AD 보안 이벤트 수집 및 확인

Markdown으로 보기

AD 보안 이벤트 감사에서는 도메인 컨트롤러의 보안 로그에서 수집한 인증, 계정 및 디렉터리 변경 등의 이벤트를 확인합니다. 이는 관리자가 Ping64에서 수행한 도메인 작업을 기록하는 Platform Operations와 다릅니다. 보안 이벤트는 컨트롤러에서 생성되고 수집된 기록에 의존하며 플랫폼 기록은 작업 과정을 나타내므로 서로 대체할 수 없습니다.

설정 전 준비

AD 도메인 관리 라이선스와 관리자의 수집 설정 조회 및 변경 권한을 확인합니다. 수동 수집에는 해당 작업 권한도 필요합니다. 먼저 도메인 연결을 설정하고 대상 도메인의 활성화와 연결 정보, 사용 가능한 Windows 도메인 연결 실행 환경을 확인합니다.
도메인 관리자와 함께 대상 컨트롤러에 접근할 수 있는지, 도메인 연결 계정이 해당 보안 로그를 읽을 권한이 있는지 확인합니다. 조직의 Windows 감사 요구에 따라 필요한 이벤트가 컨트롤러에 기록되는지도 확인합니다. Ping64에서 수집 범위를 선택했다고 컨트롤러가 해당 이벤트를 생성한 것은 아닙니다.
감사할 도메인, 이벤트 범주, 보존 기간 및 개인정보 요구사항을 정합니다. 수집 설정은 도메인별로 구성하므로 변경 전 기존 수집과 저장에 미치는 영향을 평가합니다. 원본 이벤트 데이터를 보존해야 한다면 조직의 승인과 보존 요구사항을 먼저 확인합니다. 원본 증거 조회에도 해당 작업 권한이 필요합니다.

수집 설정

AD 도메인 관리에서 Audit Events > Security Events를 열고 Collection Config를 선택합니다. 기본 정보에서 활성화된 Source Domain을 선택하고 **Collection Interval (sec)**과 Batch Size를 확인합니다. 새 도메인의 초기 설정에서는 보안 이벤트 수집이 꺼져 있으며 간격은 300초, 배치 크기는 500입니다. 기존 도메인은 다를 수 있으므로 화면의 값을 확인합니다.
Security Event Audit에서 Enable Security Event Collection을 켜고 감사 목적에 맞는 범위를 하나 이상 선택합니다. 예를 들어 로그인 인증 확인에는 Authentication audit, 사용자 변경 확인에는 Account change audit을 선택합니다. 이 선택은 수집 범위를 정하며 컨트롤러 자체의 감사 설정을 대신하지 않습니다.
필요에 따라 Keep original event data 사용 여부를 확인하고 저장합니다. 설정을 다시 열어 원본 도메인, 스위치와 선택 범위를 확인합니다. 저장 성공은 수집 작업이 실행되었거나 기록이 생성되었다는 뜻이 아닙니다.
즉시 검증하려면 수집 설정의 기본 정보에서 원본 도메인을 확인하고 Run collection을 선택합니다. 제출 후 Collection Runs에서 상태와 결과를 확인합니다. 작업은 대기, 실행 또는 실패할 수 있으며 제출 성공은 수집 완료가 아닙니다. 상태가 확인되지 않았을 때 반복 제출하지 마십시오.

저장되는 수집 간격은 60_{86400초(1분}24시간)로 제한되며, 이 범위보다 작거나 큰 제출 값은 각각 해당 경계로 조정됩니다. 저장되는 배치 크기는 1~2000입니다. 1보다 작은 값이 제출되면 500으로, 2000보다 큰 값은 2000으로 조정됩니다. 입력란에 표시된 범위와 실제 저장 결과가 다를 수 있으므로 저장 후 구성을 다시 열어 확인합니다. 수집 간격과 배치 크기는 이벤트가 해당 간격에 맞춰 표시되거나 한 번의 실행으로 적체된 기록이 모두 처리됨을 보장하지 않습니다.

