Microsoft 365 / 피싱·악성 메일 방어 정책을 점검하는 방법

피싱·악성 메일 방어 정책을 점검할 때는 정책 하나의 스위치보다 적용 대상, 정책 우선순위, 격리·통지 결과를 함께 확인해야 합니다. Microsoft 365에는 기본 보호 정책이 있으며, 제품에 따라 Standard·Strict 사전 설정 정책과 사용자 지정 정책을 사용할 수 있습니다.

먼저 구분할 정책

Microsoft의 사전 설정 보안 정책 문서는 기본, Standard, Strict와 사용자 지정 정책의 관계를 설명합니다. 특히 여러 정책이 같은 사용자에게 적용될 때는 우선순위 때문에 예상과 다른 설정이 선택될 수 있습니다. 모든 기능이 모든 Microsoft 365 구독에 포함되는 것은 아닙니다.

보유 기능과 현재 정책을 먼저 기록하기

Exchange Online의 기본 메일 보호와 Defender for Office 365의 추가 기능을 구분하세요. 예를 들어 Safe Links·Safe Attachments나 일부 사칭 보호가 필요한 경우에는 적용 사용자의 해당 서비스 권리를 확인해야 합니다. 메뉴가 보인다는 사실만으로 모든 사람에게 기능이 포함된다고 판단하지 않습니다.

정책을 읽는 역할과 변경하는 역할도 다릅니다. 승인된 보안·메일 관리 권한으로 현재 정책 이름, 활성 상태, 대상 사용자·그룹·도메인, 예외, 우선순위와 격리 동작을 기록합니다. 기본값을 추정하기보다 실제 테넌트 설정을 읽고, 기존 업무 예외의 담당자와 사용 이유가 남아 있는지 확인하세요.

같은 사용자에게 여러 정책이 있으면

같은 종류의 정책은 여러 개의 값을 합쳐 적용하지 않습니다. 해당 수신자에게 먼저 일치한 정책 하나가 선택됩니다. 기본적인 우선 관계는 Strict → Standard → 평가 정책(사용 중인 경우) → 사용자 지정 → 기본 정책·Built-in protection이며, 사용자 지정 정책끼리는 작은 우선순위 숫자가 먼저입니다. Safe Links·Safe Attachments의 Built-in protection은 해당 제품 기능의 기본 보호이며 모든 기본 메일 정책과 같은 이름의 기능이 아닙니다.

예를 들어 시험 사용자가 Standard 사전 설정과 사용자 지정 스팸 정책에 모두 포함되어 있다면 사용자 지정 정책의 우선순위를 0으로 높여도 Standard의 해당 보호가 먼저 적용됩니다. 사용자가 예상과 다른 결과를 받으면 그 사람이 포함된 사전 설정 대상부터 확인하세요. 맬웨어·스팸처럼 서로 다른 보호 유형의 검사 순서와 같은 유형 정책의 우선순위를 혼동해서도 안 됩니다.

이는 Microsoft의 위 정책 우선순위 문서를 바탕으로 판단하는 방법입니다. “더 강한 설정이 여기저기서 합쳐질 것”이라고 가정하면 필요한 보호가 빠질 수 있으므로 수신자 한 명을 정해 유형별 실제 적용 정책을 대조합니다.

정책 점검 순서

1. Microsoft Defender 포털에서 [전자 메일 및 공동 작업] → [정책 및 규칙] → [위협 정책]을 엽니다. 화면 언어나 라이선스에 따라 세부 메뉴가 다를 수 있습니다.
2. 사전 설정 보안 정책의 활성화 상태와 적용 대상을 확인합니다. 경영진이나 민감한 업무 계정에 별도 정책을 적용 중인지도 확인합니다.

3. 피싱·맬웨어·스팸 정책의 예외와 허용 목록을 살펴봅니다. 오래된 업무 예외가 지나치게 넓지 않은지 확인합니다.
4. 같은 수신자가 여러 정책에 포함된다면 Microsoft의 정책 적용 우선순위에 따라 실제 적용 정책을 판단합니다.
5. 격리된 실제 메시지 또는 안전하게 준비한 테스트 메일로 예상 결과를 확인합니다. 사용자에게 알림이 가는지, 누가 격리를 해제할 수 있는지도 점검합니다.

