- 최신 macOS 26·애플 실리콘 M1~M5 지원…라이브 증거수집부터 디스크 이미징·포렌식 분석까지 하나의 플랫폼에서 수행

 

마에스트로 포렌식이 최신 macOS 환경 지원을 강화한 디지털 증거수집·디스크 이미징 솔루션 '마에스트로 위즈덤 컬렉터(WiSDOM Collector)'를 출시했다. 윈도우, 리눅스, macOS, 모바일 환경에서 디지털 증거를 수집하고 저장장치를 이미징하며, 최신 macOS 26(Tahoe)와 애플 실리콘 M1부터 M5까지 지원한다.

 

최신 맥 환경에서도 라이브·오프라인 증거 확보

최근 기업과 공공기관에서 업무용 맥 사용이 늘면서 해킹, 랜섬웨어, 내부 정보 유출 등 보안 사고 발생 시 macOS 기반 디지털 증거를 확보하는 중요성이 커지고 있다. 운영체제와 애플 실리콘이 지속적으로 업데이트되면서 최신 환경을 지원하는 포렌식 도구도 함께 대응해야 하는 요구가 높아지고 있다.

 

위즈덤 컬렉터는 시스템이 실행 중인 상태에서 메모리와 프로세스 등 현재 정보를 확보하는 라이브(Live) 이미징과, 전원이 꺼진 상태에서 저장장치 전체를 원본 그대로 복제하는 Power Off 이미징을 모두 지원한다. 애플 실리콘 기반 M1부터 M5, Intel T2 Mac 환경에서도 증거 추출과 디스크 이미징을 수행할 수 있다.

 

macOS 250개 이상 디지털 아티팩트 자동 수집

위즈덤 컬렉터는 사용자 계정 정보, 프로그램 실행 기록, 시스템 로그, 네트워크 정보, 스포트라이트(Spotlight) 검색 기록 등 250개 이상의 macOS 디지털 아티팩트를 자동으로 수집한다. 윈도우에서는 250개 이상, 리눅스에서는 120개 이상의 디지털 아티팩트 수집도 지원한다. 조사자는 여러 도구를 이용해 데이터를 개별적으로 추출하지 않고 필요한 정보를 한 번에 확보해 분석 시간을 줄일 수 있다.

 

선별 추출부터 전체 디스크 이미징까지 지원

사고 대응 초기에는 필요한 데이터만 확보하는 컨테이너 기반 선별 추출 기능을 활용하고, 정밀 분석이 필요한 경우에는 저장장치 전체를 복제하는 디스크 이미징을 수행할 수 있다. ZIP, AFF4, Sparse Image, MAEFDB 등 다양한 저장 형식을 지원해 기관과 기업의 분석 환경에 맞게 활용할 수 있도록 했다. 증거 수집 과정에서는 MD5, SHA-1, SHA-256, SHA-512 해시(Hash) 값을 자동 계산해 원본 무결성을 검증한다. 확보한 데이터는 '마에스트로 위즈덤 macOS(MAESTRO WiSDOM macOS)'와 연동해 사용자 활동 기록과 시스템 정보, 주요 디지털 아티팩트를 하나의 플랫폼에서 분석할 수 있다.

 

기업·수사기관 디지털 포렌식 조사 활용

위즈덤 컬렉터는 기업 내부 정보 유출 조사와 랜섬웨어·악성코드 분석, 법률 분쟁 대응, 수사기관 디지털 포렌식 수사, 공공기관 침해사고 대응 등에 활용할 수 있다. 운영체제의 정상 기능을 악용하는 LotL(Living off the Land) 공격이나 메모리에서만 실행되는 파일리스(Fileless) 공격처럼 시스템이 동작 중인 상태의 정보 확보가 필요한 침해사고 조사에도 적용할 수 있다.

 

마에스트로 포렌식 김종광 대표는 "최근 사이버 공격은 정상 프로그램을 악용하거나 메모리에서만 동작하는 방식으로 정교해지고 있어 사고 발생 직후 얼마나 빠르게 디지털 증거를 확보하느냐가 원인 규명과 피해 확산을 막는 중요한 요소가 되고 있다"며 "위즈덤 컬렉터는 최신 macOS와 애플 실리콘 기반 맥 환경에서도 신속한 증거 수집과 분석을 지원하며, macOS에서 확보한 데이터는 MAESTRO WiSDOM macOS와 연동해 주요 디지털 아티팩트를 하나의 플랫폼에서 즉시 분석할 수 있도록 했다"고 밝혔다.

 

#마에스트로포렌식 #위즈덤컬렉터 #디지털포렌식 #디스크이미징 #macOS #애플실리콘 #사이버보안 #디지털증거수집 #파일리스공격 #LotL