검증 및 확인

승인된 시험 환경에서 선택 범위에 맞고 식별 가능한 작업을 수행합니다. 예를 들어 시험 계정으로 한 번 로그인하고 실제 시간, 컨트롤러 및 계정을 기록합니다. 운영 계정으로 잠금이나 파괴적 이벤트를 발생시키지 마십시오.
이벤트 생성과 수집이 완료되면 Security Events에서 날짜, 도메인 및 기타 조건을 선택해 검색하고 이벤트 상세 정보를 엽니다. 발생 시간, 컨트롤러, 계정, 이벤트 범주와 결과를 실제 작업과 비교하고 필요하면 다른 페이지도 확인합니다.
Audit Events에서 필요에 따라 로그인 인증, 계정 변경 또는 그룹 변경 보고서를 열어 보고서의 범위와 상세 정보를 함께 분석합니다. 컨트롤러 인증 기록은 수집 대상 컨트롤러가 기록한 활동이며 모든 구성원 서버나 워크스테이션의 전체 로컬 로그인 기록을 뜻하지 않습니다.
Ping64에서 시작한 도메인 변경도 조사한다면 Audit Events > Platform Operations에서 해당 작업 기록을 확인하고 제출 시간, 대상 개체 및 실행 결과를 보안 이벤트와 각각 비교합니다. 플랫폼 작업 성공이 컨트롤러 이벤트의 생성이나 수집을 보장하지는 않습니다.

인증 및 디렉터리 개체 이벤트 조회

각 항목은 인증, 로그인 위험, 계정 및 디렉터리 개체 변경을 다룹니다. Login Risks는 일부 인증 실패에 초점을 맞추며 침해를 증명하지 않습니다. 그룹 구성원 변경과 그룹 자체의 변경은 별도 항목입니다.

위 절차에 따라 대상 도메인의 보안 이벤트 수집을 구성하고 조사 목적에 맞는 인증, 로그인 위험, 계정, 암호, 컴퓨터 계정, 그룹 구성원, 그룹 또는 OU 변경 범위를 선택합니다. 도메인 컨트롤러의 로그 생성과 연결 계정의 읽기 권한을 확인하고 저장한 뒤 수집 실행 상태를 확인합니다.
AD Domain Management > Audit Events에서 목적에 따라 Authentication, Login Risks, Account Changes, Password Operations, Computer Account Changes, Group Membership Changes, Group Changes 또는 OU Changes를 선택합니다.
도메인과 날짜를 선택하고 페이지에서 제공하는 계정, 대상 개체, 도메인 컨트롤러, 작업 또는 결과 조건으로 범위를 좁힙니다. 상세 정보를 열어 시간, 개체, 확인 가능한 결과와 다른 증거를 대조합니다. 필터와 상세 정보는 항목마다 다릅니다.
이벤트가 없으면 컨트롤러 로그, 수집 범위와 실행, 권한, 날짜 및 필터를 각각 확인합니다. 빈 목록은 작업이 없었거나 모든 컨트롤러와 과거 기간이 포함되었다는 증거가 아닙니다. 테스트는 승인받아 수행하며 이벤트 생성을 위해 운영 계정이나 디렉터리를 변경하지 마십시오.

GPO 변경 확인

GPO 변경 보고서는 디렉터리 및 정책 설정 비교 결과와 수집된 보안 이벤트를 함께 사용하여 그룹 정책 변경 조사를 돕습니다. 단말에 정책이 적용되었거나 모든 과거 작업이 포함되었다는 증거는 아닙니다.

위의 수집 설정에 따라 대상 도메인의 보안 이벤트 수집을 활성화하고 GPO change audit을 선택합니다. 조직의 감사 설정에 따라 관련 이벤트가 생성되고 연결 계정에 읽기 권한이 있으며 수집이 정상인지 확인합니다. 설정 저장만으로 비교 기준과 변경 기록이 준비되지는 않습니다.
AD Domain Management > Audit Events에서 GPO Changes를 선택합니다. 도메인, 날짜와 필터를 확인합니다. 초기 로컬 날짜 범위는 오늘부터 이틀 전까지입니다. 필요에 따라 키워드, 원본 도메인 컨트롤러, 변경 유형 및 구문 분석 상태로 범위를 좁힙니다.
Setting changes, Scope and permissions, Properties and lifecycle을 각각 확인합니다. 탭을 전환하면 필터가 초기화되므로 도메인, 날짜와 기타 조건을 다시 확인합니다. 한 탭의 목록이 비어 있어도 다른 탭에 기록이 있을 수 있습니다.
Details를 열어 변경 시각, 개체, 확인 가능한 변경 전후 차이와 관련 증거를 대조합니다. 가능한 설정 항목은 필요하면 History를 확인합니다. 일부 내용이 완전히 분석되거나 표시되지 않을 수 있으므로 원본 이벤트, 실제 정책 설정과 기타 증거로 확인합니다.
초기화 중이거나 설정 변경이 없으면 수집과 비교 기준 구축 상태를 확인한 뒤 승인된 통제 변경을 수행하고 수집을 기다립니다. 초기 기준으로 이전의 모든 변경을 복원할 수는 없습니다. 수집 실패, 권한, 날짜 범위와 기록 정리도 결과에 영향을 줄 수 있습니다.

