# 7) bitlocker

{% hint style="info" %}
bitlocker의 경우 파일시스템(볼륨드라이버)를 암호화 하는 윈도우의 기능입니다.\
실제 시험에서는 bitlocker의 암호를 찾은 뒤에 이를 해제한 뒤 분석하는 문제가 출제되었습니다.\
빈번히 출제된 것은 아니나 이러한 문제가 출제되었을 때 어떻게 해야 하는지 살펴보고 가도록 하겠습니다.

\
**만약 연습시간이 충분하지 않은 경우 그냥 눈으로만 살펴보시고 실제 실습은 하지 않으셔도 무방(시험 출제될 확률이 낮음)**
{% endhint %}

## 1. bitlocker 설정 해보기

* 사실 시험대비에 있어서 bitlocker를 굳이 직접 설정할 필요는 없긴 합니다. \
  다만 한번 정도 해보고 나면 bitlocker가 어떤 의미인지 한번 확인해볼 수 있는 기회가 되기 때문에 실습을 해보도록 하겠습니다.\
  \
  **다만 BitLocker는 Windows 10/11 Pro, Enterprise, 그리고 Education 버전에서 사용할 수 있으며**\
  **home 버전에서는 사용할 수 없습니다**. home 버전인 경우 bitlocker 생성은 눈으로만 살펴보시고 <mark style="color:red;">아래에서 bitlocker 가상디스크를 다운 받아 실습해보시길 바랍니다.</mark>
* 가상 디스크를 만들어서 생성하는 연습을 해볼 것이기 때문에 아래 페이지를 통해 먼저 가상디스크 활용 방법을 먼저 알고 진행해보도록 하겠습니다.\
  \> [undefined](https://bitnang.gitbook.io/bit_forensic/2/1./2./undefined "mention")

1. 가상디스크를 간단히 만들어보도록 하겠습니다.\
   먼저 Win + X 키를 누른 뒤 디스크 관리를 선택합니다.\
   이후 동작 - VHD 만들기 선택 후 작은 용량으로 가상디스크를 생성해보도록 하겠습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FgHnqClyLi3lSNIukk9cn%2Fimage.png?alt=media&#x26;token=7d3e7419-8b5c-4a72-809d-dc8f2986dff8" alt=""><figcaption></figcaption></figure>

   생성 된 디스크를 연결 한 뒤 해당 디스크를 초기화 합니다.(MBR, GPT 등은 자유롭게 선택하여도 됩니다.)\
   이후 새 단순 볼륨으로 원하는 파일시스템을 생성(포맷)합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F0d4fhF33nz3tUxf7qqbN%2Fimage.png?alt=media&#x26;token=68a5a682-60b0-4aa6-a2f5-1d1a81ac039f" alt=""><figcaption></figcaption></figure>

2. 이 후 테스트를 위해 가상 드라이브에 파일을 아무거나 생성해보도록 합시다. \
   저 같은 경우 test.txt 파일을 생성하였습니다.\
   이 후 FTK Imager에서 가상 드라이브의 피지컬 드라이브를 연 뒤 생성한 text.txt 가 정상적으로 접근 되는 것을 확인합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FQxrGoL0LnctjAqvgCFy4%2Fimage.png?alt=media&#x26;token=224942ce-c334-4a68-9903-f32211637b7b" alt=""><figcaption></figcaption></figure>

3. 이제 생성한 가상 드라이브를 bitlocker를 이용하여 암호화 하도록 하겠습니다.\
   Win 키를 누른 뒤 "bitlocker"를 검색하거나, 제어판에서 bitlocker를 검색할 경우 아래와 같이 "BitLocker 관리" 메뉴에 접근이 가능합니다.\
   \[이 부분이 안보일 경우 bitlocker를 지원하지 않는 윈도우 버전일 수 있으니 이후에 참고로만 살펴보시고 아래에서 bitlocker 가상디스크를 다운 받아 실습해보시기 바랍니다.]

