SaaS Uygulamalarında Delil Toplama Sorunları: Kontrolün Sizde Olmadığı Ortamlarda Adli Gerçeklik

SaaS (Software as a Service) uygulamaları; e-posta, dosya paylaşımı, CRM, proje yönetimi ve mesajlaşma gibi kritik iş süreçlerini tamamen sağlayıcı altyapısında barındırır. Bu model operasyonel kolaylık sunsa da adli bilişim açısından en problemli alanlardan biridir. Çünkü disk yok, sunucu yok, kök erişim yok; deliller dağınık, kısa ömürlü ve sağlayıcıya bağımlıdır.

SaaS Nedir? (Adli Perspektif)

SaaS modelinde:
- Altyapı ve uygulama tamamen sağlayıcıya aittir
- Müşteri yalnızca kullanıcı, veri ve ayarları yönetir
- Log, retention ve export yetenekleri sınırlı ve politiktir

Neden Delil Toplamak Zor?
1. Fiziksel ve Mantıksal Erişim Yok

- Disk imajı alınamaz
- VM snapshot yok
- Memory dump mümkün değil

2. Log ve Retention Sağlayıcı Kontrolünde

- Log’lar varsayılan olarak kapalı olabilir
- Retention süresi kısa olabilir
- Bazı log’lar yalnızca üst lisanslarda açılır

3. Çok Kiracılı (Multi-Tenant) Yapı

- Aynı altyapıda birçok müşteri
- Fiziksel ayrım yok
- “Ham veri” paylaşımı hukuken mümkün değil

SaaS Mimaride Nerelerde İz Var?
Başlıca Delil Kaynakları

- Audit logları (kim, ne yaptı?)
- Erişim logları (login, IP, cihaz)
- Dosya/nesne aktiviteleri
- Paylaşım ve yetki değişiklikleri
- API erişim kayıtları
- DLP / CASB kayıtları (varsa)

Tipik Delil Problemleri (Sahadan)
🔻 Silinmiş Veri Yanılsaması

- Kullanıcı sildi sanır
- Trash / recycle / version history’de durur
- Retention dolunca kalıcı silinir

🔻 “Kim Yaptı?” Sorusu

- Paylaşılan hesaplar
- Ortak API token’ları
- Servis hesapları

→ Kimlik ile eylem ayrışır.

🔻 Zaman ve Saat Tutarsızlıkları

- Kullanıcı lokal saati
- SaaS servis saati
- Bölgesel data center farkları

Adli Analize Nereden Başlanmalı?
1. Yetki ve Rol Envanteri

Önce kim neyi yapabilir sorusunu cevapla.

1# Mantıksal yaklaşım
2export roles, permissions, sharing settings

2. Audit Logları Önceliklendir

- Login / logout
- Dosya görüntüleme / indirme
- Paylaşım linkleri
- Yetki değişiklikleri

1# Mantıksal filtre
2filter audit_logs where action in (download, share, permission_change)

3. Paylaşım ve Link Analizi

- Public link var mı?
- Şifreli mi?
- Ne zaman oluşturuldu / kapatıldı?

Adli Senaryo Örneği

Olay:
Bir çalışan “dosyayı kimseyle paylaşmadım” diyor.

Analiz:

- Audit log: public link oluşturulmuş
- Link 48 saat açık kalmış
- 3 farklı IP’den erişim
- Dosya indirilmiş, silinmiş

Sonuç:

- Bilinçli veya bilinçsiz paylaşım
- Veri sızıntısı SaaS üzerinden kanıtlandı

Anti-Forensics SaaS Ortamlarında
Yaygın Taktikler

- Log retention’ı kısa tutma
- Paylaşımı kısa süreli açıp kapama
- API token ile sessiz erişim
- Hesap silme / de-provision

Adli Analistler İçin Pratik İpuçları
Retention Sürelerini Bil

- Hangi log kaç gün tutuluyor?

API Erişimlerini Kontrol Et

- İnsan mı, uygulama mı?

Versiyon Geçmişini Atlamadan İncele

- Silinen veri ≠ yok olan veri

Sağlayıcı Dokümantasyonunu Referans Al

- “Bu log yok” demeden önce doğrula

Hukuki ve Adli Değer

Mahkemelerde:

- Audit log bütünlüğü
- Yetki–eylem ilişkisi
- Zaman damgalarının tutarlılığı

özellikle güçlüdür.

#AdliBilişim #kaynak