우선 이 책의 목차부분을 보면 "사용자 환경분석" 과 "사용자 활동분석"이란 챕터가 눈에 띄는데요.. (인사이드 윈도우즈 포렌식 책은 크게 메모리, 레지스트리, 파일 챕터로 나누어 설명하고 있습니다. ) 다른 책과 다른 구성이고, 저자분께서 상당히 실무적인 관점에서 책을 쓰셨다는게 느껴집니다.

해킹 사고(상황)를 다룰때 흔적을 조사하게 되고, 이것이 증거가 될 수 있는지 디지털 디바이스의 환경과 용의자의 행동, 범행도구 등을 면밀히 분석해야 할 필요가 있는데.. 이런 목적에 맞게 이 책이 구성되어 있습니다.

책의 첫부분을 보면 "디지털 증거"에 대해 다루고 있습니다. 증거가 무엇인지, 획득할 수 있는 기술, 분석에 대해 간략히 소개하고 있고.. 이 책의 다음 장들이 어떤 구성이고 무엇에 초점을 맞춰야 하는지 생각할 수 있게 소개하고 있습니다. (분석이 크게 전체적인 것을 조사하는 것, 필요한 파일만 빠르게 찾아 조사하는 것 .... 이렇게 2가지로 나뉜다는 말씀도 하십니다.)

위에서 이 책이 실무적인 관점으로 쓰여진 책이라 했는데, 아래 그림을 볼게요..

위 그림과 같이 저자분께서 육하원칙을 말씀하고 있습니다.

어떤 사고던지 흔적은 반드시 남게되고 어떤 상황에서 남게 되었는지 알아야 하는데.. 위같은 질문을 저자분께서 보여주고 있습니다.

이어지는 다음 장들에서도 윈도우즈의 다양한 아티팩트, 도구들을 단순 설명만 하시는게 아니라 위같은 질문으로 "상황에따라 어떤 흔적이 생기고, 왜 생기는건지 이유" 까지도 알 수 있게 설명하는게 이 책의 큰 포인트가 아닌가 합니다.

보통 다른 포렌식 책들은 윈도우즈의 구성요소 기준 ( 메모리, 레지스트리, 파일등.. ) 으로 설명하는 경우가 많아 흔적들을 어떻게 엮어야 하는지 궁금한 경우가 많았는데요..  이런 갈증을 풀어주는 책이라 생각됩니다.

설명도 정말 친절한데요.. 아래 그림을 보겠습니다.

 위 1번째 그림과 같이 리버싱 실습시 도움되는 형식으로 설명도 하시고, 아래 그림과 같이 사용자 행동시 파일에 어떤 흔적들이 남는지 그림으로 정리해 보여주시기도 합니다. ( 파일시스템 포렌식 책을 볼 때, 위의 그림같은게 별로 없어 정말 힘들게 책을 본 기억이 나네요.. )

깔끔하게 정리되 있기 때문에 실무에서 활용 혹은 개인적으로 실습을 해볼때에도 매우 도움이 되는 부분이 아닌가 합니다. (처음 공부하시는 분들도 이 책을 먼저 공부하신 후 다른 책을 보는게 효율적일 것 같습니다. )

이 책의 내용적인 면도, 윈도우즈에서 있을 수 있는 시나리오를 소개하며 이에따라 어떤 단서들을 살펴야 하는지 보여주고 있습니다.

위에서 말했다시피 단서는 조작이 가능 (용의자가 조작, 혹은 시스템 상황에따라 변하기도 ) 하므로 여러 아티팩트를 살펴야 (교차 검증) 하는데요.. 그중에서도 타임라인은 매우 중요하므로 이에대한 설명을 책에서도 하고 있습니다. 

이 책은 이렇게 사용자 환경, 행동 관점으로 잘 짜여진 책입니다. 또 하나 흥미로웠던 부분은 가상화 포렌식을 다루는 챕터들도 있었다는 것인데요.. 요즈음 클라우드로 전환된 IT환경이 많기 때문에 이런 분석들도 꾸준히 연구될 필요가 있는데.. 이 책에서도 이 부분을 소개하고 있습니다.. 

또한 보고서 샘플도 제공하고 있어 공부하시는 분께도 방향성을 제공하고 있어 매우 도움이 될 듯 합니다.

개인적으로는 정리가 가장 잘 된 포렌식 책이 아닌가 싶습니다. ( 국내 저자라 가독성도 꽤 좋습니다. )  이런 좋은 책을 내주신 저자분, 출판사분들께 감사드리고.. 저자분의 데이터베이스 포렌식 책도 나왔으면 좋겠습니다.