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FADmzwQDNceaciiPCt8z0%2Fimage.png?alt=media&#x26;token=69e66cf3-933e-4bcb-ac2a-11c715be59b5" alt=""><figcaption></figcaption></figure>

4. 고정 데이터 드라이브에서 새로 추가한 가상디스크 드라이브를 선택 한 뒤 \[BitLocker 켜기] 를 선택합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FTj8VtVoO7PEEQSZ4jrhk%2Fimage.png?alt=media&#x26;token=6353fde6-fef1-4824-bded-155ec42f1b8e" alt=""><figcaption></figcaption></figure>

   \
   \
   아래 암호를 사용하여 드라이브 잠금 해제를 선택한 뒤 암호를 입력합니다.\
   실습용 가상디스크에는 "forensic2024" 설정하였습니다. \
   다만, 복구를 위해 꼭 필요한 건 아닙니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F5nYXipZg58BdDW0UGqqi%2Fimage.png?alt=media&#x26;token=832eaf37-1fc4-413d-823c-3df9e3ddd1c7" alt="" width="527"><figcaption></figcaption></figure>

   이 후 \[파일에 저장]을 선택하게 되면 txt 파일을 저장합니다. \
   이 파일에 복구키가 포함되므로 매우 잘 관리하여야 합니다.&#x20;

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FnzmUokXGNKxcV1IuigVh%2Fimage.png?alt=media&#x26;token=774207df-ce90-4d42-a41a-2d9e146b9d70" alt="" width="563"><figcaption></figcaption></figure>

   이 이후 아래 내용들은 선택 한 뒤 암호화 시작을 선택하여 **암호화를 진행**하도록 하겠습니다.\
   \- 전체 드라이브 암호화\
   \- 새 암호화 모드 또는 호환 모드

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FRTtQ4ylJv7y1MSspx2wJ%2Fimage.png?alt=media&#x26;token=54ce33ef-96a3-4f5a-a1e7-4635688a3b65" alt=""><figcaption></figcaption></figure>

   \
   아래 가상디스크를 다운 받아 같은 실습이 가능합니다. \
   다운 받은 후 압축 해제 한 뒤 vhd파일을 우클릭 - 탑재 합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FZE7sEYGMgogZWDnqmoNJ%2Fimage.png?alt=media&#x26;token=877a0f87-03dd-4d20-a1d9-6d3d8f4f1bd6" alt="" width="408"><figcaption></figcaption></figure>

* 컨트롤 클릭 -> 새 탭에 다운받기

{% embed url="<https://naver.me/Fm3NupQs>" %}

5. 이후 FTK Imager에서 살펴보도록 하겠습니다.\
   Evidence 추가 후 Physical Drive를 선택 후 생성한 가상 디스크를 선택해보도록 하겠습니다.\
   \
   암호화가 되어 있어 내부 구조를 확인할 수 없습니다. 시그니처를 살펴보면 ex-FVE-FS 와 같은 값을 표시해주고 있습니다. 즉, 이런 시그니처를 확인하면 암호화된 파일시스템 또는 bitlocker로 암호화된 파일시스템 구조인 것입니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FyCiN7egh4phpnZFF7wRf%2Fimage.png?alt=media&#x26;token=5bd5a21d-714d-47a4-ba82-48f221b4733d" alt=""><figcaption></figcaption></figure>

* 실제 시험에서 이런 파일 시스템의 내부 구조가 보이지 않고 위와 시그니처 구조를 갖고 있다면, bitlocker로 암호화 된 것 일 수 있는 것입니다.

