Cloud Sync Klasörlerinden Delil Çıkarma: Bulut ve Yerel İzlerin Kesişim Noktası

Bulut senkronizasyon servisleri (Drive, OneDrive, Dropbox vb.), kullanıcıların dosyalarını otomatik olarak yerel cihaz ↔ bulut arasında eşitler. Adli bilişim açısından bu klasörler, iki dünyaya ait izleri aynı anda barındırır: yerel dosya sistemi artefact’leri ve bulut servislerine özgü kayıtlar. Bu makalede cloud sync klasörlerinden delil çıkarma yöntemlerini, tipik artefact’leri, örnek senaryoları ve pratik ipuçlarını ele alıyoruz.

Cloud Sync Klasörleri Nedir?

Cloud sync klasörleri, belirli bir dizinin arka planda izlenip değişikliklerin otomatik olarak buluta gönderildiği (ve geri alındığı) alanlardır.
Özellikleri:

- Dosya oluşturma/silme anında tetiklenir
- Sürümleme (versioning) vardır
- Çakışma (conflict) dosyaları üretilebilir
- Offline/online geçişlerde ek loglar oluşur

Adli Bilişim Açısından Neden Önemli?
1. Çifte Kanıt Üretir

Aynı dosya için:

- Yerel disk izleri (MFT/inode, MAC times)
- Bulut izleri (senkronizasyon zamanı, sürüm geçmişi)

2. Silinmiş Dosyalar Bulutta Yaşıyor Olabilir

- Yerelde silinen dosya
- Bulutta “trash/recycle bin” içinde durabilir
- Eski sürümler geri getirilebilir

3. Paylaşım ve Yetki İhlalleri Tespit Edilir

- Kiminle paylaşıldı?
- Ne zaman erişildi?
- Link mi, davet mi?

Bu bilgiler niyet ve sızıntı analizinde kritiktir.

Cloud Sync Klasörlerinde Tipik Artefact’ler
Yerel Tarafta

- Gizli yapılandırma klasörleri
- SQLite veritabanları
- Senkronizasyon günlükleri (logs)
- Çakışma dosyaları (conflicted copy)

Bulut Tarafında

- Dosya sürüm geçmişi
- Paylaşım logları
- Erişim zamanları
- Cihaz listeleri

Delil Çıkarma: Nereden Başlamalı?
1. Senkronize Klasörü Tanımla

İlk adım, hangi dizinin senkronize edildiğini netleştirmektir.

1dir /a

veya Linux/macOS’ta:

1ls -la

Gizli klasör ve dosyaları özellikle kontrol et.

2. Senkronizasyon Loglarını İncele

Loglar şunları gösterebilir:

- Dosya ne zaman yüklendi
- Ne zaman indirildi
- Hata/çakışma yaşandı mı?

1strings sync.log | less

3. Çakışma Dosyalarını Ayıkla

Çakışma dosyaları genellikle şu ipuçlarını verir:

- Aynı dosya farklı cihazlarda eşzamanlı değiştirildi
- Kullanıcı müdahalesi var

Örnek adlar:

- report (conflicted copy).docx
- photo_user-laptop.jpg

4. Dosya Zamanlarını Karşılaştır

- Yerel Created/Modified
-  Senkronizasyon zamanı
- Bulut sürüm zamanı

1stat report.docx

Adli Senaryo Örneği

Olay:
Şüpheli, gizli bir dosyayı “bilgisayardan sildim” diyor.

Analiz:

- Yerel sync klasöründe dosya yok
- Loglarda “upload success”
- Bulut sürüm geçmişinde 3 eski sürüm
- Son erişim: olaydan sonra

Sonuç:

- Dosya silme iddiası geçersiz
- Delil bulutta korunmuş

Cloud Sync ve Anti-Forensics
Yaygın Taktikler

- Senkronizasyonu kapatma
- Offline çalışıp sonra silme
- Çakışma dosyalarını temizleme
- Yerel cache’i manuel silme

Adli Analistler İçin Pratik İpuçları
Yerel ve Bulutu Ayrı Ayrı Düşünme

- İki tarafın zaman çizelgesini birleştir

Sürüm Geçmişini Atlamadan İncele

- “Aynı dosya” ≠ “aynı içerik”

Paylaşım İzlerini Önceliklendir

- Link ile paylaşım → hızlı sızıntı göstergesi

Offline Dönemleri İşaretle

- Offline → online geçişler kritik eşiklerdir

Hukuki ve Adli Değer

Mahkemelerde:

- Yerel + bulut korelasyonu
- Sürüm geçmişi
- Erişim kayıtları birlikte sunulmalıdır.

#AdliBilişim #kaynak