DNS 변경 수집 및 확인

DNS 변경은 도메인 컨트롤러 보안 이벤트 수집과 다른 독립 DNS Audit 로그 원본을 사용합니다. 대상 Windows DNS 서버가 필요한 감사 로그를 생성하고 실행 환경에서 서버에 연결할 수 있으며 도메인 연결 계정에 로그 읽기 권한이 있는지 도메인 관리자에게 확인합니다. 이는 제로 트러스트 DNS 설정이나 DNS 질의의 전체 목록이 아닙니다.

AD 도메인 관리의 Audit Events에서 보안 이벤트를 열고 “Collection Config”를 선택합니다. 기본 정보에서 원본 도메인을 고른 다음 DNS 감사를 선택하고 “Enable DNS Audit log collection”을 켭니다.
“DNS servers”에 서버를 입력합니다. 여러 서버는 화면 예시처럼 쉼표로 구분합니다. “DNS event categories”에서 “Record changes” 등 한 항목 이상과 필요한 다른 범주를 선택합니다. 저장 후 설정을 다시 열어 도메인, 스위치, 서버와 범주를 확인합니다.
서버 작업에서 “Test source”를 선택하여 각 서버의 연결 가능 여부, 감사 채널과 읽기 권한을 확인합니다. 성공은 검사 당시의 조건만 나타내며 이벤트 생성, 수집 또는 완전한 보존을 증명하지 않습니다. 수집을 검증하려면 기본 정보에서 수동 수집을 시작하고 수집 실행의 상태와 결과를 확인합니다.
승인된 시험 환경에서 통제된 DNS 레코드를 변경하고 시간과 서버를 기록합니다. 이벤트 생성 및 수집 완료 후 Audit Events의 “DNS Changes”에서 도메인, 날짜, 서버, 레코드 이름 등으로 검색하고 상세 내용을 확인합니다. 없으면 이벤트 생성, 서버와 범주, 원본 테스트, 수집 실행, 로그 보존과 필터를 점검합니다. 빈 목록만으로 변경이 없었다고 판단하지 않습니다.

문제 해결을 위해 수집 위치를 임의로 초기화하지 마십시오. 이후 수집 시작점이 바뀌고 과거 범위에 영향을 줄 수 있으므로 조직 절차에 따라 영향을 평가하고 확인 메시지를 검토합니다. 수집과 조회는 DNS 설정을 변경하지 않습니다. 레코드 변경에는 승인된 DNS 관리 절차를 사용합니다.

특권 계정 작업 구성 및 조회

이 보고서는 수집된 관리 이벤트를 이벤트 발생 시점의 특권 구성원 범위와 대조합니다. 별도의 수집 스위치나 모든 특권 활동의 완전한 기록은 아닙니다. 먼저 위 절차대로 대상 도메인의 보안 이벤트 수집을 구성하고 조사할 작업에 맞는 범위를 선택합니다. DNS Audit은 별도 원본이므로 해당 기록이 이 보고서에 나타난다고 가정하지 마십시오. DNS 변경은 위 절차에 따라 별도로 구성하고 조회합니다. 디렉터리 사용자와 그룹의 동기화 및 이벤트 조회, 범위 구성과 필요한 작업 권한을 확인하십시오.

AD Domain Management > Audit Events에서 Privileged Account Operations를 열고 도메인을 선택한 뒤 Privileged Account Scope를 엽니다. 기본 제공 특권 주체와 확인 상태를 검토합니다. 기본 제공 주체는 제거할 수 없습니다.
범위를 확장하려면 Add Custom Privileged Principal을 선택하고 동기화된 보안 그룹 또는 사용자를 이름이나 계정으로 검색하여 선택하고 확인합니다. 범위를 검토하고 Validate를 실행한 후 성공하면 Save를 선택합니다. 검증만으로 저장되지 않으며 범위를 수정하면 다시 검증해야 합니다.
범위 화면으로 돌아가 구성원 스냅샷 상태를 확인합니다. 저장된 범위의 구성원을 갱신하려면 작업 권한이 있는 관리자가 Refresh Member Snapshot을 선택할 수 있습니다. 이 작업은 저장된 범위를 사용하며 저장하지 않은 변경 사항을 저장하지 않습니다. 실패하면 도메인 연결, 디렉터리 동기화, 연결 계정 권한과 화면 메시지를 확인합니다.
승인된 시험 환경에서 범위에 속한 계정으로 승인된 관리 작업을 수행하고 이벤트 생성과 수집을 기다립니다. 보고서에서 도메인, 날짜, 계정, 작업 분류 또는 특권 원본으로 검색하고 상세 내용을 확인합니다. 이벤트 시간과 기록된 구성원 유효 기간을 대조하므로 현재 구성원만으로 과거 결과를 설명할 수 없습니다. 범위 게시 이전이나 스냅샷이 없을 때 과거 이벤트 복원은 보장되지 않습니다.
결과가 없으면 도메인 컨트롤러의 해당 보안 이벤트 생성, 수집 범위와 실행 상태, 작업 계정의 유효 구성원 여부, 스냅샷, 날짜 및 필터를 각각 확인합니다. 빈 결과는 작업이 없었다거나 모든 컨트롤러와 과거 기간이 포함되었다는 증거가 아닙니다.