## 2. Autopsy로 이미지로드

1. Autopsy로 새로운 케이스 생성 후 Disk Image or VM File에서 비트락커가 걸린 이미지를 불러오면 하단에 자동으로 식별자를 체크합니다.   \
   \&#xNAN;**\[Autopsy 4.22.1 버전 이상 확인]**\
   (2025년 6월 14일 시행) 에서는 이전 버전이기 때문에 [#id-3.-bitlocker](#id-3.-bitlocker "mention") 방식도 연습해둘 필요가 있습니다.\
   <https://exam.forensickorea.org/web/bbs/view/boardView.do?bbsId=1&nttId=2575>\
   다만 실제 시험장 갔는데 버전이 bitlocker 이미지를 로드할 수 있는 버전일 수도 있습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FjLCVIaRmgXUzhndcnLkp%2Fimage.png?alt=media&#x26;token=4b36e7ad-1281-48bf-b93d-d60977ea2dd4" alt=""><figcaption></figcaption></figure>

2. 여기서 복구키 txt 파일을 한번 열어보겠습니다.\
   식별자가와 복구키가 보이는데 Autopsy에서도 식별자를 자동인식하여 줍니다.\
   즉, 여기의 복구키를 이용하여 보겠습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FvdOFkhNjXb0HCLggsM44%2Fimage.png?alt=media&#x26;token=b8990545-f692-45ec-af48-259299a4cce9" alt=""><figcaption></figcaption></figure>

3. 아래와 같이 암호가 정상일 경우 Next가 가능해집니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2Fh0ti22yxvzaoPCdLG6ZE%2Fimage.png?alt=media&#x26;token=17e88f3e-ae44-49ef-8ffb-f0e71948bc88" alt=""><figcaption></figcaption></figure>

   넥스트  후 Ingest를 모두 체크 해제 후 바로 열어보면 내부 구조를 확인할 수 있습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FIaDtz52ZcjReTpqfiXAz%2Fimage.png?alt=media&#x26;token=d1f2e3ea-5a27-4998-bb82-a7ea8668eced" alt=""><figcaption></figcaption></figure>

## 3. \[참고] bitlocker 복호화 후 분석용 이미지 만들기&#x20;

* 시험에서 제공하는 포렌식 도구가 비트락커 암호화 해제를 도구 차원에서 바로 해주지 못하는 경우 아래와 같이 시도해볼 수 있습니다. (ex 구버전 Autopsy 등)

1. 먼저, 연결되어 있는 가상디스크를 분리 한 뒤 처음부터 진행해보도록 하겠습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2Fn1MQpA5kNGRjCd1DbL2K%2Fimage.png?alt=media&#x26;token=fccb72d7-e8b9-4312-a398-433653f33331" alt="" width="309"><figcaption></figcaption></figure>

2. 먼저 위에서 bitlocker를 설정한 vhd를 다시 탑재하여 봅시다.\
   다시 연결할 경우 아래 그림과 같이 디스크 앞에 ![](https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FxtLyBXVQuUrmYuO2ULMu%2Fimage.png?alt=media\&token=c7b468fe-e2c1-4506-b6c5-742a05e46364)마크가 붙게 됩니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FqKbuRiR5LSIKPAR5tYCU%2Fimage.png?alt=media&#x26;token=013ee21f-bc5e-4a91-9f5c-6946ea4bbcd5" alt="" width="514"><figcaption></figcaption></figure>

3. 이 상태에서 FTK Imager를 이용하여 Raw 이미지 획득을 진행합니다.\
   실제 시험에서는 USB와 같은 분석대상이라고 생각하고 진행해보도록 하겠습니다.\
   (VHD는 일단 잊어버립시다.)

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FURbVYzCYMZ2b6fIlIFz7%2Fimage.png?alt=media&#x26;token=a6763e5e-16fb-4eee-a5c0-26ed39cc4f5d" alt="" width="563"><figcaption></figcaption></figure>

   최상위 드라이브에서 우클릭 - Export Disk Image를 선택 한 뒤 Add 를 눌러 raw 이미지를 추출하여 봅시다.&#x20;

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FnNWDRM5oo5L2aeFT6fOe%2Fimage.png?alt=media&#x26;token=0a009c16-4961-44d1-b596-d4754acd36ff" alt=""><figcaption></figcaption></figure>

4. FTK Imager에서 이제 raw 이미지를 불러오도록 하겠습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FWhVHYUXCjOCON6Nv2hkc%2Fimage.png?alt=media&#x26;token=05ed110a-5680-4d47-aef9-4d9becd885a6" alt=""><figcaption></figcaption></figure>

