Virtual Disk Snapshot Analizi: Sanal Ortamlarda Zaman Yolculuğu ve Delil Rekonstrüksiyonu

Sanal makinelerde (VM) kullanılan virtual disk snapshot yapıları, bir sistemin belirli bir andaki durumunu dondurur. Bu özellik sistem yöneticileri için kurtarma kolaylığı sağlarken, adli bilişim açısından benzersiz bir zaman kapsülü görevi görür. Snapshot’lar sayesinde silinmiş dosyalar, geri alınmış işlemler, kısa süreli malware aktiviteleri ve kullanıcı davranışları yeniden ortaya çıkarılabilir.

Virtual Disk Snapshot Nedir?

Snapshot; bir sanal diskin, belirli bir zamandaki durumunu kaydeden ve sonraki değişiklikleri ayrı bir delta disk üzerinde tutan mekanizmadır.

Yaygın Snapshot Türleri

- VM Snapshot (Disk + Memory)
- Disk-only Snapshot
- Crash-consistent Snapshot
- Application-consistent Snapshot

Adli Bilişim Açısından Neden Önemli?
1. Zaman Çizelgesi Rekonstrüksiyonu

Snapshot’lar sayesinde:

- Dosyanın önceki halleri
- Sonradan silinen veriler
- Kısa süreli oluşturulmuş artefact’ler

geri getirilebilir.

2. Anti-Forensics Girişimlerini Ortaya Çıkarır

- Snapshot’a dön → iz sil
- Snapshot silinse bile delta disk kalıntıları kalabilir
- Geri alma işlemleri yeni artefact üretir

3. Malware ve İç Tehdit Analizi

- Malware snapshot sonrası mı girdi?
- Snapshot geri alındıktan sonra tekrar mı çalıştı?
- Kullanıcı rollback ile neyi gizlemeye çalıştı?

Bu soruların cevabı snapshot analiziyle bulunur.

Virtual Disk Snapshot Yapısı
Temel Bileşenler

- Base Disk (asıl sanal disk)
- Delta Disk (Redo/AVHD/VMDK-delta)
- Snapshot Metadata
- Snapshot Zinciri (Chain)

Yaygın Sanal Disk ve Snapshot Formatları

- VMDK (VMware)
- VHD / VHDX (Hyper-V)
- QCOW2 (KVM/QEMU)
- AVHD / AVHDX (Hyper-V snapshot)

Snapshot Analizine Nereden Başlanmalı?
1. Snapshot Zincirini Haritalandır

Önce hangi disk hangi diske bağlı, netleştir.

1qemu-img info snapshot.vmdk

1qemu-img info disk.qcow2

2. Snapshot’ı Read-Only Mount Et

Asla yazma izni verme.

1qemu-nbd --connect=/dev/nbd0 snapshot.qcow2

1mount -o ro /dev/nbd0p1 /mnt/snapshot

3. Snapshot’lar Arası Fark Analizi

İki snapshot arasındaki farklar çok değerlidir.

1rsync -av --dry-run snap1/ snap2/

Bu yöntemle:

- Yeni eklenen dosyalar
- Değiştirilen içerikler
- Silinen dosyalar

tespit edilir.

Adli Senaryo Örneği

Olay:
Bir geliştirici, “o dosya hiç sunucuda olmadı” diyor.

Analiz:

Snapshot-1: Dosya yok
Snapshot-2: Dosya var
Snapshot-3: Dosya silinmiş

Delta disk incelemesi:

- Dosya 17 dakika boyunca sistemde mevcut

Sonuç:

- Dosyanın varlığı ve silinme zamanı net biçimde kanıtlandı

Snapshot Analizinde Karşılaşılan Tuzaklar
🔻 Yanıltıcı Durumlar

- Snapshot restore → yeni zaman damgaları
- Saat farkları (host vs guest)
- Otomatik snapshot temizlikleri

Adli Analistler İçin Pratik İpuçları
Snapshot Meta Dosyalarını Atlama

- Tarih
- Parent disk bilgisi
- Snapshot açıklamaları

Zinciri Asla Birleştirme (Merge Etme)

- Merge işlemi delil bütünlüğünü bozar

Host Logları ile Korelasyon Yap

- Snapshot ne zaman alındı?
- Kim aldı?
- Otomatik mi manuel mi?

Aynı Snapshot’ı Birden Fazla Araçla Kontrol Et

- Tek araca güvenme

Hukuki ve Adli Değer

Mahkemelerde:

- Snapshot zincirinin bütünlüğü
- Read-only analiz yapıldığı
- Hash değerlerinin tutarlılığı

özellikle vurgulanmalıdır.

#AdliBilişim #kaynak