# 제로 트러스트 감사 로그 조회

Canonical: https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/audit/view-audit-logs/

Language: ko-KR

Updated: 2026-11-15T04:12:25.868854Z

감사 페이지는 네트워크 접근, DNS 질의, 런타임 이벤트와 애플리케이션 게시 접근 기록을 제공하여 시간, 엔드포인트와 결과를 함께 분석합니다. 각 기록은 다른 단계를 반영합니다. 기록이 있다고 전체 접근이 성공한 것은 아니며 기록이 없다는 사실만으로 접근이 없었다고 증명할 수 없습니다.

기존 로그만 조회한다면 필요한 조회 권한과 가시 범위를 가진 계정으로 아래 조회 단계에 바로 진행할 수 있습니다. 조회만을 위해 설정을 변경하거나 시험 이벤트를 발생시킬 필요는 없습니다. 새 로그를 검증하려면 해당 기능과 기존 설정을 먼저 확인하고 필요한 경우에만 적절한 관리 권한이 있는 담당자가 수정한 후 해당 시험을 수행합니다. 로그 종류마다 생성 조건이 다릅니다.

## 조회 및 시험 준비

-   제로 트러스트 읽기 권한이 있는 최고 관리자 계정을 사용합니다. 게시 접근 조회에는 볼 수 있는 게시 서비스도 필요하며 실제 범위는 계정과 배포에 따릅니다.
-   승인된 시험 엔드포인트, 대상과 시간을 준비합니다. 기록은 기능의 이벤트 생성, 엔드포인트 또는 서비스의 보고, 서버 저장과 조회에 의존합니다. 어느 단계의 문제든 표시를 방해할 수 있습니다. 이 페이지는 모든 로그 수집을 일괄 활성화하는 스위치가 아닙니다.
-   로그에 사용자, 엔드포인트, 주소, 도메인과 접근 경로 등 민감 정보가 포함될 수 있습니다. 조직의 승인 및 데이터 보호 요구에 따라 조회, 공유, 보관합니다.

## 네트워크 접근 시험 준비

아래 단계는 필요한 경우 시범 기록을 생성하기 위한 것입니다. 먼저 시험 요구에 맞는 기존 접근 그룹과 정책을 확인하고 재사용합니다. 구성원이나 정책을 변경하기 전에 다른 참조와 업무 영향을 평가하며, 로그 생성만을 위해 접근 범위를 넓히지 마십시오.

1.  시험 노드가 적합한 출발지 그룹에 아직 없는 경우에만 제로 트러스트 접근 제어의 접근 그룹에서 소스 그룹을 만들거나 선택합니다. 상세의 「Endpoints」 탭에서 「Add Endpoints」를 선택하고 승인된 시험 노드를 선택해 확인합니다. 기존 그룹 변경 전 다른 참조를 확인합니다.
2.  Policies에서 적용 정책의 출발지, 대상, 허용 또는 거부 동작, 프로토콜, 방향 및 포트를 확인합니다. 생성 또는 변경이 필요한 경우에만 권한 있는 관리자가 시범 그룹이나 노드를 출발지로, 시험할 노드, 그룹 또는 네트워크 리소스를 대상으로 선택하고 업무에 맞게 조건을 설정합니다. `TCP` 또는 `UDP`에는 필요한 시험 포트를 입력하며 비워 두면 모든 포트를 뜻합니다. 변경 후 저장하고 활성 상태와 각 조건을 확인합니다.
3.  대상에 경로나 DNS가 필요하면 각각 구성하고 서비스 상태를 확인합니다. 경로의 「Policy Target Groups」가 비면 기본 허용 규칙이 생기며 기본 거부가 아닙니다. 제한하려면 대상 그룹과 관련 정책을 확인합니다.
4.  노드가 구성을 받은 뒤 승인 범위에서 허용될 노드와 허용되지 않을 노드로 각각 통제된 접근을 수행하고 시간과 결과를 기록합니다. 정책은 접근을 제어하지만 모든 연결의 완전한 로그를 보장하지 않습니다. [접근 그룹 및 정책](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/access-control/), [네트워크 경로](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/network-resources/network-routes/)를 참조하십시오.