   당연하게도 raw 이미지에서도 동일하게 확인이 가능합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FsOvssOgHF0mXY6OzahOi%2Fimage.png?alt=media&#x26;token=acfc56f0-ed3e-4f9b-9ed8-3fda2c69c1ab" alt=""><figcaption></figcaption></figure>

5. 이제 우리의 목표는 이 저장매체를 윈도우에 인식시켜 암호를 입력하고 bitlocker를 해제하는 과정을 거쳐야 합니다. \
   이전에는 image mounting 기능을 활용할 수 있었으나 최근 윈도우에서 이러한 방법이 안 되는 케이스도 발견되어 몇 가지 테스트 결과 가상디스크를 활용하는 방법이 안정적이어서 이 방법을 소개하도록 하겠습니다. (이 방법이 옳거나 정석은 아니지만, 도구가 없는 상황에서는 시도해 볼만한 방법으로 생각됩니다.)\
   \
   먼저 추출한 raw 이미지의 우클릭 - 속성에서 확인 되는 MB 용량 또는 raw 이미지 생성하면 함께 생성되는 로그 파일인 txt 파일에서 Data Size의 용량을 확인합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FLI5OyHBTj6u7FM5UJ5G2%2Fimage.png?alt=media&#x26;token=4b4ee0ca-96aa-4a16-895b-105bbaec25c8" alt=""><figcaption></figcaption></figure>

6. Win + X 에서 디스크 관리에서 동작 - VHD 만들기를 선택 한 뒤 Raw 이미지와 동일한 크기로 설정 후 생성합니다.&#x20;

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FgWNpQGHAx2t7sF3F6NRw%2Fimage.png?alt=media&#x26;token=750e3619-6143-41f9-871c-9098a26b3ccc" alt="" width="563"><figcaption></figcaption></figure>

   HxD를 이용하여 방금 생성한 vhd 파일을 열어보겠습니다.\
   도구 - 디스크 이미지 열기를 선택한 뒤 방금 생성한 vhd 파일을 선택합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F7y6j4mfQcUfvTetA5NZs%2Fimage.png?alt=media&#x26;token=36597858-f698-4f8f-8359-257b93d8493c" alt="" width="563"><figcaption></figcaption></figure>

   이 후 가장 마지막 섹터로 간 뒤 마지막 1섹터를 복사하도록 합시다. conectix\~로 시작하는 부분이어야 합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F78EXfuJiF7VD7CxnRPju%2Fimage.png?alt=media&#x26;token=2df781fd-06b0-4bcf-8428-62c910fc027c" alt=""><figcaption></figcaption></figure>

   \
   Raw 이미지도 디스크 이미지 열기를 이용하여 열어봅시다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FeIjfg9EMmsNnWseRxR0j%2Fimage.png?alt=media&#x26;token=ad852f79-b6b3-42c3-9031-cacea9eec716" alt="" width="563"><figcaption></figcaption></figure>

   이후 복사한 한 섹터를 Raw 이미지 가장 마지막 뒤에 우클릭 후 \[붙여넣기 삽입]을 선택하여 1섹터를 삽입한 뒤 저장 합니다.\
   (이때 FTK Imager에 Raw를 열었었다면 FTK Imager는 종료하고 진행합니다.)

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F1S0cYBnITL5ShkCu6Kg9%2Fimage.png?alt=media&#x26;token=9ee17c95-0246-40cf-9505-76457a915d18" alt=""><figcaption></figcaption></figure>

7. 아래와 같이 raw 이미지의 확장자를 vhd로 변경 한 뒤 우클릭 - 탑재 해보도록 하겠습니다. \
   -> 즉, raw 이미지를 vhd 구조로 변경한 것입니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F1XdAK81qUhS5cueOVl00%2Fimage.png?alt=media&#x26;token=816661a1-b63c-42fb-8e52-4627d23df6b3" alt="" width="563"><figcaption></figcaption></figure>

