Adli bilişim (Digital Forensics) nedir? Siber saldırı sonrası delil toplama, imaj alma (write-blocker), delil zinciri ve mahkeme süreçleri rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Adli Bilişim (Digital Forensics), bir siber saldırı, fidye yazılımı (ransomware) vakası, şirket içi endüstriyel casusluk (CAD/ERP verilerinin çalınması) veya bilişim suçu sonrasında; sunucu, bilgisayar, ağ cihazı ve mobil ekipmanlar üzerindeki elektronik izlerin uluslararası standartlara (ISO/IEC 27037) ve Ceza Muhakemesi Kanunu (CMK Madde 134) hükümlerine uygun olarak tespit edilmesi, korunması, kriptografik olarak kopyalanması ve mahkemede su götürmez bir uzman/bilirkişi raporuna dönüştürülmesi disiplinidir. Siber olay anında paniğe kapılarak yapılan bilinçsiz müdahaleler, değiştirilen dosya tarihleri veya zaman damgasız log kayıtları; haklı olduğunuz bir hukuki davada delillerinizin “hukuka aykırı veya bütünlüğü bozulmuş delil” sayılarak reddedilmesine yol açar.
Dijital Delilin Kırılganlığı ve Uçucu Veri Sıralaması (Order of Volatility)
Fiziksel olay yeri incelemesinde parmak izinin silinmesi ne kadar tehlikeliyse, dijital dünyada da bir bilgisayara fare tıklaması yapmak veya fişini çekmek o kadar yıkıcıdır. İşletim sistemleri (Windows, Linux), siz sadece bilgisayarı açıp bir klasöre baktığınızda bile arka planda yüzlerce sistem dosyasının Son Erişim Tarihi (Last Accessed Time) bilgisini günceller, geçici önbellek dosyaları yazar ve silinmiş dosyaların bulunduğu disk sektörlerinin (Unallocated Space) üzerine yeni veri kaydeder.
IETF RFC 3227 standardı, bir siber olay müdahalesinde delillerin kaybolma hızına göre Uçuculuk Sırası (Order of Volatility) ilkesini tanımlar. Delil toplama işlemi daima en çabuk kaybolan veriden en kalıcı veriye doğru yapılmalıdır:
- İşlemci Yazmaçları ve Önbellek (CPU Registers & L1/L2/L3 Cache): Nanosaniyeler içinde değişir.
- Fiziksel Bellek (RAM), Çekirdek Tabloları ve Ağ Bağlantıları: Bilgisayar kapatıldığı veya yeniden başlatıldığı anda tamamen silinir. Oysa bellekte çalışan dosya bırakmayan zararlı yazılımlar (Fileless Malware), açık TCP/UDP soketleri, şifrelenmiş disklerin (BitLocker) açık anahtarları ve kopyalanmış parolalar yalnızca RAM imajında (Memory Dump) yakalanabilir.
- Geçici Dosya Sistemleri ve Takas Alanı (
pagefile.sys,hiberfil.sys): Sistem yeniden başlatıldığında üzerine yazılır. - Sabit Diskler, SSD’ler ve RAID Dizileri (NVMe, SAS, SATA): Kalıcıdır ancak SSD disklerdeki TRIM komutu silinen blokları dakikalar içinde kalıcı olarak sıfırlayabilir.
- Merkezi Log Sunucusu (SIEM / 5651) ve Yedekleme Medyaları: En kalıcı ve dışarıdan müdahaleye en kapalı delil katmanıdır.
