404Abi adlı yazarın profil fotoğrafı
404Abi
@kodkafasi
0

Adli Bilişimde Memory Forensics Temelleri: RAM Üzerinden Dijital Delil Analizi

Memory Forensics (Bellek Adli Bilişimi), çalışan bir sistemin RAM (ana bellek) içeriğinin analiz edilerek dijital delil elde edilmesini amaçlayan adli bilişim disiplinidir. Günümüzde gelişmiş saldırılar, disk üzerinde iz bırakmadan yalnızca bellek üzerinde çalışabildiğinden, memory forensics kritik öneme sahiptir.

RAM üzerinde bulunan veriler sistem kapatıldığında kaybolur; bu nedenle bellek analizi zaman açısından çok kritiktir.

Memory Forensics Nedir?

Memory Forensics, işletim sistemi çalışır durumdayken elde edilen bellek imajı üzerinde yapılan analizleri kapsar. Bu analizler sayesinde:

- Çalışan süreçler

- Ağ bağlantıları

- Şifreler ve kriptografik anahtarlar

- Zararlı yazılımlar (fileless malware)

tespit edilebilir.

Disk adli bilişiminde bulunamayan birçok delil yalnızca bellek analizinde ortaya çıkar.

Bellekte Hangi Veriler Bulunur?

RAM üzerinde aşağıdaki kritik veriler yer alır:

- Çalışan prosesler ve thread’ler

- DLL ve paylaşılan kütüphaneler

- Açık dosya tanımlayıcıları

- Ağ soketleri

- Kernel yapıları

- Kullanıcı oturum bilgileri

Şifreler genellikle hash veya düz metin olarak geçici süreyle bellekte bulunabilir.

Memory Acquisition (Bellek İmajı Alma)

Bellek analizi öncesinde doğru ve adli geçerliliği olan bir bellek imajı alınmalıdır.

Yaygın Bellek Alma Araçları

1 - WinPMEM

2 - FTK Imager

3 - DumpIt

4 - LiME (Linux)

1winpmem.exe --output bellek.raw
Bellek alma işlemi sistem üzerinde değişiklik yaratabilir, bu durum raporda mutlaka belirtilmelidir.

Memory Forensics Analiz Aşamaları
1. Profil Belirleme

İşletim sistemi ve kernel sürümü tespit edilir.

1volatility -f bellek.raw imageinfo

2. Süreç Analizi

Çalışan ve gizlenmiş süreçler tespit edilir.

1volatility -f bellek.raw --profile=Win10x64 pslist
Rootkit’ler genellikle süreç listelerinden kendilerini gizler.

3. Ağ Bağlantıları Analizi

Şüpheli IP ve portlar incelenir.

1volatility -f bellek.raw netscan

Bu analiz ile:

- C2 (Command & Control) bağlantıları

- Yetkisiz uzak erişimler

tespit edilebilir.

4. Zararlı Yazılım Analizi

- Enjekte edilmiş kodlar

- Bellek içi DLL’ler

- Fileless malware

1volatility -f bellek.raw malfind
Fileless saldırılar yalnızca bellek forensics ile tespit edilebilir.

Örnek Senaryo

Bir sistemde disk üzerinde zararlı yazılım bulunamıyor ancak ağ trafiği şüpheli görünüyor.

Memory Forensics sayesinde:

- Bellekte çalışan gizli bir PowerShell süreci

- RAM içi enjekte edilmiş shellcode

- Harici IP ile aktif bağlantı

tespit edilebilir.

Bu tür saldırılar geleneksel antivirüs çözümlerini atlatabilir.

İpuçları ve En İyi Uygulamalar

1 - Bellek imajını olay anına en yakın zamanda alın

2 - Analizleri kopya imaj üzerinde yapın

3 - Zaman damgalarını mutlaka kontrol edin

4 - Disk ve bellek analizlerini birlikte değerlendirin

Bellek ve disk adli bilişimi birbirini tamamlayan disiplinlerdir.

Karşılaşılan Zorluklar

- Büyük bellek boyutları

- Şifrelenmiş bellek alanları

- Anti-forensics teknikleri

- Kernel seviyesinde zararlılar

Bu zorluklar, ileri seviye araçlar ve uzmanlık gerektirir.

Memory Forensics:

1 - Diskte bulunamayan kritik delilleri ortaya çıkarır

2 - Modern ve fileless saldırıların tespitinde hayati rol oynar

3 - Olay müdahalesi ve adli raporlamada güçlü kanıtlar sunar

RAM, dijital olayların “canlı tanığıdır”.

Doğru yöntemler ve araçlarla yapılan bellek analizi, karmaşık siber saldırıların aydınlatılmasında vazgeçilmezdir.

konu hakkında tepkinizi verebilirsiniz

İlginizi Çekebilir