마에스트로 포렌식, ‘마에스트로위즈덤 맥 포렌식 세미나’ 개최

AI 기반 자동화 디지털 포렌식 및 악성코드 분석 통합 플랫폼인 ‘마에스트로 위즈덤(MAESTRO WiSDOM)’ 제품군은 윈도우, macOS, 리눅스, 모바일 등 다양한 운영체제와 디지털 기기에서 원스톱 분석을 수행할 수 있도록 설계됐다. 기존 제품 대비 5배 이상 빠른 증거 식별과 분석, 데이터 선별 추출을 지원하는 '포렌식 가속기(Forensic Accelerator)' 기술을 제공하며, 별도의 악성코드를 설치하지 않고 운영체제의 정상 기능을 악용하는 LotL(Living off the Land) 공격, 파일을 남기지 않고 메모리에서만 실행되는 파일리스(Fileless) 공격, EDR(엔드포인트 단말 보안 탐지·대응 시스템)을 무력화하는 ‘EDR 킬러(EDR Killer)’ 유형의 공격까지 추적할 수 있다. 특히 단일 로그나 개별 이벤트를 분석하는 방식에서 벗어나 약 1,000개 이상의 디지털 아티팩트(Artifacts)를 상호 연관 분석함으로써 공격의 흐름과 행위 체인(Attack Chain)을 한눈에 파악할 수 있도록 설계됐다.

또한 이번 세미나에서는 '마에스트로 위즈덤 포렌식 크레인(MAESTRO WiSDOM Forensic Crane)'도 함께 소개됐다. 포렌식 크레인은 macOS 라이브(Live) 환경에서 디지털 증거를 안전하게 수집하고 이미징(Imaging)할 수 있도록 설계된 솔루션으로, 250개 이상의 macOS 라이브 아티팩트를 자동 수집하고 디스크 이미징과 컨테이너 기반 선별 추출 기능을 지원한다. 특히 애플 실리콘 칩(M1~M5) 기반 시스템은 물론, 최신 macOS 26(Tahoe) 환경에서도 라이브 및 전원 종료(Power Off) 이미징을 모두 지원해 최신 맥 환경에서도 안정적인 증거 확보가 가능하다. 또한 수집된 증거 데이터의 MD5, SHA-1, SHA-256, SHA-512 해시(Hash) 값 계산을 지원해 증거 무결성을 확보하며, ZIP, AFF4, Sparse Image, MAEFDB 등 다양한 출력 포맷을 제공한다. 수집된 데이터는 WiSDOM macOS와 연동해 라이브 상태에서도 주요 디지털 아티팩트를 즉시 분석할 수 있어, 사고 대응 시간을 크게 단축할 수 있다.

이번에 개최된 ‘마에스트로 위즈덤(MAESTRO WiSDOM) 맥 포렌식 세미나’에서는 macOS 환경의 증거 수집과 삭제 데이터 복구를 기반으로 시스템 내부의 디지털 흔적을 분석하는 포렌식 절차를 소개했다. 교육 참가자들은 애플 macOS 계정 정보와 스포트라이트(Spotlight) 인덱스(파일 검색 기록), knowledgeC.db(앱 실행 및 사용자 활동 기록), Biome(사용자 행동 및 시스템 상태 정보) 등 주요 디지털 아티팩트(Artifacts) 분석 방법을 익혔다. 또한 메모리, 프로세스(실행 중인 프로그램), 이벤트 로그(시스템 동작 기록)를 종합 분석해 공격자의 침투부터 악성 행위 수행까지 이어지는 공격 행위 체인(Attack Chain)을 추적하는 실습도 함께 진행했다.