Windows에서 누가 언제 로그인했는지 기록을 남길 수 있다면 얼마나 좋을까요? 다행히 윈도우에는 이러한 요구를 충족하는 '로그온 감사(Logon Auditing)' 기능이 기본으로 내장되어 있습니다. 기밀 데이터를 다루는 서버나 조직 환경에서는 물론이고, "이 작업을 누가 한 거지?"라는 궁금증을 해결하고 싶은 개인 PC에서도 매우 유용합니다. 다만 이 기능은 기본적으로 비활성화되어 있어 직접 설정해야 합니다. 이 글에서는 로그온 감사를 활성화하는 방법과 추적된 이벤트를 확인하는 방법까지 단계별로 살펴보겠습니다.
참고: 로그온 감사 기능은 Windows 8의 Pro(프로), Ultimate(얼티메이트), Enterprise(엔터프라이즈) 에디션에서만 사용할 수 있습니다. Home 버전에는 로컬 그룹 정책 편집기 자체가 포함되어 있지 않습니다.
로그온 감사란 무엇인가?
로그온 감사는 윈도우 그룹 정책에 내장된 보안 설정으로, 로컬 컴퓨터 또는 네트워크를 통해 발생하는 모든 사용자 로그인/로그오프 활동을 기록하고 감사할 수 있게 해줍니다. 성공한 로그인뿐만 아니라 실패한 로그인 시도까지 추적할 수 있어, 무단 접근이나 무차별 대입 공격과 같은 보안 위협을 탐지하고 분석하는 데 특히 효과적입니다.
로그온 감사 활성화하기
로그온 감사를 활성화하려면 윈도우 그룹 정책 설정을 변경해야 합니다. Win + R 키를 눌러 실행 창을 연 후, gpedit.msc를 입력하고 Enter 키를 눌러 로컬 그룹 정책 편집기를 실행합니다.
그룹 정책 편집기가 열리면 왼쪽 메뉴에서 "컴퓨터 구성 → Windows 설정 → 보안 설정 → 로컬 정책"으로 이동한 뒤, "감사 정책(Audit Policy)"을 선택합니다.
오른쪽 창에 여러 정책 항목이 표시됩니다. 여기서 "로그온 이벤트 감사(Audit logon events)"를 찾아 더블클릭합니다. 주의할 점은 "계정 로그온 이벤트 감사(Audit account logon events)"와 이름이 비슷하지만 용도가 전혀 다르다는 것입니다. 전자는 해당 컴퓨터에서 발생하는 로그온 이벤트를 감사하는 반면, 후자는 도메인 환경에서의 계정 인증 이벤트를 감사하는 별도의 설정입니다.
설정 창이 열리면 "성공(Success)"과 "실패(Failure)" 체크박스를 모두 선택한 후 "적용"과 "확인" 버튼을 클릭해 변경 사항을 저장합니다.
설정은 이것으로 끝입니다. 이 시점부터 모든 로그인, 로그오프 및 실패한 로그인 시도가 이벤트 뷰어에 이벤트 형태로 기록됩니다.
로그온 감사 이벤트 확인하기
기록된 로그인, 로그오프 및 로그인 실패 이벤트는 윈도우 이벤트 뷰어(Event Viewer)에서 확인할 수 있습니다. 시작 메뉴에서 "이벤트 뷰어"를 검색해 실행하거나, Windows 8 사용자라면 Win + X 키로 열리는 파워 유저 메뉴에서 바로 실행할 수 있습니다.
이벤트 뷰어가 실행되면 왼쪽 트리에서 "Windows 로그 → 보안" 항목으로 이동합니다.
여기에는 시스템에서 발생한 모든 보안 관련 이벤트가 표시됩니다. "감사 성공(Audit Success)"이라는 키워드가 포함된 항목을 더블클릭하면 로그인 또는 로그오프한 사용자 계정, 시간 정보 등 상세 내용을 확인할 수 있습니다. 팁으로, "이벤트 ID"나 "작업 범주"로 필터링하면 원하는 이벤트를 훨씬 빠르게 찾을 수 있습니다. 아래 이미지에서 볼 수 있듯이, 로그온 감사는 실패한 로그인 시도 역시 함께 기록합니다.
이상으로 윈도우에서 사용자 로그인 활동을 추적하는 방법을 알아봤습니다. 생각보다 간단하죠? 설정 과정에서 문제가 발생한다면 아래 댓글로 알려주세요.