Serverless Mimari ve Delil Problemleri: Görünmeyen Sunucularda Görünmeyen Kanıtlar

Serverless (FaaS – Function as a Service) mimariler; sunucu yönetimini gizleyen, olay tetiklemeli, kısa ömürlü çalışma modeline sahiptir. Bu yaklaşım operasyonel hız kazandırırken, adli bilişim açısından ciddi delil boşlukları ve zamanlama sorunları doğurur. Bu makalede serverless ortamlarda nerede iz bırakıldığını, hangi delillerin kaybolabileceğini ve nasıl toparlanabileceğini ele alıyoruz.

Serverless Mimari Nedir?

Serverless, geliştiricinin sunucu kurma/yönetme sorumluluğunu üstlenmediği; kodun olaylar ile tetiklendiği bir bulut modelidir.

Temel Özellikler

- Kısa ömürlü fonksiyonlar (ephemeral)
- Otomatik ölçekleme
- Paylaşımlı altyapı (multi-tenant)
- Durumsuz (stateless) çalışma
- Olay tetikleyiciler (HTTP, queue, storage, cron)

Adli Bilişim Açısından Neden Zor?
1. Kalıcı Disk Yok

- Yerel disk yok veya geçici
- Dosya sistemi fonksiyon bitince yok olur
- Klasik disk imajı alınamaz

2. Süreçler Çok Kısa Ömürlü

- Fonksiyonlar milisaniyeler içinde çalışır
- Memory dump almak pratikte mümkün değildir
- Runtime artefact’leri hızla kaybolur

3. Altyapı Kontrolü Bulut Sağlayıcıdadır

- Hypervisor, host OS, ağ cihazları görünmez
- Fiziksel erişim yok
- Delil zinciri sağlayıcıya bağımlıdır

Serverless Mimaride Nerelerde İz Var?
Başlıca Delil Kaynakları

- Fonksiyon logları (stdout/stderr)
- Trigger logları (HTTP, queue, storage)
- IAM / yetki logları
- API Gateway logları
- Versiyon ve deployment kayıtları
- Bulut audit logları

Delil Problemleri (Tipik Senaryolar)
🔻 Kayıp Runtime Delilleri

- Fonksiyon içi geçici dosyalar
- Memory içeriği
- Kısa süreli network bağlantıları

🔻 Zamanlama Tutarsızlıkları

- Event zamanı ≠ execution zamanı
- Retry / timeout tekrarları
- Cold start gecikmeleri

🔻 Çoklu Tetikleyici Karmaşası

Aynı fonksiyon:

- HTTP ile
- Queue mesajı ile
- Zamanlayıcı ile

tetiklenmiş olabilir. Bu durum olay kaynağı karışıklığı yaratır.

Adli Analize Nereden Başlanmalı?
1. Fonksiyon Envanterini Çıkar

- Hangi fonksiyonlar var?
- Hangi trigger’lar bağlı?
- Hangi yetkilerle çalışıyor?

1# Mantıksal örnek
2list-functions

2. Log Korelasyonu Yap

- Fonksiyon logları
- Trigger logları
- Audit logları

1# Örnek yaklaşım
2correlate(function_log, api_log, audit_log)

Amaç:

- Kim tetikledi?
- Ne zaman?
- Hangi yetkiyle?

3. IAM ve Yetki Analizi

- Aşırı yetkili fonksiyonlar
- Token / secret erişimleri
- Cross-service yetkiler

Adli Senaryo Örneği

Olay:

Bir API endpoint üzerinden veri sızıntısı tespit ediliyor.

İnceleme:

- Disk yok
- Fonksiyon kısa ömürlü
- Log’lar mevcut

Analiz:

- API Gateway log → IP + zaman
- Function log → beklenmeyen response
- IAM log → fonksiyon geniş yetkili

Sonuç:

- Yetki hatası ile veri çekilmiş
- Fonksiyon suistimali kanıtlandı

Anti-Forensics Serverless’ta Nasıl Olur?
Yaygın Taktikler

- Log seviyesini düşürme
- Log retention süresini kısa tutma
- Event flood ile log karmaşası
- Fonksiyon versiyonunu hızla silme

Adli Analistler İçin Pratik İpuçları
Log Retention Sürelerini Bil

- Olaydan sonra geç kalırsan delil uçabilir

Event Kaynağını Netleştir

- HTTP mi?
- Queue mu?
- Storage trigger mı?

Versiyonlama İzlerini İncele

- Hangi kod ne zaman deploy edildi?

Cross-Service Korelasyon Yap

- Serverless tek başına analiz edilmez

Hukuki ve Adli Değer

Mahkemelerde:

- Log bütünlüğü
- Sağlayıcı kaynaklı kayıtlar
- Zaman senkronizasyonu

özellikle vurgulanmalıdır.

#AdliBilişim #kaynak