Disk Klonlama vs İmajlama: DFIR'da Seçim Kriterleri

Adli bilişim çalışmasında kanıt toplarken disk klonlama ve imajlama birbirinden tamamen farklı iki yöntemdir. Hangisini seçeceğiniz davaya, cihaza ve zaman kısıtlamalarına bağlı olarak değişir.

Disk klonlama, kaynağın tüm içeriğini bit-by-bit olarak başka bir diske kopyalamaktır. Hedef disk kaynak diskle aynı boyutta veya daha büyük olmalıdır. Klonlama tamamlandıktan sonra hedef disk, orijinal diskle tamamen aynı şekilde çalışır. Bu yöntem elde etmek kolay, hızlıdır ama depolama alanı çok gerektirir.

Disk imajlama ise tüm diski bir dosyaya sıkıştırarak kaydeder. İmaj dosyası orijinal diskten çok daha küçüktür çünkü boş alanlar genellikle dahil edilmez. İmaj dosyası hash (SHA-256 gibi) ile doğrulanabilir, bu da kanıt bütünlüğünü sağlar. Depolama ve aktarım açısından çok daha ekonomiktir.

DFIR'da imajlama tercih edilir çünkü:

• Kanıt zinciri (chain of custody) daha güvenlidir
• Hash değeri ile orijinalliği doğrulanabilir
• Birden fazla araştırmacı aynı imajı kullanabilir
• Depolama maliyeti düşüktür

Klonlama seçilir ancak:

• Cihazı hızlıca kurtarmanız gerekiyorsa
• Yasal olarak tam disk kopyası gerekiyorsa
• Canlı sistem analizi yapacaksanız

Pratik örnek olarak Linux'ta disk imajlama:

1sudo dd if=/dev/sda of=/mnt/evidence/disk_image.img bs=4M status=progress
2sudo sha256sum /mnt/evidence/disk_image.img > /mnt/evidence/disk_image.img.sha256

Bu komut /dev/sda diskini disk_image.img dosyasına kopyalar. Çıktı:

1500107862016 bytes (500 GB) copied, 2400 s, 208 MB/s

Sonra hash değeri tutulur. Daha sonra imajın bütünlüğünü doğrulamak için:

1sha256sum -c /mnt/evidence/disk_image.img.sha256

DFIR'da imajlama, hukuki açıdan daha sağlam ve pratiktir. Klonlamayı sadece canlı sistem kurtarması gibi özel durumlar için kullanın.