[VIP WHITE] Adli Bilişim 101: Siber Olay Sonrası Delil Toplama ve Disk Analizi

⚠️ YASAL ÇERÇEVE VE DELİL ZİNCİRİ (CHAIN OF CUSTODY)Bu rehber, CMK 134. Madde (Bilgisayarlarda Arama ve El Koyma) ve ISO 27037 standartlarına uygun teknik farkındalık oluşturmak içindir.

Adli bilişimde en ufak bir hata, elde edilen delilin mahkemede "geçersiz" sayılmasına neden olur. Bir suç şüphesi durumunda (hacklenme, veri hırsızlığı), profesyonel kolluk kuvvetlerine veya sertifikalı adli bilişim uzmanlarına başvurulmalıdır. Kural 1: Delili asla değiştirme!

---

Giriş: Dijital Olay Yeri İnceleme

Fiziksel dünyada bir cinayet mahalline girip cesedin yerini değiştirirseniz delilleri karartmış olursunuz. Dijital dünyada ise, hacklenmiş bir bilgisayarı "kapatmak" veya "içine bir dosya kopyalamak" aynı etkiyi yaratır.

Adli Bilişimin amacı 3 soruyu cevaplamaktır:

1. Saldırgan içeri nasıl girdi?
   
2. İçeride ne yaptı?
   
3. Bunu kim yaptı?

1. Müdahale Anı: Uçuculuk Sırası (Order of Volatility)

Bir siber olay anında (örneğin sunucunuzda bir Ransomware çalışırken yakaladınız) panikleyip fişi çekmek en büyük hatadır. Veriler buharlaşmadan önce belirli bir sırayla toplanmalıdır.

1. RAM (Bellek): En uçucu veridir. Bilgisayar kapanırsa şifreler, açık ağ bağlantıları ve çalışan zararlı yazılım kodları yok olur.
   
2. Swap/Page File: RAM'in diske taşan kısmıdır.
   
3. Ağ Süreçleri: O anki aktif bağlantılar (Netstat).
   
4. Sabit Disk (HDD/SSD): Kalıcı veriler.
   
5. Loglar: Uzak sunucudaki kayıtlar.

VIP Aksiyon: Eğer sistemde BitLocker gibi disk şifreleme varsa, fişi çektiğiniz an veriye veda edersiniz. Önce Canlı İmaj (Live Response) alarak RAM'i dökümlemelisiniz.

2. İmaj Alma (Acquisition): Kopyala-Yapıştır Yasak!

Adli bilişimde Windows'un "Kopyala" komutu kullanılmaz. Çünkü bu işlem dosyanın "Erişim Tarihi"ni (Last Access Date) değiştirir ve delili bozar.

• Bit-by-Bit Kopya (Forensic Image): Diskin dolu veya boş tüm sektörlerinin (0 ve 1'lerinin) birebir kopyası alınır. Silinmiş dosyalar ancak böyle kurtarılır.
  
• Write Blocker (Yazma Koruyucu): İmaj alırken, kaynak diske yanlışlıkla tek bir bit bile yazılmasını engelleyen donanımdır.

Kullanılan Formatlar:

• .E01 (EnCase): Sektör standardıdır. Sıkıştırma ve şifreleme destekler.
  
• .dd (Raw): Ham veridir.

3. Hash Alma: Dijital Parmak İzi

Aldığınız imajın, orijinal diskle birebir aynı olduğunu mahkemede nasıl kanıtlarsınız? Hash değeriyle.

• Orijinal Diskin MD5 Değeri: A1B2...
  
• Aldığınız İmajın MD5 Değeri: A1B2...
  
• Eğer bu iki değer tutuyorsa, delil değiştirilmemiş demektir. Tutmuyorsa, delil "kirlenmiş" (tampered) sayılır ve çöptür.

4. Disk Analizi: Mezardan Veri Çıkarmak

İmajı aldık, laboratuvara (güvenli PC) götürdük ve analiz yazılımına (Autopsy) yükledik. Neler arıyoruz?

A. Silinen Dosyalar ve "Slack Space"

Bir dosyayı sildiğinizde işletim sistemi sadece "burası boş, üzerine yazabilirsin" der. Veri, üzerine yeni bir şey yazılana kadar oradadır. Adli bilişim yazılımları bu silinmiş dosyaları (Carving) geri getirir.

B. Windows Kayıt Defteri (Registry) Analizi

Saldırganın ayak izleri buradadır.

• USBLogView: Bilgisayara hangi marka/model USB takıldı, ne zaman takıldı? (Veri hırsızlığını kanıtlar).
  
• ShimCache / AmCache: Bilgisayarda daha önce çalıştırılmış (ve sonra silinmiş) .exe dosyalarının kaydını tutar. Saldırgan virüsü silse bile, çalıştırdığına dair kanıt buradadır.
  
• UserAssist: Hangi programın kaç kere ve en son ne zaman çalıştırıldığı.

C. Web Tarayıcı Geçmişi ve Çerezler

Gizli mod (Incognito) kullanılsa bile RAM analizi veya DNS önbelleği (DNS Cache) üzerinden ziyaret edilen siteler tespit edilebilir.

D. Metadata (Üstveri) Analizi

Bir Word belgesini kim oluşturdu? Hangi yazıcıdan çıktı alındı? Fotoğraf nerede çekildi (GPS)? Dosyanın içeriği kadar, metadatasındaki "Oluşturma Tarihi" ile "Değiştirme Tarihi" arasındaki tutarsızlıklar (Time Stomp saldırısı) incelenir.

5. Araç Çantası (Toolkit)

Milyon dolarlık yazılımlar var ama açık kaynak dünyası da çok güçlüdür.

• Autopsy: En popüler açık kaynak adli analiz platformu. Görsel arayüzü ile diski inceler.
  
• FTK Imager: Ücretsizdir. Disk imajı ve RAM imajı almak için standarttır. (Mutlaka USB'nizde bulunsun).
  
• Volatility: RAM (Bellek) analizi için komut satırı aracı. RAM içinden şifreleri, gizli süreçleri (rootkit) çıkarır.
  
• Wireshark: Ağ trafiği (pcap) analizi.

Sonuç

Adli Bilişim, siber dünyanın "CSI" dizisidir. Sabır, detaycılık ve prosedürlere (Delil Zinciri) sıkı sıkıya bağlılık gerektirir. Bir saldırıdan sonra sistemi hemen formatlayıp hayata dönmek yerine, delilleri usulüne uygun toplamak; saldırganın yakalanmasını sağlayacak tek yoldur.