Standard·Strict 적용을 검토하는 절차

Standard는 일반적인 보호 기준을, Strict는 더 엄격한 보호가 필요한 대상을 위한 설정 묶음을 검토하는 출발점입니다. Strict가 모든 직무에 무조건 맞는다는 뜻은 아닙니다. 사전 설정의 대부분 세부 값은 사용자가 자유롭게 조정하는 사용자 지정 정책과 달리 Microsoft가 관리하므로, 개별 옵션을 찾기 전에 정책 선택과 대상 범위가 요구에 맞는지 판단하세요.

1. 위협 정책 → 사전 설정 보안 정책에서 Standard 또는 Strict의 현재 상태를 엽니다. 기존 대상과 제외를 먼저 기록합니다.
2. 변경하려는 보호에 대해 시험 사용자·그룹을 지정하고 예외를 검토합니다. 마법사에 기본 보호와 Defender 보호의 적용 범위가 나뉘어 표시되면 각각 대상과 라이선스를 대조합니다.
3. 사칭 보호 대상 사용자·도메인 등 입력이 필요한 항목을 실제 조직 정보와 대조합니다. 표시 이름만이 아니라 보호하려는 계정·도메인을 확인합니다.
4. 검토 화면을 확인하고 승인된 범위에 적용한 뒤 저장 상태와 대상 목록을 다시 읽습니다. 기존 사전 설정을 수정할 때는 파일럿 밖의 대상이 함께 바뀌지 않는지도 확인합니다.
5. 업무상 중요한 정상 발송 경로의 메일로 배달·정크함·격리·알림을 확인합니다. 악성 첨부나 실제 피싱 사이트를 일반 시험 메일에 넣지 않습니다.

단순한 정상 메일 송수신 시험은 모든 공격 탐지 능력을 검증하지 못합니다. 실제 보안 시험은 조직이 승인한 도구와 범위에서 별도로 수행해야 합니다. 이 점검의 목적은 정책 대상과 업무 영향, 격리·통지가 예상과 일치하는지 확인하는 것입니다.

격리와 사용자 알림 확인하기

격리 정책은 사용자가 어떤 메시지를 볼 수 있고 직접 해제하거나 해제를 요청할 수 있는지를 제어합니다. 같은 “격리”라도 탐지 종류와 정책에 따라 사용자 동작이 다를 수 있습니다. 사용자에게 통지가 왔다는 이유만으로 스스로 해제할 수 있다고 안내하지 마세요.

관리자는 메시지의 탐지 이유와 적용 정책, 자동 조치 상태를 확인하고 누가 해제를 승인할지 정합니다. 정크함으로 보낸 메시지, 격리된 메시지, 서버에서 거부된 메시지는 후속 조치가 다르므로 메시지 추적 결과와 함께 읽습니다.

정상 메일이 차단되면

정상 메일의 배달 문제가 생겼다고 조직 전체의 피싱 보호를 끄지 마세요. 메시지 추적으로 상태를 확인하고, 격리 이유, 발신 인증 결과, 실제 적용 정책을 조사합니다. 오탐이라면 영향을 받는 발신자와 정책 조건을 좁혀 수정하고, 다른 유사 메일이 통과하지 않도록 테스트합니다. 반대로 피싱이 받은편지함에 도착했다면 허용 목록과 우선순위, 도메인 인증 설정을 살펴봐야 합니다.

발신자의 요청만 믿고 도메인 전체를 허용하지 말고, 실제 발송 주체와 SPF·DKIM·DMARC 결과를 확인하세요. 주소록의 안전한 보낸 사람에 추가하는 방식이 맬웨어·고신뢰 피싱 탐지를 모두 우회하는 것도 아닙니다. 오탐 제출이나 허용이 필요하면 해당 탐지 유형에서 지원하는 공식 제출 경로를 사용하고 대상·만료·근거를 남깁니다.

정책 변경 뒤에는 같은 정상 발송 경로를 다시 시험하고 다른 수신자에게 보호 공백이 생기지 않았는지 확인합니다. 문제가 된 변경만 이전 값으로 복구할 수 있도록 정책·대상·예외를 기록하고, 임시 허용은 담당자가 만료 전에 재검토하거나 제거합니다. 보안을 약화한 채 메일 한 통이 도착한 결과만으로 해결 처리하지 않습니다.