Adli inceleme kanıt toplama süreci, çoğu kurumda bir müdahale ekibinin ilk refleksiyle daha başlamadan zarar görür: şüpheli sunucuya uzak masaüstüyle bağlanılır, antivirüs taraması başlatılır, geçici dosyalar temizlenir ve şüpheli dosya masaüstüne kopyalanıp incelenir. Bu dört işlemin her biri, saldırganın bıraktığı izleri tahrip eder. Sonuçta elde kalan tek şey “kötücül bir dosya bulduk” cümlesidir; hangi hesapla girildiği, ne kadar süre kalındığı ve hangi verinin dışarı çıktığı ise kayıptır.

Kanıt toplamanın amacı yalnızca mahkemeye delil sunmak değildir. Vakaların büyük bölümünde çıktı, olayın zaman çizelgesini kurmak ve saldırganın giriş noktasını kapatmak için kullanılır. Yöntemi doğru uygulamak, hem hukuki süreci hem de teknik kök neden analizini aynı anda mümkün kılar. Aşağıda toplama sırası, doğrulama yöntemleri ve pratikte en sık düşülen tuzaklar ele alınıyor.

Kanıt neden bozulur: üç yaygın senaryo

Birinci senaryo temas kaynaklıdır. Sisteme her bağlanma, her dosya açma ve her tarama işlemi yeni kayıtlar üretir ve mevcut zaman damgalarını değiştirir. İnceleyenin bıraktığı izle saldırganın bıraktığı izi ayırmak zorlaşır.

İkinci senaryo sıra kaynaklıdır. Uçucu veriler kalıcı verilerden önce toplanmazsa geri gelmez; sistem kapatıldığında bellek içeriği, açık ağ bağlantıları ve şifresi çözülmüş oturum bilgileri kaybolur. Üçüncü senaryo ise belgeleme kaynaklıdır: imaj alınmıştır ama kimin, ne zaman, hangi araçla aldığı ve dosyanın bütünlüğünün nasıl doğrulandığı yazılı değildir. Teknik olarak sağlam ama belgesiz bir kanıt, itiraz karşısında zayıf kalır. Sahada en çok iz tahrip eden işlemler şunlardır:

• Şüpheli sisteme uzak masaüstüyle bağlanıp dosya sisteminde gezinmek.
• Zararlı olduğu düşünülen dosyayı çift tıklayarak açmak veya başka bir makineye kopyalamak.
• Disk alanı açmak için geçici klasörleri ve eski olay günlüklerini temizlemek.
• Sistemi “düzeltmek” amacıyla yeniden başlatmak ya da yeniden kurmak.

Uçuculuk sırasına göre toplama akışı

Toplama, en hızlı kaybolandan en dayanıklıya doğru ilerler. Aşağıdaki sıra pratikte kullanılan yaygın bir uygulamadır:

1. Bellek içeriği ve çalışan süreçler. RAM görüntüsü, süreç listesi, yüklü modüller ve komut satırı argümanları. Bu katman, dosyasız zararlıların tek kanıtı olabilir.
2. Ağ durumu. Aktif bağlantılar, dinlenen portlar, ARP tablosu ve DNS önbelleği. Komuta kontrol adresi çoğu zaman burada yakalanır.
3. Oturum ve kimlik bilgisi durumu. Açık oturumlar, kimlik doğrulama biletleri, bağlı paylaşımlar.
4. Geçici dosya sistemleri ve önbellekler. Yeniden başlatmada silinecek her şey.
5. Disk üzerindeki veriler. Dosya sistemi meta verileri, olay günlükleri, kayıt defteri kovanları, uygulama izleri.
6. Uzak sistemlerdeki kayıtlar. Merkezî log platformu, güvenlik duvarı, proxy, kimlik sağlayıcı ve bulut denetim kayıtları.
7. Fiziksel ve yapılandırma bilgisi. Ağ topolojisi, sanallaştırma katmanı yapılandırması, yedek kopyaların konumu.

Bu akışın kurumun kendi ortamına uyarlanmış, araç adları ve komutları yazılı bir kılavuz haline getirilmesi gerekir. Böyle bir kılavuzu hazırlamak ve saha ekibine uygulatmak, kurumsal siber güvenlik danışmanlığı kapsamında yürütülen hazırlık çalışmalarının en somut kalemlerinden biridir; kriz anında hafızadan komut hatırlamaya çalışmak kanıt kaybının başlıca nedenidir.

