Adli Bilişim RAM Analizi ve Dump Alma: Bellek İncelemesi ile Dijital Delil Toplama

Adli bilişim çalışmalarında RAM (Random Access Memory) analizi, canlı sistemlerden elde edilebilecek en kritik dijital delilleri barındırır. Diskte bulunmayan; ancak çalışmakta olan zararlı yazılımlar, şifreler, oturum bilgileri ve ağ bağlantıları gibi veriler RAM üzerinde yer alır. Bu nedenle RAM dump alma ve analiz süreçleri, olay müdahalesi (Incident Response) ve siber suç soruşturmalarında hayati öneme sahiptir.

RAM Dump Nedir?

RAM dump, sistem belleğinin birebir kopyasının alınması işlemidir. Bu kopya sayesinde sistem çalışırken oluşan veriler sonradan analiz edilebilir.

RAM Dump İçerisinde Bulunabilecek Veriler

1 - Çalışan süreçler (process)

2 - Zararlı yazılımlar (malware, rootkit)

3 - Şifreler ve oturum anahtarları

4 - Açık ağ bağlantıları

5 - Komut geçmişleri

6 - Enjekte edilmiş kodlar

RAM Dump Alma Yöntemleri
1. Windows Sistemlerde RAM Dump Alma
FTK Imager ile RAM Dump Alma

1FTK Imager → File → Capture Memory
2✓ Include pagefile.sys
3✓ Create AD1 File

Avantajları:

- Adli bilişime uygun

- Hash değeri üretir

- GUI tabanlı, kullanımı kolay

2. WinPmem Aracı ile RAM Dump Alma

1winpmem.exe --format raw --output ram_dump.raw

Avantajları:

- Hafif ve hızlı

- Volatility uyumlu

- Komut satırı üzerinden çalışır

3. Linux Sistemlerde RAM Dump Alma

1sudo dd if=/dev/mem of=ram_dump.img bs=1M

Alternatif olarak LiME (Linux Memory Extractor) modülü kullanılabilir.

RAM Analizi Nedir?

RAM analizi, alınan dump dosyasının adli bilişim araçları ile incelenmesidir. En yaygın kullanılan araç Volatility Framework’tür.

Volatility ile RAM Analizi
Profil Belirleme

1volatility -f ram_dump.raw imageinfo

Çalışan Süreçleri Listeleme

1volatility -f ram_dump.raw --profile=Win10x64 pslist

Gizli Süreçleri Bulma

1volatility -f ram_dump.raw --profile=Win10x64 psscan

Ağ Bağlantılarını İnceleme

1volatility -f ram_dump.raw --profile=Win10x64 netscan

RAM Analizi Sırasında Dikkat Edilmesi Gerekenler

1 - Dump alma işlemi delili değiştirmemelidir

2 - Hash (MD5/SHA256) alınmalıdır

3 - Zaman damgaları korunmalıdır

4 - Analiz kopya üzerinde yapılmalıdır

Pratik Örnek Senaryo

Olay: Bir sistemde antivirüs uyarı vermiyor ancak dış IP’lere veri gönderiliyor.

Çözüm Adımları:

- RAM dump alınır

- Volatility ile netscan çalıştırılır

- Şüpheli IP bağlantısı tespit edilir

- Bağlantıyı başlatan process belirlenir

- Process içinden DLL ve string analizi yapılır

İpuçları (Tips)

1 - RAM dump almadan önce USB bellek otomatik çalıştırma kapalı olmalı

2 - Analiz sırasında birden fazla plugin kullanın

3 - strings aracı ile dump içinden şifre ve URL arayın

4 - YARA kuralları ile zararlı tespiti yapın

RAM analizi, adli bilişimde en kritik ve geri dönüşü olmayan delilleri barındırır. Doğru araçlarla alınmış bir RAM dump; zararlı yazılımları, gizli süreçleri ve saldırgan faaliyetlerini ortaya çıkarabilir. Volatility gibi güçlü framework’ler sayesinde bellek içeriği detaylı şekilde analiz edilebilir. Etkili bir adli bilişim incelemesi için RAM analizi vazgeçilmezdir.

#AdliBilişim  #kaynak