Adli Bilişimde Kernel ve Sistem İzleri: Dijital Delillerin Çekirdeğine Yolculuk

Adli bilişim, dijital sistemler üzerinde meydana gelen olayların bilimsel yöntemlerle incelenmesini amaçlar. Bu alanda Kernel (çekirdek) ve sistem izleri, olayların zaman çizelgesini oluşturmak ve saldırgan davranışlarını tespit etmek açısından kritik öneme sahiptir. İşletim sisteminin en alt katmanında çalışan kernel, sistemde gerçekleşen hemen her faaliyetin izini barındırır.

Kernel Nedir ve Adli Bilişimde Neden Önemlidir?

Kernel, işletim sisteminin çekirdeğidir ve şu bileşenleri yönetir:

- İşlem (process) yönetimi

- Bellek (memory) yönetimi

- Donanım sürücüleri

- Sistem çağrıları (system calls)

Adli bilişim açısından kernel; rootkit tespiti, yetki yükseltme (privilege escalation) ve çekirdek seviyesinde zararlı yazılımların analizinde temel rol oynar.

Sistem İzleri (System Artifacts) Nelerdir?

Sistem izleri, işletim sisteminin normal çalışması sırasında otomatik olarak oluşturduğu kayıtlardır.

Yaygın Sistem İzleri

1 - Log dosyaları (/var/log/)

2 - Kayıt defteri (Windows Registry)

3 - Bellek dökümleri (RAM dump)

4 - Zaman damgaları (MAC Times)

5 - Kernel logları (dmesg, kern.log)

Kernel ve Sistem İzlerine Örnekler
Linux Kernel Log İncelemesi

1dmesg | grep -i error

Bu komut, kernel tarafından kaydedilen hata mesajlarını listeler ve donanım veya sürücü kaynaklı anormallikleri ortaya çıkarabilir.

Şüpheli Modül Kontrolü

1lsmod

Yüklü kernel modüllerini listeler. Tanınmayan veya şüpheli modüller rootkit göstergesi olabilir.

Gerçek Hayattan Bir Senaryo (Örnek)

Bir Linux sunucuda yetkisiz erişim şüphesi bulunmaktadır:

- auth.log dosyası silinmiş

- Kullanıcı geçmişi temizlenmiş

Ancak:

- dmesg çıktılarında beklenmeyen kernel modülü yükleme kayıtları

- RAM analizinde gizlenmiş process tespiti

Bu durum, kernel seviyesinde bir rootkit kullanıldığını göstermektedir.

Adli Bilişim Uzmanları İçin İpuçları

1 - Kernel analizini RAM imajı ile destekleyin

2 - Canlı sistemde işlem yapmadan önce hash alın

3 - Sistem saatini ve zaman damgalarını mutlaka doğrulayın

4 - Kullanıcı logları yoksa kernel izlerine odaklanın

Kullanılan Araçlar

- Volatility / Rekall (RAM analizi)

- LiME (Linux Memory Extractor)

- Sysinternals (Windows kernel araçları)

- Autopsy / Sleuth Kit

Adli bilişimde Kernel ve Sistem İzleri, dijital olayların aydınlatılmasında en güvenilir delil kaynaklarından biridir. Kullanıcı seviyesindeki kayıtlar silinse dahi, kernel ve sistem izleri saldırgan faaliyetlerini ortaya çıkarabilir. Bu nedenle adli bilişim uzmanlarının kernel mimarisine hâkim olması ve sistem izlerini doğru yorumlaması hayati öneme sahiptir.

#AdliBilişim  #kaynak