Adli Bilişim Disk Partisyon Analizi: Yöntemler, Araçlar ve Örnekler

Adli bilişim dünyasında disk partisyon analizi, dijital delillerin güvenli bir şekilde incelenmesi ve olayların aydınlatılması açısından kritik bir adımdır. Bu makalede, disk partisyonlarının incelenmesi süreçleri, kullanılan araçlar, örnekler ve ipuçları ile birlikte detaylı bir rehber sunulmaktadır.

Disk Partisyon Analizi Nedir?

Disk partisyon analizi, bir depolama aygıtındaki bölümlerin (partition) yapısını, türünü ve içeriğini detaylı şekilde incelemeyi amaçlar. Bu işlem, özellikle veri kurtarma, siber saldırı incelemeleri ve dijital suç soruşturmalarında önem taşır.

Temel Kavramlar

Partition Table (Bölüm Tablosu): Diskteki bölümlerin konum ve boyut bilgilerini tutar.

MBR (Master Boot Record): 2 TB’a kadar olan disklerde kullanılan eski bölümleme yöntemi.

GPT (GUID Partition Table): Modern disklerde kullanılan, 2 TB’dan büyük diskleri destekleyen bölümleme yöntemi.

File System (Dosya Sistemi): NTFS, FAT32, exFAT, EXT4 gibi verilerin saklanma biçimlerini belirler.

Disk Partisyon Analizinde Kullanılan Araçlar

Adli bilişim uzmanları, disk partisyonlarını incelemek için çeşitli yazılımlar kullanır:

1 - FTK Imager – Diskin birebir kopyasını alır ve analiz yapar.

2 - Autopsy/Sleuth Kit – Dosya sistemi ve partition analizi için güçlü bir araç seti.

3 - EnCase – Profesyonel adli bilişim yazılımı, derinlemesine analiz sağlar.

4 - TestDisk – Silinmiş veya kaybolmuş bölümleri kurtarmak için açık kaynaklı araç.

Disk Partisyon Analizi Adımları
1. Diskin Görüntüsünü Alma

Diskin birebir kopyasını almak, delil bütünlüğü için zorunludur.

1Örnek: Linux dd komutu ile disk görüntüsü alma
2
3sudo dd if=/dev/sda of=/mnt/usb/disk_image.dd bs=4M status=progress

2. Partition Tablosunu İnceleme

Diskin bölüm yapısını görmek için çeşitli komutlar kullanılabilir:

1Linux fdisk ile bölümleri listeleme
2
3sudo fdisk -l /dev/sda
4
5Alternatif olarak parted kullanımı
6
7sudo parted /dev/sda print

3. Dosya Sistemi ve İçerik Analizi

Partition içindeki dosya sistemi ve dosyaların yapısı incelenir. Örnek:

1NTFS partition için ntfsinfo kullanımı
2
3sudo ntfsinfo -m /dev/sda1

4. Silinmiş veya Gizli Dosyaların Tespiti

TestDisk veya Autopsy gibi araçlarla silinmiş veriler geri getirilebilir.

Örnek Senaryo: Şüpheli USB Disk Analizi

Bir USB diskin şüpheli içerikleri incelenmek istendiğinde:

1 - Diskin birebir görüntüsü alınır.

2 - Partition tablosu incelenir (fdisk -l /dev/sdb).

3 - NTFS ve FAT32 bölümleri kontrol edilir.

4 - Silinmiş dosyalar TestDisk ile kurtarılır.

5 - Elde edilen veriler hash ile doğrulanır.

İpuçları ve En İyi Uygulamalar

- Her zaman yazma korumalı ortamda çalışın.

- İşlem adımlarını dokümante edin.

- Büyük disklerde zaman tasarrufu için bölümlere ayrı ayrı odaklanın.

- Komut satırı ve grafik arayüz araçlarını birlikte kullanmak verimliliği artırır.

- Olay inceleme raporlarında görseller ve tablo kullanmak anlaşılırlığı artırır.

Adli bilişimde disk partisyon analizi, dijital delillerin doğru şekilde incelenmesini sağlayan temel bir süreçtir. Bu süreçte:

- Partition tabloları ve dosya sistemleri doğru şekilde incelenir.

- Silinmiş veya gizli dosyalar kurtarılır.

- Delil bütünlüğü ve doğrulama her adımda sağlanır.

Doğru araç ve yöntemlerin kullanılması, disk partisyon analizini hem güvenli hem de etkili hale getirir.

#AdliBilişim  #kaynak