AD 감사 이벤트 정리 관리

감사 이벤트 정리는 이벤트 범주와 보존 일수에 따라 Ping64에 저장된 조건에 맞는 과거 이벤트 상세와 관련 원본 내용을 삭제합니다. 이미 생성된 집계 통계는 삭제되지 않으므로 통계 수와 조회 가능한 상세 수가 다를 수 있습니다. 플랫폼 데이터를 정리하며 도메인 컨트롤러의 보안 로그를 지우지 않고, 유실된 기록을 복원하는 기능도 아닙니다.

정리는 데이터를 삭제합니다. 규칙은 현재 조직의 여러 도메인에 있는 조건 일치 기록에 적용되며 현재 보고 있는 한 도메인만을 대상으로 하지 않습니다. 실행 전 영향을 받는 모든 도메인, 범주 및 보존 요구사항을 확인하십시오. 작업 취소로 이미 삭제된 기록을 복원할 수 없습니다. 증거를 보존해야 한다면 조직의 보존 및 백업 정책에 따라 사용 가능한 백업과 복구 방안을 미리 확인하고 자동 복원을 가정하지 마십시오.

작업 전 준비

1. AD 도메인 관리 라이선스와 관리자의 정리 규칙 조회 및 수정 권한을 확인합니다. 수동 실행과 취소에는 해당 작업 권한도 필요합니다. 데이터 담당자와 영향을 받는 모든 도메인의 감사, 규정 준수 및 조사 보존 요구사항을 확인합니다.
2. 보안 이벤트 수집 및 확인을 참고하여 현재 기록의 용도와 보존할 원본 증거를 확인하고 진행 중인 보안 조사 및 법적 보존 요구사항을 검토합니다. 정리 범위와 이벤트 수집 범위는 별도 설정입니다. 수집을 중지해도 과거 데이터가 정리에서 제외되는 것은 아닙니다.
3. 승인된 변경을 유지보수 시간에 수행합니다. 백업과 복구 방안을 먼저 확인하고 실행 후 점검을 계획합니다. 영향 범위나 보존할 증거가 불분명하면 규칙을 활성화하거나 정리를 제출하지 마십시오.

범주별 보존 규칙 설정

1. AD 도메인 관리에서 Audit Event Cleanup을 엽니다. 각 이벤트 범주의 현재 수, 만료 예상 수, 정리 상태 및 Retention Days를 확인합니다. 로그인 인증, 사용자 계정 관리, DNS 감사 등 실제 화면의 범주를 확인합니다.
2. 승인된 범주에만 Enable cleanup을 켜고 각 보존 일수를 1~3650일로 설정합니다. 초기 규칙은 비활성화되어 있고 초기 보존 기간은 180일입니다. 기존 설정은 다를 수 있으므로 화면을 확인합니다. 비활성 범주는 해당 규칙에 따른 정리에 참여하지 않습니다.
3. 모든 범주의 스위치와 일수를 확인한 뒤 Save rules를 선택합니다. 다른 관리자의 동시 변경으로 저장에 실패하면 새로 고치고 최신 설정 및 영향 범위를 확인한 후 승인 절차에 따라 다시 수정합니다. 무작정 덮어쓰지 마십시오.

미리보기 및 수동 정리

1. 규칙 저장 후 Clean up now를 선택합니다. 활성 규칙이 하나도 없으면 유효한 미리보기를 생성할 수 없으며 저장되지 않은 변경은 먼저 저장하고 다시 확인합니다. 미리보기를 열어도 데이터는 바로 삭제되지 않습니다.
2. Confirm immediate cleanup에서 각 범주의 보존 일수, 기준 시간, 예상 삭제 수와 전체 예상 수를 확인합니다. 미리보기는 생성 시점의 데이터와 규칙을 사용하며 제출 시 실행 범위를 다시 정하므로 실제 수가 다를 수 있습니다. 예상 수를 고정된 삭제 목록으로 간주하지 마십시오.
3. 영향이 승인 범위에 있고 백업 및 복구 방안이 확인되면 Confirm cleanup을 선택하고, 그렇지 않으면 취소 후 재평가합니다. 제출 성공은 작업이 제출되었다는 뜻이며 삭제 완료가 아닙니다.
4. Cleanup runs에서 상태와 상세 정보를 열고 범주별 검색 및 삭제 수, 오류와 실제 결과를 확인합니다. 작업은 대기, 실행, 재시도, 실패, 부분 실패, 완료 또는 취소될 수 있습니다. 최종 상태 확인 전에 같은 정리를 반복 제출하지 마십시오.

자동 정리 및 취소

1. 정기적으로 정리하려면 Automatic cleanup settings에서 Enable daily automatic cleanup을 켜고 Daily execution time을 설정한 뒤 저장합니다. 서버 현지 시간이 사용되므로 서버 시간대, 유지보수 일정 및 활성 규칙을 먼저 확인합니다. 초기 자동 정리는 비활성화되어 있으며 기존 설정은 화면에서 확인합니다.
2. 자동 작업은 생성 시 활성화된 범주 규칙을 사용합니다. 규칙을 변경하거나 비활성화한 후에는 규칙과 자동 정리 설정을 다시 확인합니다. 설정을 꺼도 이미 제출된 작업이 자동 취소된다고 생각하지 마십시오.
3. 대기, 실행 또는 재시도 대기 중인 작업은 Cleanup runs에서 취소를 선택하고 중지를 확인할 수 있습니다. 요청 후 최종 상태와 삭제 수를 계속 확인합니다. 작업은 배치로 실행되므로 취소해도 이미 삭제된 데이터는 복원되지 않으며 진행 중인 배치가 즉시 중지된다는 보장도 없습니다.

확인 및 문제 해결

• 미리보기에 예상 결과가 없으면 범주가 하나 이상 활성화되었는지, 보존 일수와 기준 시간이 올바른지, 대상 과거 기록이 있는지 확인합니다. 일부 기록은 아직 정리 조건을 충족하지 않을 수 있으므로 경과 시간만으로 삭제를 보장할 수 없습니다.
• 실패 또는 부분 실패 시 실행 기록의 범주별 결과와 오류를 보고 이미 삭제된 데이터가 있는지 확인한 뒤 조직 절차에 따라 점검합니다. 실제 결과를 확인하기 전에 반복 실행하거나 보존 기간을 줄여 삭제 범위를 넓히지 마십시오.
• 완료 후 필요하면 보안 이벤트를 다시 조회하고 실행 기록과 비교합니다. 집계 통계는 남을 수 있습니다. 플랫폼 상세 기록이 없다고 컨트롤러 원본 로그가 삭제되었거나 복구 가능한 백업이 존재한다는 뜻은 아닙니다.