Adli Bilişim: Volatility ile RAM Analizi ve Dijital Suç İncelemeleri

Adli bilişim, dijital delillerin toplanması, analizi ve yorumlanması süreçlerini içeren, suçlu tespiti için kritik bir disiplindir. Günümüzün dijital dünyasında, RAM (Rastgele Erişim Belleği) analizi, siber suçları araştırırken önemli bir yer tutar. Volatility, açık kaynaklı ve güçlü bir adli bilişim aracı olup, bir sistemin belleğinde bulunan gizli bilgilere erişim sağlar. Bu makale, Volatility ile RAM analizi yapmanın temel ilkelerini, adli bilişimde nasıl kullanıldığını ve örneklerle nasıl işlem yapıldığını açıklamaktadır.

RAM Analizinin Önemi

RAM, bir bilgisayarın geçici veri depolama alanıdır ve aktif uygulamalara ait önemli bilgileri barındırır. Bu bilgiler, şifreler, kullanıcı oturumları, çalışan uygulama süreçleri ve hatta potansiyel olarak zararlı yazılımlar gibi dijital suçların izlerini taşıyabilir. [RAM analizi], bilgisayarın açılması veya kapatılması sırasında kaybolmayan ancak bellekteki geçici verilerde gizli kalan delillerin elde edilmesini sağlar.

Volatility Aracı Nedir?

Volatility, forensik dijital analiz yapmak için geliştirilmiş, bellek dökümü analizini kolaylaştıran bir yazılımdır. Çok sayıda işletim sistemi ve platformda çalışabilir ve büyük bellek dump dosyaları üzerinde işlem yaparak adli bilişim uzmanlarının zaman kazanmalarını sağlar.

Özellikleri:

- Çeşitli işletim sistemlerine ait bellek döküm dosyalarını analiz edebilir.

- Bellekten şüpheli süreçler, şifreler, ağ bağlantıları ve kullanıcı oturum bilgileri çıkarılabilir.

- Python tabanlıdır ve gelişmiş komutlarla özelleştirilebilir.

Volatility ile RAM Analizi Yapma
1. Volatility'yi Yüklemek

Volatility'nin en son sürümünü yüklemek oldukça basittir. Python 3.x sürümünü kullanarak Volatility’yi kurabilirsiniz.

1pip install volatility3

2. Bellek Dökümü Dosyasının Hazırlanması

RAM analizine başlamadan önce, bellek dökümü dosyasının alınması gerekir. Bu işlem, işletim sisteminin belleğini bir dosyaya aktarmak anlamına gelir. Bunun için aşağıdaki araçlar kullanılabilir:

Linux: LiME (Linux Memory Extractor)

Windows: DumpIt veya FTK Imager

MacOS: osxpmem

3. RAM Analizi İçin Volatility Kullanımı

Volatility'yi kullanarak bellek dökümünden bilgi çıkarmak için aşağıdaki komutları kullanabilirsiniz:

Bellek dosyasını analiz etme:

1volatility -f memory.dmp --profile=Win7SP1x64 pslist

Bu komut, memory.dmp adlı bellek döküm dosyasındaki aktif süreçlerin listesini çıkartır.

Ağ bağlantılarını listeleme:

1volatility -f memory.dmp --profile=Win7SP1x64 netscan

Bu komut, bellek dump'ındaki aktif ağ bağlantılarını analiz eder.

Şifreleri çıkarma:

1volatility -f memory.dmp --profile=Win7SP1x64 hashdump

Bu komut, sistemdeki kullanıcıların şifre hash'lerini çıkartır.

4. Elde Edilen Verilerin Analizi

Volatility, çok çeşitli veri tiplerini analiz etmenize olanak tanır. Burada önemli olan, hangi bilgilerin delil olarak kullanılabileceğini belirlemektir. Örneğin, bir sistemde kötü amaçlı yazılım çalışıyorsa, Volatility ile bu yazılımın hafızada nasıl izler bıraktığı, kullanılan süreçler veya ağ bağlantıları çıkartılabilir.

RAM Analizinde İpuçları

Profil Seçimi: Volatility kullanırken, doğru işletim sistemi profilini seçmek çok önemlidir. Yanlış profil, hatalı sonuçlar verebilir.

Zaman Damgalarını Kontrol Etme: Bellek dökümünden elde edilen verilerde zaman damgaları, olayların sırasını belirlemede yardımcı olabilir.

*Zararlı Yazılım Analizi: Kötü amaçlı yazılımlar, RAM üzerinde belirgin izler bırakır. Bu izlerin izlenmesi, zararlı yazılımın türünü anlamanıza yardımcı olabilir.

Örnek Senaryo: Zararlı Yazılım Tespiti

Bir kullanıcı, bilgisayarında şüpheli aktiviteler fark etti. Volatility kullanarak RAM analizi yapalım ve bu süreci detaylandıracak olalım:

1 - Bellek Dökümünü Almak: DumpIt aracı ile bellek dökümü aldık.

2 - Süreç Listesini Çıkartmak:

1volatility -f memory.dmp --profile=Win7SP1x64 pslist

Çıkan süreçler arasında bilmediğimiz, normalde görünmeyen bir süreç fark ettik.

3 - Ağ Bağlantılarını Tarama:

1volatility -f memory.dmp --profile=Win7SP1x64 netscan

Bu süreç, şüpheli bir IP adresine bağlanıyor. Bu bağlantının kötü amaçlı bir yazılımın izlediği bir yol olduğunu düşündük.

4 - Hash'leri Çıkartma:

1volatility -f memory.dmp --profile=Win7SP1x64 hashdump

Kullanıcı şifrelerinin hash'lerini inceledik ve başka bir bilgisayara aktarılan verileri tespit ettik.

RAM Analizinin Zorlukları

RAM analizi yaparken karşılaşılabilecek bazı zorluklar şunlardır:

1 - Yüksek Boyutlu Dökümler: Bellek dump'ları çok büyük olabilir ve analiz için çok fazla zaman alabilir.

2 - Entegre Güvenlik Sistemleri: Bazı güvenlik yazılımları, bellek dökümünü almaya çalışırken engeller yaratabilir.

3 - Veri Kaybı: Sistem kapandığında veya RAM üzerine yeni veriler yazıldığında eski veriler kaybolabilir.

Volatility, adli bilişimde RAM analizi yapmak için güçlü bir araçtır. Bellek dökümleri üzerinde yapılan incelemeler, dijital suçları çözme sürecinde önemli bir rol oynar. Bu makalede, Volatility'nin temel özellikleri ve RAM analizinde nasıl kullanılacağına dair adımlar anlatıldı. Bu tür analizler, adli bilişim uzmanlarının bilgisayarlar üzerindeki şüpheli aktiviteleri daha hızlı tespit etmelerini sağlar. Ancak, analizlerin doğruluğu ve güvenilirliği, kullanılan verilerin kalitesine ve analiz tekniklerine bağlıdır.

Volatility ve benzeri araçlar sayesinde, dijital deliller üzerinde yapılacak detaylı incelemeler, suçların çözülmesinde önemli bir adım olabilir.

Kaynaklar*

Volatility Resmi web sitesi LiME Aracı: Github