Adli Bilişimde API ve Sistem Çağrıları Analizi: Dijital Delillerin Derinlemesine İncelenmesi

Adli bilişim, dijital sistemlerde gerçekleşen olayların hukuki geçerliliği olan deliller ışığında analiz edilmesini amaçlar. Modern işletim sistemleri ve uygulamalar, donanım ve yazılım kaynaklarına erişmek için API (Application Programming Interface) ve sistem çağrılarını (system calls) yoğun biçimde kullanır.

Bu nedenle API ve sistem çağrılarının analizi, kötü amaçlı yazılım tespiti, olay müdahalesi ve dijital delil üretimi açısından kritik bir rol oynar.

API Nedir ve Adli Bilişimde Neden Önemlidir?

API’ler, bir uygulamanın başka bir yazılım veya işletim sistemi bileşeniyle iletişim kurmasını sağlayan fonksiyonlardır.

Adli bilişim açısından API analizi sayesinde:

- Uygulamanın hangi kaynaklara eriştiği

- Dosya, bellek, ağ ve kayıt defteri işlemleri

- Gizlenmiş veya zararlı davranışlar

tespit edilebilir.

Sistem Çağrıları (System Calls) Nedir?

Sistem çağrıları, kullanıcı modunda çalışan bir programın çekirdek (kernel) moduna geçerek işletim sistemi hizmetlerinden yararlanmasını sağlar.

Örnek sistem çağrıları:

open() – Dosya açma

read() / write() – Dosya okuma/yazma

execve() – Program çalıştırma

socket() – Ağ iletişimi

Adli Analizde API ve Sistem Çağrıları Nasıl İncelenir?
1. Statik Analiz

Statik analizde, yazılım çalıştırılmadan incelenir.

- Import edilen API’ler

- DLL bağımlılıkları

- String analizleri

Avantajı: Güvenlidir
Dezavantajı: Gizlenmiş davranışlar görülemeyebilir

2. Dinamik Analiz

Dinamik analizde yazılım kontrollü bir ortamda çalıştırılır.

- API Hooking

- Sistem çağrısı izleme

- Sandbox analizleri

Örnek: Linux Sistem Çağrısı İzleme (strace)

Aşağıdaki örnekte bir uygulamanın sistem çağrıları strace aracı ile izlenmektedir:

1strace -f -o log.txt ./supheli_uygulama

Bu çıktı sayesinde:

- Açılan dosyalar

- Ağ bağlantıları

- Yetki yükseltme girişimleri

tespit edilebilir.

Örnek: Windows API Çağrısı İzleme (Pseudo Kod)

1HookAPI("CreateFileA");
2HookAPI("WriteFile");
3HookAPI("RegSetValueExA");

Bu yaklaşım ile dosya ve kayıt defteri manipülasyonları izlenebilir.

İpuçları ve En İyi Uygulamalar

1 - Analizleri izole sanal makinelerde yapın

2 - API çağrılarını zaman çizelgesi halinde inceleyin

3 - Normal sistem davranışlarıyla karşılaştırma yapın

4 - Log bütünlüğünü koruyun

Karşılaşılan Zorluklar

- Anti-debugging ve anti-VM teknikleri

- Şifrelenmiş API çağrıları

- Kernel seviyesinde rootkitler

Bu zorluklar, ileri seviye adli bilişim araçları ve uzmanlık gerektirir.

Adli bilişimde API ve sistem çağrıları analizi:

- Yazılım davranışını derinlemesine anlamayı sağlar

- Zararlı faaliyetlerin tespitinde güçlü deliller sunar

- Olay müdahalesi ve adli raporlama süreçlerini destekler

Doğru araçlar ve yöntemlerle yapılan analizler, karmaşık siber olayların aydınlatılmasında kritik bir avantaj sağlar.

#AdliBilişim  #kaynak