ExchangeOnline 소송 보존 및 콘텐츠 검색 방법

소송 보존(Litigation Hold) 설정 방법과

어떻게 Holding 되어있는 메일 데이터들을 검색 및 추출할 수 있는지에 대해 살펴보고자 합니다.

소송 보존 설정을 통해 메일 데이터를 보존하여 추후 메일로 불거지는 이슈들을 처리할 수 있습니다.(소송 등)

 

• 소송 보존(Litigation Hold) 설정 방법

Exchange 관리 센터에 admin 권한의 계정으로 접근 > 사서함 > 사서함 선택 > 기타 > 소송 보존 관리 클릭

 

소송 보존 기능 켜기 > 보류 기간 설정 (예시의 경우 10년으로 설정) > 저장 클릭

 

소송 보존 기능을 켜게 되면, 관리자만 볼 수 있는 Discovery Holds 라는 폴더가 따로 생기게 됩니다.

지운 편지함에서 삭제된 메일들은 삭제된 항목 보존 기간(Default 14일)이 지나면, Deletions 에서 Discovery Holds 폴더로 이동하게 됩니다.

 

조회 시 사용한 명령어

Connect-ExchangeOnline (관리자 계정으로 Sign-In)

Get-MailboxFolderStatistics {사용자 UPN} -FolderScope RecoverableItems | FL Name,FolderAndSubfolderSize,ItemsInFolderAndSubfolders

 

 

• 메일 데이터 추출 방법

메일 데이터를 추출하기 위해서는 eDiscovery 관리자 권한이 따로 필요합니다.

Microsoft 365 Defender 포탈(https://security.microsoft.com/) 에 관리자 계정으로 접근 > 사용 권한 > 전자 메일 및 공동 작업 역할 – 역할 클릭

 

eDiscovery Manager 선택 > eDiscovery 관리자 우측 편집 클릭

 

아래와 같이 관리자 계정을 추가해줍니다. 약 1시간 정도 있으면 적용이 됩니다.

 

메일 데이터를 추출하는 작업을 하기 위해서 Purview 포탈로 접근합니다.

https://compliance.microsoft.com/ 에 관리자 계정으로 접근 > 콘텐츠 검색 > 새 검색 클릭

 

Exchange 사서함 선택 > 검색할 사용자 지정 > 다음 클릭

 

전체 검색을 위해 초기 상태로 두고 바로 다음을 클릭합니다.

 

검색을 검토하고 만듭니다.

생성된 검색을 선택 > 조치 > 결과 내보내기 클릭

 

 

한 명만 선택했기 때문에 모든 메시지가 포함된 하나의 PST 파일로 선택했으나,

두 명 세 명의 경우, 각 사서함마다 하나의 PST 파일로 내보내는 것이 분류하기가 좋아 보입니다.

옵션들을 선택하여 내보내기를 클릭합니다.

 

내보내기 > 생성된 내보내기 작업 선택 > 결과 다운로드 클릭

 

eDiscovery 내보내기 도구에 내보내기 키를 붙여 넣고, 파일을 저장할 위치를 설정한 후, 시작 버튼을 클릭합니다.

 

다운로드가 완료되면 Close 를 클릭합니다.

 

 

Outlook Desktop Client 에서 파일 > 열기 및 내보내기 > Outlook 데이터 파일 열기 를 클릭합니다.

 

방금 다운 받은 폴더에서 pst 파일을 찾아 열어줍니다.

 

pst 파일을 가져온 것을 확인할 수 있으며 DiscoveryHolds 폴더로 가보면 메일 데이터들을 확인할 수 있습니다.

 

감사합니다.