유출 추적 설정 및 조회

Markdown으로 보기

Leak Tracking은 보고된 파일 반출 등의 이벤트와 연결 가능한 단서를 조사에 활용합니다. 기록이 곧 유출 발생을 증명하지 않으며 추적 그래프가 전체 과정을 보장하지도 않습니다. 단말과 다른 증거도 확인해야 합니다. 다음은 Windows 시험 단말의 예이며 다른 플랫폼은 별도 검증합니다.

필요한 조회 권한이 있는 관리자는 검색만을 위해 정책을 생성하거나 변경하지 않고 아래 절차로 기존 기록을 조회할 수 있습니다. 검증할 새 기록이 필요하면 기존 정책과 단말 범위를 먼저 확인하고 필요한 경우에만 시험 설정을 한 뒤 통제된 테스트를 수행합니다.

설정 및 준비

기존 기록 조회에는 정책 설정 단계가 필요하지 않습니다. 새 기록 시험 시 파일 보안 규칙, 감사 동작과 시험 범위를 먼저 확인하고 파일 작업 단서의 연결이 필요하면 이동 추적도 확인합니다. 적합한 설정은 재사용하며, 필요한 경우에만 권한 있는 담당자가 2단계와 3단계를 수행합니다.

기존 기록 조회에는 해당 조회 권한이, 정책 변경에는 데이터 유출 방지 정책 관리 권한이 필요합니다. 새 기록 검증 시 시험 단말의 연결, 라이선스와 조회 범위를 확인하고 조직 규정에 따라 수집 목적, 접근 권한과 보존을 정하며 민감하지 않은 시험 파일을 사용합니다.
데이터 유출 방지의 정책에서 시험 단말 정책을 만들거나 편집하고 시간과 대상을 확인합니다. 파일 보안을 활성화하고 시험 파일 유형, 반출 경로 및 필요한 민감 조건의 규칙을 추가합니다. 기본 동작과 감사 등 부가 동작을 선택하고 규칙, 설정, 전체 정책을 저장합니다. 파일 보안 규칙을 참조합니다.
파일 작업 단서를 연결하려면 해당 정책에서 흐름 추적도 활성화해 저장합니다. 파일 보안을 대신하지 않고 전체 경로도 보장하지 않습니다. 단말 수신과 적용을 기다린 후 통제된 시험을 수행합니다. 저장은 기록 생성이나 보고를 뜻하지 않습니다.

관련 정책: 파일 활동 추적 정책

조회 및 조사

DLP > Data Leak Tracking을 엽니다. 초기 기간은 오늘의 이틀 전부터 오늘까지이며 조사할 이벤트 시간에 맞게 조정합니다. 새 기록을 검증하려면 먼저 위의 통제된 시험 작업을 수행하고 시간과 단말을 기록한 뒤 처리와 보고를 기다립니다.
고급 필터의 그룹, 단말, 파일 이름 또는 위험 수준으로 서버 조회 범위를 좁히고 페이지를 확인합니다. 상단 키워드는 현재 로드된 페이지만 필터링하므로 찾지 못하면 지우고 조건과 페이지를 조정합니다. 영문 화면의 필터 이름은 Group, Endpoint Name, File Name, risk level입니다.
기록 상세에서 가능한 반출 경로, 파일, 민감 정보와 흐름 추적을 확인합니다. 유사 이벤트 등은 권한, 데이터와 처리 상태에 달려 있으며 연결이 없다고 후속 행위가 없다는 뜻은 아닙니다. 영문 화면의 상세 탭 이름에는 leakage route, File information, sensitive information, Flow Trace, Similar Events가 있습니다.
정책 조건, 기록 동작, 단말과 다른 증거를 함께 검토합니다. 기록이나 노드만으로 반출 성공, 차단 성공 또는 사건 전체를 증명할 수 없습니다.

단일 단말의 Leak Tracking 조회: 기존 기록을 조회하려면 단말 목록에서 대상을 찾아 상세의 Apps를 열고 Audit records에서 Open window를 선택한 다음 Leak Tracking를 선택합니다. 단말, 날짜, 검색어 및 페이지를 확인합니다. 창의 초기 범위는 오늘과 이전 29일로 기능 페이지와 다를 수 있습니다. 이 경로는 수집을 활성화하지 않으며 조회 실패로 목록이 비어 있을 수도 있습니다. 권한, 네트워크 및 보고를 확인하고 빈 목록만으로 활동이 없었다고 판단하지 마세요. 이 창의 내보내기 버튼은 기록을 내보내지 않으므로 필요한 자료는 조직 절차에 따라 별도로 확보합니다.

제한 및 문제 해결

이 버전에 내보내기 버튼이 보여도 작동하는 수단으로 의존하지 않습니다. 조사 자료는 조직이 승인한 다른 방법으로 보관하고 민감 정보를 보호합니다.
기록이 없으면 권한, 가시 범위, 날짜, 고급 필터, 키워드, 페이지와 정책 범위, 감사 동작, 단말 수신, 작업 및 보고를 확인합니다. 조회 실패도 빈 목록의 원인일 수 있습니다.
추적이 불완전하면 흐름 추적 적용, 관련 기록과 단말 보고를 확인합니다. 앱, 작업과 플랫폼별로 범위를 검증하고 필요하면 시험 조건을 기록해 지원팀에 문의합니다.

수정일 2026. 11. 15.