macOS Adli Bilişimi ve OS X Tabanlı İncelemeler: Apple Sistemlerinde Dijital Delil Analizi Rehberi

macOS adli bilişimi, Apple tabanlı sistemlerde (eski adıyla OS X) gerçekleşen dijital olayların incelenmesi, delillerin toplanması ve analiz edilmesini kapsar. Apple’ın kendine özgü dosya sistemleri, güvenlik mimarisi ve donanım–yazılım entegrasyonu, bu platformu adli inceleme açısından hem güçlü hem de zorlayıcı kılar.

macOS Dosya Sistemleri ve Adli Önemi
HFS+ (Mac OS Extended)

Eski macOS sürümlerinde kullanılmıştır.

Öne çıkan özellikler:

1 - Journaling desteği
2 - Metadata yoğun yapı
3 - Silinen dosyaların izlerinin journaling alanlarında bulunabilmesi

APFS (Apple File System)

macOS High Sierra (10.13) ve sonrası varsayılan dosya sistemidir.

Adli bilişim açısından kritik noktalar:

1 - Snapshot (anlık görüntü) desteği
2 - Native encryption (FileVault ile entegre)
3 - Copy-on-write mimarisi

Delil Toplama (Evidence Acquisition)
Disk İmajı Alma

Adli bilişimde ilk adım, sistem üzerinde değişiklik yapmadan birebir kopya almaktır.

1sudo dd if=/dev/disk0 of=mac_disk.img bs=4m conv=noerror,sync

Bu komut:

- Fiziksel diski okur
- Ham disk imajı oluşturur

Logical Acquisition (Mantıksal Toplama)

Bazı durumlarda yalnızca kullanıcı verileri toplanır:

1/Users/
2
3/Library/
4
5/System/Library/
6
7~/Library/

Örnek:

1tar -cvpf user_data.tar /Users/username

macOS’te Kritik Log ve Artefaktlar
Unified Logging Sistemi

macOS, klasik düz metin loglar yerine Unified Logging kullanır.

1log show --predicate 'eventMessage contains "usb"' --last 1d

Bu komut:

Son 24 saat içindeki USB olaylarını listeler

Önemli Artefaktlar

1 - Quarantine Events
- İndirilen dosyalar

2 - Spotlight Index
- Dosya isimleri ve içerik ipuçları

3 - Recent Items
- Son açılan belgeler ve uygulamalar

4 - Browser Artefaktları
Safari, Chrome, Firefox geçmişleri

Bellek (RAM) Analizi

macOS bellek analizi, Linux ve Windows’a göre daha kısıtlıdır ancak mümkündür.

Bellek Dökümü Alma

1sudo sysdiagnose

Bu işlem:

- Sistem durumu
- Bellek ve kernel bilgileri
- Loglar

toplar ve arşiv oluşturur.

Güvenlik Mekanizmaları ve Adli Zorluklar
FileVault (Disk Şifreleme)

- Tam disk şifreleme
- Kullanıcı oturum açmadan veri okunamaz

System Integrity Protection (SIP)

- Sistem dosyalarına erişimi kısıtlar
- Kernel seviyesinde koruma sağlar

Örnek İnceleme Senaryosu

Senaryo:
Bir macOS cihazda yetkisiz veri sızıntısı şüphesi var.

İzlenecek adımlar:

Disk imajı alınır
1 - APFS snapshot’ları incelenir
2 - Unified Log üzerinden USB ve ağ aktiviteleri analiz edilir
3 - Browser geçmişleri kontrol edilir
4 - Silinmiş dosyalar File Carving ile aranır

İpuçları ve En İyi Uygulamalar

- Canlı sistem yerine offline analiz tercih edin
- APFS snapshot’larını mutlaka kontrol edin
- FileVault durumunu incelemeden analiz planı yapmayın
- Hash (SHA-256) ile delil bütünlüğünü doğrulayın
- macOS sürümünü kesin olarak tespit edin (artefakt konumları değişebilir)

macOS Adli Bilişimin Sınırlamaları

- Kapalı kaynak mimari
- Güçlü şifreleme
- SIP ve T2 / Apple Silicon güvenlik katmanları
- Bellek analizinde kısıtlamalar

macOS adli bilişimi, Apple ekosistemine özgü dosya sistemleri, güvenlik mekanizmaları ve log yapıları nedeniyle özel uzmanlık gerektirir. APFS snapshot’ları, Unified Logging ve kullanıcı artefaktları doğru analiz edildiğinde güçlü deliller sunar. Ancak FileVault, SIP ve donanımsal güvenlik önlemleri nedeniyle doğru yöntem ve araç seçimi hayati önemdedir.

#AdliBilişim #kaynak