Adli Bilişimde Dosya Sistemlerinin Rolü: FAT, NTFS, ext4 İncelemesi ve Analiz Yöntemleri
Adli bilişim, dijital suçların incelenmesinde kritik bir rol oynamaktadır ve bu süreçte, verilerin doğru bir şekilde toplanması, analizi ve raporlanması gerekmektedir. Dijital delillerin korunması ve incelenmesi sırasında, kullanılan dosya sistemlerinin türü ve yapısı büyük bir öneme sahiptir. Bu makalede, en yaygın kullanılan dosya sistemlerinden FAT, NTFS ve ext4'ün adli bilişimdeki rolünü inceleyecek ve bu sistemlerin özelliklerini, veri kurtarma yöntemlerini ele alacağız.
1. Dosya Sistemleri ve Adli Bilişim
Bir dosya sistemi, bilgisayarın sabit diski veya başka bir depolama biriminde verileri düzenli bir şekilde saklamak için kullanılan bir yapıdır. Adli bilişim açısından dosya sistemi, şüpheli bir cihazdan elde edilen verilerin analiz edilmesinde kritik bir rol oynar. Dosya sistemi türleri, veri kurtarma, silinen dosyaların geri getirilmesi ve delil takibi gibi süreçlerde önemli farklar yaratabilir.
2. FAT Dosya Sistemi: Eski ve Yaygın Kullanım
FAT (File Allocation Table), 1980'lerde Microsoft tarafından geliştirilen eski bir dosya sistemidir. Bu sistem, özellikle eski işletim sistemlerinde ve küçük cihazlarda yaygın olarak kullanılmaktadır.
Özellikler:
Basit Yapı: FAT dosya sistemi, verilerin saklanma biçimi açısından oldukça basittir. Bu basit yapı, adli bilişim açısından avantajlı olabilir çünkü verilerin izini sürmek daha kolaydır.
Yaygın Kullanım: FAT16 ve FAT32, çoğunlukla USB bellekler, SD kartlar ve eski sabit disklerde kullanılır.
Adli Bilişimdeki Yeri:
Silinen Dosyalar: FAT dosya sisteminde, dosya silindiğinde, sistemin "silindi" olarak işaretlediği alanlar aslında fiziksel olarak boşalmaz. Bu, adli bilişim uzmanlarının silinen verileri geri getirmelerini mümkün kılar.
Veri Kurtarma: FAT sistemlerinde silinen dosyalar daha kolay kurtarılabilir. Bunun nedeni, dosya işaretçisinin silinmiş olarak işaretlenmesi ancak fiziksel verinin diskte kalmasıdır.
FAT Dosya Sistemi Örneği (Linux'ta):
1sudo mount -t vfat /dev/sdX1 /mnt2sudo fsck.vfat /dev/sdX13. NTFS Dosya Sistemi: Windows'un Gücü
NTFS (New Technology File System), Windows işletim sistemleri için tasarlanmış modern bir dosya sistemidir. NTFS, gelişmiş özellikleri ile FAT'tan çok daha güçlüdür.
Özellikler:
Gelişmiş Özellikler: NTFS, dosya düzeyinde güvenlik, şifreleme ve sıkıştırma gibi özellikler sunar. Bu, verilerin güvenliğini arttırır.
Dosya Erişim Kontrolleri: NTFS, her dosya için erişim kontrol listeleri (ACL) ve dosya izinleri sunar. Bu özellik, adli bilişimde izlerin takibini zorlaştırabilir, ancak aynı zamanda gizlilik ve güvenlik için de önemlidir.
Adli Bilişimdeki Yeri:
Silinen Veriler: NTFS, dosyaları "silindi" olarak işaretledikten sonra veri üzerindeki alanı hemen yeni veriler için kullanmaya başlar. Bu, verilerin kurtarılmasını zorlaştırabilir, ancak bazı adli bilişim yazılımları, silinen dosyaları kurtarmada başarılı olabilir.
