Bir kuruluş ya da birey siber saldırıya uğradığında, ilk içgüdü genellikle sorunu bir an önce çözüp normale dönmektir. Ancak bu yaklaşım, saldırının nasıl gerçekleştiğine dair kritik izlerin kaybolmasına yol açabilir. İşte tam bu noktada devreye "adli bilişim" (digital forensics) girer. Bu yazıda, bir siber saldırı sonrasında izlerin nasıl toplandığını, analiz edildiğini ve delil bütünlüğünün nasıl korunduğunu adım adım ele alacağız.
Bir bakışta
- Siber saldırı sonrası sistemi hemen eski haline getirmek kritik dijital izlerin kaybolmasına neden olabilir.
- Delil zinciri, toplanan dijital kanıtların hukuki geçerliliğini korumak için titizlikle belgelenmesini gerektirir.
- Disk, bellek ve ağ trafiği analizleri birlikte kullanılarak saldırının kaynağı ve yayılma şekli ortaya çıkarılır.
Adli Bilişim Nedir ve Siber Saldırı Sonrası Neden Kritik Önem Taşır?
Adli bilişim, dijital ortamlarda bulunan delillerin sistematik biçimde toplanması, korunması ve analiz edilmesi sürecidir. Bilgisayarlar, sunucular, mobil cihazlar, ağ ekipmanları ve hatta bulut sistemleri bu sürecin kapsamına girebilir. Amaç yalnızca "ne oldu" sorusuna cevap vermek değil, aynı zamanda bu cevabın daha sonra güvenilir bir şekilde kullanılabilmesini sağlamaktır.
Bir saldırı sonrası sadece teknik sorunu gidermek yeterli değildir. Sistemi eski haline getirip devam etmek, saldırganın nasıl içeri girdiğine, hangi verilere eriştiğine ve başka sistemlere sıçrayıp sıçramadığına dair bilgilerin kaybolmasına neden olabilir. Bu izler belgelenmezse, hem benzer saldırıların tekrarlanma riski artar hem de olası hukuki ya da sigorta süreçlerinde elde yeterli kanıt bulunmaz.
Kurumlar için adli bilişim; düzenleyici kurumlara bildirim yükümlülüklerini yerine getirmek, sigorta şirketine hasarı kanıtlamak ya da olası bir dava sürecinde delil sunmak açısından önemlidir. Bireyler için ise daha mütevazı ölçekte olsa da, dolandırıcılık şikayetinde bulunmak veya yetkililere durumu bildirmek amacıyla benzer bir mantık işler.
Olaya Müdahalenin İlk Adımları: Tespit, İzolasyon ve Kanıt Kaybını Önleme
Bir saldırının fark edilmesi genellikle birkaç şekilde olur: sistemlerde beklenmedik yavaşlama, alışılmadık ağ trafiği, güvenlik yazılımlarından gelen uyarılar veya kullanıcıların "dosyalarıma erişemiyorum" gibi şikayetleri. Bu belirtiler, olaya müdahale (incident response) sürecinin başlangıç noktasını oluşturur.
Tespitin ardından öncelikli adım izolasyondur. Etkilenen cihazın veya ağ segmentinin diğer sistemlerden ayrılması, saldırının yayılmasını durdurmayı hedefler. Ancak bu izolasyon yapılırken dikkat edilmesi gereken önemli bir nokta vardır: cihazı hemen kapatmak veya şüpheli dosyaları silmek çoğu zaman iyi bir fikir değildir. Çünkü bellekte (RAM) bulunan geçici veriler, çalışan zararlı süreçler ya da ağ bağlantı bilgileri bu şekilde kalıcı olarak kaybolabilir.
Panik anında yapılan bu tür yanlış müdahaleler, ironik biçimde soruşturmayı en çok zorlaştıran etkenlerden biridir. Bu nedenle olaya müdahale planlarında genellikle "önce izole et, sonra belgelemeye başla, mümkün olduğunca az müdahale et" prensibi benimsenir.
Delil Zinciri (Chain of Custody) Kavramı ve Bütünlüğün Korunması
Delil zinciri, bir dijital delilin ilk toplandığı andan itibaren kim tarafından, ne zaman, nasıl erişildiğinin ve nasıl saklandığının kesintisiz biçimde kayıt altına alınmasını ifade eder. Bu kavram özellikle delilin bir hukuki sürece ya da resmi rapora konu olması durumunda büyük önem taşır.
