PowerShell 로그 180일은 왜 따로 정해져 있나요?

값의 성격이 다릅니다

답부터 적으면 CISA 의 랜섬웨어 지침은 중요 시스템 로그에 최소 1년을 적고, PowerShell 로그에는 최소 180일 보관을 권고합니다. 전자는 최소 보관 기간으로 적혀 있고 후자는 권고 최소값으로 적혀 있습니다. 두 문장의 성격 차이가 기간 차이와 함께 옵니다.

따로 적혀 있다는 사실이 중요합니다

PowerShell 로그가 별도 항목으로 등장하는 것은 이 로그가 사고 조사에서 자주 쓰이기 때문으로 읽을 수 있습니다. 운영체제에 기본 포함된 실행 수단이라 별도 설치 없이 동작하고, 그래서 어떤 명령이 실행됐는지의 기록이 조사 자료가 됩니다. 중요 시스템 로그 설정에 포함되지 않는 경우가 많아 항목이 따로 나온 것으로 보입니다.

180일을 1년으로 올려도 됩니다

180일은 최소값이므로 더 길게 두는 것이 지침과 어긋나지 않습니다. 실무에서는 중요 시스템 로그와 같은 365일로 통일하면 관리가 단순해집니다. 다만 용량이 부족하면 180일을 하한으로 유지하고, 중요 시스템 로그 쪽의 365일을 먼저 지키는 순서가 맞습니다.

설정 전에 용량을 먼저 봅니다

스크립트 실행 기록은 양이 많아질 수 있습니다. 기간만 늘리고 용량을 보지 않으면 저장소가 차서 오래된 기록이 먼저 지워지고, 설정값과 실제 보관 기간이 어긋납니다. 그래서 기간 설정과 용량 확인은 한 작업으로 묶어야 합니다.

사례: 설정값과 실제 기록이 달랐던 경우

상황은 서버 2대의 스크립트 로그 설정입니다. 입력값은 확인일 2026년 10월 19일, 두 대 모두 보관 기간 설정 365일, 가장 오래된 기록은 1호기 210일 전, 2호기 95일 전입니다. 계산은 설정값이 아니라 실제 기록으로 보는 것입니다. 1호기의 실제 보관 기간은 210일로 지침의 180일 하한을 넘습니다. 2호기는 95일로 하한에 미달합니다. 최종 결과는 하한 충족 1대, 미달 1대이고 2호기는 용량을 늘리거나 기록 범위를 조정해야 합니다. 결과를 바꾸는 예외는 2호기가 최근에 재설치된 경우로, 그때는 기록이 짧은 것이 용량 문제가 아니라 운영 기간 때문이므로 몇 주 뒤에 다시 확인합니다. 다음 행동은 두 대의 설정값과 가장 오래된 기록 날짜를 나란히 적는 것입니다.

기록이 없으면 조사와 신고가 함께 막힙니다

스크립트 실행 기록이 없으면 무엇이 실행됐는지 확정하기 어렵습니다. 그러면 침해사고 최초신고에 적어야 하는 발생 일시와 원인, 피해내용을 채우기 어렵고, 추가 사실을 확인한 때부터 24시간 이내에 하는 보완신고의 근거도 약해집니다. 로그 보관은 조사 편의가 아니라 신고 품질과 연결됩니다.

이 글에서 설정 방법을 적지 않은 이유

로그 활성화와 보관 기간 설정 방법은 운영체제 버전과 관리 도구에 따라 다르고, 잘못 적용하면 성능과 저장소에 영향을 줍니다. 이 글은 공식 지침이 적은 값과 성격, 설정값과 실제 기록을 구분해 확인하는 방법을 적었습니다. 스크립트 로그의 일평균 용량은 환경마다 달라 수치를 제시하지 않습니다.

다른 로그와 비교한 위치