Adli Bilişim: Shell History ve Bash Analizi ile Dijital Kanıt Toplama

Adli bilişim, dijital cihazlardan elde edilen verilerin suç soruşturmalarında kullanılmak üzere analiz edilmesini içerir. Bu süreç, bilgisayarlar, sunucular, mobil cihazlar ve diğer dijital cihazlarda yer alan kanıtların toplanmasını ve incelenmesini kapsar. Bu yazıda, Shell History ve Bash Analizi gibi önemli konulara odaklanacağız. Shell, bir sistemdeki komutları kaydeder ve bu komutlar, kullanıcıların ne tür aktiviteler gerçekleştirdiğini belirlemek için oldukça değerli bilgiler sunar. Bash ise, bu komutların işlendiği kabuk programıdır.

Bu makale, Shell History ve Bash komut geçmişinin adli bilişim bağlamındaki önemini açıklayacak, nasıl analiz edilebileceğine dair örnekler ve ipuçları sunacaktır.

Shell History ve Bash Analizi Nedir?

Shell History, bir kullanıcının terminalde çalıştırdığı komutları kaydeden bir dosyadır. Bu dosya, kullanıcının ne tür işlemler gerçekleştirdiğini anlamak ve olası suç faaliyetlerini tespit etmek için önemli ipuçları sağlar. Bash, bir komut satırı arayüzüdür ve Unix tabanlı sistemlerde yaygın olarak kullanılır. Herhangi bir kullanıcı terminalde çalıştırdığı komutları Bash History dosyasına kaydeder.

Shell History Dosyasının Önemi

1 - Kullanıcı aktivitelerinin izlenmesi: Shell History dosyası, sistemde hangi komutların çalıştırıldığını ve bunların ne zaman gerçekleştirildiğini kaydeder.

2 - Zaman damgası: Bu dosyada bulunan zaman damgaları, şüpheli aktivitelerin zaman dilimlerini belirlemeye yardımcı olabilir.

3 - Sahtecilik ve manipülasyon tespiti: History dosyası üzerinde yapılan manipülasyonlar veya silinmiş komutlar, bir kullanıcının kötü niyetli davranışlarını ortaya çıkarabilir.

Bash History Dosyası Nerede Bulunur?

Bash history dosyasının konumu sistemin yapılandırmasına ve kullanıcının oturumuna bağlı olarak değişebilir. En yaygın olarak bulabileceğiniz dosyalar:

Linux/MacOS: /home/kullaniciadi/.bash_history

Root Kullanıcılar: /root/.bash_history

Bash History Dosyasının Yapısı

Bash history dosyası, her satırda bir komut olacak şekilde düzenlenmiştir. Komutlar, kullanıcının sisteme giriş yaptığı zaman damgası ile birlikte kaydedilir.

11592431298 ls -l /home
21592431302 cd /var/log
31592431321 rm -rf /tmp/*
41592431335 wget https://webdedik.com

Buradaki sayılar, Unix zaman damgalarıdır ve her bir komutun çalıştırıldığı zamanı gösterir. Analiz sırasında bu zaman damgalarını doğru şekilde yorumlamak oldukça önemlidir.

Bash History Dosyasının Analiz Edilmesi

Bash history dosyasının analizi, dijital forensik uzmanlarının gerçekleştirdiği en yaygın işlemlerden biridir. Bu süreç, çeşitli araçlar ve teknikler kullanılarak yapılabilir.

1. Dosya İzinlerini Kontrol Etme

Bash history dosyasının izni ve durumu, dosyanın manipüle edilip edilmediğini belirlemede yardımcı olabilir. History dosyasının genellikle sadece okunabilir olması gerekir. Eğer yazılabilir olarak ayarlanmışsa, bu bir manipülasyon belirtisi olabilir.

1ls -l /home/kullaniciadi/.bash_history

2. Zaman Damgalarını Analiz Etme

Unix zaman damgaları, Bash History dosyasındaki komutların sırasını ve zamanlamasını belirler. Zaman damgalarını yorumlamak, şüpheli aktiviteleri tespit etmek için kritik olabilir.

1# Zaman damgasını insan okunabilir formata dönüştürme
2date -d @1592431298

3. Manipülasyon ve Silme İpuçları

Birçok kötü niyetli kullanıcı, geçmişte gerçekleştirdiği komutları silmeye çalışabilir. Eğer komut geçmişi dosyasında eksiklikler veya düzen dışı durumlar tespit edilirse, bu bir manipülasyon belirtisi olabilir. Örneğin, .bash_history dosyasının tamamen silinmesi veya dosyanın üzerine yazılması, kullanıcının kötü niyetli faaliyetlerini gizlemeye yönelik bir çaba olabilir.

Örnek Durum Senaryosu

Bir siber suç soruşturmasında, bir saldırganın sistemdeki bazı dosyaları sildiği ve bir zararlı yazılımı indirdiği tespit edilmiştir. Bash History dosyasını incelediğimizde, zararlı yazılımın indirildiği URL’nin, yetkililer tarafından fark edilmeden önce tarihli komutlardan gizlendiği görülmektedir. Zaman damgalarını ve silinen komutları analiz etmek, saldırganın izini sürmekte kritik bir rol oynamıştır.

İpuçları ve Öneriler

1 - Bash History'i Sık Sık Yedekleyin: Yedekleme, manipülasyonlara karşı korunmanıza yardımcı olur.

2 - Zaman Damgalarını Kullanın: Zaman damgalarını doğru şekilde analiz etmek, komutların zaman sırasını ve olası şüpheli aktiviteleri tespit etmede önemlidir.

3 - Dosya İzinlerini Kontrol Edin: Dosya izinlerini kontrol ederek, komut geçmişinin izinsiz bir şekilde manipüle edilip edilmediğini tespit edebilirsiniz.

Bash History ve Shell History analizi, dijital adli bilişimde önemli bir rol oynamaktadır. Bu dosyalar, bir kullanıcının ne tür işlemler gerçekleştirdiğini, hangi komutları çalıştırdığını ve olası suç unsurlarını tespit etme konusunda kritik veriler sunar. Komutların zaman damgaları, dosya izinleri ve silme işlemleri gibi faktörler dikkatlice incelenmelidir. Unutulmamalıdır ki, adli bilişimde her adım doğru şekilde kaydedilmeli ve analizler dikkatle yapılmalıdır.

#AdliBilişim #kaynak