Hypervisor Loglarının Adli Değeri: Sanal Ortamların Görünmeyen Tanıkları

Sanal altyapılarda (VMware, Hyper-V, KVM vb.) en kritik ama en sık göz ardı edilen delil kaynaklarından biri hypervisor loglarıdır. Misafir işletim sistemi (guest) içindeki loglar silinmiş, manipüle edilmiş veya hiç oluşmamış olsa bile; hypervisor katmanı olayların sessiz tanığı olarak kalır. Bu makalede hypervisor loglarının neden kritik olduğunu, hangi olayları ortaya çıkardığını, nasıl analiz edileceğini ve pratik ipuçlarını ele alıyoruz.

Hypervisor Logları Nedir?

Hypervisor logları; sanal makinelerin oluşturulması, başlatılması, durdurulması, snapshot işlemleri, disk ve ağ etkileşimleri gibi olayları kaydeden günlüklerdir. Bu loglar host seviyesinde tutulur ve guest OS’den bağımsızdır.

Tipik Log Kategorileri

- VM yaşam döngüsü (start/stop/pause)
- Snapshot alma / geri yükleme
- Sanal disk bağlama / ayırma
- Ağ adaptörü değişiklikleri
- Kaynak (CPU/RAM) anormallikleri
- Hata ve istisnalar (crash, reset)

Adli Bilişim Açısından Neden Önemli?
1. “Ben Yapmadım” Savunmalarını Çürütür

- VM ne zaman açıldı?
- Kim başlattı?
- Snapshot ne zaman alındı?

Bu soruların cevapları host loglarında bulunur.

2. Anti-Forensics Girişimlerini Ortaya Çıkarır

Snapshot’a dön → iz sil
VM kapat → logları temizle
Disk detach → veri gizle

Bu işlemler guest’te gizlense bile hypervisor’da iz bırakır.

3. Zaman Çizelgesi (Timeline) Rekonstrüksiyonu

- Guest OS saati değiştirilebilir
- Hypervisor saati genellikle host ve NTP ile senkronizedir

Hypervisor Loglarında Hangi Olaylar Bulunur?
Kritik Olay Türleri

- VM start/stop/reboot
- Snapshot create/revert/delete
- Disk attach/detach
- Network connect/disconnect
- Resource spike (CPU/RAM)
- Host-level hatalar

Log Kaynakları (Genel Yaklaşım)

Hypervisor’a göre dosya adları değişse de mantık aynıdır:

- Host servis logları
- VM’e özel loglar
- Snapshot ve storage logları
- Ağ ve sanal switch logları

Adli Analize Nereden Başlanmalı?
1. VM Yaşam Döngüsünü Çıkar

- Önce VM’in ne zaman aktif olduğunu netleştir.

1grep -i "power on|power off" hypervisor.log

Bu kayıtlar:

- VM’in çalıştığı zaman aralıklarını
- Olası faaliyet pencerelerini gösterir.

2. Snapshot Olaylarını Korele Et

- Snapshot’lar, adli analizde kritik eşiklerdir.

1grep -i "snapshot" hypervisor.log

3. Disk ve Ağ Olaylarını İncele

- Disk ne zaman bağlandı?
- Ağ adaptörü kapatıldı mı?
- İzole mi edildi?

1grep -i "disk|network" hypervisor.log

Bu kayıtlar:

- Veri sızıntısı
- Harici disk kullanımı
- Ağ üzerinden exfiltration

gibi senaryoları aydınlatır.

Adli Senaryo Örneği

Olay:
Bir yönetici, “o VM o gün hiç çalışmadı” iddiasında bulunuyor.

Analiz:

- Guest OS kapalı görünüyor
- Hypervisor logları:
- 02:14 → VM power on
- 02:16 → Snapshot revert
- 02:31 → Disk detach
- 02:35 → VM power off

Sonuç:

- VM 21 dakika çalışmış
- Snapshot geri yüklenmiş
- Veri silme girişimi güçlü ihtimal

Yanıltıcı Durumlar ve Tuzaklar
⚠️ Dikkat Edilmesi Gerekenler

- Otomatik bakım işlemleri
- Scheduled snapshot’lar
- Host reboot’ları
- Log rotation (eski logların silinmesi)

Adli Analistler İçin Pratik İpuçları
Guest ve Host Zamanlarını Ayır

- Saat farklarını not et
- Tek zaman çizelgesinde birleştir

Snapshot Olaylarını Kilit Nokta Olarak İşaretle

- Öncesi / sonrası fark analizi yap

Host Yetkilerini İncele

- Kim hypervisor erişimine sahip?
- Yetki = sorumluluk

Logları Salt-Okunur Kopyala

- Orijinale asla dokunma
- Hash al, belgeyle
- Hukuki ve Adli Değer

Mahkemelerde:

- Host-level kayıtlar
- Otomatik ve sistemsel oluşum
- Kullanıcıdan bağımsızlık

nedeniyle yüksek ispat gücü taşır.

#AdliBilişim #kaynak