MFT (Master File Table): NTFS dosya sistemi, tüm dosya bilgilerini MFT'ye kaydeder. MFT, silinen dosyaların kurtarılmasında önemli bir kaynaktır.
NTFS Dosya Sistemi Örneği (Windows'ta):
1chkdsk D: /f4. ext4 Dosya Sistemi: Linux ve Modern Depolama
ext4 (Extended File System 4), Linux tabanlı işletim sistemlerinde yaygın olarak kullanılan bir dosya sistemidir. ext4, güçlü performansı ve veri güvenliği özellikleriyle dikkat çeker.
Özellikler:
Yüksek Performans: ext4, büyük dosya sistemlerinde yüksek performans sunar.
Veri Kurtarma: ext4'te silinen veriler, genellikle daha zordur çünkü sistem, verilerin üzerine yeni veriler yazarken, öncekileri tamamen siler. Ancak ext4'ün "journaling" özelliği, adli bilişimde faydalı olabilir.
Adli Bilişimdeki Yeri:
Silinen Dosyalar: ext4 dosya sistemlerinde silinen dosyaların kurtarılması, çoğunlukla zordur. Bunun nedeni, verilerin üzerine yazılmasıdır.
Journaling Özelliği: ext4'ün journaling özelliği, dosya sisteminin güvenliğini artırırken, yapılan değişikliklerin kaydını tutar. Bu özellik, veri kurtarma süreçlerinde önemli bir kaynak olabilir.
ext4 Dosya Sistemi Örneği (Linux'ta):
1sudo fsck.ext4 /dev/sdX15. Örnek Analiz Senaryoları
Senaryo 1: FAT Sistemi Üzerindeki Veri Kurtarma
Bir USB bellek üzerinde FAT32 dosya sistemi kullanılıyor. Veri kurtarma işlemi yapmak için, silinen dosyalar geri getirilebilir. Bunun için kullanılan yazılım, diskte işaretlenmiş ancak silinmemiş verileri analiz eder.
Senaryo 2: NTFS Sistemi Üzerinde Silinen Dosya İncelemesi
Bir Windows bilgisayarında NTFS dosya sistemi kullanılıyor. Silinen dosyaların kurtarılması için, MFT'yi analiz etmek önemlidir. Ancak, yeni verilerin diskte üzerine yazılmadığı takdirde dosyalar geri getirilebilir.
Senaryo 3: ext4 Sisteminde Veri İncelemesi
Linux sunucusunda ext4 kullanılıyor ve silinen veriler üzerine yazılmadığı takdirde, journaling özelliği ile dosya sisteminin incelemesi yapılabilir. Ancak, veri kurtarma işlemi karmaşık olabilir.
6. İpuçları ve Öneriler
Veri Kurtarma: Her dosya sistemi için uygun veri kurtarma yazılımlarını kullanın. Örneğin, FAT için "Recuva", NTFS için "R-Studio" gibi araçlar tercih edilebilir.
Zamanlama: Veri kaybı yaşandıktan sonra, hemen harekete geçmek önemlidir. Yeni verilerin üzerine yazılmasını engellemek için diski kullanmamaya özen gösterin.
Yedekleme: Adli inceleme sürecinde kullanılan cihazların yedeğini almak, güvenlik ve doğruluk açısından kritik bir adımdır.
FAT, NTFS ve ext4 gibi dosya sistemlerinin her biri, adli bilişimde farklı zorluklar ve fırsatlar sunar. FAT dosya sistemi, basit yapısı ve veri kurtarma kolaylıkları ile eski sistemlerde sıkça tercih edilirken, NTFS dosya sistemi, güçlü güvenlik özellikleri ile modern Windows işletim sistemlerinde kullanılır. ext4 ise, Linux tabanlı sistemlerde yüksek performans sunar, ancak silinen verilerin kurtarılması daha zor olabilir.
Adli bilişim uzmanlarının, her dosya sisteminin özelliklerini doğru bir şekilde anlaması ve uygun araçları kullanarak veri kurtarma ve inceleme işlemlerini gerçekleştirmesi gerekmektedir.
0 yorum