도메인 정책 변경 조사

이 화면은 암호 및 계정 잠금 설정 등 수집된 도메인 수준 정책 변경 이벤트를 조사하며 이벤트 번호는 4739입니다. GPO 변경 화면과 별개이며 모든 단말에 정책이 적용되었다는 증거가 아닙니다.

위 절차대로 도메인 보안 이벤트 수집을 설정하고 Domain policy change audit 범위를 선택하십시오. 컨트롤러의 이벤트 생성과 연결 계정 읽기 권한을 확인하고 저장 후 수집 실행 결과를 확인합니다.
AD 도메인 관리의 감사 이벤트에서 Policy Change Audit을 열고 도메인과 날짜를 선택합니다. 필요하면 이벤트 계정, 컨트롤러 또는 사용 가능한 조건을 입력한 뒤 조회합니다.
상세의 시간, 대상 도메인, 이벤트 계정 및 사용 가능한 정책 값을 승인된 변경 기록과 실제 도메인 설정에 대조합니다. 상세에는 이벤트에 있는 값만 표시되므로 변경 전후 전체 값을 가정하지 마십시오.
이벤트가 없으면 컨트롤러 로그, 수집 범위와 실행 상태, 권한, 날짜와 필터를 확인합니다. 빈 결과는 변경이 없었다는 증거가 아닙니다. 통제된 시험은 도메인 관리자의 승인을 받고 기록을 만들기 위해 운영 정책을 임의로 변경하지 마십시오.

AD 개체 복원 이벤트 조사

이 화면은 수집된 디렉터리 개체 복원 이벤트 5138을 조회하며 개체를 복원하지 않습니다. 이벤트 하나로 구성원 관계, 권한 및 업무 상태가 모두 복원되었다고 판단할 수 없습니다.

위 절차대로 도메인 보안 이벤트 수집을 설정하고 AD object restore audit 범위를 선택하십시오. 컨트롤러의 이벤트 생성과 연결 계정 읽기 권한을 확인하고 저장 후 수집 실행 결과를 확인합니다.
AD 도메인 관리의 감사 이벤트에서 Object Restores를 열고 도메인과 날짜를 선택합니다. 필요하면 대상 개체, 작업 계정, 컨트롤러 등 사용 가능한 조건을 입력하고 조회합니다.
상세의 개체 유형, 작업 계정, 시간 및 사용 가능한 복원 전후 디렉터리 위치를 승인된 작업 기록과 현재 디렉터리 상태에 대조합니다. 구성원, 권한 및 애플리케이션 가용성은 승인된 절차로 별도 검증합니다.
이벤트가 없으면 컨트롤러 로그 생성과 보존, 수집 범위와 실행 상태, 권한, 날짜와 필터를 확인합니다. 빈 결과는 복원이 없었다는 증거가 아닙니다. 시험만을 위해 운영 개체를 삭제하거나 복원하지 마십시오.

보안 로그 지우기 이벤트 확인

이 화면은 수집된 도메인 컨트롤러 보안 로그 지우기 이벤트를 조사하며 플랫폼 자체의 데이터 정리 작업과 다릅니다. 이벤트 번호는 1102입니다. 지우기 기록은 이전 이벤트가 모두 수집되었다는 증거가 아니며 지워진 로그를 복구하지도 않습니다.

