Bellek vs Disk Analizi: Adli Soruşturmada Doğru Seçimi Yapmak

Adli bilişimde bellek analizi ile disk analizi arasında seçim yapmak, duruma göre değişir. Hangisini seçeceğini yanlış belirlemek, kanıtı kaçırabilir ya da masraflı bir araştırmayı gereksiz yere uzatabilir.

Bellek analizi (memory forensics) çalışan bir sistemin RAM'inde bulunan verileri inceler. Çalışan işlemler, açık ağ bağlantıları, şifresi çözülmüş dosyalar ve henüz diske yazılmamış veriler burada bulunur. Disk analizi ise sabit diskte kalıcı olarak depolanan verileri, silinen dosyaları ve sistem yapılarını inceler.

Bellek analizi kullanmalısın eğer:

Sistem halen açıksa ve canlı kanıt toplamak gerekiyorsa. Bellek, sistem kapanırsa ya da yeniden başlatılırsa değişir. Bir saldırı devam ediyorsa, bellek dump'ı hemen almak şart.

Kriptografi anahtarlarına, parolaların hafızada tutulduğu yere ya da çalışan zararlı yazılıma erişmek gerekiyorsa. Disk'te bu veriler genelde şifreli ya da silinmiş olur.

Ağ bağlantılarını, açık soketleri ve hafızadaki payload'ları görmek istiyorsan. Disk bu anlık bilgileri tutmaz.

Disk analizi kullanmalısın eğer:

Sistem kapatılmışsa ya da erişim sınırlıysa. Disk kalıcı ve güvenlidir; bellek kaybolduktan sonra disk tek kanıttır.

Tarihçe araştırması yapıyorsan: silinen dosyalar, sistem logları, internet geçmişi, yüklenmiş programlar. Disk bu bilgilerin çoğunu tutar.

Zaman baskısı altındaysan. Bellek analizi karmaşık ve uzun sürer; disk analizi daha sistematiktir.

Gerçek dünyada çoğu soruşturmada her ikisini de kullanırsın. Sistem canlıysa önce bellek dump'ı al, sonra diski forensik görüntüle. Sistem kapalıysa doğrudan diske git.

Sık yapılan hata: bellek analizi seksi geldiği için her durumda onu seçmek. Ama sistem kapalıysa bellek boştur; o zaman disk analizi yapman gerekir. Tersine, disk analizi yeterken bellek dump'ı almak, zaman kaybıdır.

Bütçe sıkıysa da düşün. Bellek analizi araçları (Volatility gibi) ücretsiz olabilir ama zaman ve uzmanlık ister. Disk analizi (Zero-Copy: Bellek Kopyalamasını Tamamen Ortadan Kaldırabilir miyiz?) daha hızlı sonuç verebilir.

Sonuç: Sistemi canlı bulursan bellek al, kapalıysa diski analiz et. Her ikisine de hakim olmak, gerçek adli bilişimci olmakla eşdeğerdir.