Adli Bilişim ve Ağ Trafik Analizi: Temeller, Yöntemler ve Uygulamalar

Adli bilişim, dijital kanıtları toplama, inceleme ve analiz etme sürecini kapsar ve genellikle suçları çözmek için kullanılır. Bu alanda ağ trafik analizi, ağ üzerinden gerçekleşen iletişimin incelenmesini ifade eder. Ağ trafik analizi, özellikle siber suçlar, veri sızıntıları ve ağ tabanlı saldırıların tespiti gibi konularda kritik bir öneme sahiptir. Bu makalede, adli bilişimde ağ trafik analizinin temellerine, kullanılan araçlara, tekniklere ve en iyi uygulamalara odaklanacağız.

1. Ağ Trafik Analizi Nedir?

Ağ trafik analizi, ağda gönderilen ve alınan verilerin izlenmesi ve incelenmesidir. Adli bilişim bağlamında, bu analizler suç unsurlarının tespit edilmesinde, dijital kanıtların toplanmasında ve ağ saldırılarının izlenmesinde kullanılır. Ağ trafik verileri genellikle paketler, protokoller, IP adresleri ve port numaralarından oluşur. Bu veriler, suçlu faaliyetlerin izlenebilmesi ve kanıtlanabilmesi için çok önemlidir.

2. Ağ Trafik Analizinde Kullanılan Temel Protokoller

Ağ trafik analizi yapılırken, verilerin iletimi çoğunlukla belirli protokoller aracılığıyla gerçekleşir. En yaygın kullanılan protokoller şunlardır:

TCP/IP (Transmission Control Protocol/Internet Protocol): Veri iletimi için en yaygın kullanılan protokoldür. TCP, verilerin güvenilir bir şekilde iletilmesini sağlar, IP ise verilerin doğru hedefe yönlendirilmesinden sorumludur.

HTTP/HTTPS (HyperText Transfer Protocol): Web trafiği için kullanılan protokollerdir. HTTPS, verilerin şifrelenmiş bir şekilde iletilmesini sağlar.

DNS (Domain Name System): Alan adı sistemidir ve IP adreslerini alan adıyla eşler.

FTP (File Transfer Protocol): Dosya transferi için kullanılan bir protokoldür.

3. Ağ Trafiği Analizinde Kullanılan Araçlar

Adli bilişimde ağ trafik analizi yaparken çeşitli araçlardan yararlanılır. Bu araçlar, ağ trafiğini izleme, kayıt etme ve analiz etme süreçlerini kolaylaştırır. İşte bazı popüler araçlar:

Wireshark: Ağ paketlerini yakalayıp analiz edebilen açık kaynaklı bir araçtır. Wireshark, detaylı filtreleme, paket analizi ve protokol çözümlemesi gibi özellikler sunar.

tcpdump: Komut satırı tabanlı bir ağ analiz aracıdır. Özellikle ağ paketlerini hızlıca yakalayıp incelemek için kullanılır.

NetworkMiner: Ağ trafiğinden elde edilen raw verileri analiz ederek, dosya transferleri ve oturum bilgilerini çıkaran bir araçtır.

4. Ağ Trafik Analizinde İzlenebilecek Adımlar

Ağ trafik analizi genellikle birkaç aşamadan oluşur:

a) Veri Toplama

İlk adım, ağ trafiğini izlemek ve analiz için gerekli verileri toplamaktır. Bu, ağ üzerinden akan veri paketlerini yakalamak anlamına gelir. Veri toplama araçları kullanılarak, ağ trafiği çeşitli protokoller üzerinden izlenebilir.

b) Veri Analizi

Veri toplandıktan sonra, bu veriler analiz edilir. Trafik analizi, belirli IP adreslerinin sıklıkla hedef alınıp alınmadığını, hangi portların kullanıldığını ve hangi protokollerin yoğunlukla kullanıldığını belirlemeyi içerir. Bu süreç, ağda anormal faaliyetlerin tespit edilmesinde yardımcı olur.

c) Kanıtları Sunma

Elde edilen ağ trafik verileri, yasal bir bağlamda kullanılacaksa, doğru bir şekilde belgelenmeli ve sunulmalıdır. Adli bilişimde, dijital kanıtların geçerli olması için doğru prosedürlerin takip edilmesi çok önemlidir.

5. Örnek: Wireshark ile Ağ Trafiği Analizi

Wireshark ile ağ trafik analizi yaparken, şüpheli bir HTTP trafiğini izleyebiliriz. Örneğin, bir dosya sızdırma işlemi gerçekleştiren bir ağ trafiğini takip edebiliriz.

1Wireshark’ı açın ve uygun ağ arayüzünü seçin.
2
3Filtreleme seçeneklerinden “http” filtresini seçerek sadece HTTP trafiğini izleyin.
4
5Paketlerden birini seçerek ayrıntılı bilgi edinin. Bu, genellikle dosya transferi veya web tabanlı saldırıların tespiti için kullanılır.

Bu işlem, şüpheli HTTP trafiği üzerinden bir dosya sızdırma işlemi yapılmışsa, Wireshark tarafından yakalanabilir.

6. En İyi Uygulamalar ve İpuçları

Zaman Damgası: Ağ trafiği analizinde zaman damgası çok önemlidir. Trafiğin doğru bir şekilde zamanlanması, olayların kronolojik sırasının belirlenmesine yardımcı olur.

Veri Şifreleme: Şifreli verilerin analiz edilmesi zor olabilir. Bu nedenle, şifreli trafiği deşifre edebilmek için uygun anahtarların veya araçların kullanılması gerekebilir.

Ağ Segmentasyonu: Ağ segmentasyonu, ağdaki potansiyel tehditleri izole etmeye yardımcı olur. Özellikle kritik veriler ve sistemler, ayrı segmentlerde izlenebilir.

Ağ trafik analizi, adli bilişimde önemli bir yere sahiptir. Ağ trafiğini inceleyerek, siber suçları tespit edebilir, veri ihlallerini ortaya çıkarabilir ve suçluların izini sürebiliriz. Bu süreç, doğru araçlarla ve iyi yapılandırılmış analiz yöntemleriyle yapılmalıdır. Wireshark gibi güçlü araçlar, ağ trafiğini derinlemesine analiz etmemizi sağlar. Ayrıca, ağdaki şüpheli aktiviteleri takip etmek için uygun zaman damgaları, şifreleme çözümleri ve ağ segmentasyonu gibi en iyi uygulamaların takip edilmesi gereklidir.

Özet:

Adli bilişimde ağ trafik analizi, siber suçların çözülmesinde kritik bir rol oynar.

Wireshark ve tcpdump gibi araçlar ağ trafiğini analiz etmek için yaygın olarak kullanılır.

Ağdaki anormallikler, genellikle veri sızıntıları veya siber saldırılara işaret eder.

Analiz sırasında zaman damgası, şifreleme çözme ve ağ segmentasyonu gibi en iyi uygulamalara dikkat edilmelidir.

#AdliBilişim #kaynak