Volatil Veri Toplama: İşletim Sistemi Kapanmadan Elde Etmesi Gereken Veriler

Bilişim adli tıpında (DFIR), volatil veri RAM'de bulunan ve bilgisayar kapatıldığında kaybolacak olan verilerdir. Diskte tutulmayan bu bilgiler, açık dosyalar, çalışan işlemler, ağ bağlantıları, şifreli anahtar parçaları, suç soruşturmasında kritik kanıt olabilir. Sistem kapanır kapanmaz bu veriler silinir. Bu yüzden hemen toplanması gerekir.

Bir sisteme eriştiğinizde ilk adım kapatmamaktır. Kapatma işlemi RAM'i temizler ve volatil veriler kaybolur. Bunun yerine, canlı sistem (live) üzerinde veri toplamak gerekir.

Adım 1: Çalışan İşlemleri Listele

1Get-Process | Select-Object Name, Id, Memory | Out-File processes.txt

Çıktı örneği:

1Name Id Memory
2chrome 12456 524288000
3svchost 1024 102400000

Adım 2: Ağ Bağlantılarını Kaydet

1netstat -ano > network_connections.txt

Bu komut açık TCP/UDP bağlantıları ve bunları yapan işlemlerin PID'lerini gösterir.

Adım 3: Kullanıcı Oturumlarını Kontrol Et

1quser

Çıktı: Hangi kullanıcıların aktif olduğunu gösterir.

Adım 4: Sistem Bilgilerini Topla

1systeminfo > system_info.txt

Adım 5: RAM Dumpı Oluştur

En kritik veri RAM'in tamamıdır. Windows'ta Volatility framework'ü kullanılır:

1python vol.py -f memory.dump windows.pslist

Bu komut RAM dumpından tüm işlemleri çıkarır.

1# Çalışan işlemler
2ps aux > processes.txt
3
4# Ağ bağlantıları
5netstat -tulpn > network.txt
6
7# Açık dosyalar
8lsof > open_files.txt
9
10# RAM dumpı (root gerekli)
11dd if=/dev/mem of=memory.dump

1. RAM (Memory Dump): Tüm volatil verinin kaynağı
2. Çalışan Süreçler: Kötü amaçlı yazılım tespiti
3. Ağ Bağlantıları: C2 sunucularına bağlantı kanıtı
4. Açık Dosyalar: Hangi dosyalar işlemde açık
5. Sistem Zamanı: Olayların kronolojisi
6. Kullanıcı Oturumları: Kimin erişim sağladığı

Volatil veri toplamayı otomatikleştirin. Bir PowerShell script'i yazın ve USB'ye koyun. Şüpheli sistem bulunduğunda çalıştırın, tüm veriler tek dosyaya kaydedilir.

Bu veri daha sonra Volatility, WinDbg veya Rekall araçlarıyla analiz edilir.