Kanıt türlerine göre yöntem ve doğrulama

Hash değeri hesaplamak biçimsel bir adım değildir; kanıtın toplandığı andan sonra değişmediğini gösteren tek pratik yoldur. Kopyalama öncesi ve sonrası hesaplanan değerler kayda geçmelidir.

Kayıt zinciri belgesi neleri içermeli

Kayıt zinciri (chain of custody), kanıtın toplandığı andan raporlandığı ana kadar kimin elinden geçtiğini gösteren belgedir. Eksik tutulduğunda kanıt teknik olarak sağlam olsa bile itiraza açık hale gelir.

• Kanıtın tanımı: varlık adı, seri numarası, IP adresi, sanal makine kimliği.
• Toplama anı: tarih, saat ve saat dilimi; sistem saatiyle gerçek saat arasındaki sapma.
• Toplayan kişi ve tanık, kullanılan araç ve sürümü.
• Hesaplanan hash değeri ve algoritma.
• Saklama ortamı, erişim yetkisi olanlar ve her devir teslim kaydı.
• İncelemenin kopya üzerinde yapıldığına dair kayıt; orijinal medyaya doğrudan analiz yapılmaz.

Canlı sistemden toplama mı, kapatıp imaj mı

Klasik yaklaşım sistemi kapatıp disk imajı almaktı. Bugün bu tercih çoğu vakada yanlıştır: tam disk şifrelemesi kullanılan bir makinede kapatma, diski erişilemez hale getirebilir; bellekte tutulan zararlı ise tamamen kaybolur.

Pratik kural şudur: sistem çalışıyorsa önce bellek ve ağ durumu alınır, ardından karar verilir. Sunucu üretimdeyse ve iş sürekliliği kritikse, ağ izolasyonu ile çalışır durumda tutup imaj almak genellikle en dengeli seçenektir. Fiziksel istemcilerde ise bellek alındıktan sonra kontrollü kapatma ve yazma korumalı (write blocker) imaj alma uygulanabilir. Kararı verirken şu sorular sırayla yanıtlanır:

• Disk tam olarak şifreli mi; kapatıldığında çözme anahtarına erişim kalıyor mu?
• Zararlı diskte bir karşılığı olmadan yalnızca bellekte mi çalışıyor?
• Sistem üretimde mi ve ağ izolasyonuyla çalışır tutulabilir mi?
• Sanallaştırma katmanı bellek dahil anlık görüntü alabiliyor mu?

Bulut ve SaaS ortamlarında neler değişir

Bulutta fiziksel medyaya erişemezsiniz; kanıt, sağlayıcının sunduğu kayıt ve anlık görüntü mekanizmalarıyla sınırlıdır. Bu nedenle hazırlık, olay anında değil abonelik yapılandırılırken yapılır.

• Denetim kaydı (audit log) özelliklerinin açık ve saklama süresinin ihtiyacı karşılayacak kadar uzun olduğunu doğrulayın.
• Kayıtların ayrı bir hesapta veya değiştirilemez depoda tutulmasını sağlayın; ele geçirilen yönetici hesabı kendi izini silebilmemelidir.
• Anlık görüntü alma ve dışa aktarma yetkisinin müdahale ekibinde olduğundan emin olun, olay anında yetki talebiyle vakit kaybetmeyin.
• Kimlik sağlayıcı kayıtlarını ayrıca toplayın; bulut olaylarının çoğu kimlik katmanında başlar.

Zaman senkronizasyonu ve saklama süresi

Farklı sistemlerden gelen kayıtları tek bir zaman çizelgesine dizemiyorsanız kanıt yığını analiz edilemez. Tüm varlıkların ortak bir zaman sunucusuyla senkron olması ve kayıtların tercihen UTC ile tutulması, sonradan telafisi zor bir eksiği baştan kapatır.

