Adli Bilişimde Prefetch ve Event Log İnceleme: Dijital İzlerin Takibi

Adli bilişim, dijital ortamda gerçekleştirilen suçları incelemek ve suçluları tespit etmek amacıyla kullanılan bir alan olup, veri toplama, analiz etme ve dijital izleri takip etme süreçlerini içerir. Prefetch ve Event Log dosyaları, adli bilişim incelemelerinde sıklıkla başvurulan önemli veri kaynaklarıdır. Bu makalede, Prefetch dosyalarının ve Event Log dosyalarının nasıl analiz edileceği, hangi bilgileri ortaya çıkardığı ve dijital izlerin takibi konularında temel ipuçları sunulacaktır.

Prefetch Dosyaları Nedir?

Prefetch dosyaları, Windows işletim sisteminin, daha hızlı program başlatmalarını sağlamak amacıyla kullandığı, her programın çalıştırılmasıyla ilgili bilgileri içeren dosyalardır. Bu dosyalar, sistemin programları hızlı bir şekilde yüklemesine yardımcı olurken, aynı zamanda bir suçlunun veya kullanıcının bilgisayarında ne tür aktiviteler gerçekleştirdiğini de ortaya çıkarabilir.

Prefetch Dosyalarının İncelenmesi

Windows işletim sistemi, her program başlatıldığında bir prefetch dosyası oluşturur. Bu dosyalar genellikle C:\Windows\Prefetch klasöründe yer alır. Prefetch dosyalarının incelenmesi, kullanıcı aktiviteleri hakkında bilgi edinmek için önemlidir. Bir program ne zaman başlatıldı, ne kadar süreyle çalıştı gibi bilgiler bu dosyalarda saklanır.

Prefetch dosyasının nasıl inceleneceği konusunda basit bir örnek:

1 - Prefetch klasörüne erişim sağlanır:

1C:\Windows\Prefetch

2 - Prefetch dosyası okunarak, içerikleri incelenir. Bu dosyalarda, programın adı, son çalıştırılma tarihi ve diğer yardımcı dosyalarla ilgili bilgiler bulunabilir.

3 - Bir prefetch dosyasının içeriğini incelemek için Python'da basit bir analiz:

1import os
2
3def prefetch_analysis(prefetch_path):
4with open(prefetch_path, 'r') as file:
5content = file.read()
6print(content)
7
8prefetch_path = r'C:\Windows\Prefetch\EXAMPLE.PF'
9prefetch_analysis(prefetch_path)

Event Log Nedir?

Event Log (Olay Günlüğü), Windows işletim sistemi tarafından sistemdeki tüm önemli olayları kaydeden bir günlük dosyasıdır. Bu dosya, sistem hataları, güvenlik olayları, program hataları gibi birçok önemli veriyi içerir. Event Log dosyaları, adli bilişim incelemelerinde önemli bir rol oynar çünkü bir bilgisayarın ne zaman ve hangi koşullarda çalıştığı hakkında bilgi verir.

Event Log İnceleme

Event Log dosyalarının analiz edilmesi, dijital izlerin bulunması açısından oldukça önemlidir. Bu dosyalar sayesinde, bir saldırganın veya kullanıcının bilgisayara erişim sağladığı, dosya değiştirdiği, şüpheli bir işlem başlattığı zamanlar tespit edilebilir. Event Log verileri, genellikle .evtx uzantılı dosyalar olarak bulunur ve bu dosyalar çeşitli yazılımlar tarafından açılabilir.

Event Log dosyasının Python ile basit analizi:

1import win32evtlog
2
3def event_log_analysis(log_type='System'):
4server = 'localhost' # local machine
5log_type = log_type # 'System', 'Security', 'Application' gibi türler
6hand = win32evtlog.OpenEventLog(server, log_type)
7events = win32evtlog.ReadEventLog(hand, win32evtlog.EVENTLOG_BACKWARDS_READ, 0)
8for event in events:
9print(f"Event ID: {event.EventID}, Time: {event.TimeGenerated}, Message: {event.StringInserts}")
10
11event_log_analysis('Security')

Prefetch ve Event Log Analizlerinin Birleştirilmesi

Prefetch ve Event Log analizlerini birleştirmek, bir dijital suçluyu izleme sürecinde daha güçlü sonuçlar elde edilmesini sağlar. Prefetch dosyaları, programların ne zaman çalıştırıldığını ve hangi dosyaların açıldığını gösterirken, Event Log dosyaları, bu işlemlerin sistemdeki zaman damgalarını ve güvenlik durumlarını ortaya çıkarır.

Örnek Durum:

Bir kullanıcı, şüpheli bir yazılım çalıştırdıktan sonra sistemde bazı değişiklikler yaptı. Prefetch dosyasını inceleyerek bu yazılımın ne zaman başlatıldığını ve ne tür dosyaların açıldığını belirleyebilirsiniz. Event Log ise, yazılımın başlatıldığı zaman diliminde bir güvenlik hatasının oluşup oluşmadığını gösterebilir.

İpuçları

1 - Prefetch dosyalarını kontrol etmek, programların ne zaman çalıştırıldığını anlamak için en iyi yöntemlerden biridir.

2 - Event Log dosyalarını incelemek, sistemin ne zaman açıldığını, ne zaman şüpheli işlemler olduğunu ve güvenlik tehditlerini tespit etmek için kritiktir.

3 - Karmaşık analizler yapmak için Python, her iki dosya türünü de açma ve işleme konusunda oldukça etkili bir dildir. Python kütüphaneleri ile, bu dosyalardan önemli bilgileri çıkarabilir ve adli bilişim süreçlerini hızlandırabilirsiniz.

Adli bilişimde, Prefetch ve Event Log dosyalarının incelenmesi, dijital izlerin takibinde kritik bir öneme sahiptir. Prefetch dosyaları, programların hangi sıklıkla çalıştırıldığını ve hangi dosyaların kullanıldığını gösterirken; Event Log dosyaları, sistemde gerçekleşen olayların zaman ve içerik bilgilerini sunar. Bu iki kaynağın birleştirilmesi, dijital suçların çözülmesinde önemli ipuçları sağlar. Python gibi araçlar, bu verilerin analizini hızlandırmak ve daha verimli hale getirmek için kullanılabilir.

Adli bilişim uzmanları için Prefetch ve Event Log dosyalarının doğru şekilde incelenmesi, hem sistemdeki gizli aktiviteleri ortaya çıkarmada hem de dijital suçluları izleme konusunda büyük kolaylık sağlayacaktır.

#AdliBilişim #kaynak