Bilgisayarlar, ilk bakışta görülebilenden çok daha fazla bilgi depolar. İşletim sistemleri, dosya sistemleri, uygulamalar, tarayıcılar, kullanıcı hesapları, harici depolama aygıtları ve sistem günlükleri, süreçlerin teknik olarak yeniden oluşturulmasına olanak tanıyan dijital izler bırakabilir; bu yeniden oluşturma işlemi bazen bir olay gerçekleştikten çok uzun süre sonra bile mümkün olabilir.

LB Forensik'in bilgisayar adli bilişim hizmetleri , Windows PC'ler, dizüstü bilgisayarlar, Apple Mac sistemleri, sabit diskler, SSD'ler ve diğer depolama ortamlarındaki bu dijital izlerin profesyonelce güvenliğinin sağlanması, analizi ve değerlendirilmesine odaklanmaktadır.

Sorulan soruya bağlı olarak, örneğin hangi dosyaların mevcut olduğu veya silindiği, belirli kullanıcı etkinliklerinin ne zaman gerçekleştiği, hangi harici depolama aygıtlarının bağlı olduğu, hangi internet etkinliklerinin izlenebildiği veya kötü amaçlı yazılım, manipülasyon veya yetkisiz erişime dair teknik göstergelerin olup olmadığı araştırılabilir.

Belirleyici faktör, elde edilebilecek en büyük veri miktarı değildir. Adli soruşturmanın amacı, belirli delil sorusuna teknik olarak doğrulanabilir bir yanıt bulmaktır.

"Dijital Kanıtların Bütünlüğü" başlıklı makalemizde dijital kanıtlar için temel gereksinimleri daha ayrıntılı olarak açıklıyoruz . Akıllı telefon veya tabletlerin de dahil olduğu soruşturmalarda, bilgisayar analizi mobil adli bilişimimizle birleştirilebilir .

Bilgisayar adli bilişimi nedir?

Bilgisayar adli bilişimi, dijital adli bilişimin bir alt alanıdır. Bilgisayarlar ve bunlarla ilişkili depolama sistemlerindeki dijital izlerin yapılandırılmış bir şekilde güvenli hale getirilmesi, incelenmesi, yeniden oluşturulması ve değerlendirilmesiyle ilgilenir.

İnceleme konusu olabilecek öğeler arasında masaüstü bilgisayarlar, dizüstü bilgisayarlar, MacBook'lar, sabit diskler, SSD'ler, USB depolama aygıtları, hafıza kartları, harici sürücüler veya seçilmiş sunucu ve ağ verileri yer alabilir.

Profesyonel bir soruşturma, açıkça tanımlanmış bir soruyla başlar:

Hangi dijital izler, belirli bir süreci zaman içinde teknik olarak doğrulayabilir, çürütebilir veya yeniden oluşturabilir?

Ancak o zaman hangi sistemlerin güvence altına alınması gerektiği ve hangi adli delillerin incelenmesi gerektiği belirlenir.

Bilgisayar adli bilişimi hangi sorulara cevap verebilir?

Mevcut verilere ve araştırmanın kapsamına bağlı olarak, diğer hususların yanı sıra şunlar incelenebilir:

• Bilgisayarda hangi dosyaların bulunduğu,
• Dosyalar oluşturulduğunda, değiştirildiğinde veya silindiğinde,
• Silinen verilerin hala kurtarılıp kurtarılamayacağı,
• Hangi kullanıcı hesaplarının kullanıldığı,
• Hangi programların çalıştırıldığı veya yüklendiği,
• hangi harici depolama aygıtları bağlıydı
• İnternet ve tarayıcı etkinliklerinin hangilerinin izlenebileceği,
• Yetkisiz erişime dair herhangi bir belirti olup olmadığı,
• Kötü amaçlı yazılımların teknik izlerinin mevcut olup olmadığı,
• Dosyaların harici depolama aygıtlarına kopyalanmış veya aktarılmış olup olmadığı,
• İşlemlerin veya silme işlemlerinin izlenebilir olup olmadığı,
• Zaman açısından birbiriyle ilişkili olaylar.

Her soru tek bir veriye dayanarak cevaplanamaz. Genellikle, güvenilir bir genel teknik tablo ancak birkaç bağımsız veri kaynağının ilişkilendirilmesiyle ortaya çıkar.

