어떤 분석가들은 X-Ways Forensics(XWF)가 다른 포렌식 프로그램과 생김새가 다르다는 이유 하나만으로 XWF의 사용 자체를 꺼리는 경우가 있다. 어떤 사람들은 XWF가 다른 프로그램보다 사용하기 어렵다고 생각하기도 하며, 또 다른 사람들은 XWF가 단순한 헥스 편집기라고 생각하기도 한다. XWF를 한 번도 사용해보지 않은 사람들이 이 책을 통해 XWF가 얼마나 강력한지 이해했으면 하는 바람이다.


누구를 위한 책인가?
이 책은 XWF를 사용하는 모든 사람들을 위한 책이다. 여기에는 지난 수년간 XWF를 애용했던 사람부터 XWF를 처음 접하는 사람까지 모두를 포함한다. 이 책은 실용적인 예제를 사용하기 때문에 책을 읽기 전에 먼저 컴퓨터, 운영체제, 파일 시스템에 대한 중급 또는 고급 수준의 지식을 가지고 있어야 한다. 책의 여러 곳에서 운영체제, 소프트웨어, 하드웨어에 대한 내용을 조금씩 설명하기는 하지만 충분히 상세하지 못할 수도 있으며 FAT, NTFS, HFS나 EXT같은 파일 시스템에 대한 자세한 설명을 하지도 않는다. 이러한 내용은 XWF이외의 다른 책에서 설명하는 것이 더 낫다. 다시 말하면 이 책은 포렌식에 대해서 설명한 책이 아니라 XWF사용법에 대해서 설명한 책이다.


이 책의 구성

1장: X-Ways Forensics 설치와 설정
어디서부터 시작은 하여야 하고, 설치, 설정, 구성 변경 등부터 먼저 시작하는 것도 좋은 것 같다. 1장에서는 XWF의 기능에는 어떤 것이 있는지 그리고 XWF의 인터페이스는 어떤 것인지 대략적으로 설명한다. 그리고 마지막으로 XWF가 동작하기 위해 필요한 기본적인 정보를 입력하는 것을 설명하며 1장을 마무리 지을 것이다.

2장: 케이스 관리 및 이미지 생성
XWF에서는 하드 드라이브, 메모리, CD, 그리고 원격에서 획득한 데이터까지 거의 모든 종류의 전자 증거를 처리할 수 있다. 이들 매체는 XWF가 포렌식적으로 이미지를 생성하고 처리할 수 있는 매체들이다. 2장에서는 분석가에 따라 효율적이고 유연한 방법으로 전자 증거를 캡처하는 방법에 대해 설명할 것이다.

3장: X-Ways Forensics 인터페이스
어떤 프로그램이든 프로그램을 효과적으로 사용하기 위해서는 프로그램에 있는 수많은 버튼과 옵션을 효과적으로 그리고 효율적으로 활용할 줄 알아야 한다. 3장은 모든 상황에서 사용할 수 있도록 버튼 및 옵션 등 XWF인터페이스에 대해서 설명할 것이다.

4장: 볼륨 스냅샷 처리하기
볼륨 스냅샷은 XWF특유의 기능 중에 하나로 XWF의 가장 강력한 기능이기도 하다. 볼륨 스냅샷은 XWF기능으로 데이터 카빙, 데이터 인덱스화, 분석을 위한 데이터 초기 처리 등을 하는 데 사용된다. 4장에서는 사건과 증거에 따라 어떤 옵션을 선택해야 하는지에 대한 예제와 함께 볼륨 스냅샷을 생성 및 처리하는 것과 관련된 많은 옵션에 대해서 설명할 것이다.

5장: 내부 해시 데이터베이스와 레지스트리 분석
5장에서는 파일 해시를 비교할 때 사용할 수 있는 해시 데이터 세트를 생성하고 불러오는 방법에 대해서 자세하게 설명할 것이다. 해시 비교는 해시값을 사용하여 이미 알려져 있거나 중요한 파일을 식별하는 방법 중에 하나로 가장 흔히 사용되는 방법이기도 하다. 레지스트리 뷰어에 대한 설명도 5장에서 할 것이다. 물론 5장에서 레지스트리 포렌식에 대해서 가르치는 것은 아니지만 레지스트리 분석을 할 때 XWF레지스트리 뷰어를 어떻게 사용해야 하는지는 알 수 있을 것이다.

6장: 검색 기능
XWF의 검색 기능은 정말 최강이라고 말할 수 있다. 그 어떤 포렌식 프로그램도 XWF의 세밀함, 정확도, 속도 등을 가지고 있지 않다. 또한 6장에서는 인덱스 검색, GREP 검색, 헥스 검색을 활용하여 효율적으로 그리고 효과적으로 검색을 하는 방법에 대해서 설명할 것이다.

7장: XWF의 고급 기능
7장에서는 세부적인 분석 기법과 일반적이지 않은 상황에서 사용할 수 있는 프로세스에 대해서 설명할 것이다. 그리고 헥스로 작업하기, 빈 공간 및 슬랙 공간 데이터 수집하기, 물리적 메모리 분석하기, 템플릿 편집하기, 스크립트 사용하기, X-Tensions API 사용하기 등에 대해서 알아볼 것이다. 따라서 여기서 말하는 고급 기능이란 더 어렵거나 핵심적인 기능을 의미하는 것이 아니라 자주 사용하지 않는 기능과 방법을 의미하는 것이다.

8장: 보고서 기능
그 어떤 작업도 보고서를 작성하기 전에는 완전히 끝났다고 말할 수 없을 것이다. 8장에서는 현재 분석에 가장 적합하면서 완전하고 세부적인 보고서를 작성하기 위해 XWF 자체에서 제공하는 기능과 다른 소스의 정보를 활용할 것이다.

9장: X-Ways Forensics과 전자증거개시제도
9장은 전자증거개시제도와 관련하여 XWF를 현장에서 사용하는 방법에 대해서 소개한다. XWF는 디지털 포렌식 프로그램이기는 하지만 훌륭한 포렌식 프로그램을 구성하는 기능들이 사실 훌륭한 전자증거개시제도 관련 프로그램을 구성하는 기능들과 동일하다.

10장: X-Ways Forensics와 범죄 수사
분석가가 현장에 도착했을 때 컴퓨터는 앞에 있지만 이러한 컴퓨터를 압수하기에는 충분한 근거가 없는 경우도 발생한다. 동의를 구하고 수색을 하거나 가석방자를 수색할 때가 이러한 경우인데 여기서 XWF는 전자적 매체를 초기 분석할 수 있는 기능을 가지고 있으며, 필요 시에는 현장에서 바로 고급 기능을 활용하여 깊이 있게 분석할 수도 있다. 10장에서는 XWF를 활용하여 이러한 수색을 하는 방법들에 대해서 살펴볼 것이다.