DFIR Nedir? Dijital Adli Bilişimde İlk Adımlar

DFIR, Digital Forensics and Incident Response'un kısaltması. Türkçe'de dijital adli bilişim ve olay müdahalesi olarak geçiyor. Basitçe söylemek gerekirse: bir siber saldırı veya güvenlik olayı gerçekleştiğinde ne yapıldığını bulmak, kanıt toplamak ve olayın etkisini minimize etmek.

DFIR'in iki ana ayağı var. Birincisi Forensics yani adli bilişim. Bilgisayar, sunucu, mobil cihaz veya ağdan dijital kanıt toplayıp incelemek. Saldırganın ne yaptığını, nasıl sisteme girdiğini, hangi dosyaları değiştirdiğini bulmak. İkincisi ise Incident Response, yani olay müdahalesi. Saldırı devam ederken sistemi güvence altına almak, kötü amaçlı yazılımı temizlemek, erişimi kesmek.

Pratik olarak, bir şirkete ransomware saldırısı oldu diyelim. DFIR uzmanı önce bulaşmış sistemleri izole eder. Ardından hard disk imajı çıkarır, bu sistemin o anki tam kopyası. Bu imaj üzerinde çalışır, hiçbir orijinal veriyi değiştirmez. Saldırganın hangi araçları kullandığını, hangi dosyaları şifreledikini, ağda ne kadar kalmış olduğunu araştırır. Sistem loglarını, bellek dumplarını, ağ trafiklerini inceleyerek olayın zaman çizelgesini çıkarır.

DFIR'de kullanılan araçlar çeşitli. Linux ve Windows sistemler için Autopsy, The Sleuth Kit gibi forensik araçları var. Bellek analizi için Volatility. Ağ trafiklerini incelemek için Wireshark. Logları parse etmek için Splunk veya ELK Stack. Malware analizi için IDA Pro, Ghidra.

Bu alan siber güvenliğin en pratik taraflarından biri. Teorik bilgi de gerekli ama asıl önemli olan gerçek olaylarda hızlı ve doğru karar verebilmek. Bir saldırı sırasında dakikalar bile kritik olabiliyor. Şirketlerin veya devletlerin siber güvenlik ekiplerinde DFIR uzmanları neredeyse her zaman vardır çünkü bir gün mutlaka ihtiyaç duyulacaklardır.