NTFS Journal Analizi: Silinen Dosyaları Neden Geri Getiremiyoruz

NTFS Change Journal (USN Journal), bir dosya sisteminin değişiklik tarihçesini tutmasına rağmen adli bilişimcilerin beklediği ölçüde dosya kurtarma bilgisi sunmaz. Bunun nedeni, Journal'ın tasarım amacı ve teknik yapısında yatıyor.

Journal'ın temel işlevi, yedekleme yazılımları ve indeksleme hizmetleri gibi uygulamalar için değişiklikleri hızlıca takip etmektir. Bir dosya silindiğinde, Journal'da bu işlem kaydedilir ama silinen dosyanın içeriği, tam yolu veya disk konumu gibi kritik bilgiler tutulmaz. USN Journal sadece işlemin tipini (deletion), dosyanın inode numarasını (File Reference Number) ve zaman damgasını kaydeder. Dosya nerede saklanıyor, hangi sektörleri işgal ediyor, hangi parent directory'de idi, bu bilgiler Journal'da yoktur.

Bir başka sorun, Journal'ın boyutu ve döngüsel yapısıdır. Varsayılan olarak 32 MB ile 128 MB arasında ayarlanır. Sistem yoğun işlem görürse, eski kayıtlar üzerine yazılır. Bir dosya birkaç hafta önce silinmişse, Journal'daki silme kaydı muhtemelen silinmiştir. Silinen dosyayı oluşturmak için ihtiyacımız olan veri, Journal'da artık mevcut değildir.

Dosya silme işleminin kendisi de karmaşıktır. NTFS'de dosya silindiğinde, MFT (Master File Table) kaydı hemen kaldırılmaz; işaretlenir. Dosyanın veri kümeleri serbest olarak işaretlenir. Dosya gerçekten disk üzerinde kalır, ancak dosya adı, tam yol ve MFT referansı kaybolur. Journal'da sadece bu "işaretleme" işlemi görülür, geri kalan bilgiler MFT'nin silinmiş kısımlarında kalır.

Adli bilişimciler silinen dosyaları kurtarmak için Journal'a değil, MFT'nin silinmiş kayıtlarına ve ham disk verilerine bakıyor. Carving teknikleri, dosya imzaları (magic bytes) arayarak veri kurtarır. Journal analizi bu noktada yardımcı olabilir, silme zamanını doğrulamak, silinen dosya sayısını tahmin etmek gibi, ama içeriği yeniden oluşturmak için yeterli değildir.

Sonuç: NTFS Journal, değişiklikleri izlemek için tasarlanmıştır, dosya kurtarma için değil. Silinen bir dosyayı tamamen oluşturmak istiyorsanız, Journal'ı yardımcı veri kaynağı olarak görün, ama asıl iş MFT analizi ve disk carving'de yatıyor.