Microsoft 365 / 감사 로그로 사용자 및 관리자 활동을 확인하는 방법
Microsoft 365에서 사용자나 관리자가 어떤 작업을 했는지 확인하려면 Microsoft Purview의 감사 로그 검색을 사용합니다. 조사 대상자, 활동 종류, 발생 기간을 좁힌 뒤 결과의 시각·작업·대상을 해석하세요. 감사 로그는 실제 활동을 조사하는 자료이지 모든 서비스의 모든 세부 행동을 무제한 보관하는 기록은 아닙니다.
감사 로그로 무엇을 확인할 수 있나요?
파일 접근·공유, 사서함 작업, 그룹·설정 변경 등 여러 Microsoft 365 서비스의 사용자·관리자 활동을 조회할 수 있습니다. 수집되는 이벤트 유형, 검색 가능 시점과 보존 기간은 서비스와 라이선스에 따라 달라집니다. Microsoft의 Purview 감사 시작 안내에서 현재 조직의 기능과 조건을 확인하세요.
로그인 성공·실패를 조사하려는 경우에는 Purview 감사 검색보다 Microsoft Entra 로그인 로그가 더 직접적인 자료입니다. 메일의 배달 경로는 Exchange 메시지 추적을 사용합니다. 질문에 맞는 로그를 고르는 것이 검색어를 늘리는 것보다 중요합니다.
감사 검색의 준비
- 확인할 질문을 하나 정합니다. 예: “이 파일의 공유 설정을 누가 언제 바꿨나요?”
- 대상 사용자, 파일·사이트 또는 작업의 식별 정보를 확보합니다.
- 발생 시각과 시간대를 확인합니다. 화면 표시 시간과 로그 시간대가 다를 수 있습니다.
- 감사 검색 권한을 확인합니다. 권한이 없으면 결과가 없다는 뜻이 아니라 검색할 수 없는 상태일 수 있습니다.
조회 권한·보존 기간·수집 지연 확인
감사 검색·내보내기에는 Purview의 Audit Reader 또는 Audit Manager 등 감사 로그 역할이 필요합니다. 역할에 관리 단위 범위가 지정되어 있으면 검색 가능한 대상도 제한될 수 있습니다. Exchange나 Teams의 관리자라는 이유만으로 Purview 전체 로그를 볼 수 있다고 가정하지 마세요.
Audit(Standard)의 기본 보존은 현재 180일입니다. 적절한 Premium 라이선스가 있는 사용자의 일부 서비스 활동은 기본 1년 보존 등 다른 조건을 적용받으므로 “관리자에게 라이선스 하나가 있으면 모두 1년”으로 판단하지 않습니다. 원래 활동한 사용자의 라이선스, 서비스, 적용 보존 정책을 함께 확인해야 합니다.
최근 활동이 즉시 나타나지 않을 수 있습니다. Microsoft는 주요 서비스에서 일반적으로 60~90분의 반영 시간이 있을 수 있다고 설명하지만 고정 시간을 보장하지 않습니다. 보존 기간 밖이거나 수집하지 않은 활동은 검색 조건을 늘려도 생기지 않습니다. 현재 조직의 감사 수집 상태와 필요한 활동 지원 여부를 먼저 확인하세요.
Purview에서 검색하기
- Microsoft Purview 포털의 [감사]로 이동하고, 검색 화면에서 날짜 범위를 설정합니다.
- 대상 사용자와 활동 종류를 필터링합니다. 처음부터 조건을 너무 많이 넣기보다 핵심 조건으로 시작합니다.
- 검색을 실행하고 결과를 열어 작업 시각, 사용자, 대상 개체와 세부 정보를 확인합니다. 필요하면 이벤트 ID나 기록을 내부 조사 문서에 남깁니다.
- 결과가 없으면 범위와 시간대, 검색 권한, 로그 수집 지연, 해당 활동이 감사 대상인지 확인합니다. 로그가 없다는 이유만으로 작업이 없었다고 결론 내리지 않습니다.
포털 홈에 감사가 없다면 모든 솔루션 보기 → 감사에서 찾습니다. 검색을 실행하면 대기·진행 중·완료 상태의 작업이 만들어집니다. 화면을 닫았다고 작업이 취소되지는 않으므로 같은 검색을 여러 번 만들기보다 기존 작업의 상태를 확인합니다.
Microsoft의 감사 로그 검색 문서에서 검색 권한, 결과 형식과 내보내기 방법을 확인할 수 있습니다. 내보낸 CSV는 개인 정보와 보안상 민감한 내용을 포함할 수 있으므로 공개 글에 원본으로 첨부하지 않습니다.