   실제 시험에서는 바로 탑재하는 것이 아닌 디스크 관리에서 읽기 전용으로 연결해야 합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FKleoxu8odLSfcxZm2mNh%2Fimage.png?alt=media&#x26;token=83771f54-a4b0-467e-97f5-f428a7cfe72d" alt="" width="563"><figcaption></figcaption></figure>

8. 이제 좌측에 ![](https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FxtLyBXVQuUrmYuO2ULMu%2Fimage.png?alt=media\&token=c7b468fe-e2c1-4506-b6c5-742a05e46364)마크가 붙은 드라이브가 표시되고 해당 드라이브를 선택하면 우측 상단에 암호를 입력할 수 있는 창이 표시가 됩니다. \
   이렇게 되면 정상적으로 bitlocker 구조의 디스크를 윈도우의 vhd 구조로 변경하여 인식 시킨 것입니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FwLLkDyWKUbGQbp7OnZLv%2Fimage.png?alt=media&#x26;token=b8aa2931-0637-4920-ac28-80b9a963078b" alt=""><figcaption></figcaption></figure>

   만약 암호를 안다면 우측상단에 입력하면 됩니다. \
   그러나 실제 시험에서는 이 부분의 암호를 쉽게 알려주지 않습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FwV3bnhQdk7MxRcQFDzRy%2Fimage.png?alt=media&#x26;token=71f82890-496d-4468-9b69-d9a401b4933d" alt="" width="358"><figcaption></figcaption></figure>

9. 그렇다면.. 실제 시험에서는 bitlocker 복구 키를 어떻게 확인할 수 있을까요?\
   위에서 bitlocker를 만드는 과정에서 아래 그림과 같은 키 파일을 생성하게 됩니다. \
   즉, 아래 "Bitlocker 복구 키\~\~" 파일을 어딘가에 저장해두거나 또는 파일시스템 어딘가에 아래의 텍스트가 한번은 저장되어 존재하게 됩니다.\
   \
   이 파일을 찾아서 복구를 시도하게 되는 문제가 출제되었습니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FL7e0JLerYA2tRdA3Mp1H%2Fimage.png?alt=media&#x26;token=22e5561f-aa67-49e6-9040-406a58fbecb2" alt=""><figcaption></figcaption></figure>

   위의 "forensic2024"를 입력하였다면, 아래와 꺼내기 하여 연결 해제 후 다시 vhd를 연결 하도록 하겠습니다.&#x20;

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FWKqe4R9U1PfSePX2awaj%2Fimage.png?alt=media&#x26;token=bd74d382-50b8-46a2-8bdd-9855ee43bbdc" alt="" width="383"><figcaption></figcaption></figure>

   다시 디스크를 선택 한 뒤 우측상단에 잠금해제 암호 입력 창에서 복구키를 이용하여 복호화 할 때는 기타옵션 - 복구 키 입력 후 위에서 확인한 복구 키를 입력 후 잠금해제를 합니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F0BRcieqkKb5emL6ouM4s%2Fimage.png?alt=media&#x26;token=28205782-1d4a-4553-84c1-cc7067a6b974" alt=""><figcaption></figcaption></figure>

   비트락커가 해제되어 내부 파일시스템에 저장된 파일을 확인할 수 있게 됩니다.

   <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FXtYrDF8kgfCBlfzYEgm3%2Fimage.png?alt=media&#x26;token=84f3acb0-c270-4612-a4ad-3bd859f70544" alt=""><figcaption></figcaption></figure>

10. 그렇다면 이제 FTK Imager와 Autopsy를 이용하여 분석을 해야 합니다.\
    그렇다면 우리가 암호를 입력하면 물리적으로 모두 복호화가 되어 있을까요?\
    한번 physical drive로 열어보도록 하겠습니다.\
    여전히 암호화가 되어 있습니다.&#x20;