Neden bu kadar titiz davranılır? Çünkü bir delilin toplanma sürecinde kimin, hangi araçlarla, hangi zaman diliminde işlem yaptığı belli değilse, o delilin sonradan değiştirilip değiştirilmediği de garanti edilemez. Bu şüphe, delilin mahkemede ya da resmi bir incelemede geçerliliğini kaybetmesine yol açabilir.
Pratikte bu, her adımın not edilmesi anlamına gelir: hangi disk imajının ne zaman alındığı, hangi analiz aracının kullanıldığı, dosyaların hangi ortamda saklandığı gibi detaylar titizlikle kayıt altına alınır. Genellikle orijinal veri üzerinde doğrudan işlem yapılmaz; bunun yerine bire bir kopyalar (imajlar) üzerinde çalışılır ve bu kopyaların orijinaliyle aynı olduğu matematiksel yöntemlerle (özet değerleri/hash ile) doğrulanır.
Temel Adli Bilişim Teknikleri: Disk, Bellek ve Ağ Trafiği Analizi
Adli bilişim uzmanları genellikle üç ana veri kaynağına odaklanır.
Disk analizi, sabit disk veya SSD üzerindeki verilerin incelenmesidir. Silinmiş dosyaların izleri, dosya oluşturma/değiştirme zaman damgaları ve dosya sistemi kayıtları bu analizde önemli ipuçları sunar. Bir dosya silinmiş görünse bile, disk üzerinde fiziksel olarak üzerine yazılmadığı sürece kalıntıları bulunabilir.
Bellek (RAM) analizi ise sistemin o anki "canlı" durumunu yansıttığı için özellikle değerlidir. Çalışan süreçler, açık ağ bağlantıları, şifreleme anahtarları gibi diskte hiç yer almayan geçici bilgiler yalnızca bellekte bulunur. Bu yüzden mümkünse cihaz kapatılmadan önce bellek görüntüsünün alınması tercih edilir.
Ağ trafiği analizi, saldırganın sisteme nasıl girdiğini ve verileri nereye aktardığını ortaya koymada kritik rol oynar. Hangi IP adresleriyle iletişim kurulduğu, hangi protokollerin kullanıldığı ve olağandışı veri akışlarının olup olmadığı bu analizde incelenir.
Bu üç teknik genellikle birlikte kullanılır; çünkü her biri olayın farklı bir yönünü aydınlatır ve tek başına eksik kalabilecek bir resmi tamamlar.
Kötü Amaçlı Yazılım ve Fidye Yazılımı Saldırılarında Kaynağın Araştırılması
Bir kötü amaçlı yazılım ya da fidye yazılımı bulaşmasında araştırmanın önemli bir kısmı, saldırının giriş noktasını bulmaya odaklanır. Bu giriş noktası genellikle bir e-posta eki, zafiyetli bir yazılım, sahte bir bağlantı veya zayıf bir uzak erişim yapılandırması olabilir. İlk erişimin tespit edilmesi, hem sorunun kaynağının kapatılması hem de benzer yolların gelecekte engellenmesi açısından önemlidir.
Ardından saldırının ağ içinde nasıl yayıldığı incelenir. Saldırgan bir sistemden diğerine nasıl geçmiş, hangi yetkileri ele geçirmiş, hangi sıra ile ilerlemiş gibi sorular bu aşamada cevaplanmaya çalışılır.
Fidye yazılımı vakalarında ayrıca kendine özgü izler de değerlendirilir: dosyaların şifrelenme sırası ve zamanı, oluşturulan fidye notları, kullanılan şifreleme yönteminin izleri gibi unsurlar, saldırının hangi araç veya yöntemle gerçekleştirildiğine dair fikir verebilir. Bu bilgiler bazen saldırıya karşı bir çözüm bulunup bulunmadığının (örneğin bilinen bir zafiyetin şifre çözme yöntemi) araştırılmasında da yol gösterici olabilir.
Günlük (Log) Kayıtları ve Güvenlik Duvarı Verilerinin Rolü
Sunucu, uygulama ve güvenlik duvarı günlükleri, bir olayın zaman çizelgesini oluşturmada belki de en değerli kaynaklardır. Bu kayıtlar sayesinde hangi IP adresinin hangi zamanda sisteme eriştiği, hangi işlemlerin gerçekleştirildiği ve olağandışı davranışların ne zaman başladığı tespit edilebilir.
