File Carving Yöntemleri ve Uygulamaları: Dijital Adli Bilişimde Veri Kurtarma Rehberi

File Carving, dosya sistemi bilgileri (MFT, inode, dizin yapıları vb.) bozulmuş veya tamamen silinmiş olsa bile, ham veri (raw data) üzerinden dosyaların imza (signature) ve yapısal özelliklerine bakılarak kurtarılması yöntemidir. Bu teknik özellikle dijital adli bilişim, veri kurtarma ve siber olay müdahalesi alanlarında kritik öneme sahiptir.

File Carving Nedir?

File Carving, disk imajı veya bellek dökümü (memory dump) gibi ham veriler üzerinde çalışır. Dosya başlangıç (header) ve bitiş (footer) imzaları tespit edilerek dosyalar parça parça çıkarılır.

Örnek:

1JPEG header: FF D8 FF
2
3JPEG footer: FF D9

Bu imzalar sayesinde dosya sistemi bilgisi olmadan bile dosya kurtarma mümkündür.

File Carving Yöntemleri
1. İmza Tabanlı (Signature-Based) File Carving

En yaygın yöntemdir. Dosyalar, bilinen header ve footer imzalarına göre tespit edilir.

Avantajları

- Hızlıdır
- Uygulaması kolaydır

Dezavantajları

- Parçalanmış (fragmented) dosyalarda başarısız olabilir
- Özel veya bilinmeyen dosya formatlarını kaçırabilir

2. Yapı Tabanlı (Structure-Based) File Carving

Dosya formatının iç yapısı (metadata alanları, blok uzunlukları, offset’ler) analiz edilir.

Örnekler

1PDF: xref tabloları
2ZIP: merkezi dizin (central directory)

Avantajları

- Daha doğru sonuçlar
- Fragmented dosyalarda daha başarılı

Dezavantajları

- Daha karmaşık
- Format bilgisi gerektirir

3. İçerik Tabanlı (Content-Based) File Carving

Dosya içeriğindeki istatistiksel veya semantik özellikler analiz edilir.

Örnekler:

- Metin dosyalarında ASCII/UTF-8 dağılımı
- Görsellerde renk histogramları

4. Hibrit (Hybrid) File Carving

Birden fazla yöntemin birlikte kullanılmasıdır. Modern adli bilişim araçlarının çoğu bu yaklaşımı benimser.

File Carving Araçları ve Uygulamaları
Yaygın Araçlar

1 - Foremost
2 - Scalpel
3 - PhotoRec
4 - Bulk Extractor

Örnek: Foremost ile File Carving

1foremost -i disk.img -o output/

Bu komut:

1disk.img adlı disk imajını analiz eder
2
3Bulunan dosyaları output/ dizinine çıkarır

Örnek: Scalpel Konfigürasyonu

Scalpel, özelleştirilebilir imza tanımları ile çalışır.

1nano /etc/scalpel/scalpel.conf

JPEG satırını aktif etmek:

1jpeg y 20000000 \xFF\xD8\xFF \xFF\xD9

Gerçek Hayat Uygulama Senaryoları
Dijital Adli Bilişim

- Silinmiş delillerin kurtarılması
- Disk formatlanmış olsa bile veri analizi

Siber Güvenlik

- Zararlı yazılım analizinde payload çıkarımı
- Bellek dökümlerinden şüpheli dosyaların elde edilmesi

Veri Kurtarma

- Bozuk diskler
- Hasar görmüş dosya sistemleri

İpuçları ve En İyi Uygulamalar

Adli bilişimde bütünlük (integrity) esastır; hash doğrulaması atlanmamalıdır.

File Carving’in Sınırlamaları

- Dosya isimleri genellikle kurtarılamaz
- Parçalanmış dosyalar eksik çıkabilir
- Yanlış pozitif (false positive) sonuçlar üretilebilir

File Carving, dosya sistemi bilgisi olmadan veri kurtarmayı mümkün kılan güçlü bir tekniktir. İmza tabanlı, yapı tabanlı ve içerik tabanlı yaklaşımlar farklı senaryolarda avantaj sağlar. Dijital adli bilişim ve siber güvenlik alanlarında vazgeçilmezdir; ancak sınırlamaları bilinmeli ve doğru araçlar ile desteklenmelidir.

#AdliBilişim  #kaynak