İlk bakışta bütün bilgiler aynı hikâyeyi anlatıyor gibi görünüyor. Bir kullanıcı dosyayı açmış, USB belleğe kopyalamış ve ardından izlerini silmiş olabilir. Peki gerçekten böyle mi?
Ya USB bellek başka bir amaçla takılmışsa? Ya dosyayı kullanıcı değil, otomatik çalışan bir uygulama değiştirmişse? Ya olay günlükleri kasıtlı olarak silinmemiş, yalnızca saklama süresi veya yapılandırma nedeniyle artık bulunamıyorsa?
Dijital olaylar neden tek bir zaman çizelgesinde birleşmez?
Bir bilgisayarda dosya sisteminden, Windows olay günlüklerinden, uygulamalardan ve ağ kayıtlarından zaman bilgileri elde edilebilir. Ancak bu kaynakların tamamı zamanı aynı biçimde saklamaz.
- Örneğin Windows'ta "FILETIME, 1 Ocak 1601 UTC" başlangıcına göre belirli zaman aralıklarını temsil eder.
- Başka sistemler farklı zaman başlangıçları veya gösterimler kullanabilir.
- Bazı uygulamalar UTC zamanını, bazıları yerel saat bilgilerini gösterebilir.
- Bir inceleme aracı ise bunları otomatik dönüştürebilir.
Bu nedenle iki farklı kaynaktaki saatleri doğrudan yan yana koymak yanıltıcı olabilir. 10.15 her zaman aynı anı mı gösterir? Bir sistemin saati 10.15'i gösterirken başka bir sistem birkaç dakika geri olabilir. Üstelik aynı teknik kayıt, faaliyet gerçekleştiği anda değil, daha sonra oluşturulmuş olabilir.
Bu nedenle güvenilir zaman çizelgesinde yalnızca olay saati değil, zamanın kaynağı ve nasıl hesaplandığı da önemlidir. Örneğin:
- Kaynak zaman bilgisi
- Zaman dilimi
- UTC'ye dönüştürülmüş zaman
- Olayın kaydedildiği sistem
- Kayıt oluşum davranışı
- Bilinen saat sapması
- Olası belirsizlikler
Bir zaman çizelgesi gerçekte neyi gösterir?
Tamamen kurgusal bir olay düşünelim. Aşağıdaki saatlerin ortak bir zaman dilimine dönüştürüldüğünü varsayalım.
| Saat | Teknik gözlem | İlk değerlendirme |
|---|---|---|
| 09.12 | USB bağlantı göstergesi | Harici aygıtla ilişkili faaliyet |
| 09.14 | Belgeyle ilişkili uygulama kaydı | Dosya veya uygulama etkileşimi |
| 09.17 | NTFS değişiklik kaydı | Dosya sistemi faaliyeti |
| 09.20 | Dış ağ bağlantısı | Ağ iletişimi |
| 09.24 | Güvenlik günlüğü temizleme göstergesi | Günlük temizleme işlemi |
Bu tablo olayları sıralar.
- Ancak olayların neden birbirleriyle bağlantılı olduğunu kanıtlamaz.
- USB belleğin bağlanmasıyla belgenin değiştirilmesi birbirinden bağımsız olabilir.
- Ağ bağlantısı işletim sisteminin veya başka bir uygulamanın normal faaliyeti olabilir.
- Günlük temizleme işlemi ise yetkili bakım çalışması kapsamında gerçekleşmiş olabilir.
Bu nedenle zaman çizelgesi, sonuç üretmek için değil, hangi ilişkilerin ayrıca doğrulanması gerektiğini göstermek için kullanılmalıdır. Zaman yakınlığı, nedensellik değildir. Kayıtlar kasıtlı olarak değiştirilmiş olabilir mi?
Dijital incelemelerde iz silme veya yanıltma girişimleri araştırılabilir. Bu tür davranışlar genel olarak anti-forensics başlığı altında değerlendirilir.
Örneğin belirli günlüklerin temizlenmesi, dosya zamanlarının değiştirilmesi veya incelemeyi zorlaştıran başka faaliyetler gerçekleşmiş olabilir. Ancak en önemli ayrım şudur: Beklenen kaydın bulunmaması, o kaydın kasıtlı olarak silindiğini kanıtlamaz.
- Windows günlükleri belirli kapasite ve saklama ayarlarına sahiptir. Eski kayıtlar yeni faaliyetler nedeniyle erişilemez hâle gelebilir.
- Bazı olay türleri denetim yapılandırması nedeniyle hiç kaydedilmemiş olabilir.
- Bir uygulama kaydı oluşturulmadan kapanmış veya ilgili telemetri mekanizması etkinleştirilmemiş olabilir.
Event ID 1102 ne anlatır?
