Windows’ta Prefetch ve Pagefile Analizi: Dijital Adli Bilişimde Uygulama ve Bellek İzleri

Windows işletim sistemleri, performansı artırmak ve bellek yönetimini optimize etmek için Prefetch ve Pagefile gibi mekanizmalar kullanır. Bu yapılar, sistemin normal çalışması için tasarlanmış olsa da dijital adli bilişim açısından son derece değerli artefaktlar barındırır. Doğru analiz edildiğinde, hangi programların çalıştırıldığı, ne zaman çalıştırıldığı ve bellekte hangi verilerin yer aldığı gibi kritik sorulara yanıt verebilir.

Windows Prefetch Nedir?

Prefetch, Windows’un uygulamaların daha hızlı açılmasını sağlamak için kullandığı bir önbellekleme mekanizmasıdır. Çalıştırılan uygulamalar hakkında belirli bilgiler .pf uzantılı dosyalar halinde saklanır.

Prefetch Dosyalarının Konumu

1C:\Windows\Prefetch\

Örnek dosya adı:

1CHROME.EXE-3F2A1B2C.pf

Bu isim:

- Çalıştırılan uygulamayı
- Uygulamaya özgü hash değerini

içerir.

Prefetch Dosyalarının İçerdiği Bilgiler

Prefetch dosyaları aşağıdaki verileri barındırır:

Uygulama adı
- İlk çalıştırma zamanı
- Son çalıştırma zamanı
- Çalıştırılma sayısı
- Yüklenen DLL dosyaları

Bu bilgiler sayesinde zaman çizelgesi (timeline) oluşturmak mümkündür.

Prefetch Analizi
Manuel İnceleme (Hex / Parser)

Prefetch dosyaları binary formattadır. Doğrudan okunamaz, parser gerektirir.

Komut Satırı ile Dosya Listesi

1dir C:\Windows\Prefetch

Son değiştirilme zamanları:

1dir /T:W C:\Windows\Prefetch

Prefetch ile Adli Senaryo Örneği
Senaryo:

Bir sistemde şüpheli bir yazılım çalıştırıldığı iddia ediliyor.

Analiz adımları:

1 - Prefetch dizini incelenir
2 - Şüpheli .exe adına sahip .pf dosyası aranır
3 - Çalıştırılma zamanı belirlenir
4 - Diğer loglarla korelasyon yapılır

Bu yöntemle, silinmiş olsa bile bir yazılımın çalıştırıldığı kanıtlanabilir.

Windows Pagefile Nedir?

Pagefile (pagefile.sys), Windows’un sanal bellek yönetimi için kullandığı disk tabanlı bir dosyadır. RAM dolduğunda, bellek sayfaları disk üzerine taşınır.

Pagefile Özellikleri

- Varsayılan konum: C:\pagefile.sys
- Gizli ve sistem dosyasıdır
- Bilgisayar kapatılsa bile veri içerebilir

Pagefile İçinde Bulunabilecek Veriler

- Kullanıcı şifreleri (parçalı)
- URL’ler
- Metin içerikleri
- Uygulama içi veriler
- Zararlı yazılım artefaktları

Bu nedenle Pagefile, bellek adli bilişimi açısından çok değerlidir.

Pagefile Analizi
Pagefile Kopyalama

Öncelikle dosya bütünlüğü bozulmadan kopyalanmalıdır.

1copy C:\pagefile.sys D:\evidence\pagefile.sys

String Analizi

1strings pagefile.sys > pagefile_strings.txt

Bu işlem:

- Okunabilir metinleri çıkarır
- URL, komut ve kullanıcı verilerini ortaya koyabilir

Prefetch ve Pagefile Birlikte Nasıl Kullanılır?

Prefetch:

- Hangi uygulama çalıştı?
- Ne zaman çalıştı?

Pagefile:

- Uygulama içinde ne vardı?
- Bellekte hangi veriler işlendi?

Bu iki artefakt birlikte analiz edildiğinde, olayın hem zamanı hem de içeriği hakkında güçlü kanıtlar elde edilir.

İpuçları ve En İyi Uygulamalar

1 - Prefetch dosyalarını silinmiş uygulamalarla eşleştirin
2 - Pagefile analizinde regex ve keyword listeleri kullanın
3 - Prefetch zamanlarını Event Log’larla karşılaştırın
4 - Pagefile boyutunu ve sistem yapılandırmasını kontrol edin
5 - Analiz öncesi mutlaka hash alın

- Prefetch kullanıcı tarafından veya sistem politikasıyla kapatılabilir
- Pagefile verileri parçalı ve bağlamdan kopuktur
- SSD + modern Windows sürümlerinde Prefetch davranışı değişiklik gösterebilir
- Şifreli bellek alanları analiz edilemeyebilir

Windows’ta Prefetch ve Pagefile analizi, dijital adli bilişimde uygulama çalıştırma izlerini ve bellek kaynaklı verileri ortaya çıkarmada kritik rol oynar. Prefetch, bir uygulamanın ne zaman ve kaç kez çalıştığını gösterirken; Pagefile, o uygulamanın bellekte işlediği verilere dair ipuçları sunar. Bu iki artefakt birlikte ele alındığında, olayların teknik zaman çizelgesi yüksek doğrulukla oluşturulabilir.

#AdliBilişim  #kaynak