Windows Adli Bilişim Temelleri: Dijital İzlerin Takibi ve Analizi

Windows işletim sistemi, dünya genelinde en yaygın kullanılan işletim sistemlerinden biridir. Bu nedenle, siber suçlarla mücadele ve dijital delil toplama süreçlerinde Windows tabanlı cihazlar, adli bilişim uzmanlarının en çok karşılaştığı platformlardan biridir. Windows Adli Bilişim Temelleri, Windows işletim sistemi üzerinde gerçekleşen olayların nasıl izleneceğini, logların nasıl analiz edileceğini ve dijital kanıtların nasıl elde edileceğini açıklar.

Windows Adli Bilişim Nedir?

Windows adli bilişimi, Windows işletim sistemi üzerinde yapılan dijital suç araştırmalarını kapsar. Bu, bilgisayarın veya ağın nasıl çalıştığını anlamayı ve suçluların dijital izlerini takip etmeyi içerir. Adli bilişim uzmanları, olayların zamanını ve kaynağını belirlemek, sistemdeki hatalı işlemleri tespit etmek ve suçlulara ait dijital kanıtları toplamak için çeşitli araçlar kullanırlar.

Adli Bilişimde Temel Adımlar:

1 - Veri Toplama: Sistemdeki tüm dijital kanıtlar toplanır. Bu kanıtlar, dosya sistemlerinden, loglardan, RAM’den veya ağ trafiğinden elde edilebilir.

2 - Veri Analizi: Toplanan dijital kanıtlar detaylı bir şekilde incelenir. Windows sisteminde, kayıt defteri, sistem logları ve dosya erişim zamanları analiz edilir.

3 - Kanıtın İzdüşümü ve Sunumu: Dijital deliller hukuki süreçlerde kullanılmak üzere sunulur ve raporlanır.

Windows Adli Bilişimde Kullanılan Temel Veriler

Windows işletim sistemlerinde çeşitli dijital kanıtlar bulunabilir. Adli bilişim uzmanları, bu kanıtları toplayarak, suçluların dijital izlerini takip eder. Aşağıda, Windows sistemlerinde yaygın olarak bulunan bazı önemli dijital deliller ve bunların analizine dair bilgiler bulunmaktadır:

Kayıt Defteri (Registry):
Windows işletim sistemi, çeşitli yapılandırma ve kullanıcı bilgilerini kayıt defterinde saklar. Kayıt defteri, sistemdeki değişikliklerin izlenmesinde çok önemli bir kaynaktır.

Örnek Kullanım:
Kullanıcıların daha önce açtığı dosyaların yerini tespit etmek için, Windows kayıt defterindeki "RecentDocs" anahtarı incelenebilir.

1HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs

Windows Event Logs (Olay Günlükleri):
Windows işletim sistemi, önemli sistem ve güvenlik olaylarını Event Logs (Olay Günlükleri) olarak kaydeder. Bu loglar, kullanıcı girişleri, uygulama hataları, sistem hataları gibi bilgileri içerir.

Örnek: Bir kullanıcının Windows'a giriş yaptığı zamanı belirlemek için, "Security" logları analiz edilebilir.

1eventvwr.msc

Bu komut, Windows Event Viewer'ı başlatarak güvenlik loglarını görmenizi sağlar.

Dosya Zaman Damgaları:
Windows, her dosya için yaratılma, son erişim ve son değiştirilme tarihlerini saklar. Bu zaman damgaları, dosyanın kim tarafından ve ne zaman kullanıldığını belirlemede yardımcı olabilir.

Örnek: Bir dosyanın son erişim tarihini öğrenmek için, komut satırında dir komutunu kullanabilirsiniz.

1dir "C:\Path\To\File.txt" /T:W

Slack Alanı ve Bozuk Alanlar:
Bir dosya silindiğinde, Windows dosyayı hemen diskten silmez. Bunun yerine, dosyanın yerini işaret eder ve alanı "boş" olarak işaretler. Bu alan, silinen dosyaların kurtarılması için kullanılabilir.

