㈜마에스트로 포렌식(대표 김종광)은 최신 맥(macOS) 환경 지원 기능을 강화한 증거수집·이미징 솔루션 ‘마에스트로 위즈덤 컬렉터(WiSDOM Collector)’를 출시한다고 밝혔다.

위즈덤 컬렉터는 윈도우, 리눅스, macOS, 모바일 등 다양한 운영체제 환경에서 라이브 증거수집과 디스크 포렌식 이미징 기능을 지원하는 솔루션이다. 마에스트로 포렌식은 이번 업데이트를 통해 macOS를 포함한 주요 운영체제에서 디지털 포렌식 증거 수집, 이미징, 정밀 분석까지 지원할 수 있도록 제품 기능을 고도화했다.

최근 기업과 공공기관에서 맥을 업무용으로 사용하는 사례가 늘어나면서, 해킹, 랜섬웨어 감염, 내부 정보 유출 등 보안 사고 발생 시 맥 환경에서 디지털 증거를 확보하고 분석해야 하는 수요도 증가하고 있다. 이러한 사고에서는 사고 직후 시스템에 남아 있는 디지털 흔적을 신속하게 확보하는 것이 원인 규명과 피해 범위 확인의 출발점이 된다.

다만 애플은 운영체제인 macOS와 애플이 자체 설계한 맥용 프로세서인 애플 실리콘(Apple Silicon)을 지속적으로 새 버전으로 업데이트하고 있다. 새로운 운영체제와 프로세서가 출시될 때마다 이를 지원하는 포렌식 솔루션도 함께 개선돼야 하는 만큼, 최신 맥 환경에서 안정적으로 디지털 증거를 확보할 수 있는 기술의 중요성이 커지고 있다.

최신 macOS 26·애플 실리콘 M5까지 지원

마에스트로 포렌식은 기존 윈도우, 리눅스, 모바일 지원에 더해 최신 macOS 26(Tahoe)과 애플 실리콘 M1부터 최신 M5까지 지원하는 기능을 위즈덤 컬렉터에 반영했다.

위즈덤 컬렉터는 컴퓨터가 켜져 있는 상태에서도 필요한 디지털 증거를 수집할 수 있는 ‘라이브(Live) 이미징’과 컴퓨터 전원이 꺼진 상태에서 저장장치 전체를 원본 그대로 복제하는 ‘Power Off 이미징’을 모두 지원한다. 이를 통해 사고 발생 당시의 상황과 조사 목적에 맞춰 디지털 증거를 유연하게 확보할 수 있다.

시스템이 켜진 상태에서는 메모리, 실행 중인 프로그램 등 현재 상태 정보를 수집할 수 있고, 전원이 꺼진 상태에서는 저장장치 전체를 원본 그대로 복제할 수 있다. 회사 측은 이 같은 기능이 사고 유형과 조사 목적에 따라 필요한 증거를 선택적으로 확보할 수 있도록 설계됐다고 설명했다.

250개 이상 macOS 주요 아티팩트 자동 수집

위즈덤 컬렉터는 사용자 계정 정보, 프로그램 실행 기록, 시스템 로그, 네트워크 정보, 스포트라이트(Spotlight) 검색 기록 등 250개 이상의 macOS 주요 디지털 흔적, 즉 아티팩트를 자동으로 수집한다.

조사자는 여러 도구를 이용해 데이터를 개별적으로 추출하지 않고도 필요한 정보를 한 번에 확보할 수 있다. 이를 통해 분석 시간을 줄이고, 사고 원인 파악과 피해 범위 확인에 보다 집중할 수 있도록 지원한다.

필요한 데이터만 우선 확보할 수 있는 컨테이너 기반 선별 추출 기능도 제공한다. 사고 대응 초기에는 핵심 데이터를 먼저 수집하고, 정밀 분석이 필요한 경우에는 저장장치 전체를 복제하는 디스크 이미징 기능을 활용할 수 있다.

또한 ZIP, AFF4, Sparse Image, MAEFDB 등 다양한 저장 형식을 지원해 기업과 기관이 보유한 분석 환경에 맞춰 활용할 수 있도록 했다.

증거 무결성 검증과 분석도구 연동 지원

디지털 포렌식에서는 확보한 데이터가 원본과 동일하다는 사실을 입증하는 무결성 검증이 중요하다. 위즈덤 컬렉터는 증거 수집 과정에서 MD5, SHA-1, SHA-256, SHA-512 등 다양한 해시(Hash) 값을 자동으로 계산해 증거 무결성을 검증할 수 있도록 지원한다.

macOS 환경에서 확보한 데이터는 ‘마에스트로 위즈덤 맥OS(MAESTRO WiSDOM macOS)’ 분석도구와 바로 연동된다. 이를 통해 사용자 활동 기록, 시스템 정보, 주요 디지털 아티팩트 등을 즉시 분석할 수 있으며, 증거수집부터 분석까지 하나의 플랫폼에서 수행할 수 있다.

회사 측은 이러한 연동 구조가 사고 대응 시간을 단축하는 데 도움이 된다고 설명했다.

내부 정보 유출·랜섬웨어·침해사고 대응 등 활용

위즈덤 컬렉터는 기업의 내부 정보 유출 조사, 랜섬웨어·악성코드 분석, 법률 분쟁 대응, 수사기관의 디지털 포렌식 수사, 공공기관의 침해사고 대응 등 다양한 분야에서 활용할 수 있다.

특히 운영체제의 정상 기능을 악용하는 LotL(Living off the Land) 공격이나, 파일을 남기지 않고 메모리에서만 동작하는 파일리스(Fileless) 공격처럼 시스템 실행 상태의 정보를 확보해야 하는 최신 침해사고 조사에서 활용될 것으로 회사 측은 보고 있다.

김종광 마에스트로 포렌식 대표는 “최근 사이버 공격은 정상 프로그램을 악용하거나 메모리에서만 동작하는 방식으로 갈수록 정교해지고 있어, 사고 발생 직후 얼마나 빠르게 디지털 증거를 확보하느냐가 원인 규명과 피해 확산을 막는 중요한 요소가 되고 있다”고 말했다.

이어 “위즈덤 컬렉터는 윈도우, 리눅스, 모바일 등 기존 지원 환경에 더해 최신 macOS와 애플 실리콘 기반 맥 환경에서도 신속한 증거 수집과 분석을 지원하도록 고도화한 솔루션”이라며 “macOS에서 수집된 데이터는 MAESTRO WiSDOM macOS 도구와 연동해 주요 디지털 아티팩트를 하나의 플랫폼에서 즉시 분석할 수 있어 사고 대응 시간을 크게 단축할 수 있다”고 밝혔다.

이준문 기자/jun@newstap.co.kr

ⓒ 뉴스탭(https://www.newstap.co.kr) 무단전재 및 재배포금지