Bilgisayar Adli Bilişimi için PowerShell ve Komut Satırı Analizi

Bilgisayar adli bilişimi, bir olayın teknik izlerini doğru ve değişmeden ortaya koymayı hedefler. Windows ortamlarında bu hedefe ulaşmanın en güçlü yollarından biri PowerShell ve Komut Satırı (Command Prompt) kullanımıdır. Grafik arayüzlere kıyasla daha hızlı, tekrarlanabilir ve kayıt altına alınabilir olmaları nedeniyle adli analizlerde tercih edilirler.

Adli Bilişimde PowerShell ve Komut Satırının Önemi
Neden CLI Tabanlı Analiz?

1 - Sistem kaynaklarını daha az tüketir
2 - Uzaktan ve otomatik analiz yapılabilir
3 - Çıktılar loglanabilir ve doğrulanabilir
4 - GUI manipülasyon riskini azaltır

Temel Komut Satırı Analizleri (CMD)
Sistem Bilgisi Toplama

1systeminfo

Bu komut:

- İşletim sistemi sürümü
- Kurulum tarihi
- Sistem zamanı
- Donanım bilgileri

gibi kritik verileri sağlar.

Aktif Kullanıcılar ve Oturumlar

1query user

veya

1net user

Çalışan Process’ler

1tasklist

Belirli bir process’i filtrelemek için:

1tasklist | findstr chrome

Ağ Bağlantıları

1netstat -ano

Bu çıktı:

- Açık portları
- Bağlantı IP’lerini
- İlgili process ID’lerini

gösterir.

PowerShell ile Adli Analiz
PowerShell’in Adli Avantajları

- Nesne tabanlı çıktı
- Gelişmiş filtreleme
- Log ve Event Log entegrasyonu
- Script ile otomasyon

Çalışan Process’lerin Detaylı Analizi

1Get-Process

Belirli bir process:

1Get-Process -Name powershell

Process yolu ile birlikte:

1Get-Process | Select-Object Name,Id,Path

Kullanıcı Oturumları

1Get-WmiObject Win32_LogonSession

veya

1Get-CimInstance Win32_LoggedOnUser

Bu komutlar:

- Oturum türlerini
- Zaman bilgilerini
- Kullanıcı ilişkilerini

ortaya koyar.

Event Log Analizi (PowerShell)
Güvenlik Logları

1Get-WinEvent -LogName Security -MaxEvents 20

Belirli Event ID:

1Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688}

Dosya Sistemi Analizi
Son Değiştirilen Dosyalar

1Get-ChildItem C:\Users -Recurse |
2Sort-Object LastWriteTime -Descending |
3Select-Object -First 20

Gizli ve Sistem Dosyaları

1Get-ChildItem C:\ -Force

Registry ve Kalıcılık Kontrolleri
Başlangıç Programları

1Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"

ve

1Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"

Örnek Adli Senaryo

Senaryo:
Bir sistemde şüpheli PowerShell kullanımı raporlandı.
İzlenen adımlar:

1 - Aktif PowerShell process’leri tespit edilir
2 - Event Log (4688) ile process çalıştırma zamanı belirlenir
3 - Ağ bağlantıları (netstat) ile korelasyon yapılır
4 - Başlangıç kayıtları kontrol edilir
5 - Dosya sistemi zaman çizelgesi oluşturulur

Bu yaklaşım, saldırının nasıl başladığını, ne zaman gerçekleştiğini ve hangi kullanıcıyla yapıldığını netleştirir.

İpuçları ve En İyi Uygulamalar

- Komut çıktıları mutlaka dosyaya yönlendirin
- Canlı sistemde yalnızca gerekli komutları çalıştırın
- PowerShell script execution policy durumunu kontrol edin
- Zaman damgalarını sistem saatiyle karşılaştırın
- Analiz öncesi ve sonrası hash alın

Örnek çıktı yönlendirme:

1tasklist > processes.txt

Sınırlamalar ve Riskler

- Canlı analiz delil bütünlüğünü etkileyebilir
- Anti-forensic teknikler PowerShell loglarını silebilir
- Yetersiz yetkiler bazı bilgilere erişimi engeller
- Yanlış komutlar sistemi değiştirebilir

PowerShell ve Komut Satırı, bilgisayar adli bilişiminde hızlı, esnek ve derinlemesine analiz imkânı sunar. Doğru kullanıldığında kullanıcı aktiviteleri, çalışan process’ler, ağ bağlantıları, kalıcılık mekanizmaları ve olay logları etkili biçimde ortaya çıkarılabilir. Ancak bu araçların gücü, bilinçli ve kontrollü kullanım gerektirir; aksi halde delil bütünlüğü riske girebilir.

#AdliBilişim  #kaynak