CDN Loglarının Adli Analizi: Dağıtık İçerik Dağıtımında Görünmeyen Kanıtlar

CDN (Content Delivery Network) altyapıları; içeriği kullanıcılara en yakın noktadan sunarak performans ve güvenlik sağlar. Ancak bu dağıtık yapı, adli bilişimde olayların kaynağını ve zamanını belirlemeyi zorlaştırır. CDN logları; gerçek istemci IP’si, cache davranışı, WAF kararları ve edge üzerindeki erişimler gibi kritik meta-verileri barındırır. Bu makalede CDN loglarının adli değerini, hangi alanların incelenmesi gerektiğini ve pratik analiz yöntemlerini ele alıyoruz.

CDN Logları Nedir?

CDN logları; edge (uç) noktalarında gerçekleşen HTTP(S) isteklerinin özetlenmiş kayıtlarıdır. Genellikle şu bilgileri içerir:

- Zaman damgası (edge zamanı)
- İstemci IP (gerçek IP / proxy arkasındaki IP)
- HTTP metodu, URL, status code
- Cache sonucu (HIT/MISS/BYPASS)
- User-Agent, Referer
- TLS/SNI bilgileri
- WAF/Rate-limit kararları

Adli Bilişim Açısından Neden Önemli?
1. Gerçek Kaynağı Ortaya Çıkarır

- Proxy/VPN arkasındaki istemciler
- Bot ve otomasyon trafiği
- Edge üzerinden engellenen saldırılar

2. Cache Davranışı ile Niyet Analizi

Cache HIT: içerik doğrudan edge’den
Cache MISS: origin’e iletilen istek
BYPASS: bilinçli cache dışı bırakma

Bu ayrımlar, veri sızıntısı ve endpoint yoklama tespitinde kritiktir.

3. Zaman Çizelgesi Rekonstrüksiyonu

- Edge zamanı ≠ origin zamanı
- TTL, revalidation ve purge olayları
- Bölgesel edge farkları

CDN Mimarisi: Nerelerde İz Var?
Başlıca Delil Katmanları

- Edge logları (istek/yanıt)
- Cache logları (HIT/MISS/BYPASS)
- WAF & Rate-limit logları
- Purge/Invalidation kayıtları
- TLS el sıkışma meta-verileri

Hangi Alanlar Kritik?
İstemci IP ve Gerçek IP Başlıkları

- X-Forwarded-For
- True-Client-IP
- CF-Connecting-IP benzeri alanlar

Cache Durumu

HIT: origin’e gitmeden erişim
MISS: origin erişimi
BYPASS: cache dışı davranış (şüpheli olabilir)

HTTP Status ve Boyut

- 401/403/429 → yetki/limit denemeleri
- 206 → range istekleri (parça parça indirme)
- Anormal response size → scraping/exfiltration

WAF Kararları

- Engellenen payload’lar
- Signature eşleşmeleri
- False positive/negative ihtimali

Adli Analize Nereden Başlanmalı?
1. Olay Penceresini Daralt

- Şüpheli zaman aralığını belirle
- Bölgesel edge’leri not et

1# Mantıksal filtre
2filter logs where timestamp between T1 and T2

2. Cache Desenlerini Çıkar

- Aynı URL’ye ardışık MISS’ler
- Purge sonrası ani erişimler

1# Mantıksal analiz
2group by url, cache_status count(*)

3. IP ve User-Agent Korelasyonu

- IP değişiyor, UA sabit mi?
- UA değişiyor, davranış aynı mı?

1# Mantıksal korelasyon
2correlate(ip, user_agent, request_pattern)

Adli Senaryo Örneği

Olay:
Origin loglarında görünmeyen veri sızıntısı şüphesi.

Analiz:

- CDN logları: aynı URL’ye çok sayıda 206 (range) isteği
- Cache: BYPASS
- IP’ler değişken, UA sabit

Sonuç:

- CDN üzerinden parça parça veri çekilmiş
- Origin’e minimal iz bırakılmış

Yanıltıcı Durumlar ve Tuzaklar
⚠️ Dikkat

- Sağlık kontrolleri (health checks)
- Arama motoru botları
- Otomatik prefetch
- Bölgesel edge saat farkları

Adli Analistler İçin Pratik İpuçları
Edge ve Origin Loglarını Birleştir

- Tek başına CDN veya origin yetmez

Purge/Invalidation Olaylarını İşaretle

- Öncesi/sonrası farkı analiz et

TLS Meta-Verisini Kullanın

- SNI, cipher, TLS sürümü davranış deseni verir

Log Retention’ı Bil

- CDN logları kısa süre tutulabilir

Hukuki ve Adli Değer

Mahkemelerde:

- Edge kaynaklı kayıtlar
- WAF kararları
- Cache davranışları

niyet ve yöntem ispatında güçlüdür.

#AdliBilişim #kaynak