보안 로그 덮어쓰기로 인한 보안 이벤트 데이터 누락

안녕하세요.

Security 이벤트 로그가 최대 크기에 도달했을 때 기존 이벤트가 덮어써졌다면, 먼저 현재 로그 보존 정책과 최대 크기를 확인하고 그룹 정책으로 일관된 설정을 적용해야 합니다. 이미 덮어써진 이벤트는 별도의 백업이나 중앙 로그 수집 시스템에 보관되어 있지 않다면 로컬에서 복구하지 못할 수 있습니다.

이벤트 뷰어에서 Applications and Services Logs > Microsoft > Windows > Security가 아니라 Windows Logs > Security를 선택하고, Properties에서 Maximum log size와 When maximum event log size is reached 설정을 확인하십시오. 보안 로그에는 조직의 감사 및 증거 보존 요구사항에 맞는 크기와 보존 정책을 지정해야 합니다.

그룹 정책 관리 콘솔(gpmc.msc)에서 해당 컴퓨터에 적용되는 GPO를 편집하고 다음 경로로 이동하십시오.

Computer Configuration > Policies > Windows Settings > Security Settings > Event Log

여기에서 Retention method for security log를 확인하고, 조직의 보존 요건에 맞게 설정하십시오. Overwrite events as needed를 사용하면 새 이벤트가 오래된 이벤트를 덮어쓸 수 있습니다. 증거 데이터를 보존해야 한다면 Do not overwrite events (clear log manually)를 검토할 수 있지만, 로그가 가득 차면 새 이벤트가 기록되지 않을 수 있으므로 백업 및 용량 모니터링을 함께 구성해야 합니다.

또한 다음 경로에서 최대 로그 크기를 설정하십시오.

Computer Configuration > Policies > Administrative Templates > Windows Components > Event Log Service > Security

Specify the maximum log file size (KB) 정책을 활성화하고 감사 이벤트 발생량과 보존 기간에 맞는 값을 지정하십시오. 같은 위치의 Control Event Log behavior when the log file reaches its maximum size 정책은 주의해야 합니다. 이 정책을 활성화하면 로그가 가득 찼을 때 새 이벤트가 기록되지 않고 손실될 수 있습니다. 비활성화하거나 구성하지 않으면 기존 이벤트를 덮어쓰는 동작이 적용됩니다.

변경 후에는 gpupdate /force를 실행하고 gpresult /h "%TEMP%\gpresult.html"로 실제 적용된 정책을 확인하십시오. 기존에 덮어써진 이벤트는 백업이 없다면 복구할 수 없으므로, 보안 로그를 정기적으로 별도 위치에 보관하거나 중앙 SIEM으로 전달하는 방안도 권장합니다.

Domic Vo.