Adli Bilişim Log Analizi ve Kanıt Takibi: Dijital İpuçlarını Çözmek

Adli bilişim, dijital dünyada gerçekleşen suçları araştırmak, anlamak ve çözmek için kullanılan önemli bir alandır. Bu süreç, sistemlere ve ağlara dair derinlemesine incelemeler yaparak suçluların izlerini takip etmeyi amaçlar. Log analizi ve kanıt takibi, adli bilişimin temel bileşenlerindendir. Bu makalede, log analizi sürecini ve kanıt takibini detaylandıracak, en iyi yöntemleri ve araçları keşfedeceğiz.

Log Analizi Nedir?

Log analizi, bir sistemde ya da ağda gerçekleşen işlemlerin kaydını tutan log dosyalarının incelenmesi sürecidir. Log dosyaları, sistemdeki tüm işlemler, hatalar, kullanıcı girişleri ve çıkışları hakkında bilgi verir. Adli bilişim bağlamında, bu log dosyaları suçluların dijital izlerini takip etmek için önemli kanıtlar sağlar.

Örneğin, bir web sunucusundaki erişim logları, saldırganların sisteme nasıl girdiğini ve hangi verileri hedef aldığını gösterebilir. Bu log dosyalarının doğru şekilde analiz edilmesi, bir suçun çözülmesinde kritik öneme sahiptir.

Kanıt Takibi: Dijital Kanıtların İzini Sürmek

Kanıt takibi, dijital ortamda elde edilen verilerin kaybolmadan güvenli bir şekilde toplanması, saklanması ve analiz edilmesidir. Bu süreç, bir suçun çözülmesinde önemli adımları içerir. Adli bilişim uzmanları, elde ettikleri dijital kanıtları hukuki süreçlere uygun bir şekilde sunmak zorundadır.

Kanıtın toplanması ve izlenmesi aşamaları şunlardır:

Kanıtın Elde Edilmesi: Suçla ilgili dijital kanıtlar (log dosyaları, disk görüntüleri, ağ trafiği) sistemlerden elde edilir.

Kanıtın Muhafaza Edilmesi: Toplanan dijital kanıtlar, değişikliğe uğramaması için güvenli bir şekilde saklanır.

Kanıtın İncelenmesi: Dijital veriler detaylı olarak incelenir ve suçla ilgili potansiyel izler bulunur.

Log Analizi için Temel Araçlar ve Yöntemler

Log analizi, çeşitli araçlar ve teknikler ile yapılabilir. İşte en yaygın kullanılan araçlar:

ELK Stack (Elasticsearch, Logstash, Kibana):

Örnek Kullanım:

Elasticsearch, büyük veri setlerinde hızlı arama yaparak, belirli bir IP adresinin sunucuya hangi tarihlerde bağlandığını bulabilir.

Kibana ile bu veriler görsel raporlar halinde sunulabilir.

1GET /access_logs/_search
2{
3"query": {
4"match": {
5"ip": "192.168.1.1"
6}
7}
8}

Splunk:
Splunk, büyük verilerin toplanması, izlenmesi ve analiz edilmesi için yaygın olarak kullanılan bir diğer güçlü araçtır. Ağ trafiği ve uygulama logları üzerine derinlemesine analizler yapabilir.

Wireshark:
Ağ trafiğini analiz etmek için kullanılan Wireshark, özellikle ağ tabanlı saldırıları tespit etmek için faydalıdır.

Log Analizi Adımları

Log analizi için tipik bir süreç şu adımları içerir:

Veri Toplama:
Log dosyaları çeşitli sistemlerden (web sunucuları, veritabanları, ağ cihazları) toplanır. Bu veriler, genellikle JSON veya CSV formatında olabilir.

Veri Temizliği ve Hazırlık:
Elde edilen veriler, gereksiz bilgilerden arındırılır ve analiz için uygun hale getirilir. Bu aşamada, bozuk loglar veya eksik veriler tespit edilmelidir.

Veri Analizi:
Elde edilen loglar analiz edilerek anormal aktiviteler, potansiyel saldırılar veya kullanıcı hataları tespit edilir. Bu adımda, log dosyalarındaki belirli örüntüler ve IP adresleri önemli ipuçları sunar.

Örnek:
Bir SQL injection saldırısını tespit etmek için, web sunucusunun log dosyalarında belirli anahtar kelimelerin (örneğin, 'SELECT', 'DROP') araması yapılabilir.

1SELECT * FROM web_logs WHERE message LIKE '%SELECT%' OR message LIKE '%DROP%';

Raporlama ve Sunum:
Sonuçlar, doğru bir şekilde raporlanmalı ve kanıt olarak sunulabilir. Raporlar, yasal süreçlerde kullanılabilir olacak şekilde detaylandırılmalıdır.

Kanıt Takibi ve Hukuki Yönler

Dijital kanıtların toplanması ve izlenmesi sırasında dikkat edilmesi gereken en önemli noktalardan biri, kanıtların bütünlüğüdür. Adli bilişimde, kanıtların değiştirilmeden ve bozulmadan saklanması gerekir. Bu nedenle, kanıtların toplanma ve saklanma aşamaları, her zaman belirli prosedürlere uygun olmalıdır.

Kanıt Takibi Adımları:

Kanıtın Elde Edilmesi ve Kayıt Altına Alınması:
Kanıt toplandıktan sonra, elde edilen veriler detaylı bir şekilde kayda alınmalıdır. Bu süreç, her adımın kayıt altına alınmasını içerir.

Zincir-i Euslat (Chain of Custody):
Dijital kanıtlar, her zaman bir "zincir-i euslat" izlenerek takip edilmelidir. Bu, kanıtın kimler tarafından ne zaman alındığını, hangi aşamalardan geçtiğini ve hangi koşullarda saklandığını gösteren bir belgedir.

Örnek: SQL Injection Saldırısı

Bir web uygulamasına SQL injection saldırısı yapıldığını düşünelim. Web sunucusunun log dosyalarındaki belirli örüntüler sayesinde bu saldırıyı tespit edebiliriz.

Adımlar:

1 - Web sunucusunun log dosyalarını toplayın.

2 - SQL komutlarını içeren log girişlerini arayın.

3 - Elde edilen veriler, saldırıyı gerçekleştiren IP adresi ve kullanılan teknikler hakkında bilgi verir.

İpuçları ve En İyi Uygulamalar

Düzenli Log Taramaları Yapın: Log dosyalarını düzenli aralıklarla taramak, anormal aktiviteleri erken tespit etmek için önemlidir.

Otomasyon Araçları Kullanın: Büyük veri setlerinde manuel analiz yapmak zor olabilir. Bu yüzden otomasyon araçları kullanmak daha verimli sonuçlar sağlar.

Zaman Damgalarını Kontrol Edin: Log dosyalarındaki zaman damgaları, olayların sırasını takip etmek için kritik öneme sahiptir.

Adli bilişim log analizi ve kanıt takibi, dijital suçların çözülmesinde önemli araçlardır. Log analizi, sistemdeki tüm etkinliklerin izini sürerken, kanıt takibi de elde edilen verilerin güvenli bir şekilde saklanmasını ve doğru bir şekilde sunulmasını sağlar. ELK Stack ve Splunk gibi araçlar, bu süreçlerin daha etkili bir şekilde yönetilmesine olanak tanır. Dijital ortamda yapılan her işlem, potansiyel bir kanıt olabilir, bu yüzden her adımda dikkatli ve sistematik bir yaklaşım benimsenmelidir.

#AdliBilişim #kaynak