Yasal Delil Zinciri (Chain of Custody) ve Adli İmaj Alma Kuralları
Elektronik bir bulgunun Cumhuriyet Savcılığı soruşturmalarında, İş Mahkemelerinde (haklı fesih davaları) veya Ticaret Mahkemelerinde kesin delil sayılması için Yasal Delil Zinciri (Chain of Custody) prosedürünün eksiksiz işletilmesi şarttır:
| Adli Bilişim Aşaması | Yapılması Gereken Teknik İşlem | Kullanılan Teknoloji ve Standart | Hukuki / Teknik Amacı |
|---|---|---|---|
| 1. İzolasyon ve Canlı Müdahale | Cihazın fişini çekmek yerine ağ kablosunun çıkarılması ve canlı RAM imajının alınması | Bellek yakalama araçları (FTK Imager, WinPmem, LiME) | Saldırganın aktif bağlantısını keserken RAM’deki uçucu kriptografik kanıtları kurtarmak |
| 2. Donanımsal Yazma Engelleme | İncelenecek diskin doğrudan bilgisayara takılmaması; araya yazma engelleyici konulması | Hardware Write-Blocker (Tableau, WiebeTech) | İnceleme cihazının orijinal delil diskine tek bir bit dahi yazmasını fiziksel olarak engellemek |
| 3. Bit-Düzeyinde Adli Kopya | Sadece görünür dosyaların değil, silinmiş alanlar dahil diskin sektör sektör kopyalanması | Bit-Stream Forensic Image (E01 EnCase veya RAW/DD formatı) | Dosya tablosundan silinmiş (Unallocated) ve parçalanmış (Slack Space) gizli verileri korumak |
| 4. Kriptografik Hash Kanıtı | Orijinal disk ile alınan adli imajın matematiksel parmak izinin hesaplanması ve tutanağa yazılması | SHA-256 ve MD5 özet algoritmaları | Mahkemede “İmaj alınırken veya incelenirken delile sonradan dosya eklenmediğini” %100 kanıtlamak |
| 5. Delil Teslim Zinciri Formu | Delilin seri numarası, hash değeri, teslim alan/eden uzman ve mühür bilgilerinin kaydı | Islak imzalı Chain of Custody tutanağı ve çelik delil kasası | Delilin olay anından mahkeme bilirkişisine kadar kimlerin elinden geçtiğini belgelendirmek |
Normal Kopyalama (Ctrl+C) ile Adli İmaj (Bit-Stream Image) Arasındaki Fark
Teknik olmayan yöneticiler sıklıkla “Personelin bilgisayarındaki dosyaları harici diske kopyaladık, delilleri aldık” yanılgısına düşer. Standart dosya kopyalama işlemi:
- Dosyaların oluşturulma ve erişim zaman damgalarını (MACB Timestamps) değiştirerek delili bozar.
- Şüphelinin
Shift + Deleteile sildiği ancak hala disk sektörlerinde duran dosyaları, tarayıcı geçmişi veritabanlarını (SQLiteWAL kayıtlarını) ve Windows Kayıt Defteri (NTUSER.DAT,SYSTEM,SAM) kovanlarını kopyalamaz.
Adli bilişim incelemeleri asla orijinal disk üzerinde yapılmaz; donanımsal yazma engelleyici ile alınan ve SHA-256 hash değeri doğrulanan ikincil Adli İmaj (E01) kopyası üzerinde yürütülür.
Kurumsal Soruşturmalarda İncelenen Kritik Dijital İzler (Artifacts)
Bir çalışanınızın işten ayrılmadan hemen önce fabrikanızın tüm müşteri listesini ve SolidWorks kalıp çizimlerini harici bir diske kopyaladığından veya bir saldırganın RDP üzerinden sunucunuza sızdığından şüpheleniyorsanız, Windows işletim sistemi derinliklerinde silinmesi çok zor olan şu adli izler analiz edilir:
- USB Cihaz Geçmişi (
USBSTOR&SetupAPI.dev.log): Bilgisayara takılan her USB belleğin ve taşınabilir diskin üretici adı, modeli, benzersiz cihaz seri numarası, ilk takıldığı saniye ve son çıkarıldığı tarih Kayıt Defteri’nde saklanır. - LNK Dosyaları ve Jump Lists (
Son Kullanılanlar): Kullanıcı harici diskteki bir CAD dosyasını açıp ardından harici diski çıkarsa bile, Windows arka planda o dosyanın tam yolunu, boyutunu ve açılış saatini içeren gizli.lnkkısayol kayıtları oluşturur. - Prefetch ve Amcache Kayıtları: Bir zararlı yazılım veya veri sızdırma programı çalıştırıldıktan hemen sonra silinse bile, Windows
C:\Windows\Prefetchklasöründe o programın kaç kez ve hangi saniyede çalıştırıldığının kanıtını tutar. - NTFS
$MFT(Master File Table) ve$UsnJrnl: Dosya sisteminin ana fihristi olan MFT ve değişim günlüğü ($UsnJrnl), dosyaların ne zaman oluşturulduğunu, adının değiştirildiğini ve silindiğini kronolojik bir zaman çizelgesi (Timeline Analysis) halinde ortaya döker.
Şirket içi veri hırsızlığını olay gerçekleşmeden önce durdurmak ve USB/bulut çıkışlarını denetlemek için DLP Veri Güvenliği çözümlerimizi inceleyebilirsiniz.
