Adli Bilişim ve Malware Trafik Analizi: Dijital İzleri Çözümleme Rehberi

Adli bilişim alanında malware (zararlı yazılım) trafik analizi, siber saldırıların kaynağını belirlemek, zararlı yazılım davranışlarını incelemek ve güvenlik önlemleri geliştirmek için kritik bir araçtır. Bu makalede malware trafik analizinin temellerini, ipuçlarını ve örneklerini detaylı şekilde inceleyeceğiz.

Malware Trafik Analizine Giriş

Malware trafik analizi, bir zararlı yazılımın ağ üzerindeki hareketlerini ve iletişimlerini incelemeyi kapsar. Bu süreç, ağ paketlerini incelemek, anormal veri akışlarını tespit etmek ve zararlı etkinlikleri belirlemek üzerine kuruludur.

Neden Önemlidir?

1 - Saldırı Tespit ve Önleme: Ağdaki anormal paketler erken uyarı sağlar.

2 - Adli Kanıt: Siber suçlarda dijital kanıt olarak kullanılır.

3 - Zararlı Yazılım Analizi: Malware’in hangi sunucularla iletişim kurduğunu, hangi protokolleri kullandığını ortaya çıkarır.

Malware Trafik Analizi Yöntemleri

Malware trafik analizinde kullanılan başlıca yöntemler şunlardır:

1. Paket Yakalama ve İnceleme

1Wireshark ile ağ trafiğini kaydetmek
2
3wireshark -i eth0 -w malware_traffic.pcap

2. Protokol Analizi

Malware çoğu zaman HTTP, HTTPS veya DNS gibi yaygın protokoller üzerinden iletişim kurar. Bu nedenle protokol bazlı analiz önemlidir.

3. Trafik Anormalliklerinin Tespiti

Malware genellikle veri sızıntısı, komut kontrol (C2) sunucularına bağlantı veya zararlı payload ile iletişim kurar.

1Python örneği ile belirli IP'ye yapılan şüpheli bağlantıları bulma
2
3import pyshark
4
5capture = pyshark.FileCapture('malware_traffic.pcap')
6
7for pkt in capture:
8if hasattr(pkt, 'ip'):
9if pkt.ip.dst == '192.168.1.100': # Şüpheli IP
10print(f"Şüpheli bağlantı: {pkt.ip.src} -> {pkt.ip.dst}")

Örnekler ve İpuçları
Örnek 1: C2 Sunucusuna Bağlantı Tespiti

- Malware, sık sık rastgele IP adreslerine bağlanıyorsa, bu C2 iletişimi olabilir.

- DNS ve HTTP isteklerini analiz ederek, hangi alan adlarının şüpheli olduğunu bulabilirsiniz.

Örnek 2: Zararlı Dosya Transferi

- Malware genellikle base64 veya şifrelenmiş veri transferi yapar.

- Wireshark filtresi kullanarak bu paketleri ayıklamak mümkündür:

1Base64 içeren HTTP paketlerini filtreleme
2
3http contains "YmFzZTY0"

İpuçları:

- Analiz sırasında timestamp ve paket boyutu gibi meta verileri mutlaka kontrol edin.

- Malware bazen normal trafikle karışık davranır, bu yüzden anormallik tespiti kritik öneme sahiptir.

- Sanal bir ortamda (sandbox) analiz yapmak, sistemi korumak için önemlidir.

Malware Trafik Analizi Adli Bilişim Sürecinde Kullanımı

1 - Veri Toplama: Ağ paketlerini kaydet.

2 - Ön İşleme: Gereksiz paketleri filtrele.

3 - Analiz: Anormal davranışları tespit et, C2 sunucularını belirle.

4 - Raporlama: Kanıtları ve bulguları adli rapor haline getir.

Malware trafik analizi, dijital saldırıları anlamak ve önlemek için kritik bir araçtır.

Paket yakalama ve protokol analizi ile malware davranışları gözlemlenir.

Trafik anomalileri ile zararlı etkinlikler tespit edilir.

Analiz süreci, adli bilişimde kanıt toplama ve raporlama aşamalarıyla tamamlanır.

#AdliBilişim  #kaynak