Adli Bilişim RAID Sistemlerinde Adli İşlem: Adli İnceleme ve Kanıt Yönetimi

RAID (Redundant Array of Independent/Inexpensive Disks) sistemleri, veri güvenliği ve performans için yaygın olarak kullanılmaktadır. Ancak adli bilişim incelemelerinde RAID yapıları, klasik tek disk analizinden çok daha karmaşık bir süreç gerektirir. Bu makalede, RAID sistemlerinde adli işlem yöntemleri, ipuçları ve örnekler detaylı olarak ele alınacaktır.

RAID Sistemlerine Genel Bakış

RAID sistemleri farklı seviyelerde yapılandırılır:

RAID 0: Performans odaklı, veri parçalanarak yazılır, yedekleme yok.

RAID 1: Aynalama (mirroring), veri kaybı riski düşük.

RAID 5: Parite dağılımlı, hem performans hem güvenlik sağlar.

RAID 6: İki parite bloğu ile ekstra güvenlik.

RAID 10: RAID 1 ve RAID 0 kombinasyonu, yüksek performans ve güvenlik.

Adli İşlem Süreci

RAID sistemlerinde adli işlem adımları genellikle şu şekilde ilerler:

1. Fiziksel ve Mantıksal İnceleme

- RAID sistemi fiziksel olarak incelenir; disklerin türü, bağlantı şekli ve arıza durumu not edilir.

- Mantıksal yapı anlaşılır; RAID seviyesi ve blok dağılımı belirlenir.

2. Disk Görüntüsü Alma

Adli bilişimde, RAID disklerinden imaj almak kritik öneme sahiptir.

1Örnek: Linux dd kullanarak disk imajı alma
2
3dd if=/dev/sdX of=/mnt/forensic_images/disk1.img bs=64K conv=noerror,sync

3. RAID Yeniden Oluşturma

- RAID yapısı bilinmeden analiz yapmak mümkün değildir.

- RAID seviyesine göre yazılım veya donanım tabanlı RAID yeniden oluşturulur.

1Örnek: Linux mdadm ile RAID 5 yeniden oluşturma
2
3mdadm --assemble --verbose /dev/md0 /dev/sd[abc]

4. Veri Analizi ve Kurtarma

- RAID dizisi oluşturulduktan sonra veri kurtarma araçlarıyla analiz yapılır.

- Özellikle silinmiş veya parça parça dağılmış dosyalar için ileri düzey kurtarma teknikleri kullanılır.

Örnek Senaryo

Bir kurumda 4 diskli RAID 5 sistemi suç delili olarak inceleniyor:

1 - Diskler fiziksel olarak çıkarılır ve write-blocker ile bağlanır.

2 - Her disk için imaj alınır: disk1.img, disk2.img, disk3.img, disk4.img.

3 - mdadm ile RAID 5 yeniden oluşturulur.

4 - Autopsy veya FTK gibi adli bilişim yazılımlarıyla dosyalar analiz edilir.

İpuçları

RAID seviyesini kesin olarak belirlemeden analiz yapmayın.

- Tüm işlemlerde hash (MD5/SHA256) ile bütünlüğü doğrulayın.

- Bozuk veya kayıp diskleri belirlemede profesyonel RAID kurtarma hizmetlerini değerlendirin.

- Sanal ortamda test yaparak yanlış adli işlem riskini azaltabilirsiniz.

RAID sistemlerinde adli işlem, klasik tek disk analizinden çok daha karmaşık bir süreçtir.

Doğru yöntem ve araçlarla RAID sistemlerinde adli bilişim, suç delillerinin güvenli ve etkili bir şekilde incelenmesini sağlar.

#AdliBilişim #kaynak