Şirketlerin Siber Saldırı Anında Yaptığı 4 Ölümcül Hata
- Enfekte Sunucuya Hemen Format Atmak: Fidye yazılımı saldırısı sonrası panikle sunucuyu formatlamak, saldırganın hangi açıktan girdiğini (kök neden), içeride başka hangi sunuculara arka kapı (Backdoor / Webshell) bıraktığını ve KVKK kapsamında veri sızıntısı (Data Exfiltration) olup olmadığını tespit etmeyi imkansız kılar.
- Cihazı Düğmesinden Kapatmak veya Yeniden Başlatmak: RAM bellekteki canlı saldırgan oturumlarını ve şifreleme izlerini yok eder. Cihaz kapatılmamalı, yalnızca ağ kablosu (Ethernet) çekilmeli veya switch portu kapatılarak ağdan izole edilmelidir.
- Şüpheli Bilgisayarı Bilişim Uzmanı Olmayan Personelin Karıştırması: Bilgi İşlem personelinin veya yöneticinin şüpheli bilgisayarı açıp klasörleri gezmesi, mahkemede karşı taraf avukatının “Bilgisayar benden alındıktan sonra şirket yetkililerince açılmış ve içine dosya konulmuştur, hash değeri değişmiştir” itirazını haklı çıkarır.
- Zaman Damgasız (İmzasız) Loglara Güvenmek: Sıradan
.txtveya.logdosyaları mahkemede tek başına kesin delil kabul edilmez. Logların 5651 sayılı kanuna uygun olarak TÜBİTAK / KamuSM Zaman Damgası ile kriptografik olarak imzalanmış olması gerekir.
Yasal delil niteliğinde zaman damgalı loglama altyapısı için KVKK ve 5651 Çözümleri ve Berqnet Güvenlik Duvarı sayfalarımıza göz atabilir, saldırı öncesi proaktif güvenlik denetimi için Sızma Testi ve Danışmanlık hizmetimizden yararlanabilirsiniz.
Kaynaklar
Sıkça Sorulan Sorular
İşten ayrılan bir personelin şirket bilgisayarını formatlayıp teslim etmesi durumunda veriler geri getirilebilir mi?
Bu durum disk teknolojisine ve yapılan formatın türüne bağlıdır. Geleneksel mekanik sabit disklerde (HDD) yapılan “Hızlı Format (Quick Format)” yalnızca dosya adres tablosunu siler; adli bilişim yazılımlarıyla (File Carving) silinen dosyaların büyük bölümü kurtarılabilir ve format atma eyleminin kendisi loglardan kanıtlanır. Modern SSD/NVMe disklerde ise TRIM özelliği veri kurtarmayı zorlaştırsa da, merkezi sunucu logları, Active Directory kayıtları, güvenlik duvarı trafik logları ve e-posta sunucusu arşivleri üzerinden personelin son günlerde yaptığı veri transferleri tespit edilebilir.
KVKK veri ihlali bildiriminde (72 saat kuralı) adli bilişim incelemesinin rolü nedir?
6698 sayılı KVKK uyarınca bir siber saldırı yaşandığında veri sorumlusu şirket, durumu öğrendiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurumu’na (KVKK) bildirmekle yükümlüdür. Bu bildirim formunda “Saldırı ne zaman başladı, hangi zafiyet kullanıldı, kaç kişinin hangi kategorideki verisi sızdırıldı ve hangi önlemler alındı?” sorularının yanıtlanması gerekir; bu soruların bilimsel yanıtı ancak hızlı bir adli bilişim ve log korelasyon analiziyle verilebilir.
Şirket bilgisayarlarında yapılan adli bilişim incelemesi KVKK’ya ve özel hayatın gizliliğine aykırı mıdır?
Anayasa Mahkemesi ve Yargıtay içtihatlarına göre; işverenin kendisine ait kurumsal bilgisayar, kurumsal e-posta ve şirket ağı üzerinde denetim ve adli inceleme yapabilmesi için, çalışana işe girişte Bilgi Güvenliği Taahhütnamesi ve Aydınlatma Metni imzalatmış olması gerekir. Bu belgede cihazın yalnızca iş amacıyla tahsis edildiği ve denetlenebileceği açıkça belirtilmişse, işverenin kurumsal cihazda adli imaj alıp inceleme yapması hukuka tam uygundur.