Cyber Forensics (Siber Adli Bilişim) ve Hacker İzleri: Dijital Saldırıların Teknik Analizi

Siber saldırıların artmasıyla birlikte Cyber Forensics (Siber Adli Bilişim), saldırıların nasıl gerçekleştiğini anlamak, saldırganın izlerini ortaya çıkarmak ve hukuki delil üretmek açısından kritik bir disiplin haline gelmiştir. Hacker’lar genellikle izlerini gizlemeye çalışsa da dijital ortamda tamamen iz bırakmadan hareket etmek neredeyse imkansızdır.

Cyber Forensics Nedir?

Cyber forensics; ağlar, sunucular, bilgisayarlar ve dijital servisler üzerinde gerçekleşen siber olayların teknik ve hukuki açıdan analiz edilmesi sürecidir.

Bu alan;

- Sızma (Intrusion)
- Yetkisiz erişim
- Veri sızıntısı
- Zararlı yazılım bulaşması

gibi olayları inceler.

Hacker İzleri (Digital Footprints) Nelerdir?

Hacker’lar saldırı sırasında ve sonrasında farkında olmadan birçok iz bırakır.

Yaygın Hacker İzleri

- IP adresleri
- Log kayıtları
- Zaman damgaları (timestamps)
- Kullanılan araç imzaları
- Komut geçmişleri
- Network paket izleri

Saldırı Zinciri (Kill Chain) ve İzler
1. Keşif (Reconnaissance)

- Port taramaları
- DNS sorguları
- Whois kayıtları

2. Sızma (Exploitation)

- Exploit logları
- Anormal servis hataları
- Yetkisiz oturum açma kayıtları

3. Kalıcılık (Persistence)

- Yeni kullanıcı hesapları
- Cron / Task Scheduler kayıtları
- Startup script’leri

4. İz Silme (Covering Tracks)

- Log silme girişimleri
- Timestamp manipülasyonu
- Anti-forensic araçlar

Log Analizi ile Hacker Tespiti

Log kayıtları, cyber forensics’in en önemli veri kaynağıdır.

1import re
2
3with open("auth.log") as f:
4for line in f:
5if re.search("Failed password", line):
6print(line)

Bu örnek, başarısız SSH giriş denemelerini tespit etmek için kullanılabilir.

Network Forensics ve Paket İzleri

- TCP/IP bağlantıları
- Anormal trafik
- C2 (Command & Control) haberleşmeleri

1tcpdump -i eth0 suspicious_ip

Hacker Araçlarından Kalan İpuçları

Hacker’ların kullandığı araçlar kendilerine özgü izler bırakır:

- Metasploit → belirli payload imzaları
- Nmap → tarama hızları ve dizilimleri
- Web shell → dosya isimlendirme alışkanlıkları

Örnek Senaryo: Web Sunucusu Saldırısı

1 - Web loglarında anormal POST istekleri tespit edilir

2 - SQL injection denemeleri belirlenir

3 - Web shell dosyası bulunur

4 - Shell üzerinden komut geçmişi analiz edilir

5 - IP, zaman ve kullanılan araçlar eşleştirilir

Bu süreç, saldırının zaman çizelgesini netleştirir.

Anti-Forensic Teknikler ve Karşı Önlemler
Yaygın Anti-Forensic Yöntemler

- Log silme
- RAM-only malware
- Proxy / VPN / TOR kullanımı
- Zaman damgası değiştirme

#AdliBilişim #kaynak