Adli Bilişim (Digital Forensics) Nedir? Siber Saldırıların İzlerini Sürme ve Kanıt Analizi Rehberi

Gelişen teknoloji ve dijitalleşme iş süreçlerini hızlandırırken, siber tehditlerin boyutunu ve karmaşıklığını da eş benzeri görülmemiş bir düzeye ulaştırmıştır. Kurumlar her gün binlerce siber saldırı girişimiyle karşı karşıya kalmakta, bu saldırıların bir kısmı ne yazık ki veri ihlalleri, fidye yazılımı (ransomware) enfeksiyonları veya hizmet dışı kalma (DDoS) olaylarıyla sonuçlanmaktadır. Bir siber saldırı gerçekleştiğinde, sadece sistemi kurtarmak ve operasyonları eski haline getirmek yeterli değildir. "Saldırgan içeriye nasıl sızdı?", "Hangi verilere erişildi?", "Zararlı yazılım ne zaman ve neredeyse tüm ağa nasıl yayıldı?" ve "Bu saldırının arkasındaki yasal sorumlular kimler?" gibi soruların yanıtlanması gerekir. İşte bu noktada, siber güvenlik dünyasının dedektiflik disiplini olan Adli Bilişim (Digital Forensics) devreye girer. Adli bilişim, dijital cihazlarda saklanan veya bu cihazlar arasında iletilen verilerin, siber olayların aydınlatılması amacıyla yasal olarak kabul edilebilir yöntemlerle toplanması, korunması, analiz edilmesi ve raporlanması sürecidir. Bu kapsamlı rehberimizde, siber saldırıların gizemini çözen adli bilişim süreçlerini ve kurumsal güvenlikteki hayati rolünü inceliyoruz.

1. Adli Bilişim (Digital Forensics) Nedir?

Adli bilişim, bilgisayar bilimi ile adli tıp disiplinlerinin kesişim noktasında yer alan, dijital medyadan elde edilen kanıtların mahkemelerde delil olarak kullanılabilmesini sağlayacak standartlarda incelenmesini hedefleyen bilim dalıdır. Modern siber dünyada adli bilişim yalnızca suçluları cezalandırmak için değil, kurumsal siber olay müdahale (Incident Response) ekiplerinin zafiyet noktalarını tespit etmesi ve gelecekteki saldırıları engellemesi için de kritik bir proaktif araçtır.

Geleneksel suç araştırmalarındaki parmak izi analizi veya DNA testi gibi, adli bilişim uzmanları da sunucularda, kullanıcı bilgisayarlarında, cep telefonlarında, veritabanlarında ve bulut altyapılarında siber saldırganların bıraktığı "dijital ayak izlerini" takip ederler. Silinmiş dosyaların geri getirilmesi, log kayıtlarının manipüle edilip edilmediğinin analizi ve bellek (RAM) üzerindeki aktif verilerin incelenmesi bu disiplinin temel parçalarıdır.

Şekil 1: Adli bilişim süreçleri, siber olayların kök nedenlerini bulmak ve yasal delil oluşturmak amacıyla sıkı kurallara bağlı olarak yürütülür.

2. Adli Bilişim Sürecinin 4 Temel Aşaması

Bir adli bilişim incelemesinin yasal geçerliliğe sahip olması ve teknik olarak doğru sonuçlar vermesi için uluslararası standartlarda tanımlanmış 4 temel aşamadan geçmesi gerekir:

Aşama 1: Tanımlama ve Elde Etme (Identification & Acquisition)

Bu aşamada siber olayın gerçekleştiği sistemler (sunucular, bilgisayarlar, ağ cihazları) ve kanıt barındırabilecek veri kaynakları tespit edilir. Ardından, verilerin bütünlüğünü bozmadan dijital kanıtların kopyalanması (imaj alma) işlemi gerçekleştirilir. Kritik Kural: Adli bilişim incelemesi asla orijinal disk veya sistem üzerinde doğrudan yapılmaz. Orijinal diskin birebir bit-düzeyinde kopyası (adli imajı) alınır ve analiz bu kopya üzerinden yürütülür. İmaj alma sırasında "Write-Blocker" (yazma koruyucu) cihazlar kullanılarak verinin değişmesi kesinlikle engellenir.

Aşama 2: Koruma ve Zincir Takibi (Preservation & Chain of Custody)

Elde edilen kanıtların manipüle edilmediğini kanıtlamak için her dijital delilin benzersiz matematiksel imzaları (hash değerleri - MD5, SHA-256) hesaplanır ve kayıt altına alınır. Kanıtın teslim alındığı andan mahkeme salonuna kadar kimlerin elinden geçtiğini belgeleyen "Chain of Custody" (Güvenlik/Delil Zinciri) formu eksiksiz doldurulur. Bu süreçteki en ufak bir aksaklık delilin mahkemede geçersiz sayılmasına neden olur.

