Dijital Adli Bilişim - Silinen Dosyanın Peşinde: NTFS, MFT ve Değişiklik Günlükleri

Bir belge oluşturuluyor. Adı değiştiriliyor. Başka bir klasöre taşınıyor. Sonunda da siliniyor. Dosya artık görünmüyor. Fakat gerçekleşen işlemlerin bazıları dosya sistemi üzerinde iz bırakmış olabilir. Bu izleri anlamak için birbirine benzeyen ama farklı görevleri bulunan üç NTFS yapısını ayırmak gerekir:

  • $MFT, 
  • $UsnJrnl
  • $LogFile.

MFT bize ne anlatır?

Master File Table, NTFS üzerindeki dosya ve dizinlere ilişkin kayıtlar içerir. Bu kayıtlarda dosya referansları, adlar, öznitelikler ve belirli zaman bilgileri bulunabilir.

Bir dosya silindiğinde kaydı yeniden kullanılabilir hâle gelebilir. Ancak daha sonra bu kaydın üzerine yazılmadıysa bazı eski bilgiler incelenebilir. MFT'nin önemli özelliği, dosya sistemi nesnelerini tanımlamasıdır. Bütün kullanıcı işlemlerini eksiksiz kaydetmesi beklenmez.

USN günlüğü farklı bir soruyu cevaplar

$UsnJrnl, dosya sistemi değişiklikleri hakkında kayıtlar tutabilir.

  • Dosya oluşturma, 
  • Yeniden adlandırma
  • Silme gibi, faaliyetlere ilişkin göstergeler sağlayabilir.

Ancak; Microsoft'un teknik dokümantasyonunda da açıklandığı gibi, USN günlüğü değişikliğin gerçekleştiğini ve neden bayraklarını kaydeder; değişikliği geri almak için gerekli bütün bilgileri saklamaz. Üstelik kayıtlar zamanla silinebilir veya üzerine yazılabilir.
 

$LogFile neden ayrıca değerlendirilir?

NTFS $LogFile, dosya sistemi tutarlılığı ve işlem kurtarma mekanizmasıyla ilişkili kayıtlar barındırır.

  • USN günlüğüyle aynı yapıda ve aynı amaçla çalışmaz.
  • Bununla birlikte belirli koşullarda geçmiş dosya sistemi faaliyetleri hakkında ek bilgiler sağlayabilir.

Bu kaynakların bir arada incelenmesi, tek kaynağın açıklayamadığı ayrıntıları ortaya çıkarabilir.

Pratik test

  • Yalnızca test amaçlı NTFS biriminde üç dosya oluşturun.
  • Birinin adını değiştirin, diğerini taşıyın, üçüncüsünü silin.
  • İşlemlerin zamanlarını kaydedin.

Ardından uygun bir NTFS analiz aracıyla kayıtları inceleyerek gerçek faaliyetlerle elde edilen göstergeleri karşılaştırın. Bu deney, bir kaydın bulunmasını değil, neyi temsil ettiğini anlamayı hedefler.

Sonuç

Dosya sistemi kayıtlarını doğru okuyabilmek, geçmiş dosya faaliyetlerinin araştırılmasında önemli avantaj sağlar. Ancak dosyanın değiştirilmesi ile bunu belirli bir kullanıcının gerçekleştirmesi farklı kanıt gereksinimleridir.

  • MFT dosya nesnesini, 
  • USN değişiklik göstergelerini, 
  • $LogFile ise, dosya sistemi işlem mekanizmasının izlerini anlamaya yardımcı olur. Hiçbiri olayın tamamını tek başına anlatmaz.

Kaynaklar