Adli Bilişimde Memory Acquisition ve Dump: Dijital Delil Toplamanın Temel Rehberi

Adli bilişim çalışmalarında Memory Acquisition (bellek kazanımı) ve Memory Dump (bellek dökümü) süreçleri, siber suçların çözülmesinde kritik rol oynar. Bu makalede, bu kavramları, yöntemlerini, araçlarını ve uygulama örneklerini detaylı şekilde ele alacağız.

Memory Acquisition Nedir?

Memory Acquisition, bilgisayar veya cihazın RAM’inde bulunan geçici verilerin toplanması işlemidir. Bu veriler, sistem kapatıldığında kaybolabileceği için canlı bellek analizi adli bilişimde büyük önem taşır.

Memory Acquisition Amaçları:

- Sistem durumunu analiz etmek

- Çalışan süreçleri ve servisleri tespit etmek

- Ağ bağlantılarını ve açık portları incelemek

- Şifrelenmiş veya silinmiş verileri kurtarmak

Memory Dump Nedir?

Memory Dump, RAM’deki verilerin dökümünü alarak bir dosya veya görüntü halinde saklama işlemidir. Bu işlem, elde edilen verilerin daha sonra detaylı analiz için kullanılmasını sağlar.

Memory Acquisition ve Dump Yöntemleri

1 - Canlı Bellek Analizi (Live Acquisition)

- Sistemin çalışırken belleğinin kopyalanması

Avantaj: Çalışan süreçleri ve ağ bağlantıları görülebilir

Dezavantaj: Sistem değişebilir, delil bütünlüğü etkilenebilir

2 - Soğuk Bellek Analizi (Offline Acquisition)

- Sistem kapatıldıktan sonra RAM içeriğinin kurtarılması

Avantaj: Delil bütünlüğü korunur

Dezavantaj: Çoğu zaman bellek verileri kaybolur

Popüler Araçlar

FTK Imager: Hem disk hem de RAM görüntüsü alabilir.

Volatility: Bellek analizi ve süreç inceleme için kullanılır.

LiME (Linux Memory Extractor): Linux cihazlardan bellek dökümü için ideal.

1LiME ile Linux belleğini dump alma örneği
2
3insmod lime.ko "path=/root/memdump.lime format=lime"

1Windows üzerinde FTK Imager ile bellek dökümü
2GUI üzerinden “Capture Memory” seçeneğini kullanın

Örnek Senaryo: Bellek Analizi ile Şifre Kurtarma

1 - Hedef sistem açık ve bağlı.

2 - LiME veya FTK Imager ile bellek dump alınır.

3 - Volatility kullanılarak dump analizi yapılır:

1Volatility ile Windows RAM dump incelemesi
2
3volatility -f memdump.raw --profile=Win10x64 pslist

4 - Çalışan süreçler incelenir ve şifreler, tokenlar veya oturum bilgileri kurtarılır.

İpuçları ve Dikkat Edilecek Noktalar

- Bellek dump dosyaları büyük olabilir, yeterli depolama alanı hazırlayın.

- Hash doğrulaması ile adli delil bütünlüğünü sağlayın.

- Dump alırken minimum sistem etkileşimi hedefleyin.

- Yasal izinler olmadan bellek görüntüsü almak suç teşkil edebilir.

Memory Acquisition ve Memory Dump, adli bilişimde kritik bir rol oynar. RAM’deki verilerin hızlı ve güvenli bir şekilde yakalanması, suçların çözülmesinde hayati öneme sahiptir.

#AdliBilişim  #kaynak