"외산 장악 디지털포렌식 시장...우리가 균열"

김종광 마에스트로포렌식 대표 "'마에스트로 위즈덤' 출시...외산보다 기능 3배 이상 우수하고 분석 시간도 빨라"

"세계적으로 윈도, 맥OS, 리눅스 등 모든 OS를 지원하는 디지털포렌식 제품은 없다. 심지어 원격, 모바일, 현장 등 모든 환경에서 운용이 가능하며, 악성앱이 있는지 없는지까지 탐지한다"

김종광 마에스트로포렌식 대표는 11일 서울 독산역 인근 본사에서 인공지능(AI) 기반 자동화 디지털포렌식 및 악성코드 분석 통합 플랫폼 '마에스트로 위즈덤(MAESTRO WISDOM)' 제품을 공식 출시하며 개최한 기자간담회에서 이같이 밝혔다.

김종광 마에스트로포렌식 대표가 발표하고 있다.

최근 대기업부터 통신사, 플랫폼사 등 국내 기업을 겨냥한 침해사고가 빈번해지고 있는 현실이다. 이런 침해사고를 겪으면 신고, 사고 조사 등을 거쳐 보안 조치를 강화하게 된다. 그 이후에는 어떻게 침투가 이뤄졌는지, 공격자는 누구인지 특정하기 위해서는 디지털포렌식을 통한 데이터 분석이 필수적이다.

디지털포렌식은 인터넷상 남아 있는 각종 디지털 정보를 분석해 범죄 단서나 침투 경로를 파악해 법적 증거를 마련하는 기술을 말한다. 이런 디지털 정보들은 지문, 서류 등 증거물과는 다르게 실물이 존재하지 않고 쉽게 복제가 가능하기 때문에 디지털포렌식 수사관의 분석으로 통해 '무결성'을 입증해야 한다. 법정에 제출되기까지 변경 및 훼손이 없어야 하기 때문이다.

또 디지털포렌식을 통해 증거를 수집하고 분석해 대응책을 마련할 수도 있으며, 향후 보고까지 진행해야 한다. 침해사고를 사전에 예방하는 것도 중요하지만, 침해사고 이후에도 디지털포렌식 절차까지 이어져야 완벽한 침해사고 대응 프로세스가 구축되는 것이다.

디지털포렌식 국내 공공 시장은 '외산' 솔루션이 60~70% 정도 차지하고 있다. 마에스트로포렌식은 '국산'으로서 당당하게 글로벌 기업들보다 폭넓은 아티팩트를 보유하고 있다는 장점이 있다. 이에 디지털포렌식 시장에서 점차 영역을 확장하는 추세다.

김 대표는 마에스트로포렌식의 플랫폼 및 글로벌 디지털포렌식 시장과 관련해 "전통적인 포렌식 제품은 컴퓨터에서 증거를 추출하는 데에 그치는 경우가 많다. 현재 공격자들은 파일리스, 즉 파일이 없는 랜섬웨어 공격을 시도하거나 파일 확장자를 변경해버려 탐지 회피 능력을 키우고 있다. 그럼에도 글로벌 기업들의 디지털포렌식 솔루션들은 이런 공격자들의 트렌드에 맞춰 제품을 고도화하고 있지 않다"고 진단했다.

그는 "마에스트로 위즈덤은 윈도우 환경에서는 340개 이상의 아티팩트를 보유하고 있다. 현존 포렌식 도구 중 가장 많은 아티팩트량"이라며 "맥OS에서는 230종, 리눅스에서는 170종 이상의 아티팩트 분석을 지원하고 있다"고 밝혔다.

특히 마에스트로 위즈덤은 공공·군·수사기관 및 디지털포렌식 기업에 공급을 확대하고 있는 중이다. 이와 관련해 김 대표는 "고객사들이 세부적인 기능을 넣어달라고 요청하는 경우가 많다. 글로벌 기업들과는 다르게 마에스트로 위즈덤에는 고객들의 요청이 실시간으로 반영되고 있으며, 이에 따라 기능은 더욱 향상되는 중"이라고 설명했다.

데이터 분석에는 길게는 수십시간까지 소요되는 것이 일반적이다. 그러나 마에스트로 위즈덤은 데이터 분석 속도 역시 다른 포렌식 도구 대비 2~3배 정도 빠르다. 김 대표는 "1테라바이트(TB) 기준 1시간 40분 이대로 완료된다. 다른 도구보다 2배 이상 빠르고, 또 가볍기 때문에 마에스트로 위즈덤만의 큰 장점이기도 하다"고 소개했다.

분석을 마치면 어떤 애플리케이션이 시작되고 꺼졌는지, 마지막으로 사용된 날짜와 언제 구동됐는지, 어떤 IP 주소로 접속했는지 등 모든 데이터들이 표시된다. 특히 침해사고 분석에 필요한 이벤트 로그 항목도 표시되는데, 이를 통해 악성코드 지표, 보안 로그 조작, 권한 상승 및 계정 변경 등 공격이 있었는지도 확인이 가능했다. 심지어 악의적인 명령어, 악성으로 의심되는 항목 역시도 정상 항목과 구분해 한눈에 알아볼 수 있게 표시된다.

김 대표는 "최근에는 고객이 원하는 증거 아티팩트를 만드는 데 주력하고 있다"며 "수사기관이나 공공기관에서 포렌식 제품을 하나만 사용하는 경우는 없다. 데이터 분석의 교차 검증을 위해 여러 제품을 동시에 사용하는데, 마에스트로 위즈덤과 글로벌 기업의 솔루션과 비교해 보면 고객사들도 마에스트로 위즈덤의 성능을 체감할 수 있을 거라 생각한다"고 밝혔다.