DFIR Nedir? Dijital Adli Tıp ve Olay Yanıtı Rehberi

DFIR, Digital Forensics and Incident Response (Dijital Adli Tıp ve Olay Yanıtı) anlamına gelir. Siber saldırı, veri ihlali veya güvenlik olayı meydana geldiğinde, ne olduğunu anlamak, kanıt toplamak ve sistemi kurtarmak için kullanılan bir disiplindir.

DFIR iki ana bölümden oluşur. Dijital adli tıp (forensics), siber olaydan sonra delil toplamaya ve analiz etmeye odaklanır. Sistemlerde bırakılan izleri inceleyerek saldırganın kim olduğunu, ne yaptığını ve nasıl giriş yaptığını ortaya çıkarır. Olay yanıtı (incident response) ise saldırı sırasında ve hemen sonrasında hızlı müdahale etmeyi amaçlar.

Bir DFIR uzmanı, bilgisayarın hafızasını (RAM), sabit diskini, log dosyalarını ve ağ trafiğini inceleyerek saldırının izlerini bulur. Örneğin, Windows sisteminde Event Viewer logları, kullanıcı etkinliklerini gösterir. Linux'ta ise /var/log klasöründeki dosyalar sistem olaylarını kaydeder.

1# Linux'ta son giriş denemelerini kontrol etme
2last -f /var/log/wtmp | head -20
3
4# Aktif ağ bağlantılarını görmek
5netstat -tulpn
6
7# Açık dosyaları ve işlemleri listelemek
8lsof -i -P -n

DFIR sürecinin temel adımları vardır. Önce olay tespiti yapılır ve sistem izole edilir. Daha sonra kanıt toplanır ve kopyalanır, asıl sistem hiç değiştirilmemelidir. Ardından veriler analiz edilir, raporlanır ve gerekirse yasal işlemlerde kullanılır.

Bu alan özellikle kurumlar için kritiktir. Bir saldırı sonrası doğru DFIR uygulaması, hasarın boyutunu anlama, benzer saldırıları önleme ve yasal sorumlulukları yerine getirme açısından hayati önem taşır. Ayrıca, olayın belgelenmiş kanıtları mahkemede de geçerli olabilir.

DFIR becerisi kazanmak için Linux, Windows ve ağ protokolleri hakkında derinlemesine bilgi gerekir. Ayrıca Wireshark gibi paket analiz araçları, Volatility gibi hafıza analiz yazılımları ve EnCase gibi adli tıp platformlarını öğrenmek önemlidir.