Adli bilişim (digital forensics)

Adli bilişim nedir?

Adli bilişim (digital forensics), bilgisayar, sunucu, ağ ve mobil cihazlardaki dijital delillerin değiştirilmeden toplanması, saklanması ve analiz edilerek bir olayda ne olduğunun, kimin ne yaptığının ve ne zaman yaptığının belirlenmesidir. Güvenlik olaylarında köken analizi için temel yöntemdir.

Disiplin hem teknik hem usul odaklıdır. Delilin güvenilir sayılması için nasıl elde edildiğinin ve bozulmadığının gösterilmesi gerekir.

Nasıl çalışır?

Süreç genel olarak şu adımları izler:

• Tespit ve koruma: kaynağın belirlenmesi, değişikliği engelleme
• Toplama: disk imajı, bellek dökümü, günlük ve ağ kayıtlarının alınması
• Doğrulama: özet (hash) değerleriyle imajın özgün olduğunun kanıtlanması
• Analiz: zaman çizelgesi çıkarma, silinmiş dosyaları ve kalıcılık izlerini arama
• Raporlama: bulguların anlaşılır biçimde belgelenmesi

Uçucu veri önce toplanır: çalışan süreçler, ağ bağlantıları ve bellek içeriği, makine kapatılınca kaybolur. Delil zinciri kaydı (kim, ne zaman, nasıl elden geçirdi) tutulur.

Sunucu ve hosting ortamında

Ele geçirilmiş bir web sunucusunda erişim ve hata günlükleri, kimlik doğrulama günlükleri (/var/log/auth.log, secure), dosya değişiklik zamanları, cron kayıtları ve veritabanı kayıtları incelenir. Sanal sunucularda hipervizör düzeyinde anlık görüntü (snapshot) almak orijinal durumu korumanın pratik yoludur.

Paylaşımlı hostingde, ihlalin yalnızca sizin hesabınızı mı yoksa sunucuyu mu etkilediğini ayırt etmek için sağlayıcıyla birlikte çalışmak gerekir.

Nasıl uygulanır?

• Analizi canlı sistem üzerinde değil, disk ve bellek kopyası üzerinde yapın.
• Kopyaların özet değerini alıp kaydedin; orijinale yazma yapmayın.
• Günlükleri merkezi ve değiştirilemez bir yerde saklayın ki saldırgan silemesin.
• Saat eşitlemesini (NTP) sağlayın; farklı kaynaklardaki zaman damgaları tutarlı olsun.
• Yaptığınız her adımı not edin.
• Hukuki sonuç doğabilecek olaylarda uzman veya yetkili kurumlarla çalışın.

Sık yapılan hatalar

• Delil alınmadan sistemi temizlemek.
• Canlı sistemde gelişigüzel komut çalıştırıp zaman damgalarını değiştirmek.
• Günlüklerin yalnızca saldırganın erişebildiği makinede tutulması.
• Sistem saatlerinin farklı olması nedeniyle olay sırasını yanlış kurmak.