VPN, Proxy ve Tor Trafiği İzleme: Ağ Adli Bilişiminde Anonimleştirilmiş İletişim Analizi

VPN, Proxy ve Tor, kullanıcıların ağ trafiğini gizlemek, konumlarını maskelemek ve anonimlik sağlamak için yaygın olarak kullanılan teknolojilerdir. Ancak ağ adli bilişimi açısından bu araçlar, iletişimi tamamen görünmez kılmaz; doğru yöntemlerle davranışsal izler, zamanlama kalıpları ve protokol özellikleri üzerinden tespit ve analiz mümkündür. Bu makale, VPN/Proxy/Tor trafiğinin nasıl çalıştığını, hangi izleri bıraktığını ve adli analizde nasıl ele alınması gerektiğini ele alır.

VPN, Proxy ve Tor Nedir?
VPN (Virtual Private Network)

- Trafiği şifreli bir tünelden geçirir
- Gerçek IP yerine VPN sunucu IP’si görünür
- Protokoller: OpenVPN, IPsec, WireGuard vb.

Proxy

- İstemci ile hedef arasında aracı
- HTTP/HTTPS/SOCKS proxy’leri yaygındır
- Şifreleme opsiyoneldir

Tor (The Onion Router)

- Çok katmanlı şifreleme
- Rastgele seçilen düğümler üzerinden yönlendirme
- Yüksek anonimlik, yüksek gecikme

Trafik İzleme Neden Mümkün?

Anonimleştirme araçları:

- Uç noktayı gizler
- İçeriği çoğunlukla şifreler

Ancak aşağıdakiler iz bırakır:

- Bağlantı zamanları
- Paket boyutları
- Trafik hacmi
- Protokol el sıkışmaları
- DNS ve meta-veri kalıntıları

VPN Trafiği İzleme
VPN Trafiğinin Belirtileri

- Uzun süreli, sürekli şifreli bağlantı
- Tek hedef IP’ye yoğun trafik
- Standart dışı portlar (1194, 51820 vb.)

Paket Yakalama (Örnek)

1tcpdump -i eth0 -nn 'udp port 1194 or udp port 51820'

Davranışsal Göstergeler

- Sabit bant genişliği kullanımı
- Uygulama çalışmasa bile devam eden trafik
- Çalışma saatleriyle uyumsuz yoğunluk

Proxy Trafiği İzleme
Proxy Türleri

HTTP Header Analizi

HTTP proxy’lerde bazen ek başlıklar görülebilir:

- Via
- X-Forwarded-For

1tcpdump -i eth0 port 80 | grep "X-Forwarded-For"

Proxy Davranış İpuçları

- Aynı IP’den farklı User-Agent’lar
- Hızlı hedef değişimi
- Web filtrelerini aşan erişimler

Tor Trafiği İzleme
Tor Trafiğinin Karakteristikleri

- Bilinen entry node IP’lerine bağlantı
- TLS üzerinden sabit boyutlu hücreler
- Yüksek gecikme (latency)

Tor Tespiti (Örnek Yaklaşım)

1tcpdump -i eth0 'tcp port 9001 or tcp port 443'

Tor’a Özgü Göstergeler

Düzenli aralıklarla küçük paketler
Aynı anda birden fazla kısa bağlantı
DNS sorgularının olmaması (önceden çözümleme)

DNS ve Meta-Veri Korelasyonu

- VPN/Proxy/Tor kullanımı çoğu zaman:
- DNS sorgularını tünel içine alır
- Yerel DNS’i by-pass eder

Bu durum şu izleri bırakır:

- DNS loglarında “sessizlik”
- Sadece tek IP’ye giden yoğun trafik

Örnek Adli Senaryo

Senaryo:
Bir ağda veri sızıntısı şüphesi var, kullanıcı VPN/Tor kullanıyor olabilir.

İzlenen adımlar:

- Şifreli trafik yoğunluğu analiz edilir
- Tek hedef IP’ler belirlenir
- Zamanlama ve hacim paterni çıkarılır
- DNS/DHCP loglarıyla korelasyon yapılır

Olay, sistem ve uygulama loglarıyla desteklenir

- Trafik İzlerinde Aranan IOC’ler

VPN

- Bilinen VPN ASN’leri
- Uzun süreli UDP oturumları
- Sabit gecikme ve bant genişliği

Proxy

- HTTP header anormallikleri
- Hızlı URL zincirleri
- Coğrafi olarak tutarsız erişimler

Tor

- Bilinen Tor node IP’leri
- Hücresel (cell-based) trafik paterni
- Yüksek latency + düşük throughput

İpuçları ve En İyi Uygulamalar

- Saat senkronizasyonunu (NTP) doğrulayın
- PCAP + flow verilerini birlikte kullanın
- Bilinen VPN/Tor IP listelerini güncel tutun
- Trafik hacmi ve zaman analizine odaklanın

Hukuki ve gizlilik sınırlarını gözetin

1tcpdump -r traffic.pcap -nn | wc -l

Sınırlamalar ve Zorluklar

- TLS/QUIC şifrelemesi
- VPN over HTTPS
- Obfuscation (trafik gizleme)
- Paylaşımlı IP’ler ve NAT
- KVKK/GDPR gibi yasal kısıtlar

VPN, Proxy ve Tor trafik izleme, ağ adli bilişiminde anonimleştirilmiş iletişimi doğrudan çözmekten ziyade dolaylı göstergeler ve davranış paternleri üzerinden analiz etmeyi gerektirir. Şifreleme içeriği gizlese de; zamanlama, hacim, hedef ve protokol özellikleri güçlü ipuçları sunar. Etkili bir inceleme, PCAP, flow, DNS/DHCP ve sistem loglarının birlikte ve korelasyonlu analizine dayanır.

#AdliBilişim #kaynak