Adli Bilişim Registry Analizi ve İz Takibi: Dijital Delilleri Keşfetmek

Adli bilişim, dijital suçların çözülmesinde önemli bir rol oynar. Bu süreçte, dijital izlerin kaybolmaması için her adımın dikkatle incelenmesi gerekir. Registry Analizi ve İz Takibi, Windows tabanlı sistemlerde gerçekleşen olayların detaylı bir şekilde izlenmesi ve analiz edilmesi sürecidir. Windows işletim sistemi, çok sayıda bilgi ve ayar kaydını kayıt defteri (registry) içinde saklar. Bu kayıtlar, kullanıcı aktivitelerini, sistemdeki değişiklikleri ve potansiyel suçluları tespit etmek için adli bilişim uzmanları tarafından önemli kanıtlar olarak kullanılır.

Windows Registry Nedir?

Windows Registry, işletim sisteminin yapılandırma bilgilerini sakladığı bir veritabanıdır. Bu veritabanı, yazılımlar, donanımlar, kullanıcı ayarları ve hatta şüpheli aktiviteler hakkında detaylı bilgiler içerir. Adli bilişimde, Windows Registry’nin analizi, özellikle kullanıcının sistemdeki etkinliklerini, hangi programların çalıştığını, hangi dosyaların açıldığını ve daha fazlasını öğrenmek için yapılır.

Registry'deki önemli anahtarlar ve değerler, adli bilişimde kullanılan kritik dijital delillerin başında gelir. Bu, suçlu kişilerin bilgisayarındaki izleri ve sistemdeki değişiklikleri tespit etmek için en etkili yöntemlerden biridir.

Registry Analizi ve İz Takibi İçin Kullanılan Temel Araçlar

Registry analizi ve iz takibi yapmak için bir dizi güçlü araç bulunmaktadır. Adli bilişim uzmanları bu araçlarla Windows sistemlerinde detaylı incelemeler yapabilirler. İşte bu araçlardan bazıları:

1 - RegRipper:
RegRipper, Windows Registry dosyalarını analiz etmek için kullanılan açık kaynaklı bir araçtır. Bu araç, çeşitli anahtarları ve değerleri çıkararak sistemdeki şüpheli faaliyetleri izlemeyi kolaylaştırır.

2 - FTK Imager:
FTK Imager, disk görüntülerini alarak Windows Registry'yi çıkarmak ve analiz etmek için kullanılan güçlü bir araçtır. Bu araçla, diskten alınan registry verileri üzerinde detaylı incelemeler yapılabilir.

3 - Registry Viewer:
Registry Viewer, Windows Registry üzerinde derinlemesine incelemeler yapmanızı sağlayan ticari bir yazılımdır. Bu araçla, registry anahtarları, değerleri ve diğer yapılandırmaları detaylı şekilde görüntüleyebilirsiniz.

Windows Registry’te İz Takibi Yapmanın Temel Adımları

Adli bilişimde Registry analizi yapmak için izlenecek temel adımlar şunlardır:

1 - Registry Verilerinin Toplanması:
İlk adım, hedef sistemin registry verilerinin toplanmasıdır. Bu işlem, sistemin genel durumunu anlamak ve dijital delillerin elde edilmesi için gereklidir.

Veri Toplama için Komutlar:

Registry verilerini toplamak için, komut satırından şu komutu kullanabilirsiniz:

1reg export HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs C:\path\to\output.reg

Bu komut, kullanıcının en son açtığı dosyaların kaydını alacaktır.

2 - Registry’deki Anahtarlar ve Değerler Üzerinde Araştırma Yapma:
Registry, kullanıcıların bilgisayarlarında yaptığı işlemleri izler. Bu işlemler, dosya açma, program çalıştırma, cihaz bağlantıları gibi aktiviteleri içerir. Bu bilgilerin doğru bir şekilde analiz edilmesi gerekir.

Örnek:

RecentDocs anahtarındaki veriler, son açılan dosyaların listesini gösterir. Bu liste, adli bilişim uzmanına, belirli bir dosyanın en son ne zaman açıldığını ve hangi kullanıcı tarafından açıldığını gösterir.

3 - Silinen Anahtarları ve Değerleri İnceleme:
Kullanıcılar, işlem geçmişlerini silmiş olabilirler, ancak Windows Registry genellikle bu silme işlemlerine dair izler bırakır. Bu, özellikle şüpheli aktivitelerin ortaya çıkarılması için önemlidir.

