Microsoft 365 / Microsoft 365 보안 경고를 확인하고 대응하는 기본 절차
Microsoft 365 보안 경고를 받으면 심각도만 보고 곧바로 닫지 말고 발생 시각, 탐지 원천, 영향받은 사용자·기기·메일, 관련 경고를 확인해야 합니다. 같은 사건의 여러 경고가 하나의 인시던트로 묶일 수 있으므로 개별 경고와 인시던트 전체를 함께 검토하세요.
경고와 인시던트의 차이
경고는 특정 의심 활동을 탐지한 기록입니다. 인시던트는 연관된 경고와 증거를 묶어 공격 흐름을 파악하도록 돕는 단위입니다. Microsoft의 Defender 인시던트 조사 안내는 경고, 활동, 자산, 증거를 함께 검토하도록 설명합니다. 사용 가능한 화면과 자동 조사 기능은 조직의 제품 및 라이선스에 따라 달라집니다.
조사 화면과 권한 준비
Microsoft Defender 포털에서 인시던트 및 경고 → 경고를 엽니다. 보안 읽기 권한자 등으로 조회할 수 있어도 계정 차단·기기 격리 같은 대응 작업까지 수행할 수 있는 것은 아닙니다. 조직의 Defender 권한 모델, 담당 범위와 제품 라이선스를 먼저 확인하고 조사 담당자와 조치 담당자를 정하세요.
2026년 10월의 Microsoft 문서에서는 새 인시던트 사례(미리 보기)와 기존 조사 화면이 함께 안내됩니다. 새 화면을 사용하는 조직은 Cases → Incident에서 사례를 열고 관련 경고·자산·증거·활동을 확인할 수 있습니다. 메뉴가 다르다고 로그가 없는 것은 아닙니다. 인시던트 사례 조사 문서에서 현재 사용하는 화면과 권한을 대조하세요.
처음 대응할 때 확인할 순서
- Microsoft Defender 포털의 인시던트 또는 경고 목록을 엽니다. 팀에서 담당자를 정하고 동일 사건을 중복 처리하지 않도록 사건 번호를 기록합니다.
- 심각도와 탐지 시각, 영향을 받은 계정·메일·기기를 확인합니다. 경고 제목만으로 실제 침해를 확정하지 않습니다.
- 인시던트 상세에서 관련 경고, 활동 시간순 기록, 증거와 자동 조치 결과를 살펴봅니다. 경고 조사 문서에서 상태와 분류의 의미를 확인합니다.
- 진짜 위협 가능성이 높고 피해가 진행 중이면 조직의 사고 대응 절차에 따라 담당자에게 즉시 알리고, 영향 범위와 승인된 격리·차단 조치를 결정합니다. 추적에 필요한 증거를 먼저 보존합니다.
- 원인과 조치를 기록하고, 동일한 활동이 다른 사용자나 기기에도 있는지 확인합니다. 조치 후 경고가 다시 발생하지 않는지 모니터링합니다.
사건 기록에 남길 근거와 조사 순서
경고 이름뿐 아니라 경고·인시던트 ID, 탐지 제품, 최초·최근 활동 시각과 시간대, 대상 사용자·기기·메일 식별 정보를 기록합니다. 이름이 같은 파일이나 비슷한 계정을 혼동하지 않도록 실제 개체를 대조하세요. 악성 URL이나 첨부를 확인하려고 일반 업무 PC에서 직접 열지는 않습니다.
시간순으로 “메일 수신 → 링크 관련 경고 → 로그인 → 자료 접근”처럼 확인된 이벤트를 연결합니다. 모두 발생했다고 추정하지 말고 있는 증거와 아직 모르는 사실을 구분하세요. 예를 들어 사용자가 클릭을 부인해도 관련 로그를 확인해야 하고, 클릭 기록만으로 암호 유출을 확정해서도 안 됩니다.
동일한 발신자·파일·URL과 관련된 다른 사용자 경고가 있는지도 조사합니다. 한 계정의 경고를 닫았는데 다른 계정에서 같은 활동이 계속되는 경우가 있기 때문입니다. 자료는 승인된 사건 관리 위치에 보관하고 메일 원문·사용자 정보·접속 기록을 공개 채널에 붙이지 않습니다.
피싱 경고를 받은 경우의 판단 예시
| 확인된 상황 | 우선 확인·대응할 것 |
|---|---|
| 메시지가 격리되어 사용자에게 전달되지 않음 | 격리 결과와 다른 수신자 배달 여부 확인. 탐지·차단된 공격인지 구분 |
| 받은 편지함에 도착했으나 사용자 행동은 미확인 | 메시지 식별자와 배달 범위를 조사하고 보안 담당자가 회수·차단 필요성 판단 |
| 사용자가 링크에서 암호를 입력했다고 확인 | 계정 침해 가능성으로 우선 대응. 승인된 절차로 접근 차단·세션·인증 방법 점검 등 진행 |
| 기기에서 악성 실행이나 계속되는 피해가 확인 | 진행 중 피해를 막을 담당자에게 즉시 이관하고 승인된 격리·조치의 완료 상태 확인 |
여러 서비스의 조치가 필요할 수 있습니다. 메일 배달은 메시지 추적, 로그인과 인증은 Entra 로그인 로그로 이어서 확인합니다. 사용자 암호만 바꾸고 의심스러운 인증 방법·전달 규칙·앱 권한을 남겨 두지 않도록 관련 담당자가 조사 범위를 정해야 합니다.
자동 조치가 표시되더라도 요청됨·대기·실패·완료를 구분합니다. 제품에 따라 자동 조사나 대응 기능이 제공되지 않을 수 있으며, 포털에 대응 버튼이 보인다는 것만으로 작업이 수행된 것은 아닙니다. 증거 보존과 긴급 차단을 함께 진행하되 진행 중 피해의 차단을 불필요하게 미루지 않습니다.
오탐으로 보이면 바로 무시해도 되나요?
아닙니다. 정책 변경이나 정상 운영 작업 때문에 경고가 발생했는지 증거와 담당자 설명을 대조해야 합니다. 오탐으로 분류했다면 판단 근거와 범위를 남기고, 경고 규칙을 넓게 꺼서 실제 공격까지 놓치지 않도록 합니다. 반복적으로 같은 오탐이 발생할 때에만 좁은 범위의 조정이 적절한지 검토하세요.
실제 위협을 차단한 경고와 정상 작업이 잘못 탐지된 경고도 구분합니다. 피해가 없다는 이유만으로 모두 오탐은 아닙니다. 승인된 시험·운영 작업이라면 작업 요청·실행 시각·대상과 증거가 일치하는지 확인한 뒤 현재 화면의 분류와 결정 항목에 근거를 남깁니다. 예외나 억제가 필요하면 좁은 대상과 만료·검토 일정을 정하세요.
마무리 확인
- 영향받은 계정·기기의 현재 상태와 추가 경고 여부
- 실행한 자동·수동 조치와 되돌릴 필요가 있는 조치
- 사용자 통지와 내부 사고 기록의 완료 여부
- 정책·교육·인증 방법 등 재발 방지 작업의 담당자
사건 종료 기록에는 최초 증상, 영향 범위, 판단 근거, 자동·수동 조치의 실제 결과와 남은 후속 작업을 적습니다. 경고 상태를 해결됨으로 바꾸는 것만으로 위협이 제거되는 것은 아닙니다. 계정·기기의 보호가 복구되고 업무가 정상화되었는지 확인한 뒤 종료하고, 임시 차단 해제나 정책 변경은 담당자가 근거를 검토해 승인된 범위에서 되돌립니다.