    <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2Fhl1QCPWZqY2klzCqK2fp%2Fimage.png?alt=media&#x26;token=e4dd0bbf-db27-4d28-9a6f-4f845d16b001" alt="" width="563"><figcaption></figcaption></figure>

    우리가 Autopsy와 같은 도구에서 분석해야 하는데 이렇게 되어 있으면 분석을 할 수 없습니다. \
    그러나 암호를 입력하였는데도 물리드라이버는 여전히 암호화 되어 있습니다. \
    \
    윈도우에서 암호 입력 후 접근이 가능한 이유는 논리적으로 복호화 하고 있기 때문입니다.\
    이번엔 Logical Drive를 선택 하여 bitlocker 복호화한 드라이브를 선택하여 봅시다.

    <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FEJWDgyGrZK3SYmGedaAW%2Fimage.png?alt=media&#x26;token=cf99e0b6-f149-4d4c-a15a-d489d31ae307" alt="" width="563"><figcaption></figcaption></figure>

    이후에는 정상적으로 복호화한 파일시스템 구조를 확인 할 수 있습니다.\
    이렇게 복호화된 파일시스템을 추출하여야 합니다.&#x20;

    <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2F8tWXNRf3hmA3ZKGVgGWh%2Fimage.png?alt=media&#x26;token=8fbd4e0b-8712-4232-a659-151974010047" alt="" width="563"><figcaption></figcaption></figure>

    최상위 드라이브 선택 후 Export Disk Image에서 raw 이미지로 추출 한 뒤 Autopsy 에서 분석을 이어서 진행할 수 있게 됩니다.

    <figure><img src="https://4016728483-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fa2NNzpsEy1B0QNWi34cs%2Fuploads%2FEr0B2l5ZEiiQ4cWgBBxW%2Fimage.png?alt=media&#x26;token=d06705eb-ec87-4564-a9b8-af65e0920f66" alt="" width="563"><figcaption></figcaption></figure>

## 3. 정리

* bitlocker의 경우 윈도우에서 사용하는 디스크 암호화 방식입니다. \
  가능하면 포렌식 도구가 이미지를 인식하면 바로 암호를 넣고 복호화 해주면 활용하는 것이 좋습니다.
* 다만 도구, 도구 버전에 따라서 비트락커의 암호를 입력하여 구조 파악이 어려운 경우 윈도우 기능을 잘 활용하여 문제 해결을 해야합니다.\
  시험에서 제공하는 버전을 잘 확인하시고 연습하시길 추천합니다.\
  \
  \> (2025년 6월 14일 시행) \
  <https://exam.forensickorea.org/web/bbs/view/boardView.do?bbsId=1&nttId=2575>
* 정리하면 bitlocker가 있는 파일시스템이 있다면, "Bitlocker 복구 키\~\~" 파일을 잘 찾아야 하고, 파일명을 못 찾더라도, 키워드 검색 등으로 파일시스템 어딘가에 있는 bitlocker 복구 키 부분을 검색하여 찾을 수 있는 문제가 출제될 것으로 보입니다. \
  이 부분은 추후에 연습 문제를 통해서 익숙해지면 어렵지 않게 해결 가능할 것 입니다.

{% hint style="info" %}
bitlocker를 설정해 보고, 복호화 후 포렌식 분석할 수 있는 이미지 형태로 만드는 것을 진행해 보았습니다. 이후부터는 모두 동일한 방식으로 활용할 수 있으니 개념 정도만 이해하고 넘어가시는 걸 추천하며, 추후 연습 문제에서 몇 번만 연습해보시면 시험 대비가 가능할 것입니다.

실습해 보면서 느낄 수 있으시겠지만 vhd의 경우 raw 이미지 끝에 한 섹터를 추가하면 윈도우에서 인식할 수 있는 구조인 것을 알 수 있게 됩니다. \
이를 상세히 확인해 보고자 한다면 vhd 구조를 공부해 보시면 될 것입니다. 다만 우리는 vhd 구조를 알 필요는 없고 잘 활용하는 것이 좋을 것입니다.&#x20;
{% endhint %}