위 절차대로 대상 도메인의 보안 이벤트 수집을 설정하고 Security Log Clearing 범위를 선택하십시오. 컨트롤러가 이벤트를 생성하고 연결 계정에 읽기 권한이 있는지 확인한 뒤 저장 후 수집 실행 결과를 확인합니다.
AD 도메인 관리의 감사 이벤트에서 Security Log Clearing을 열고 도메인과 날짜를 선택합니다. 필요하면 이벤트 계정 또는 도메인 컨트롤러를 입력하고 Enter를 누르거나 입력란을 벗어나 필터를 적용합니다. 상세에서 시간, 컨트롤러 및 사용 가능한 계정 정보를 확인합니다.
결과가 있으면 조직 보안 절차에 따라 조사하고 다른 증거를 보존합니다. 비어 있으면 컨트롤러 로그, 수집 범위와 실행 상태, 권한 및 기간을 확인합니다. 검증을 위해 운영 로그를 지우지 말고 빈 결과를 지우기 부재의 증거로 보지 마십시오.

디렉터리 권한 변경 조사

이 화면은 수집된 디렉터리 개체 권한 변경 이벤트 5136을 조사합니다. 파일 시스템, 애플리케이션 또는 다른 모든 권한 변경을 포괄하지 않으며 대상 개체에 대한 사용자의 최종 유효 권한을 직접 계산하지 않습니다.

위 절차대로 도메인 보안 이벤트 수집을 설정하고 Directory permission change audit 범위를 선택하십시오. 컨트롤러의 이벤트 생성, 연결 계정의 읽기 권한 및 저장 후 수집 실행 결과를 확인합니다.
AD 도메인 관리의 감사 이벤트에서 Permission Changes를 열고 도메인과 날짜를 선택합니다. 필요하면 대상 개체, 작업 계정, 컨트롤러 또는 사용 가능한 조건을 입력하고 조회합니다.
상세의 시간, 개체, 작업 계정, 연결 상태 및 사용 가능한 추가·제거 접근 제어 항목을 승인된 변경 기록과 실제 디렉터리 권한에 대조합니다.
연결 정보나 변경 전후 데이터가 없거나 내용을 분석할 수 없으면 표시된 차이가 불완전할 수 있습니다. 차이가 비어 있어도 권한이 변하지 않았다는 증거가 아닙니다. 기록이 없으면 컨트롤러 로그, 수집 범위와 실행, 권한 및 필터를 확인합니다. 시험은 도메인 관리자 승인을 받고 기록을 만들기 위해 운영 권한을 임의로 바꾸지 마십시오.

AD 구성 변경 조사

이 화면은 수집된 디렉터리 구성, 스키마, 사이트와 FSMO 역할 관련 이벤트를 조사합니다. 도메인 정책, GPO 및 플랫폼 작업 화면과 별개입니다. 기록은 수집·식별된 이벤트만 반영하며 전체 변경 이력이나 모든 컨트롤러의 동기화를 증명하지 않습니다.

위 절차대로 도메인 보안 이벤트 수집을 설정하고 AD configuration change audit 범위를 선택하십시오. 이벤트 생성과 연결 계정 읽기 권한을 확인하고 저장 후 수집 실행 결과를 확인합니다.
AD 도메인 관리의 감사 이벤트에서 Configuration Change Audit을 열고 도메인과 날짜를 선택합니다. 필요하면 구성 영역, 변경 유형, 개체, 작업 계정 등 사용 가능한 조건으로 조회합니다.
상세의 사용 가능한 영역, 변경 유형, 개체, 속성, 디렉터리 위치 및 연결 상태를 승인된 변경 기록과 현재 디렉터리 상태에 대조합니다. 필드나 연결이 불완전할 수 있으며 빈 필드는 변경 없음의 증거가 아닙니다.
기록이 없으면 컨트롤러 로그, 수집 범위와 실행, 권한, 날짜와 필터를 확인합니다. 시험은 도메인 관리자 승인을 받고 기록을 만들기 위해 운영 구성을 임의로 바꾸지 마십시오.

결과가 없는 경우

원본 도메인, 날짜, 필터 및 페이지를 확인하고 대상 도메인의 수집 스위치, 선택 범위, 실행 상태와 오류를 확인합니다.
컨트롤러에서 예상 이벤트의 실제 생성 여부와 로그 보존 여부를 확인하고 연결 계정 권한, 컨트롤러 접근성과 실행 환경을 점검합니다. 이벤트 미생성, 로그 삭제 또는 덮어쓰기, 권한 부족, 수집 실패나 적체로 인해 누락 또는 지연될 수 있습니다.
수집 기록, 로그 삭제 이벤트 및 통계는 각각 과거 로그의 완전성을 증명하지 못합니다. 문제 해결이나 범위 변경 중 승인 없이 컨트롤러 감사 요구를 낮추지 말고 기록 정리를 과거 데이터 복원 방법으로 간주하지 마십시오.

수정일 2026. 11. 15.