Apple Silicon Tabanlı Mac Bilgisayarlarda Mantıksal Adli İmaj Alma ve Analiz Araçları
Apple Silicon işlemcili (M1, M2, M3 ve sonrası) Mac bilgisayarlarda kullanılan SSD’ler, klasik bilgisayarlardaki gibi ayrı ve sökülebilir bir donanım değildir.
Bu mimari nedeniyle SSD’ye fiziksel olarak müdahale etmek, diski sökerek okumak ya da bit‑by‑bit (fiziksel) disk imajı almak mümkün değildir. Bu durum, geleneksel adli bilişim yöntemleriyle veri elde etmeyi zorlaştırmaktadır.
Bu sistemlerde veriler, Apple tarafından geliştirilen APFS (Apple File System) üzerinde tutulur. APFS; güçlü şifreleme, erişim kontrolü, anlık görüntüler (snapshot), veri bütünlüğü ve yüksek performans gibi güvenlik odaklı özellikler sunar.
Apple, macOS işletim sisteminde veri yedekleme amacıyla Time Machine adlı yerleşik bir araç sunar.
Her ne kadar bu yedekler klasik anlamda bir fiziksel disk imajı olmasa da, Apple Silicon mimarisinde mantıksal adli imaj elde etmek için en pratik ve kabul gören yöntemlerden biridir.
Bu mimaride adli bilişim süreci, harici bir adli imaj alma yazılımı kullanmadan, tamamen sistemin kendi sunduğu mekanizmalarla yürütülebilir.
Adli imaj alma süreci genellikle şu şekilde ilerler: Öncelikle harici bir depolama birimi hazırlanır ve Time Machine aracılığıyla tam sistem yedeği alınır. Bu yedek; kullanıcı dizinlerini, sistem yapılandırmalarını, uygulama verilerini, log dosyalarını ve mevcut APFS snapshot’larını içerir. Dosya zaman bilgileri (oluşturma, değiştirme, erişim zamanları) korunur. Bu sayede elde edilen yedek, adli bilişim açısından mantıksal imaj niteliği taşır.
Alternatif veya tamamlayıcı olarak, macOS tarafından otomatik oluşturulan APFS snapshot’ları da kullanılabilir. Snapshot’lar, dosya sisteminin belirli bir zamandaki durumunu yansıtır ve olay öncesi–sonrası karşılaştırmalı analiz yapılmasına imkân tanır. Snapshot’lar sistemden alınarak ayrı bir analiz ortamına taşınabilir.
İmaj alındıktan sonra inceleme işlemi, mümkünse farklı ve izole bir analiz sisteminde gerçekleştirilir. Bu aşamada hem açık kaynak hem de ticari adli bilişim yazılımları kullanılabilir.
macOS’e özgü incelemelerde,
1Unified Logs (log show)23log show --predicate 'process == "Safari"' --last 1dkomutu ile sistem olayları, kullanıcı girişleri, USB bağlantıları ve uygulama çalışmaları analiz edilebilir. Plist ve SQLite tabanlı veri inceleme araçları sayesinde kullanıcı ayarları, tarayıcı geçmişleri, mesajlaşma ve uygulama verileri incelenebilir.
Bu yöntemlerle; kullanıcı giriş‑çıkış kayıtları, tarayıcı geçmişi, harici aygıt bağlantıları, uygulama kullanım geçmişi, iCloud senkronizasyon izleri ve mantıksal düzeyde silinmiş dosyalar analiz edilebilir.
Sonuç olarak, Apple Silicon mimarisinde fiziksel disk imajı alınamaması, adli incelemenin geçerliliğini ortadan kaldırmaz. Mantıksal imaj alma, hash doğrulama ve zincirleme delil (chain of custody) kurallarına uyularak yapılan analizler, teknik ve hukuki açıdan kabul edilebilir niteliktedir. Time Machine ve APFS snapshot’ları, bu mimaride adli bilişim için en uygulanabilir ve güvenilir yöntemler olarak öne çıkmaktadır.
0 yorum