보안 전문기업 마에스트로 포렌식(대표 김종광)은 최신 맥(macOS) 환경 지원 기능을 강화한 디지털 증거수집·디스크 이미징 솔루션 '마에스트로 위즈덤 컬렉터(WiSDOM Collector)'를 출시했다고 밝혔다.
위즈덤 컬렉터는 윈도우, 리눅스, macOS, 모바일 등 다양한 운영체제에서 라이브 증거수집과 디스크 포렌식 이미징 기능을 제공하는 솔루션이다. 이번 업데이트를 통해 최신 macOS를 포함한 다양한 운영체제에 대한 디지털 증거 수집과 이미징 기능을 고도화하고, 확보한 데이터를 정밀 분석 솔루션과 연계할 수 있도록 지원 범위를 확대했다.
최근 기업과 공공기관에서 맥(Mac)을 업무용 단말기로 도입하는 사례가 늘어나면서 해킹, 랜섬웨어 감염, 내부 정보 유출 등 보안 사고 발생 시 맥 환경에서 디지털 증거를 확보하고 분석해야 하는 수요도 증가하고 있다. 특히 애플이 macOS와 애플 실리콘(Apple Silicon)을 지속적으로 업데이트하면서 최신 환경을 지원하는 디지털 포렌식 기술의 중요성이 커지고 있다.
이에 마에스트로 포렌식은 최신 운영체제인 macOS 26(Tahoe)와 애플 실리콘 M1부터 최신 M5 프로세서까지 지원하는 기능을 새롭게 적용했다. 이를 통해 시스템이 실행 중인 상태에서 메모리와 실행 프로세스 등 휘발성 정보를 확보하는 라이브 이미징과, 시스템 전원이 꺼진 상태에서 저장장치 전체를 원본 그대로 복제하는 파워오프(Power Off) 이미징을 모두 지원한다. 사고 유형과 조사 목적에 따라 적합한 방식으로 디지털 증거를 확보할 수 있도록 설계한 것이 특징이다.
위즈덤 컬렉터는 macOS 환경에서 사용자 계정 정보, 프로그램 실행 기록, 시스템 로그, 네트워크 정보, 스포트라이트(Spotlight) 검색 기록 등 250개 이상의 디지털 아티팩트를 자동 수집한다. 조사자는 여러 도구를 이용해 데이터를 개별 추출하는 과정 없이 필요한 정보를 한 번에 확보할 수 있어 분석 시간을 줄이고 사고 원인 규명에 집중할 수 있다.
조사 목적에 맞는 다양한 증거 확보 방식도 지원한다. 사고 초기에는 필요한 데이터만 우선 확보할 수 있는 컨테이너 기반 선별 추출 기능을 사용할 수 있으며, 정밀 분석이 필요한 경우에는 저장장치 전체를 복제하는 디스크 이미징을 수행할 수 있다. 저장 형식은 ZIP, AFF4, Sparse Image, MAEFDB 등 다양한 포맷을 지원해 기관과 기업의 기존 분석 환경과도 연계가 가능하다.
수집 과정에서 증거의 무결성을 검증하는 기능도 강화했다. 위즈덤 컬렉터는 MD5, SHA-1, SHA-256, SHA-512 등 다양한 해시(Hash) 값을 자동으로 생성해 원본 동일성을 검증할 수 있도록 지원한다.
또한 macOS에서 확보한 데이터는 디지털 포렌식 분석 솔루션인 MAESTRO WiSDOM macOS와 연동돼 사용자 활동 기록과 시스템 정보, 주요 디지털 아티팩트 등을 즉시 분석할 수 있다. 이를 통해 증거 수집부터 분석까지 하나의 플랫폼에서 수행할 수 있어 사고 대응 시간을 단축할 수 있다는 것이 회사 측 설명이다.
마에스트로 포렌식은 위즈덤 컬렉터가 기업의 내부 정보 유출 조사와 랜섬웨어·악성코드 분석, 법률 분쟁 대응, 수사기관의 디지털 포렌식 수사, 공공기관 침해사고 대응 등 다양한 분야에서 활용될 것으로 기대하고 있다. 특히 정상 운영체제 기능을 악용하는 LotL(Living off the Land) 공격이나 파일을 저장하지 않고 메모리에서만 실행되는 파일리스(Fileless) 공격처럼 시스템이 동작 중인 상태의 정보를 확보해야 하는 최신 침해사고 대응에 효과적으로 활용할 수 있을 것으로 전망했다.
김종광 마에스트로 포렌식 대표는 “최근 사이버 공격은 정상 프로그램을 악용하거나 메모리에서만 동작하는 방식으로 점차 고도화되고 있어 사고 발생 직후 얼마나 빠르게 디지털 증거를 확보하느냐가 피해 확산을 막고 원인을 규명하는 핵심 요소가 되고 있다”며 “위즈덤 컬렉터는 윈도우, 리눅스, 모바일에 이어 최신 macOS와 애플 실리콘 기반 맥 환경까지 지원 범위를 확대했으며, MAESTRO WiSDOM macOS와 연계해 증거 수집부터 분석까지 하나의 플랫폼에서 수행할 수 있도록 지원해 사고 대응 효율을 높일 것”이라고 말했다.
임민지 기자 minzi56@etnews.com