 검토하세요.

경고와 인시던트의 차이

경고는 특정 의심 활동을 탐지한 기록입니다. 인시던트는 연관된 경고와 증거를 묶어 공격 흐름을 파악하도록 돕는 단위입니다. Microsoft의 Defender 인시던트 조사 안내는 경고, 활동, 자산, 증거를 함께 검토하도록 설명합니다. 사용 가능한 화면과 자동 조사 기능은 조직의 제품 및 라이선스에 따라 달라집니다.

처음 대응할 때 확인할 순서

1. Microsoft Defender 포털의 인시던트 또는 경고 목록을 엽니다. 팀에서 담당자를 정하고 동일 사건을 중복 처리하지 않도록 사건 번호를 기록합니다.
2. 심각도와 탐지 시각, 영향을 받은 계정·메일·기기를 확인합니다. 경고 제목만으로 실제 침해를 확정하지 않습니다.

3. 인시던트 상세에서 관련 경고, 활동 시간순 기록, 증거와 자동 조치 결과를 살펴봅니다. 경고 조사 문서에서 상태와 분류의 의미를 확인합니다.
4. 진짜 위협 가능성이 높고 피해가 진행 중이면 조직의 사고 대응 절차에 따라 담당자에게 즉시 알리고, 영향 범위와 승인된 격리·차단 조치를 결정합니다. 추적에 필요한 증거를 먼저 보존합니다.
5. 원인과 조치를 기록하고, 동일한 활동이 다른 사용자나 기기에도 있는지 확인합니다. 조치 후 경고가 다시 발생하지 않는지 모니터링합니다.

오탐으로 보이면 바로 무시해도 되나요?

아닙니다. 정책 변경이나 정상 운영 작업 때문에 경고가 발생했는지 증거와 담당자 설명을 대조해야 합니다. 오탐으로 분류했다면 판단 근거와 범위를 남기고, 경고 규칙을 넓게 꺼서 실제 공격까지 놓치지 않도록 합니다. 반복적으로 같은 오탐이 발생할 때에만 좁은 범위의 조정이 적절한지 검토하세요.

마무리 확인

• 영향받은 계정·기기의 현재 상태와 추가 경고 여부
• 실행한 자동·수동 조치와 되돌릴 필요가 있는 조치
• 사용자 통지와 내부 사고 기록의 완료 여부
• 정책·교육·인증 방법 등 재발 방지 작업의 담당자

이 글은 일반적인 조사 흐름입니다. 실제 침해가 의심되면 조직의 보안 사고 대응 정책과 법적·계약상 통지 의무를 우선합니다.