마에스트로 포렌식, 디지털 정보수집∙디스크 이미징 솔루션 ‘마에스트로 위즈덤 컬렉터’ 출시

‘위즈덤 컬렉터’는 윈도우, 리눅스, macOS, 모바일 등 다양한 운영체제 환경에서 라이브 증거수집 및 디스크 포렌식 이미징 기능을 지원, 마에스트로 포렌식社는 이번 업데이트를 통해 macOS 포함 다양한 운영체제에 대한 디지털 포렌식 증거 수집 및 이미징 고도화, 정밀 분석까지 제공하게 되었다.

최근 기업과 공공기관에서는 맥(Mac)을 업무용으로 사용하는 사례가 꾸준히 늘어나고 있다. 이에 따라 해킹이나 랜섬웨어 감염, 내부 정보 유출과 같은 보안 사고가 발생했을 때 맥에서 디지털 증거를 확보하고 분석해야 하는 수요도 함께 증가하는 추세다. 이러한 사고에서는 사고 직후 시스템에 남아 있는 다양한 디지털 흔적을 얼마나 신속하게 확보하느냐가 사고 원인을 파악하고 피해 범위를 확인하는 중요한 출발점이 된다. 하지만 애플은 운영체제인 macOS와 함께 애플 실리콘(Apple Silicon, 애플이 자체 설계한 맥용 프로세서)을 지속적으로 새 버전으로 업데이트하고 있다. 새로운 운영체제와 프로세서가 출시될 때마다 이를 지원하는 포렌식 솔루션도 함께 업데이트되어야 하기 때문에, 최신 맥 환경에서 안정적으로 디지털 증거를 확보할 수 있는 기술의 중요성이 점점 커지고 있다.

이에 마에스트로 포렌식은 기존 윈도우·리눅스·모바일 지원에 더해 최신 macOS 26(Tahoe)와 애플 실리콘 M1부터 최신 M5까지 지원하는 기능을 새롭게 반영한 ‘마에스트로 위즈덤 컬렉터(WiSDOM Collector)’을 출시했다. 이 제품은 컴퓨터가 켜져 있는 상태에서도 필요한 디지털 증거를 수집할 수 있는 ‘라이브(Live) 이미징’과 컴퓨터 전원이 꺼진 상태에서 저장장치 전체를 원본 그대로 복제하는 ‘Power Off 이미징’을 모두 지원한다. 이를 통해 사고 발생 당시의 상황과 조사 목적에 맞춰 보다 유연하게 디지털 증거를 확보할 수 있다.

최신 macOS 26(Tahoe)·애플 실리콘 M5 지원… 최신 맥 환경도 빠르게 대응

위즈덤 컬렉터(WiSDOM Collector)’는 최신 운영체제인 macOS 26(Tahoe)와 애플의 자체 개발 프로세서인 애플 실리콘(Apple Silicon) M1부터 최신 M5까지 지원한다. 이를 통해 최신 맥 환경에서도 시스템이 켜진 상태에서는 메모리와 실행 중인 프로그램 등 현재 정보를 수집하고, 전원이 꺼진 상태에서는 저장장치 전체를 원본 그대로 복제할 수 있다. 사고 유형과 조사 목적에 따라 필요한 증거를 보다 유연하게 확보할 수 있도록 설계된 것이 특징이다.

250개 이상 주요 디지털 흔적 자동 수집… 분석 시간 단축

위즈덤 컬렉터(WiSDOM Collector)’는 사용자 계정 정보와 프로그램 실행 기록, 시스템 로그, 네트워크 정보, 스포트라이트(Spotlight) 검색 기록 등 250개 이상의 macOS 주요 디지털 흔적(아티팩트)을 자동으로 수집한다. 조사자는 여러 도구를 이용해 데이터를 하나씩 추출할 필요 없이 필요한 정보를 한 번에 확보할 수 있어 분석 시간을 줄이고 사고 원인 파악에 집중할 수 있다.

필요한 데이터만 선별하거나 저장장치 전체를 복제… 조사 목적에 맞는 증거수집 지원

사고 대응 초기에는 필요한 데이터만 우선 확보할 수 있는 컨테이너 기반 선별 추출 기능을, 정밀 분석이 필요한 경우에는 저장장치 전체를 복제하는 디스크 이미징 기능을 활용할 수 있다. 또한 ZIP, AFF4, Sparse Image, MAEFDB 등 다양한 저장 형식을 지원해 기관과 기업의 분석 환경에 맞게 활용할 수 있도록 했다.

증거 확보부터 분석까지 하나의 플랫폼으로 수행

디지털 포렌식에서는 확보한 데이터가 원본과 동일하다는 사실을 입증하는 것이 중요하다. 위즈덤 컬렉터(WiSDOM Collector)’는 증거를 수집하는 과정에서 MD5, SHA-1, SHA-256, SHA-512 등 다양한 해시(Hash) 값을 자동으로 계산해 증거의 무결성을 검증할 수 있도록 지원한다.

macOS 환경에서 확보한 데이터는 마에스트로 위즈덤 맥OS(MAESTRO WiSDOM macOS) 분석도구와 바로 연동돼 사용자 활동 기록과 시스템 정보, 주요 디지털 흔적 등을 즉시 분석할 수 있다. 이를 통해 증거수집부터 분석까지 하나의 플랫폼에서 수행할 수 있어 사고 대응 시간을 단축할 수 있다.

위즈덤 컬렉터(WiSDOM Collector)’는 기업의 내부 정보 유출 조사와 랜섬웨어·악성코드 분석, 법률 분쟁 대응, 수사기관의 디지털 포렌식 수사, 공공기관의 침해사고 대응 등 다양한 분야에서 활용할 수 있다. 특히 운영체제의 정상 기능을 악용하는 LotL(Living off the Land) 공격이나 파일을 남기지 않고 메모리에서만 동작하는 파일리스(Fileless) 공격처럼 시스템이 실행 중인 상태의 정보를 확보해야 하는 최신 침해사고 조사에서 효과적으로 활용될 것으로 기대하고 있다.

마에스트로 포렌식 김종광 대표는 “최근 사이버 공격은 정상 프로그램을 악용하거나 메모리에서만 동작하는 방식으로 갈수록 정교해지고 있어, 사고 발생 직후 얼마나 빠르게 디지털 증거를 확보하느냐가 원인 규명과 피해 확산을 막는 중요한 요소가 되고 있다. 위즈덤 컬렉터(WiSDOM Collector)’는 윈도우, 리눅스, 모바일 등 기존 지원 환경에 더해 최신 macOS와 애플 실리콘 기반 맥 환경에서도 신속한 증거 수집과 분석을 지원하도록 고도화한 솔루션으로, macOS에서 수집된 데이터는 MAESTRO WiSDOM macOS 도구와 연동해 주요 디지털 아티팩트를 하나의 플랫폼에서 즉시 분석할 수 있어, 사고 대응 시간을 크게 단축할 수 있다”라고 말했다.