Windows Security olay günlüğünde 1102 numaralı olay, güvenlik denetim günlüğünün temizlenmesiyle ilişkilidir. Bu nedenle araştırma açısından önemli bir göstergedir. Ancak bu olayın görülmesi, temizleme işleminin mutlaka kötü niyetle gerçekleştirildiğini kanıtlamaz.
Olayın zamanı, ilişkili hesabı, yetkili bakım faaliyetleri ve diğer sistem kayıtları değerlendirilmelidir. Ayrıca tek bir olay kaydına bakılarak bütün geçmişin ne ölçüde kaybolduğu hakkında kesin sonuca ulaşılmamalıdır. Adli inceleme aracının sonucu yanlış olabilir mi? Şimdi olayın daha karmaşık bir yönüne geçelim.
- Bir analiz aracı dosyanın son değişiklik zamanını 09.17 olarak gösteriyor.
- Başka bir analiz aracı ise 12.17 sonucunu üretiyor.
Böyle bir durumda hangi araca güvenmeliyiz?
- İlk yapılacak şey araçlardan birini hemen yanlış ilan etmek değildir.
- Belki bir araç zamanı UTC, diğeri yerel saat olarak gösteriyordur.
- Belki farklı dosya sistemi öznitelikleri okunuyordur.
- Belki araçlardan biri kullanılan dosya sistemi sürümündeki belirli alanı yanlış ayrıştırıyordur.
Araç çıktısı ile ham veri arasındaki fark
Bir adli analiz yazılımı, teknik verileri insanların okuyabileceği biçime dönüştürür. Bu işlem son derece yararlıdır. Ancak yazılımın ürettiği çıktı da bir yorumlama sürecinin sonucudur.
Dolayısıyla kritik bir bulgunun hangi ham kayıttan elde edildiği, hangi araç sürümüyle çözümlendiği ve hangi dönüşümlerden geçtiği açıklanabilmelidir.
Adli araçlar nasıl doğrulanır?
Güvenilir bir yöntem, sonucu önceden bilinen test verileri kullanmaktır. Örneğin kendi test ortamınızda bir dosya oluşturduğunuzu, adını değiştirdiğinizi ve daha sonra sildiğinizi düşünün.
- Bu faaliyetlerin zamanlarını önceden kaydedin.
- Ardından aynı test verisini iki farklı adli araçla inceleyin.
- Araçlar beklenen kayıtları bulabiliyor mu?
- Zaman dönüşümlerini doğru gerçekleştiriyor mu?
- Silinmiş dosyaya ilişkin aynı alanları mı gösteriyor?
- Bir araç belirli bilgiyi göstermezken diğeri gösteriyorsa bunun teknik nedeni nedir?
Binlerce kaydı tek tek okumak mümkün mü?
Modern sistemler çok büyük miktarda olay kaydı üretebilir. Bir incelemeci için asıl sorun, bu kayıtlardan araştırma sorusuyla ilişkili olanları belirlemektir.
Otomasyon neyi çözer, neyi çözmez?
Filtreleme ve otomasyon, binlerce kayıttan belirli zaman aralıklarına veya olay türlerine odaklanmayı kolaylaştırır. Fakat aracın bulduğu her sonucun doğru olayla ilişkili olduğu varsayılmamalıdır.
Örneğin belirli dosya adını içeren yüz farklı kaydın bulunması, dosyanın yüz kez kullanıcı tarafından açıldığı anlamına gelmez. Kayıtlar aynı sistem davranışının farklı aşamalarını temsil ediyor olabilir. Bu nedenle otomatik analiz sonuçlarının doğru yorumlanması için veri kaynaklarının oluşum mekanizmaları bilinmelidir.
Baştan sona bir adli inceleme vakası
Şimdi makalenin başındaki kurgusal olaya dönelim. Bir belge var. USB bağlantı göstergesi var. Dosyayla ilişkili uygulama kaydı bulunuyor. Dış ağ iletişimi tespit edilmiş. Güvenlik günlüğünün temizlendiğine ilişkin bir kayıt da mevcut. Bu verilerle üç farklı hipotez oluşturabiliriz.
- USB bellek başka bir amaçla bağlanmış olabilir.
- Belge otomatik olarak kaydedilmiş olabilir.
- Ağ iletişimi normal bir uygulamaya ait olabilir.
- Günlük temizleme işlemi ise yetkili bir işlem olabilir.
Bu ihtimal de teknik olarak araştırılmalıdır. İyi bir inceleme yalnızca ilk iki hipotezi değil, üçüncü açıklamayı da dikkate alır.
Kanıt değerlendirme tablosu
Profesyonel adli rapor nasıl yazılmalıdır?
