감사 로그를 오래 보관하면 사고를 조사할 수 있는 기간은 늘지만 기록량도 커집니다. 사건이 났을 때 필요한 사용자의 행동을 찾지 못한다면 보관만으로는 충분하지 않습니다. 수집 단계에서 검색 가능한 맥락과 보관 정책을 함께 설계해야 합니다.
무엇을 기록할지 정한다
로그인, 권한 변경, 데이터 조회, 내보내기, 관리자 설정 변경처럼 조사에 필요한 행위를 분류합니다. 모든 클릭을 똑같이 기록하면 중요한 사건이 묻힙니다.
각 기록에는 행위자, 대상, 시간, 결과, 요청 식별자를 연결합니다. 민감한 원문과 비밀번호, 토큰을 남기지 않도록 필드를 점검합니다.
시간과 식별자를 맞춘다
여러 서비스의 로그를 연결하려면 같은 요청 식별자와 일관된 시각 기준이 필요합니다. 사용자가 본 시간과 서버가 기록한 시간을 구분하고 시계 오차를 관리합니다.
조직이나 고객사 경계도 검색 조건에 포함합니다. 사용자 이름만으로 찾으면 동명이인과 계정 변경 이력을 놓칠 수 있습니다.
검색 계층과 원본 보존을 분리한다
빠른 검색을 위해 일부 필드를 색인할 수 있지만 모든 원본을 같은 고비용 저장소에 둘 필요는 없습니다. 최근 기록은 빠르게, 오래된 기록은 승인 후 복구하는 방식이 가능할 수 있습니다.
색인에 없다고 기록이 없다는 뜻은 아닙니다. 보관 원본의 무결성 검증과 검색 색인의 누락 감지를 함께 해야 합니다.
가상 사례: 권한 변경 후 대량 내보내기
사용자 권한이 넓어진 직후 파일을 대량 내보냈다고 가정해 봅시다. 권한 변경 로그와 파일 생성 로그에 공통 대상 및 요청 맥락이 없으면 연결이 어렵습니다.
누가 권한을 바꿨고 어떤 범위가 늘었으며 이후 어떤 파일이 만들어졌는지 추적할 수 있어야 합니다. 사례는 가상의 조사 상황입니다.
보관 기간과 접근 권한을 정한다
보안 조사 목적과 개인정보 보관 정책 사이의 균형을 담당자와 합의합니다. 필요 기간이 지난 기록을 무기한 보관하는 것이 항상 안전한 선택은 아닙니다.
감사 로그를 보는 행위도 기록합니다. 검색 권한을 넓게 주면 로그 자체가 개인정보 노출 경로가 될 수 있습니다.
현장에 적용할 때의 순서
- 조사에 필요한 사건 유형을 정한다
- 행위자·대상·요청 ID를 남긴다
- 검색 색인과 원본의 차이를 검증한다
주의할 실패: 로그를 오래 보관해도 권한 변경과 파일 내보내기를 연결할 식별자가 없다면 조사할 수 없다.
관찰할 지표: 검색 실패와 원본 누락, 민감정보 포함 로그를 점검한다.
적용 전 체크리스트
- 조사 질문에 필요한 필드가 남는가
- 토큰·비밀번호 등 비밀값이 기록되지 않는가
- 원본 보존과 검색 색인의 상태를 검증하는가
참고 자료
OWASP Logging Cheat Sheet. OWASP의 보안 로깅 지침을 참고했습니다. 보관 기간은 해당 조직의 법적·업무 요구를 확인해 결정해야 합니다.
이미지와 도식은 이해를 돕기 위한 개념 시각화입니다. 특정 고객의 실제 설비·데이터·화면을 재현한 것이 아닙니다.
#감사로그 #보안로그 #로그보관 #검색 #접근제어 #데이터보안 #사고조사 #관측성 #SaaS운영 #보안엔지니어링
