생성형 AI 확산과 함께 사이버 공격도 고도화되면서 침해사고 대응(DFIR) 기술의 중요성이 커지고 있다. 특히 정상 시스템 기능을 악용하는 LotL(Living off the Land)과 파일리스(Fileless) 공격처럼 흔적을 최소화하는 공격이 늘면서 포렌식 분석 방식도 빠르게 진화하고 있다.
보안 전문기업 마에스트로 포렌식은 서울 독산동 인섹시큐리티 교육센터에서 ‘마에스트로 WiSDOM 맥 포렌식 세미나’를 개최하고 최신 디지털 포렌식과 침해사고 대응 기술을 소개했다고 2일 밝혔다.
마에스트로 포렌식, ‘마에스트로위즈덤 mac 포렌식 세미나’ 개최 (사진 제공: 마에스트로 포렌식)
맥부터 윈도우·리눅스까지…실전 DFIR 기술 공개
이번 세미나는 macOS 환경의 디지털 증거 수집과 침해사고 대응을 중심으로 진행됐다.
참가자들은 macOS 계정 정보와 Spotlight 인덱스, KnowledgeC DB, Biome 등 주요 디지털 아티팩트를 활용한 분석 방법을 실습했으며, 메모리와 프로세스, 이벤트 로그를 종합 분석해 공격자의 침투부터 악성 행위까지 이어지는 공격 체인(Attack Chain)을 추적하는 과정도 경험했다.
회사 측은 AI 기반 자동화 디지털 포렌식 플랫폼 ‘마에스트로 WiSDOM’을 통해 윈도우와 macOS, 리눅스, 모바일 등 다양한 운영체제를 하나의 플랫폼에서 분석할 수 있다고 설명했다.
특히 기존 제품보다 5배 이상 빠른 ‘포렌식 가속기(Forensic Accelerator)’ 기술을 적용해 증거 식별과 분석 속도를 높였으며, LotL 공격과 파일리스 공격, EDR을 무력화하는 ‘EDR Killer’ 유형까지 추적할 수 있도록 설계했다.
또한 1000개 이상의 디지털 아티팩트를 상호 연관 분석해 단순 이벤트가 아닌 공격 전체 흐름을 파악할 수 있는 기능도 소개했다.
세미나에서는 macOS 증거 수집 솔루션 ‘마에스트로 WiSDOM Forensic Crane’도 함께 공개됐다. 해당 솔루션은 애플 실리콘(M1~M5) 기반 최신 맥 환경에서도 라이브 증거 수집과 이미징을 지원하며, 250개 이상의 라이브 아티팩트를 자동 수집할 수 있다.
실제 침해사고 대응 사례도 공유됐다. 회사는 지난 2월 공개했던 킬린(Qilin) 랜섬웨어 분석 사례를 소개하며, 2TB 규모 디스크를 4시간 만에 1차 분석하고 삭제된 이벤트 로그를 복구해 3일 만에 공격 원인을 규명한 과정을 설명했다.
김종광 마에스트로 포렌식 대표는 “최근 랜섬웨어는 LotL과 파일리스 기법이 결합되면서 기존 보안 솔루션만으로 원인을 찾기 어려운 사례가 많다”며 “앞으로도 실제 사건 대응 역량을 높일 수 있는 실무 중심 교육을 지속 확대해 나가겠다”고 말했다.
The post “LotL·파일리스 공격까지 추적”…마에스트로 포렌식, 맥 DFIR 실무 공개 appeared first on 벤처스퀘어.