4 - Zaman Damgalarının Analizi:
Registry’deki zaman damgaları, bir dosyanın veya uygulamanın ne zaman açıldığını, değiştirdiğini veya silindiğini gösterebilir. Bu zaman damgaları, olayın zaman çizelgesini oluşturmak için kullanılır.

Windows Registry’de Bulunan Kritik Kanıtlar

1 - RecentDocs:
Bu anahtar, kullanıcının son açtığı dosyaları içerir. Bu, dijital delil toplama sürecinde çok önemli olabilir. Örneğin, bir dosya açıldığında, registry bu etkinliği kaydeder.

2 - UserAssist:
UserAssist anahtarı, kullanıcıların çalıştırdığı programları ve uygulamaları kaydeder. Bu bilgi, adli bilişim uzmanlarına, belirli bir programın hangi tarihlerde çalıştırıldığını gösterebilir.

3 - Run/RunOnce Anahtarları:
Bu anahtarlar, Windows'un başlangıcında otomatik olarak çalışan programları gösterir. Suçlular, kötü niyetli yazılımları veya izleme yazılımlarını bu anahtarlara ekleyebilir.

4 - MRU (Most Recently Used):
Windows, en son kullanılan dosyaların ve komutların kaydını tutar. Bu anahtarlar, kullanıcının geçmiş aktivitelerini gösterebilir.

Registry Analizi ve İz Takibi için İpuçları

1 - Zaman Damgalarını Detaylı İnceleyin:
Windows Registry'deki zaman damgaları, belirli bir olayın ne zaman gerçekleştiğini anlamanızı sağlar. Bu veriler, olayların sırasını takip etmek için kritik öneme sahiptir.

2 - Silinen Verileri Araştırın:
Kötü niyetli kullanıcılar, geçmiş işlemlerini silmeye çalışabilirler. Ancak, Windows Registry genellikle bu silme işlemleri hakkında izler bırakır. Bu izler, kötü niyetli aktiviteleri ortaya çıkarabilir.

3 - Registry Verilerini Yedekleyin:
Registry verilerinin doğru bir şekilde toplanması için, her zaman bir yedekleme yapılmalıdır. Bu, analiz sırasında verilerin bozulmasını önler.

4 - Gizli Anahtarları Araştırın:
Windows Registry bazen gizli anahtarlar saklar. Bu anahtarlar, şüpheli aktiviteler hakkında kritik bilgiler içerebilir.

Registry Analizi ile Yapılabilecek Örnek Araştırmalar

Bir bilgisayarda şüpheli bir aktivite fark edildiğinde, adli bilişim uzmanı aşağıdaki adımları izleyebilir:

Silinen Dosyaların İzini Sürmek:

Kullanıcı, bir dosyayı silmiş olabilir. Ancak, silinen dosya hakkında bilgi, "RecentDocs" veya "UserAssist" anahtarlarında olabilir.

Örnek:
"RecentDocs" anahtarını inceleyerek, kullanıcının son açtığı dosyalar hakkında bilgi alabiliriz.

Kötü Niyetli Yazılımların İzini Sürmek:

Suçlular, kötü niyetli yazılımları sistemin başlangıcında çalıştırmak için "Run" anahtarlarını kullanabilir. Bu anahtarları araştırarak, şüpheli yazılımlar tespit edilebilir.

Zaman Çizelgesi Oluşturmak:

Registry’deki zaman damgalarını kullanarak, şüpheli aktivitelerin hangi tarihlerde yapıldığını belirleyebilirsiniz. Bu, suçlunun eylemlerini zamanında izleyerek, bir suçun işlendiği dönemi daha net bir şekilde ortaya çıkarır.

Özet

Registry analizi ve iz takibi, adli bilişimde dijital delil toplamanın en kritik adımlarından biridir. Windows Registry, kullanıcıların bilgisayarındaki etkinlikleri, dosya erişimlerini ve program çalıştırmalarını kaydeden önemli bir kaynaktır. Bu verilerin dikkatlice incelenmesi, dijital suçların çözülmesinde kilit rol oynar. Silinen verilerin izlerini sürmek, zaman damgalarını analiz etmek ve gizli anahtarları araştırmak, adli bilişim uzmanlarının kullanabileceği en etkili yöntemlerdir.

#AdliBilişim #kaynak