Adli Bilişim Web Sunucu Logları ve Kanıtlar: İnceleme ve Analiz Rehberi

Web sunucuları, modern dijital ortamda kritik bir rol oynar. Adli bilişim uzmanları için web sunucu logları, siber olayların incelenmesi, kanıtların toplanması ve saldırıların tespit edilmesi açısından büyük önem taşır. Bu makalede, web sunucu loglarının önemi, analiz yöntemleri, ipuçları ve örnekler ile adli bilişim perspektifinden incelenecektir.

Web Sunucu Logları Nedir?

Web sunucu logları, sunucuda gerçekleşen tüm işlemlerin kaydedildiği dosyalardır. Bu loglar; kullanıcı erişimleri, hata mesajları, URL talepleri ve sistem olaylarını içerir. Adli bilişim sürecinde loglar, olayın zaman çizelgesini çıkarma ve dijital kanıt elde etme açısından kritik öneme sahiptir.

Örnek log türleri:

- Apache: access.log, error.log

- Nginx: access.log, error.log

- IIS: W3C, IIS log files

Web Sunucu Loglarının Önemi

1 - Olay Tespiti: Loglar, yetkisiz erişim veya saldırıları hızlı bir şekilde tespit etmeye yardımcı olur.

2 - Zaman Çizelgesi Oluşturma: Loglar sayesinde saldırının ne zaman başladığı ve hangi sistemleri etkilediği anlaşılabilir.

3 - Kanıt Sağlama: Adli bilişim raporlarında loglar, olayın dijital kanıtı olarak mahkemede kullanılabilir.

Web Sunucu Log Analizi Yöntemleri

Log analizi, dikkatli bir inceleme ve sistematik bir yaklaşım gerektirir. Temel adımlar şunlardır:

1 - Logların Toplanması:

1Apache loglarının toplanması
2
3cp /var/log/apache2/access.log /adli-bilisim/loglar/
4cp /var/log/apache2/error.log /adli-bilisim/loglar/

2 - Logların İncelenmesi:
IP adresi, tarih-saat, HTTP yöntemi ve yanıt kodları analiz edilir.

1Örnek: Şüpheli IP araması
2
3grep "192.168.1.100" access.log

3 - Zaman Çizelgesi Oluşturma:
Loglar, olayın kronolojisini oluşturmak için sıralanır.

4 - Anormal Durumların Tespiti:
Tekrarlayan 404 hataları, şüpheli POST talepleri veya sıra dışı IP erişimleri araştırılır.

Örnek Olay İncelemesi

Bir web sunucusunda sürekli 404 hataları ve anormal POST talepleri tespit edilmiştir. Analiz adımları:

1 - Şüpheli IP’leri belirleme:

1awk '{print $1}' access.log | sort | uniq -c | sort -nr

2 - İlgili IP’nin yaptığı işlemleri inceleme:

1grep "192.168.1.50" access.log

3 - Anormal POST taleplerinin kaydedilmesi:

1grep "POST" access.log | grep "192.168.1.50"

Bu adımlar sonucunda saldırganın belirli bir form aracılığıyla veri çekmeye çalıştığı tespit edilmiştir.

Adli Bilişim İpuçları

Web sunucu logları, adli bilişim çalışmalarının temel taşlarından biridir. Doğru şekilde toplandığında ve analiz edildiğinde; saldırıların kaynağı, kapsamı ve yöntemi net bir şekilde ortaya konabilir.

- Loglar, hem teknik hem hukuki kanıt sağlar.

- Analiz, sistematik ve dikkatli yapılmalıdır.

- Hash değerleri ve salt okunur kopyalar, delil bütünlüğünü garanti eder.

#AdliBilişim  #kaynak