Bilgisayarın adli olarak korunması

Bilgisayar analizinde temel olarak orijinal sistemin güvenliğinin sağlanması ile sonradan yapılan analiz arasında bir ayrım yapılmalıdır.

Uygun durumlarda, öncelikle ilgili veri taşıyıcılarının veya veri kümelerinin adli bir yedeği oluşturulur. Ardından, mümkünse, analiz yedek üzerinde veya belirlenmiş bir çalışma kopyası üzerinde gerçekleştirilir.

Bu, gereksiz araştırma adımlarıyla orijinal sistemin değiştirilmesini önlemeyi amaçlamaktadır.

Hangi yedekleme yönteminin uygun olduğu, sistem durumuna, şifrelemeye, veri taşıyıcısının türüne ve özel delil sorusuna bağlıdır.

Sabit disk adli incelemesi

Geleneksel sabit diskler kapsamlı adli bilgiler içerebilir.

Şu anda görülebilen dosyalara ek olarak, dosya sistemine ve daha sonraki kullanıma bağlı olarak, silinmiş dosyalar, dosya sistemi yapıları, meta veriler ve diğer dijital kalıntılar da mevcut olabilir.

Dolayısıyla, sabit disk analizi, yalnızca görünür klasörleri ve dosyaları açmanın çok ötesine geçebilir.

SSD adli analizi

Modern SSD'lerin incelenmesi, klasik manyetik sabit disk sürücülerinin incelenmesinden önemli yönlerden farklılık göstermektedir.

Aşınma dengeleme, çöp toplama ve TRIM gibi teknolojiler, verilerin dahili olarak nasıl depolandığını ve silme işlemlerinden sonra nasıl işlendiğini etkiler.

Bu nedenle, silinen dosyaların geleneksel bir sabit sürücüden kurtarıldığı gibi bir SSD'den de kurtarılabileceğine dair yaygın varsayım teknik olarak güvenilir değildir.

Dosya içerikleri artık yeniden oluşturulamasa bile, diğer kanıtlar dosyaların, uygulamaların veya belirli faaliyetlerin var olduğuna dair delil sağlayabilir.

Dosya sistemi adli incelemesi

Dosya sistemleri dosyaları, dizinleri ve bunlarla ilişkili meta verileri düzenler.

İşletim sistemine ve depolama ortamına bağlı olarak farklı dosya sistemleri geçerli olabilir.

Bu analiz, dosyalar, dizin yapıları, zaman damgaları ve diğer dosya sistemi unsurları hakkında bilgi sağlayabilir.

Farklı zaman damgalarının farklı teknik anlamlara sahip olduğu ve çeşitli sistem süreçleri tarafından değiştirilebileceği dikkate alınmalıdır.

Windows adli bilişimi

Windows sistemleri kullanım sırasında çok sayıda dijital eser üretir.

Sorulan soruya bağlı olarak, ilgili bilgiler arasında kullanıcı profilleri, kayıt defteri verileri, olay günlükleri, dosya sistemi bilgileri, kısayollar, program yürütme kalıntıları, tarayıcı verileri ve bağlı cihazlar hakkında bilgiler yer alabilir.

Bu kaynakların birçoğunu bir araya getirerek, belirli kullanıcı ve sistem etkinlikleri kronolojik olarak yeniden oluşturulabilir.

Mac adli bilişimi ve macOS

Apple sistemleri ayrıca adli açıdan önemli çok sayıda veri kaynağı da içerir.

Mac, MacBook ve macOS işletim sistemlerini incelerken, kullanılan dosya sistemine, güvenlik mekanizmalarına, kullanıcı hesaplarına ve olası sürücü şifrelemesine özellikle dikkat edilmelidir.

Modern Apple sistemleri, teknik özellikleri bakımından klasik Windows bilgisayarlardan önemli ölçüde farklılık gösterir. Bu nedenle, yedekleme stratejisi ilgili donanım ve işletim sistemi nesline uyarlanmalıdır.

Linux adli bilişimi

Linux sistemleri özellikle sunucular, geliştirme ortamları ve teknik çalışma alanları için oldukça uygun olabilir.

