Adli Bilişimde Botnet ve DDoS Analizi: Saldırı Tespiti, İnceleme ve Delillendirme
Adli bilişim, dijital ortamda işlenen suçların tespit edilmesi, analiz edilmesi ve hukuki delile dönüştürülmesi sürecidir. Günümüzde en yaygın ve yıkıcı siber tehditlerden ikisi Botnet ve DDoS (Distributed Denial of Service) saldırılarıdır. Bu makalede, adli bilişim perspektifinden botnet ve DDoS saldırılarının nasıl analiz edildiği, hangi tekniklerin kullanıldığı ve hangi delillerin elde edildiği ele alınacaktır.
Botnet Nedir?
Botnet, saldırgan tarafından uzaktan kontrol edilen, genellikle zararlı yazılım bulaştırılmış çok sayıda bilgisayar veya IoT cihazından oluşan ağdır. Bu cihazlar “zombi” olarak adlandırılır.
Botnet’in Temel Bileşenleri
- Komuta ve Kontrol Sunucusu (C&C)
- Zombi cihazlar
- Zararlı yazılım (malware)
- İletişim protokolleri (HTTP, IRC, P2P)
DDoS Saldırısı Nedir?
DDoS saldırıları, bir hedef sistemin aşırı trafikle hizmet veremez hale getirilmesini amaçlar. Bu saldırılar genellikle botnet’ler aracılığıyla gerçekleştirilir.
Yaygın DDoS Türleri
- Volumetric Attacks (UDP Flood, ICMP Flood)
- Protocol Attacks (SYN Flood)
- Application Layer Attacks (HTTP Flood)
Adli Bilişimde Botnet ve DDoS Analizi
1. Trafik Analizi
Ağ trafiği incelenerek olağandışı yoğunluklar ve tekrar eden paketler tespit edilir.
Örnek TCP SYN Flood Analizi:
1tcpdump -n tcp and port 802. Log İnceleme
- Firewall logları
- Web sunucu logları
- IDS/IPS kayıtları
Örnek Apache Log Analizi:
1grep "POST" access.log | wc -l3. Zararlı Yazılım Analizi
Botnet istemcileri genellikle:
- Otomatik başlatma
- Şifreli iletişim
- Rootkit teknikleri kullanır
Statik Analiz Örneği:
1strings malware.exe | more4. Zaman Çizelgesi (Timeline) Oluşturma
- Saldırının başlangıç zamanı
- Trafik artış noktası
- Sistem çökme zamanı
Bu adım, olayın hukuki raporlaması için gereklidir.
Örnek Senaryo
Bir e-ticaret sitesi ani trafik artışı nedeniyle hizmet dışı kalır. Adli bilişim uzmanı:
1 - Ağ trafiğini inceler
2 - SYN Flood tespit eder
3 - IP’lerin botnet kaynaklı olduğunu belirler
4 - Log ve pcap dosyalarını delil olarak saklar
İpuçları (Best Practices)
- IDS/IPS sistemleri aktif tutulmalıdır
- Trafik eşik değerleri belirlenmelidir
- Loglar zaman damgalı saklanmalıdır
- Honeypot sistemler analiz için kullanılabilir
Botnet ve DDoS saldırıları, modern siber tehditlerin merkezinde yer almaktadır. Adli bilişim kapsamında bu saldırıların:
- Trafik analizi
- Log inceleme
- Zararlı yazılım analizi
- Hukuki delillendirme
adımlarıyla ele alınması mümkündür. Doğru yöntemler kullanıldığında saldırganlara ulaşmak ve saldırıyı belgelemek mümkündür.
0 yorum