Bir kurumda önemli belgelerin yetkisiz biçimde dışarı çıkarılmış olabileceği bildiriliyor. İncelemeye konu bilgisayar açık. Ekranda bir belge görüntüleniyor, USB bağlantı noktasında harici bir aygıt bulunuyor. İlk tepkiniz ne olurdu?
- Bilgisayarı kapatmak mı,
- Dosyalara bakmak mı,
- Yoksa USB belleği çıkarmak mı?
Bu seçeneklerin her biri bazı koşullarda delilin durumunu değiştirebilir. Dijital adli bilişimde ilk uzmanlık, etkileyici yazılımlar kullanmak değil, hangi müdahalenin hangi bilgiyi kaybettirebileceğini önceden düşünebilmektir.
Açık bilgisayar neden farklıdır?
Çalışan bir bilgisayarın diskiyle belleği aynı bilgileri içermez.
- Diskte daha kalıcı kayıtlar bulunurken RAM üzerinde çalışan süreçler, açık ağ bağlantıları ve geçici bilgiler yer alabilir.
- Bilgisayar kapatıldığında bu bilgilerin bazıları kaybolabilir.
- Öte yandan sistemi açık bırakmak da her zaman güvenli değildir. Arka plandaki yazılımlar dosyaları değiştirebilir, günlükler güncellenebilir ve dış bağlantılar devam edebilir.
Bu yüzden "Bilgisayar mutlaka kapatılmalı" veya "Kesinlikle açık bırakılmalı" gibi ezbere kurallar güvenilir değildir. Karar; Sistemin durumu, İncelemenin amacı, Olası şifreleme, Kaybolabilecek veriler ve Yetkili müdahale prosedürlerine dayanmalıdır.
İlk gözlem neden önemlidir?
İncelemeye başlamadan önce cihazın mevcut durumu kayıt altına alınabilir.
- Ekranda hangi uygulamalar açık?
- Hangi harici aygıtlar bağlı?
- Cihaz ağa bağlı mı?
- Oturum açık mı?
- Sistem saati hangi değeri gösteriyor?
Bu bilgiler, daha sonra teknik kayıtlar incelenirken başlangıç koşullarını anlamaya yardımcı olabilir. Ancak ekran görüntüsü almak için sisteme müdahale edilmesi bile değişiklik oluşturabilir. Bu nedenle, mümkün olduğunda dışarıdan belgeleme ve yetkili prosedürler kullanılmalıdır.
İlk gözlemin amacı, olayın nasıl gerçekleştiğine karar vermek değildir. İncelemenin başlangıç durumunu doğru tanımlamaktır.
Beş soruluk ilk müdahale kontrolü
Gerçek veya eğitim amaçlı bir olayda aşağıdaki sorulara cevap arayın:
- İnceleme ve veri toplama için yetki mevcut mu?
- Cihazın mevcut durumu belgelendi mi?
- Hangi bilgiler sistem kapatılırsa kaybolabilir?
- Hangi müdahaleler orijinal veriyi değiştirebilir?
- Edinim ve işlem geçmişi nasıl kayıt altına alınacak?
Bu sorulara açıklanabilir cevaplar verilmeden yapılan acele müdahale, sonraki incelemeyi zorlaştırabilir.
Sonuç
- Başarılı bir adli inceleme, olay yerine ulaşıldığı anda başlamıştır. İnceleme sırasında yapılan işlemlerin nedenleri, etkileri ve sınırlılıkları açıklanabilmelidir.
- Bazen en doğru ilk hareket, hemen işlem yapmak değil, yetkili edinim yöntemi belirlenene kadar mevcut durumu korumaktır.
Not: Dijital delilde hız önemlidir; fakat yanlış bir ilk müdahalenin kaybettirdiği bilgi sonradan geri getirilemeyebilir.
Kaynaklar
- NIST, SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response: https://doi.org/10.6028/NIST.SP.800-86
- SWGDE, Best Practices for Digital Evidence Collection: https://www.swgde.org/
- NIST, Computer Forensics Tool Testing Program: https://www.nist.gov/itl/ssd/software-quality-group/computer-forensics-tool-testing-program-cftt