Aşama 3: Analiz (Analysis)

Adli bilişim uzmanlarının en yoğun mesai harcadığı bölümdür. İmajı alınan diskler, bellek dökümleri ve ağ logları üzerinde derinlemesine taramalar yapılır. Silinmiş dosyalar kurtarılır, kayıt defteri (registry) incelenir, arka kapı (backdoor) yazılımları aranır ve saldırganın komuta kontrol (C2) sunucusu ile yaptığı bağlantılar tespit edilir. Analiz aşaması, siber olayın tüm zaman çizelgesini (timeline) ortaya koymayı hedefler.

Aşama 4: Raporlama (Reporting)

Elde edilen teknik bulgular, teknik olmayan kişilerin (yöneticiler, avukatlar, hakimler) kolayca anlayabileceği, açık, tarafsız ve yasal olarak geçerli bir rapora dönüştürülür. Raporda kullanılan tüm analiz yöntemleri, tespit edilen kanıtlar ve bunların siber olayla olan bağlantıları kronolojik olarak belgelenir.

3. Farklı Sistemler İçin Adli Bilişim Türleri

Siber saldırıların hedef aldığı altyapıya göre adli bilişim farklı alt uzmanlık alanlarına ayrılır:

• Bilgisayar ve Sunucu Forensics (Host Forensics): İşletim sistemi kalıntıları, log dosyaları, kullanıcı aktiviteleri ve sistem dosyaları incelenerek sızma yollarının tespiti sağlanır.
• Ağ Forensics (Network Forensics): Ağ trafiğinin (PCAP) ve güvenlik duvarı, proxy, IDS/IPS loglarının incelenmesidir. Saldırganın veri sızdırıp sızdırmadığı (data exfiltration) bu yolla anlaşılır.
• Bellek Forensics (Memory/RAM Forensics): Bilgisayar kapatıldığında kaybolan, ancak sızma anında çalışan zararlı kodların, şifrelerin ve aktif ağ bağlantılarının taranması amacıyla RAM dökümünün (dump) incelenmesidir. Birçok dosyasız (fileless) zararlı yazılım ancak bu şekilde tespit edilebilir.
• Bulut Forensics (Cloud Forensics): AWS, Azure veya Google Cloud gibi bulut ortamlarındaki API çağrılarının, kimlik doğrulama loglarının ve sanal makinelerin incelenmesidir.
• Mobil Cihaz Forensics (Mobile Forensics): Akıllı telefonlar ve tabletlerdeki mesajların, arama geçmişinin, konum verilerinin ve uygulamaların güvenli donanımlar vasıtasıyla incelenmesidir.

4. Dijital Delil Geçerliliğinin Altın Kuralları

Adli bilişim çalışmalarının hem şirket içi iç disiplin süreçlerinde hem de resmi merciler nezdinde hukuki bir değer taşıması için şu kurallara harfiyen uyulmalıdır:

Inoguard Olay Müdahale (IR) ve Adli Bilişim Hizmetleri

Siber saldırı sonrasında doğru adımları atmak, maddi ve prestij kayıplarını en aza indirmek ve yasal süreçleri doğru yönetmek için profesyonel destek almak hayati önem taşır. Inoguard Siber Güvenlik olarak kurumlara uçtan uca adli bilişim desteği sunuyoruz:

• 7/24 Acil Olay Müdahale (Incident Response): Bir siber saldırı gerçekleştiğinde acil durum ekibimizle sistemlerinizi karantinaya alıyor, sızıntının yayılmasını engelliyoruz.
• Detaylı Adli Analiz (Digital Forensics): Saldırganların sistemlerinizde bıraktığı tüm kalıntıları, kullanılan zararlı yazılımları ve sızma tekniklerini derinlemesine inceliyoruz.
• Zararlı Yazılım Analizi (Malware Analysis): Saldırıda kullanılan ransomware veya trojan yazılımlarını izole laboratuvar ortamında analiz ederek işlevlerini çözümlüyoruz.
• Hukuki Geçerliliğe Sahip Raporlama: Mahkemelerde veya KVKK bildirimlerinde delil niteliği taşıyan teknik bilirkişi raporlarını uluslararası standartlarda hazırlıyoruz.

Sonuç: Olay Sonrası Değil, Olay Öncesi Hazır Olun

Adli bilişim, bir siber yangının ardından küllerin arasından gerçeği çıkarma sanatıdır. Ancak siber güvenlikte asıl hedef, yangının çıkmasını önlemek veya çıktığı anda söndürmektir. Kurumunuzun adli bilişim süreçlerine ihtiyaç duymaması için proaktif güvenlik önlemlerini sıkı tutmalı, olası bir kriz için önceden test edilmiş bir Olay Müdahale Planına sahip olmalısınız.

Altyapınızın siber güvenliğini test etmek, Yönetilen SOC Hizmetlerimiz ile tehditleri anında izlemek veya olası bir siber olayda profesyonel **Olay Müdahale (IR) ve Adli Bilişim** desteği almak için Inoguard uzman kadromuzla bugün iletişime geçin.