Dağıtım ve yapılandırmaya bağlı olarak, sistem günlükleri, kullanıcı bilgileri, kabuk geçmişleri, dosya sistemi kalıntıları, yapılandırma dosyaları ve diğer teknik veriler incelenebilir.

Hangi izlerin mevcut olduğu, sistemin özel yapılandırmasına büyük ölçüde bağlıdır.

RAM adli analizi ve geçici veriler

İlgili tüm bilgiler sabit diskte veya SSD'de kalıcı olarak saklanmaz.

Çalışmakta olan bir bilgisayar, belleğinde uçucu bilgiler içerebilir.

Sistem durumuna ve araştırmanın amacına bağlı olarak, çalışma belleğinin yedeklenmesi bu nedenle önemli olabilir.

RAM verileri, yedekleme sırasında aktif olan çalışan işlemler, ağ bağlantıları veya diğer sistem durumları hakkında bilgi içerebilir.

Sistem kapatıldığında bu bilgiler her zaman kaybolur.

Canlı adli inceleme mi yoksa kapatılmış bir sistem mi?

Çalışmakta olan bir bilgisayarı kapatmak mı yoksa çalışır durumdayken inceleyip güvenliğini sağlamak mı gerektiği kararı, deliller açısından önemli sonuçlar doğurabilir.

Çalışmakta olan bir sistem, değişken bilgiler içerebilir. Aynı zamanda, çalışan bir bilgisayarla yapılan her etkileşim, durumunu değiştirir.

Şifreli sistemlerde, ilgili anda veri taşıyıcısının zaten şifresi çözülmüş durumda olup olmadığı da önemli olabilir.

Dolayısıyla, her durum için tek bir doğru öneri yoktur.

Kanıt veya güvenlik endişelerini içeren belirli bir olay durumunda, mümkünse daha fazla işlem yapmadan önce hangi güvenlik stratejisinin teknik olarak uygun olduğunun netleştirilmesi tavsiye edilir.

Silinen dosyaların adli incelemesi

Bir dosyayı silmek, tüm depolama sistemlerindeki tüm bilgilerin anında silindiği anlamına gelmez.

Dosya sistemine, depolama ortamına, silme yöntemine ve daha sonraki kullanıma bağlı olarak, veri veya dosya kalıntıları hala mevcut olabilir.

Ancak SSD'lerde TRIM ve dahili bellek temizleme mekanizmaları kurtarma işlemini önemli ölçüde sınırlayabilir.

Bu nedenle, silinen verilerin kurtarılması genel olarak hiçbir zaman garanti edilemez.

Onarım yapılmasa bile izler kalabilir.

Adli bir soruşturma için, silinen bir dosyanın tüm içeriğinin kurtarılıp kurtarılamayacağı tek başına hayati önem taşımaz.

Diğer sistem kalıntıları, önceki dosyalar veya etkinlikler hakkında ipuçları sağlayabilir.

Bu durum, örneğin belirli bir dosya adının, depolama yolunun veya kullanım sürecinin diğer veri yapılarında hala izlenebilir olup olmadığı sorusunu gündeme getirebilir.

Dosyaları ve belgeleri inceleyin.

Belgeler, görünür içeriklerinin yanı sıra ek teknik bilgiler de içerebilir.

Dosya formatına bağlı olarak, meta veriler, zaman bilgisi, yazar bilgisi veya diğer özellikler bulunabilir.

Bu veriler, bir belgenin oluşturulması, düzenlenmesi veya kökeniyle ilgili sorular için önemli olabilir.

Ancak meta veriler, temelden değiştirilebileceğinden, teknik bir bağlamda değerlendirilmelidir.

USB adli bilişim ve harici depolama aygıtları

Veri sızıntısı veya yetkisiz veri kopyalama şüphesi durumlarında, en önemli soru genellikle harici depolama ortamı kullanılıp kullanılmadığıdır.

Bilgisayarlar, bağlı USB aygıtlarının izlerini bırakabilir.

İşletim sistemine ve veri kullanılabilirliğine bağlı olarak, belirli cihazlar veya bunların kullanımı hakkında bilgiler mevcut olabilir.

Bu bilgiler dosya, kullanıcı ve zaman bilgileriyle ilişkilendirilebilir.

USB belleğe hangi dosyaların kopyalandığını kanıtlamak mümkün mü?