파일 공유 변경을 조사하는 검색 예
“오늘 오전에 이 파일의 공유 범위를 누가 바꿨는가”를 조사한다고 가정하겠습니다. 파일 소유자와 변경한 사람은 다를 수 있으므로, 행위자를 모르는 단계에서 소유자 한 명으로만 검색하면 중요한 결과를 놓칠 수 있습니다.
- 파일이 있는 사이트 주소와 해당 파일 경로, 문제를 발견한 시각을 확보합니다. 이름이 같은 파일을 구분하기 위해 실제 위치를 사용합니다.
- 검색 날짜·시각의 UTC 표시를 확인합니다. UTC는 협정 세계시이며 한국 시간(KST)보다 9시간 느립니다. 한국 시간 10:00~12:00을 조사한다면 같은 날 UTC 01:00~03:00으로 바꿉니다. 자정 부근이면 날짜가 달라지는지도 확인합니다.
- 활동의 친숙한 이름 목록에서 파일·폴더 공유 관련 활동을 고릅니다. 정확한 작업 이름을 직접 넣는 경우 공식 활동 목록의 이름과 일치해야 하며, 임의 번역이나 추정 이름을 입력하지 않습니다.
- 파일·폴더·사이트 조건에 필요한 주소·이름 범위를 지정하고, 변경자를 모르면 사용자 조건을 비워 검색합니다. 검색 이름에는 사건을 구분할 수 있는 식별자를 씁니다.
- 검색 작업이 완료되면 활동·시각·사용자·대상을 함께 비교하고 관련 항목의 상세를 엽니다. 너무 좁은 조건으로 결과가 없다면 파일 범위와 활동 조건을 하나씩 조정합니다.
키워드 검색이 로그의 모든 세부 JSON 내용을 완전하게 검색하는 것은 아닙니다. 특정 속성을 키워드에 넣고 결과가 없었다면 해당 필드가 검색 대상인지 확인하세요. 처음에는 기간·활동·실제 파일 위치처럼 의미가 분명한 조건으로 범위를 정하는 편이 좋습니다.
결과를 해석할 때 주의할 점
한 활동에 여러 관련 이벤트가 남거나 서비스별 기록 반영 시점이 다를 수 있습니다. 자동화 계정, 앱 또는 위임 작업이 사용자 이름과 다르게 표시될 수도 있습니다. 중요한 사건이라면 해당 서비스의 세부 로그와 설정 변경 기록, 사용자의 설명을 교차 확인합니다. 조사 목적이 끝난 뒤에도 감사 결과를 필요 이상으로 복제·보관하지 않도록 조직의 데이터 처리 기준을 따르세요.
예를 들어 공유 링크 생성 기록은 그때 링크를 만든 사실을 나타내며, 외부 사람이 실제로 내용을 읽었다는 증거와는 다릅니다. 파일 접근·다운로드 활동이 있어도 사용자 의도나 이후 외부 복제까지 그 기록 하나로 확정하지 않습니다. 사건의 주장과 기록이 증명하는 범위를 구분하세요.
결과가 없거나 내보내기가 필요할 때
- 최근 작업: 수집 지연을 고려해 같은 검색을 재실행하거나 새 조건으로 검색하되, 기존 작업 완료 여부를 먼저 확인합니다.
- 기간·시간대 오류: UTC와 현지 시각, 자정 전후 날짜를 대조합니다. 보존 가능 기간도 확인합니다.
- 대상·권한 오류: 현재 조직과 관리자 범위, 실제 행위자·저장소가 맞는지 확인합니다. SharePoint 파일을 개인 OneDrive의 경로로 찾지 않습니다.
- 활동 조건 오류: 입력한 작업 이름과 서비스 지원 여부, 감사 수집 상태를 확인합니다. 한 조건씩 줄여 원인을 찾습니다.
완료된 검색의 결과에서 내보내기를 선택하면 CSV로 분석할 수 있습니다. 제품별 내보내기 행 수 제한이 있으므로 결과가 많으면 기간·대상을 나누고 전체 결과가 포함됐는지 대조합니다. CSV(쉼표로 구분한 표 데이터) 원본은 보존하고 분석용 사본에서 시간대를 변환하면 원래 기록과 비교하기 쉽습니다.
조사 기록에는 검색 조건과 시간대, 결과 작업 ID·시각, 핵심 이벤트, 아직 확인하지 못한 범위를 함께 남깁니다. 로그인 장애는 Entra 로그인 조사, 메일 배달은 메시지 추적과 연결해 확인하고, 하나의 로그가 없다는 이유만으로 사건이 없었다고 결론 내리지 않습니다.