Saklama süresi ise ihlallerin geç fark edilmesiyle doğrudan ilgilidir. Saldırganın aylar önce girdiği bir vakada 30 günlük log saklama, giriş noktasını görmenizi imkânsız kılar. Kritik kaynaklar için daha uzun saklama, ISO 27001 kapsamındaki bir yönetim sisteminde de kayıtların korunmasına ilişkin kontrollerle uyumlu şekilde tanımlanmalıdır.

Ekibin kanıt toplama refleksini gerçek koşulda sınamak

Yazılı kılavuz ile saha uygulaması arasındaki farkı ancak baskı altında görürsünüz. İki ila altı haftaya yayılan bir red team hizmeti sırasında ekip, gerçek bir saldırgan davranışıyla karşılaştığında kanıtı doğru sırada toplayıp toplamadığını test etme fırsatı bulur: bellek alındı mı, sunucu kapatıldı mı, kayıt zinciri formu dolduruldu mu, zaman damgaları tutarlı mı?

Bu tür bir çalışmanın raporlama aşaması, saldırı zincirini ve kullanılan TTP’leri (taktik, teknik, prosedür) MITRE ATT&CK eşlemesiyle ortaya koyar. Böylece hem hangi tekniğin iz bıraktığı hem de hangi izin ekip tarafından toplanamadığı görülür. Kurumun tespit sonrası kanıt toplama olgunluğu, MTTD ve MTTR kadar ölçülebilir bir yetkinliktir.

Sık sorulan sorular

Adli inceleme kanıt toplama işini kurum içi ekip yapabilir mi?

Yapabilir; belirleyici olan unvan değil yöntemdir. Toplama sırası, kopya üzerinde çalışma ilkesi, hash doğrulaması ve kayıt zinciri belgesi usulüne uygun uygulandığı sürece iç ekibin topladığı kanıt geçerlidir. Yargı süreci öngörülüyorsa hukuk biriminin sürece baştan dahil edilmesi ve toplama kararlarının yazılı gerekçelendirilmesi önerilir.

Antivirüs taraması yapmak kanıtı bozar mı?

Bozar. Tarama dosya erişim zamanlarını değiştirir, tespit ettiği örnekleri karantinaya alarak veya silerek zararlının kendisini ortadan kaldırabilir. İnceleme tamamlanmadan önce şüpheli sistemde otomatik temizlik özellikleri devre dışı bırakılmalı, tespitler yalnızca raporlanmalıdır.

Şüpheli bilgisayarı kapatmak mı yoksa açık bırakmak mı doğru?

Genel kural, uçucu veri alınmadan kapatmamaktır. Bellek görüntüsü ve ağ durumu toplandıktan sonra kapatma kararı verilebilir. Şifreleme yayılıyor ve başka çare yoksa ağ bağlantısını kesmek, cihazı kapatmaya göre neredeyse her zaman daha iyi bir seçenektir.

Ne kadar süre saklamalıyız?

Kanıtlar, olayın kapanmasıyla değil ilgili hukuki ve idari süreçlerin tamamlanmasıyla imha edilir. Bu nedenle saklama süresi hukuk birimiyle birlikte belirlenir. Kişisel veri içeren kanıtların saklanmasında da erişim kısıtı ve şifreleme uygulanması, KVKK kapsamındaki veri güvenliği yükümlülükleri açısından önem taşır.

Sanal sunucuda anlık görüntü almak imaj yerine geçer mi?

Çoğu vaka için yeterli bir başlangıçtır, ancak tek başına bellek kanıtını kapsamaz. Sanallaştırma katmanında hem disk anlık görüntüsü hem de bellek durumu birlikte alınabiliyorsa sonuç fiziksel imaja yakın değer taşır. Anlık görüntünün kimliği, alındığı zaman ve hash değeri mutlaka kayda geçirilmelidir.

Sonuç

Kanıt toplamada başarı, kullanılan aracın gelişmişliğiyle değil ilk on dakikada verilen kararlarla belirlenir: sisteme temas etmeden önce plan, kapatmadan önce bellek, analizden önce kopya, raporlamadan önce kayıt zinciri. Bu dört ilkeyi yazılı bir kılavuza dönüştüren ve ekibine bir kez gerçek koşulda uygulatan kurum, bir sonraki olayda “ne olduğunu tam olarak bilemedik” cümlesini kurmak zorunda kalmaz.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.