## DNS, 런타임 및 게시 접근 시험 준비

-   **DNS Queries:** 시험 엔드포인트가 제로 트러스트에 연결되고 DNS 관리에서 제외되지 않았는지 확인합니다. 기존 DNS 네임서버 그룹의 활성 상태, 적용 그룹, 서버 접근성 및 필요한 일치 도메인을 먼저 확인하고 시험에 적합하면 재사용합니다. 변경이 필요한 경우에만 권한 있는 관리자가 영향을 평가하고 설정을 변경·저장한 뒤 활성 상태를 확인합니다. 엔드포인트가 받은 뒤 조직이 소유하거나 시험을 허가한 전체 도메인을 질의합니다. 절차와 검색 도메인 제한은 [DNS 네임서버 그룹](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/dns/dns-nameservers/)을 참조하십시오. 애플리케이션이 시스템 확인을 우회하거나 질의가 관련 구성 요소를 통과하지 않으면 기록이 보장되지 않습니다.
-   **Runtime Events:** 시험 엔드포인트와 제로 트러스트 구성 요소를 확인하고 승인된 유지보수 시간에 통제된 연결이나 설정 변경을 수행해 시간을 기록합니다. 이벤트는 실제 구성 요소와 결과에 따라 다릅니다. 기록을 만들기 위해 운영 연결을 임의로 중단하지 마십시오.
-   **Application Publishing Access:** 새 기록을 검증하려면 대상 게시 서비스, 관련 프록시와 인증 요구의 설정 및 활성화를 확인하고 승인된 시험 클라이언트에서 접근해 시간과 결과를 기록합니다. 조회 페이지에서는 보이는 게시 서비스를 먼저 선택해야 합니다. 선택 가능한 서비스가 없으면 페이지에서 서비스별 조회를 할 수 없지만, 그 사실만으로 과거 로그가 삭제되었다고 판단할 수는 없습니다. 서비스 목록과 권한을 확인하고 필요하면 관리자에게 문의하십시오. 기록 생성만을 위해 승인되지 않은 서비스를 공개하지 마십시오.

## 로그와 조회 범위 선택

1.  제로 트러스트에서 「Audit」를 열고 문제에 맞는 항목을 선택합니다. 필요한 카드에서 **View Records**를 선택합니다.

| 항목 | 내용 |
| --- | --- |
| Network Access | 기록된 허용, 차단과 연결 종료. 결과, 방향, 프로토콜 필터. |
| DNS Queries | 기록된 이름, 유형, 결과, 확인자, 업스트림과 소요 시간. 결과와 이름 필터. |
| Runtime Events | 클라이언트 연결, 구성 요소 상태 또는 설정 이벤트. 구성 요소와 결과 필터. |
| Application Publishing Access | 게시 서비스별 접근과 인증 결과. |

2.  날짜와 필터를 확인합니다. 처음에는 당일과 이전 6일이 포함되므로 더 이전 이벤트는 범위를 변경합니다. 시간이 다르면 엔드포인트와 브라우저의 시간·시간대를 확인합니다.
3.  하단 페이지 이동을 사용합니다. 한 페이지는 50건입니다. 날짜나 필터 변경 후 다시 확인하고 첫 페이지만 보지 않습니다.

날짜는 관리 브라우저의 시간대에 따른 달력 날짜로 조회하며 선택한 시작일과 종료일을 모두 포함합니다. 시간대가 다른 환경에서는 시험 시간을 관리 브라우저 시간대로 변환한 후 날짜를 선택합니다. 서머타임 전환일은 실제 길이가 24시간이 아닐 수 있습니다.

## 네트워크 접근과 DNS 분석

1.  Network Access에서 결과, 인바운드·아웃바운드 방향과 프로토콜을 선택하고 엔드포인트, 소스와 대상, 규칙, 트래픽과 시간을 비교합니다. 불필요한 필터를 지운 뒤 범위를 좁힙니다.
2.  DNS Queries에서 이름 입력 후 Enter를 누르거나 입력란에서 초점을 옮겨 조건을 적용합니다. 성공, 도메인 없음 또는 실패를 선택하고 이름, 유형, 확인자, 업스트림, 결과와 시간을 확인합니다.
3.  기록을 시험 엔드포인트, 시간과 대상에 맞추고 DNS, 경로, 정책과 서비스를 함께 확인합니다. 허용 기록은 애플리케이션 응답 성공을 뜻하지 않으며 DNS 기록이 없어도 질의가 있었을 수 있습니다.

