Windows Sistemlerinde Zaman Damgası ve Metadata Analizi: Dijital Olayların Zaman Çizelgesi
Dijital adli bilişim incelemelerinde zaman en kritik unsurlardan biridir. Bir dosyanın ne zaman oluşturulduğu, değiştirildiği veya erişildiği bilgisi; olayların sıralanması, kullanıcı davranışlarının analizi ve şüpheli aktivitelerin tespiti açısından hayati öneme sahiptir. Windows işletim sistemleri, dosya ve sistem aktiviteleri hakkında zengin zaman damgası (timestamp) ve metadata bilgileri üretir.
Zaman Damgası (Timestamp) Nedir?
Zaman damgası, bir olayın gerçekleştiği tarih ve saati ifade eden bilgidir. Windows sistemlerinde dosya sistemi, registry ve loglar üzerinden farklı zaman damgaları tutulur.
Windows Dosya Sistemlerinde Zaman Damgaları
NTFS Zaman Damgaları (MACB)
Windows’un kullandığı NTFS dosya sistemi dört temel zaman damgası içerir:
M (Modified) – Dosya içeriği değişti
A (Accessed) – Dosyaya erişildi
C (Created) – Dosya oluşturuldu
B (Born / MFT Changed) – Metadata değişti
$STANDARD_INFORMATION ve $FILE_NAME Farkı
NTFS’te her dosya için iki farklı zaman damgası seti bulunur:
1$STANDARD_INFORMATION23$FILE_NAMEBu iki alanın karşılaştırılması, timestamp manipulation (timestomping) tespiti için önemlidir.
Windows Metadata Kaynakları
1. Dosya Metadata’sı
- Boyut
- Oluşturulma yolu
- Sahiplik bilgisi
2. Registry Zaman Damgaları
- LastWrite Time
- Kullanıcı aktiviteleri
- Program çalıştırma izleri
3. Event Log Kayıtları
- Oturum açma / kapatma
- Hata ve uyarılar
- Sistem değişiklikleri
PowerShell ile Zaman Damgası Analizi
1Get-Item "C:\Users\User\Documents\example.txt" |2Select-Object CreationTime, LastWriteTime, LastAccessTimeBu komut, bir dosyanın temel zaman damgalarını hızlıca incelemek için kullanılır.
Timeline (Zaman Çizelgesi) Analizi
Zaman damgaları tek tek değil, olay zinciri şeklinde analiz edilmelidir.
Timeline’a Dahil Edilen Kaynaklar
- Dosya sistemi
- Event loglar
- Registry
- Browser geçmişi
- Prefetch dosyaları
Örnek Senaryo: Yetkisiz Dosya Kopyalama
- USB takılma zamanı tespit edilir
- Kopyalanan dosyanın Created / Modified zamanları incelenir
- Registry ve Event log eşleştirilir
- Kullanıcı oturum zamanı doğrulanır
Bu yaklaşım, olayın zaman doğruluğunu netleştirir.
Timestamp Manipülasyonu (Timestomping)
Saldırganlar dosya zamanlarını değiştirmeye çalışabilir.
Yaygın Yöntemler
- API kullanarak zaman değiştirme
- Dosya kopyalama / geri yükleme
- Anti-forensic araçlar
Saat Senkronizasyonu ve Zaman Sapmaları
- Sistem saati yanlış olabilir
- Farklı log kaynakları farklı zaman dilimleri kullanabilir
- UTC / Local Time karışıklığı yaşanabilir
Gelecek Perspektifi
- Otomatik timeline çıkaran adli araçlar
- Yapay zeka destekli zaman korelasyonu
- Canlı sistemlerde gerçek zamanlı timestamp analizi
- Anti-forensic tespitine yönelik davranışsal modeller
0 yorum