Adli Bilişim Paket Analizi: Wireshark ile Ağ Trafiğini İnceleme

Günümüzde siber suçların artmasıyla birlikte adli bilişim çalışmaları her zamankinden daha önemli hale gelmiştir. Ağ trafiği analizinde kullanılan en güçlü araçlardan biri Wireshark, veri paketlerini yakalamak ve incelemek için hem güvenlik uzmanları hem de adli bilişim profesyonelleri tarafından tercih edilmektedir. Bu makalede, Wireshark ile paket analizi yöntemlerini, ipuçlarını ve örnek uygulamaları detaylı şekilde inceleyeceğiz.

Wireshark Nedir?

Wireshark, açık kaynak kodlu bir ağ protokol analizörüdür. Ağ üzerinde gerçekleşen veri paketlerini yakalar, detaylı analiz sağlar ve ağ sorunlarını veya şüpheli aktiviteleri tespit etmeye yardımcı olur.

Adli Bilişimde Wireshark Kullanım Alanları

Wireshark, özellikle aşağıdaki senaryolarda adli bilişim uzmanları için kritik bir araçtır:

Siber saldırı analizleri: Şüpheli IP adreslerinden gelen paketlerin detaylı incelenmesi.

Veri sızıntısı tespiti: Ağ üzerinde hassas bilgilerin izinsiz iletimini tespit etme.

Olay sonrası inceleme: Ağ trafiğini kaydederek, saldırı anındaki paketleri geri alma.

Protokol analizi ve hata tespiti: TCP, UDP, HTTP, DNS gibi protokollerin davranışlarını gözlemleme.

Wireshark Kurulumu ve Temel Kullanım

Wireshark’ı kurmak oldukça basittir:

1Ubuntu için Wireshark kurulumu
2
3sudo apt update
4sudo apt install wireshark
5
6Windows için
7Wireshark resmi sitesinden installer indirip kurulum yapabilirsiniz

Kurulum sonrası temel kullanım adımları:

Wireshark’ı açın ve ağ adaptörünü seçin.

Canlı trafiği başlatmak için “Start Capture” butonuna tıklayın.

Paketleri filtreleyerek inceleyin.

Paket Analizi ve Filtreleme Örnekleri

Wireshark’ta belirli paketleri filtrelemek için display filter kullanılabilir.

1Sadece HTTP paketlerini görmek için
2
3http
4
5Belirli IP adresinden gelen paketleri filtreleme
6
7ip.src == 192.168.1.10
8
9Belirli port üzerinden TCP trafiği
10
11tcp.port == 443

Örnek Senaryo: Şüpheli Trafik Analizi

1 - Wireshark ile ağ trafiğini kaydedin.

2 - Şüpheli IP adresini filtreleyin:

1ip.addr == 203.0.113.5

3 - İlgili paketlerin içeriklerini analiz edin (HTTP istekleri, DNS sorguları, şifrelenmiş veri akışı vb.).

4 - Anormal durumları raporlayın: örneğin, bilinmeyen bir sunucuya büyük veri gönderimi.

İpuçları ve En İyi Uygulamalar

Filtreleme alışkanlığı edinin: Büyük ağlarda her paketi incelemek mümkün değildir, bu yüzden filtreleri etkili kullanın.

Zaman damgalarını kontrol edin: Paketlerin zaman sırasını incelemek saldırının zamanlamasını anlamak açısından kritik olabilir.

Raporlama: Adli bilişim süreçlerinde paketleri açıklayıcı ekran görüntüleri ve filtre bilgileri ile raporlayın.

Güvenlik önlemleri: Canlı ağ üzerinde analiz yaparken ağ trafiğini bozmayın.

Wireshark, adli bilişim alanında ağ trafiği analizi için vazgeçilmez bir araçtır. Paketlerin yakalanması, filtrelenmesi ve incelenmesi sayesinde siber saldırılar, veri sızıntıları ve ağ hataları detaylı şekilde analiz edilebilir. Etkili bir analiz için filtreleme, zaman damgalarını inceleme ve raporlama yöntemlerini kullanmak önemlidir.

#AdliBilişim  #kaynak