Bir incelemenin sonunda yüzlerce ekran görüntüsü ve kayıt bulunabilir. Ancak iyi bir teknik rapor yalnızca bunları art arda sıralamaz. Önce incelemenin amacı açıklanır.
- Hangi veri kaynaklarının ve hangi yetki kapsamında incelendiği belirtilir.
- Kullanılan yöntem, araçlar ve sürümleri kaydedilir.
- Elde edilen bulgular kaynaklarıyla birlikte sunulur.
- Son olarak desteklenen ve desteklenmeyen sonuçlar açıkça ayrılır.
Kurgusal vaka için örnek teknik değerlendirme
"İncelenen veri kaynaklarında belirtilen zaman aralığında USB aygıtıyla ilişkili bağlantı göstergeleri, belgeyle bağlantılı uygulama kayıtları, dosya sistemi değişiklikleri ve dış ağ iletişimiyle ilgili bulgular tespit edilmiştir. Ayrıca Windows Security günlüğünün temizlenmesine ilişkin bir kayıt bulunmaktadır.
Ancak mevcut veriler, söz konusu belgenin belirtilen USB aygıtına kopyalandığını veya dış ağ üzerinden aktarıldığını kesin olarak doğrulamak için yeterli değildir. İşlemlerin belirli bir kişi tarafından gerçekleştirildiğine ilişkin değerlendirme de mevcut kayıtlarla sınırlandırılmıştır."
Bu ifade dışarıdan bakıldığında temkinli görünebilir. Fakat teknik raporda önemli olan kesin görünmek değil, kanıtların gerçekten desteklediği sonucu ifade etmektir.
Bir incelemenin güvenilirliğini belirleyen beş unsur Dijital adli incelemede sonuçların güvenilirliği birkaç temel soruya bağlıdır.
- Verinin kaynağı biliniyor mu? Hangi cihazdan, hangi dosyadan veya hangi hizmetten geldiği açıklanabiliyor mu?
- Bütünlüğü korunmuş mu? Veri elde edilirken ve işlenirken hangi yöntemlerin kullanıldığı belgelenmiş mi?
- Yöntem doğrulanabilir mi? Başka bir uzman aynı işlemleri tekrarlayarak sonucu değerlendirebilir mi?
- Alternatif açıklamalar araştırılmış mı? Bulgu yalnızca önceden düşünülmüş hipotezi desteklemek için mi kullanılıyor?
- Sonuç kanıtın sınırları içinde mi? Verinin göstermediği bir kullanıcı davranışı veya niyet kesin biçimde ileri sürülüyor mu?
Dijital adli bilişimde uzmanlığın gerçek ölçütü
Yeni başlayan bir kişi belirli bir artefaktın (bir yazılım geliştirme veya sistem yönetim sürecinin adımları sonucunda ortaya çıkan somut yan ürünleri, çıktıları veya dokümanlar) nerede bulunduğunu öğrenebilir.
Daha deneyimli bir incelemeci o artefaktın ne zaman oluştuğunu ve hangi bilgileri sunduğunu anlayabilir.
İleri düzeyde ise farklı kaynakların sonuçları karşılaştırılır, belirsizlikler değerlendirilir ve bir olayın gerçekleşme biçimi mümkün olduğunca doğrulanır.
Fakat asıl profesyonellik, kanıtların desteklemediği noktada durabilmektir.
Sonuç: Dijital delil, doğru yorumlandığında anlam kazanır
Dijital dünyada çok sayıda kayıt oluşur. Bazıları gerçekten önemli olayları gösterir. Bazıları normal sistem faaliyetlerinin sonucudur. Bazıları eksik, bazıları yanlış yorumlanmaya açıktır. Bazıları ise birbirleriyle çelişiyor gibi görünebilir.
İncelemecinin görevi bütün kayıtları tek bir hikâyeye dönüştürmek değildir. Görevi, kaynağı ve yöntemi doğrulanabilen bilgiler üzerinden hangi olay açıklamasının gerçekten desteklendiğini ortaya koymaktır.
Kaynaklar
- NIST — Digital Investigation Techniques: A Scientific Foundation Review: https://doi.org/10.6028/NIST.IR.8354
- NIST — Computer Forensics Tool Testing Program: https://www.nist.gov/programs-projects/computer-forensics-tool-testing-cftt
- SWGDE — Requirements for Report Writing in Digital and Multimedia Forensics: https://www.swgde.org/documents/published-complete-listing/18-q-002-swgde-requirements-for-report-writing-in-digital-and-multimedia-forensics/
- SWGDE — Best Practices for Computer Forensic Examination: https://www.swgde.org/18-f-001/
- Microsoft — Event ID 1102: The Audit Log Was Cleared: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/event-1102
- Microsoft — Get-WinEvent: https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.diagnostics/get-winevent