Güvenlik duvarı verileri özellikle dışarıdan gelen bağlantı denemelerini ve bunların hangi anda başarılı ya da başarısız olduğunu gösterir. Bu bilgi, saldırının dışarıdan mı yoksa içeriden mi başladığını anlamada belirleyici olabilir.
Ancak günlük kayıtlarının işe yaraması için bazı ön koşullar vardır: kayıtların düzenli tutulması, yeterli sürede saklanması ve tutarlı biçimde senkronize edilmiş zaman damgalarına sahip olması gerekir. Aksi halde farklı sistemlerden gelen kayıtlar birbiriyle örtüşmeyebilir ve olay zaman çizelgesinin oluşturulması zorlaşabilir.
Analiz Sonrası Raporlama: Hukuki ve Kurumsal Kullanım Alanları
Adli bilişim sürecinin sonunda genellikle kapsamlı bir rapor hazırlanır. Bu rapor birden fazla amaca hizmet edebilir: hukuki süreçlerde delil olarak sunulmak, sigorta şirketine hasarın kapsamını kanıtlamak veya kurum içinde yönetim kuruluna durumu özetlemek gibi.
Rapor genellikle şu unsurları içerir: olayın nasıl tespit edildiği, izlenen adımlar, bulunan teknik bulgular, olayın zaman çizelgesi ve alınması önerilen önlemler. Raporun teknik olmayan okuyucular tarafından da anlaşılabilir şekilde yazılması, karar alıcıların (yöneticiler, hukuk müşavirleri, sigorta yetkilileri) doğru kararlar almasına yardımcı olur.
Şeffaf ve anlaşılır bir raporlama, sadece geçmişe dönük bir hesap verme aracı değil, aynı zamanda geleceğe yönelik bir yol haritasıdır.
Süreçten Çıkarılan Dersler ve Gelecekteki Savunmanın Güçlendirilmesi
İncelemenin en değerli çıktılarından biri, ortaya çıkan zafiyetlerin somut biçimde görülmesidir. Bu bulgular ışığında ağ güvenliği politikaları gözden geçirilir, güvenlik duvarı kuralları güncellenir ve varsa yamanmamış yazılımlar öncelikli olarak güncellenir.
Ayrıca birçok saldırı, teknik zafiyetlerden çok insan hatasından (örneğin bir oltalama e-postasına tıklanması) kaynaklandığı için personel eğitimi ve farkındalık çalışmaları da bu sürecin doğal bir parçası haline gelir. Adli bilişim süreci böylece yalnızca geçmişte ne olduğunu anlamakla kalmaz, kurumun gelecekteki saldırılara karşı direncini artıran somut bir öğrenme fırsatına dönüşür.
Bireysel Kullanıcılar İçin Basit Adli Bilişim Önlemleri
Bu sürecin tamamı büyük kurumlar için karmaşık görünse de, bireysel kullanıcılar da şüpheli bir durumla karşılaştıklarında benzer mantıkla hareket edebilir:
- Şüpheli bir mesaj, pop-up veya ekran görüntüsüyle karşılaşıldığında, mümkünse bunun ekran görüntüsünü almak faydalı olur.
- Cihazı hemen kapatmamak, özellikle fidye yazılımı şüphesi varsa önemlidir; çünkü bellekte geçici olarak bulunan bazı bilgiler kapatma sonrası kaybolabilir.
- Durumu mümkün olan en kısa sürede ilgili yetkililere (bankanız, işvereniniz, yetkili şikayet mercileri) bildirmek, hem sizin hem de başkalarının korunmasına katkı sağlar.
- Şifreleri değiştirmeden ya da dosyaları silmeden önce, mümkünse konuyla ilgili bir uzmana danışmak, olası delillerin korunmasına yardımcı olur.
Sonuç olarak, adli bilişim; ister büyük bir kurumda ister bireysel düzeyde olsun, bir siber saldırının ardından "ne oldu, nasıl oldu ve bir daha nasıl önlenir" sorularına sistemli ve güvenilir cevaplar aramanın yöntemidir. Bu süreci genel hatlarıyla anlamak, hem saldırı anında doğru davranışları sergilemek hem de güvenlik kültürünü güçlendirmek açısından herkes için değerlidir.