Adli Bilişimde Kullanılan Temel Araçlar

Windows adli bilişiminde kullanılacak en önemli araçlardan bazıları şunlardır:

FTK Imager:
FTK Imager, sabit disklerden veya diğer depolama aygıtlarından disk görüntüsü alarak dijital kanıtları toplamak için kullanılan güçlü bir araçtır. FTK, verilerin bütünlüğünü bozmadan güvenli bir şekilde elde edilmesini sağlar.

Autopsy:
Autopsy, açık kaynaklı bir dijital adli bilişim platformudur. Disk görüntülerini analiz etme, dosya kurtarma ve dosya zaman damgalarını inceleme gibi işlemler için kullanılır.

Wireshark:
Ağ trafiği izleme aracı olan Wireshark, şüpheli ağ aktivitelerini analiz etmek için kullanılır. Adli bilişim uzmanları, bu araçla şüpheli ağ bağlantılarını ve veri paketlerini inceleyebilirler.

EnCase:
EnCase, adli bilişim ve dijital delil toplama konusunda yaygın olarak kullanılan bir başka güçlü araçtır. Windows sistemlerinde derinlemesine analizler yapılabilir.

Adli Bilişimde Önemli Teknikler

1 - Disk Görüntüsü (Image) Alma:
Bir cihazda analiz yapmadan önce, disk görüntüsü almak önemlidir. Disk görüntüsü almak, tüm veriyi (silinmiş veriler dahil) bozulmadan toplamanıza yardımcı olur.

2 - Disk Görüntüsü Almak İçin FTK Imager Kullanımı:

FTK Imager’ı açın ve "Create Disk Image" seçeneğini tıklayın.

Kaynağınızı ve hedefinizi belirleyin ve "Start" düğmesine basın.

3 - Zincir-i Euslat (Chain of Custody):
Toplanan dijital kanıtların değiştirilmeden ve bozulmadan saklanması için Zincir-i Euslat (Chain of Custody) izlenmelidir. Bu, kanıtın kaybolmasını engeller ve yasal süreçler için geçerli olmasını sağlar.

4 - Ekran Görüntüsü Almak ve Not Tutmak:
Adli bilişim uzmanları, analiz sürecinde önemli bulguları belgelemek için ekran görüntüleri almalı ve not tutmalıdır. Bu, delillerin yasal geçerliliği açısından önemlidir.

Windows Adli Bilişimde Yaygın Hatalar ve İpuçları

Veri Üzerinde Değişiklik Yapmaktan Kaçının: Dijital kanıt toplarken, verilerin üzerine yazmak veya değiştirmek, kanıtın geçerliliğini bozabilir.

Zaman Damgalarını Kontrol Edin: Dosya ve sistem zaman damgaları, suçun gerçekleştiği zamanı anlamada kritik olabilir.

Silinen Dosyaları Kurtarmayı İhmal Etmeyin: Silinen dosyalar, uygun araçlarla kurtarılabilir ve bunlar kritik dijital kanıtlar olabilir.

Windows adli bilişimi, dijital suçların çözülmesinde önemli bir rol oynamaktadır. Windows işletim sisteminin sunduğu çeşitli dijital kanıt kaynakları (kayıt defteri, olay günlükleri, dosya zaman damgaları vb.) adli bilişim uzmanlarının suçları araştırmasında onlara yardımcı olur. Bu kanıtların doğru bir şekilde toplanması, analiz edilmesi ve sunulması gerekmektedir. FTK Imager, EnCase ve Autopsy gibi araçlar, bu süreçleri daha etkili hale getirir. Zincir-i Euslat ve veri bütünlüğü gibi adli bilişim standartları, delillerin geçerliliği için hayati öneme sahiptir.

#AdliBilişim #kaynak