Ephemeral Sistemlerde Adli İzler: Geçici Ortamlarda Kalıcı Kanıtlar

Ephemeral sistemler, kısa ömürlü olacak şekilde tasarlanan; oluşturulup görevini tamamladıktan sonra otomatik silinen veya sıfırlanan ortamlardır. Container’lar, serverless fonksiyonlar, geçici VM’ler, CI/CD runner’ları ve autoscaling node’lar bu kapsama girer. “Geçici” olmaları, adli iz bırakmadıkları anlamına gelmez. Aksine, izler farklı katmanlara dağılmış ve zaman hassas hâle gelir. Bu makalede ephemeral ortamlarda nerelerde iz bulunduğunu, nasıl toplanacağını ve pratik ipuçlarını ele alıyoruz.

Ephemeral Sistem Nedir?

Ephemeral sistemler, durumsuz (stateless) çalışmayı hedefler:

- Kısa yaşam süresi (dakika/saniye)
- Otomatik ölçekleme
- Yerel disk ya yoktur ya da geçicidir
- Çoğu artefact merkezi servislerde birikir

Yaygın Ephemeral Ortamlar

-  Container’lar (Docker)
- Kubernetes Pod’ları
- Serverless (FaaS)
- CI/CD runner’ları
- Autoscaling VM’ler

Neden Adli Analiz Zor?
1. Kalıcı Disk Yok

- Disk imajı alınamaz
- Dosyalar çalışma bitince silinir

2. Zaman Penceresi Çok Kısa

- Artefact’ler hızla kaybolur
- Geç kalınırsa delil uçar

3. Çok Katmanlı Mimari

- Workload (pod/fonksiyon)
- Orchestrator
- Host / control plane
- Bulut sağlayıcı logları

Nerelerde Adli İz Var?
1. Log Katmanı (Altın Değerinde)

- stdout/stderr
- Uygulama logları
- API Gateway / Trigger logları

2. Orchestrator & Control Plane

- Pod create/delete
- Function invoke
- Scale up/down
- Retry/timeout kayıtları

3. Kimlik & Yetkilendirme (IAM)

- Kim tetikledi?
- Hangi rol ile?
- Hangi kaynağa erişti?

4. Ağ ve Edge Katmanı

- Giriş/çıkış IP’leri
- NAT/Gateway kayıtları
- Kısa süreli bağlantılar

Ephemeral Ortamlarda Tipik Adli İzler
Zaman Tutarsızlıkları

- Event zamanı ≠ execution zamanı
- Cold start gecikmeleri
- Retry’lar

Davranış İzleri

- Anormal CPU/RAM sıçramaları
- Beklenmeyen outbound trafik
- Kısa sürede çok sayıda tetikleme

Konfigürasyon Kalıntıları

- Environment variable’lar
- Secret erişimleri
- Image/versiyon bilgileri

Adli Analize Nereden Başlanmalı?
1. Envanter Çıkar

- Hangi workload’lar vardı?
- Hangi tetikleyiciler bağlıydı?

1# Mantıksal yaklaşım
2list-workloads --time-range

2. Log Korelasyonu Yap

- Workload logları
- Trigger/API logları
- Audit/IAM logları

1# Mantıksal korelasyon
2correlate(workload_logs, trigger_logs, audit_logs)

3. Yetki ve Erişim Analizi

- Aşırı yetkiler
- Token/secret kullanımı
- Cross-service erişimler

Adli Senaryo Örneği

Olay:
Kısa süreli bir fonksiyon üzerinden veri sızıntısı şüphesi.

Durum:

- Fonksiyon çalıştı ve bitti
- Disk yok, pod yok

Analiz:

- API Gateway log → IP + zaman
- Function log → büyük response
- IAM log → geniş yetkili rol

Sonuç:

- Ephemeral fonksiyonla veri çekilmiş
- Yetki hatası kanıtlandı

Anti-Forensics Ephemeral Dünyada
Yaygın Taktikler

- Log seviyesini düşürme
- Retention süresini kısaltma
- Event flood ile gürültü üretme
- Workload’ı hızla silme

Adli Analistler İçin Pratik İpuçları
Retention Sürelerini Bil

- Ne kadar sürede log siliniyor?

Olaydan Hemen Sonra Topla

- Ephemeral’da zaman en büyük düşmandır

Kimlik Katmanını Önceliklendir

- IAM çoğu zaman en kalıcı izdir

Tek Kaynağa Güvenme

- Log + audit + ağ birlikte değerlendirilmelidir

Hukuki ve Adli Değer

Mahkemelerde:

- Log bütünlüğü
- Sağlayıcı kayıtları
- Zaman senkronizasyonu

özellikle vurgulanmalıdır.

#AdliBilişim #kaynak