예를 들어 내부 애플리케이션이 열리지 않으면 시험 엔드포인트에서 전체 이름 확인을 먼저 검사하고 DNS와 네트워크 기록, 정책, 경로와 서비스를 확인합니다. 로그는 기록된 단계의 단서이며 업무 시험을 대체하지 않습니다.

DNS 이름 필터는 기록된 전체 값과 정확히 일치하는 항목을 찾으며 부분 문자열 검색이 아닙니다. 기록된 이름은 소문자이고 끝에 마침표가 있을 수 있습니다. 입력 시 마침표가 자동 추가되거나 대소문자가 변환되지 않습니다. 결과가 없으면 이름 필터를 지우고 적절한 날짜 범위에서 기록을 찾은 다음 표시된 전체 이름을 그대로 입력하고 Enter를 누르거나 입력란에서 초점을 옮깁니다. 계속 기록이 없으면 쿼리가 Zero Trust DNS를 통과했는지와 보고 여부를 확인합니다.

## 런타임 및 게시 접근 분석

1.  Runtime Events에서 구성 요소와 결과로 필터링하고 시간과 상태를 엔드포인트 연결 및 설정 적용과 비교합니다.
2.  게시를 사용하는 경우 Application Publishing Access에서 선택된 서비스, 날짜와 결과를 확인하고 필요하면 변경합니다. 페이지가 서비스를 미리 선택할 수 있으므로 목표라고 가정하지 않습니다.
3.  서비스가 없거나 로드 실패 시 서비스 존재, 계정 권한과 관리 서비스 상태를 확인합니다. 게시, 인증, 프록시와 애플리케이션을 함께 조사합니다. 기록이 사용자의 업무 완료를 증명하지는 않습니다.

**인증 열 해석:** HTTP 접근에서 인증 열의 성공 또는 실패 표시는 HTTP 응답 상태의 영향을 받을 수 있습니다. `401` 또는 `403`은 실패로, 서비스 오류를 포함한 다른 상태는 성공으로 표시될 수 있습니다. TCP, UDP, TLS와 같은 비 HTTP 기록에서 실패가 표시되어도 사용자 인증 실패가 발생했다는 뜻은 아닙니다. 통제된 시험에서 서비스 인증 방식, 응답 코드, 접근 출발지와 대상 애플리케이션 로그를 함께 확인하고 이 열만으로 인증 성공·실패나 사용자 신원을 단정하지 마십시오. 영문 화면의 해당 표시는 **Authentication**, **Success**, **Failed**입니다.

## 일반적인 문제

-   **기록 없음:** 날짜를 넓히고 필터를 지우며 페이지, 엔드포인트와 서비스를 확인한 뒤 구성 적용, 시험 발생, 기록 생성·보고·저장을 점검합니다.
    
-   **페이지 로드 실패:** 권한, 네트워크와 서비스를 확인합니다. 조회 실패와 성공했으나 데이터가 없는 경우는 다릅니다.
    
-   **DNS 검색 불변:** 입력 후 Enter 또는 초점 이동을 하고 날짜와 결과 필터를 확인합니다.
    
-   **시간·결과 불일치:** 시간대, 이벤트 단계와 대상을 확인합니다. 서로 다른 로그가 동일 이벤트의 모든 단계를 포함하지 않을 수 있습니다.
    
-   **추가 조사:** 승인 절차에 따라 필요한 시간, 엔드포인트, 시험 결과와 메시지만 기록하고 전체 로그나 민감 주소의 확산을 피합니다.
    
-   **이전 기록이 보이지 않는 경우:** 플랫폼 설정 관리 권한이 있는 최고 관리자는 시스템 설정의 **Data Cleanup**에서 **Enable automatic cleanup**, 업무 기록의 **Zero Trust events** 범위 스위치와 보존 일수를 확인하고 플랫폼 로그의 데이터 정리 로그에서 실행 결과를 확인할 수 있습니다. 해당 범위를 활성화하여 실행하면 만료된 네트워크 접근, DNS, 런타임 이벤트 및 애플리케이션 게시 접근 기록이 정리될 수 있습니다. 변경 전에 조직의 보존 요구 사항과 실행 기록을 확인하고 문제 해결을 위해 보존 기간을 임의로 변경하지 마십시오. 정리를 비활성화해도 삭제된 기록은 복원되지 않습니다.
    
-   [접근 정책](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/access-control/access-policy/)