Bu soru, her bir durum ayrı ayrı incelenmelidir.

Belirli bir USB depolama aygıtının bağlı olması, hangi dosyaların ona kopyalandığını otomatik olarak kanıtlamaz.

Bu nedenle, olası bir veri sızıntısını teknik olarak yeniden oluşturmak için çeşitli unsurların birbirleriyle karşılaştırılması gerekir.

Bu ayrım, özellikle iş hukuku veya beyaz yakalı suçlarla ilgili konularda büyük önem taşır.

Tarayıcı adli incelemesi ve internet etkinliği

Web tarayıcıları kapsamlı dijital izler bırakabilir.

Kullanılan tarayıcıya, kullanıcı profiline ve veri durumuna bağlı olarak, örneğin geçmiş, indirmeler, çerezler, önbellek verileri, kaydedilmiş oturum bilgileri veya diğer tarayıcı verileri ilgili olabilir.

Bu, gerekirse belirli internet etkinliklerinin kronolojik sıraya konulmasına olanak tanır.

Burada da şu geçerlidir: Tek bir tarayıcı öğesi otomatik olarak belirli bir gerçek kişiyle eşdeğer tutulmamalıdır.

Etkinlikleri indir ve yükle

Bazı soruşturmalarda, dosyaların internetten indirilip indirilmediği veya çevrimiçi hizmetler aracılığıyla aktarılıp aktarılmadığı önem taşır.

Tarayıcı verileri, dosya sistemi kalıntıları, uygulama bilgileri ve muhtemelen diğer günlükler ipuçları sağlayabilir.

Belirli bir yükleme veya indirme işleminin güvenilir bir şekilde kanıtlanıp kanıtlanamayacağı, mevcut teknik kanıtlara bağlıdır.

Bilgisayarlarda e-posta adli incelemesi

E-posta iletişimi, farklı seviyelerde ilgili bilgileri aktarabilir.

Görünür mesajlara ek olarak, yerel posta veritabanları, ekler, başlık bilgileri, önbellek verileri ve diğer unsurlar da incelenebilir.

Karmaşık durumlarda, yerel bilgisayar analizi, ilgili e-posta hesabının veya diğer mevcut veri kaynaklarının incelenmesiyle birleştirilebilir.

Bilgisayardaki bulut izleri

Dosyalar bulut hizmetinde depolansa bile, bilgisayarda yerel izler kalabilir.

Senkronizasyon programları, yerel dizinler, önbellek verileri, yapılandırmalar ve diğer unsurlar, bir bulut hizmetinin kullanımı hakkında ipuçları sağlayabilir.

Ancak, yerel bilgisayar kayıtları ve bulut sağlayıcısı tarafından tutulan veriler farklı kanıt kaynaklarıdır ve ayrı ayrı değerlendirilmelidir.

Kötü amaçlı yazılım ve zararlı yazılım taraması

Bir bilgisayarın güvenliğinin ihlal edildiğinden şüpheleniliyorsa, kötü amaçlı yazılımlara veya diğer istenmeyen değişikliklere dair teknik belirtiler olup olmadığı kontrol edilebilir.

Bu, dosyaların, işlemlerin, otomatik başlatma mekanizmalarının, sistem yapılandırmalarının, olay günlüklerinin ve diğer unsurların incelenmesine olanak tanır.

Profesyonel bir analiz, yalnızca bir virüs tarayıcısının belirli bir dosyayı tespit ettiğini belirtmekle sınırlı değildir.

Asıl önemli olan, teknik olarak doğrulanabilir hangi izlerin mevcut olduğu ve bunlardan hangi sonuçların çıkarılabileceğidir.

Bilgisayar hacklendi – saldırı kanıtlanabilir mi?

Önceki yetkisiz erişimin kanıtlanıp kanıtlanamayacağı, hâlâ mevcut olan izlere bağlıdır.

İlgili bilgiler sistem günlüklerinde, kullanıcı hesaplarında, uygulamalarda, tarayıcı verilerinde, ağ izlerinde veya diğer kaynaklarda bulunabilir.

Ancak, tespit edilebilir bir kanıtın bulunmaması, saldırının hiç gerçekleşmediğini otomatik olarak kanıtlamaz.

Benzer şekilde, tek bir teknik anormallik, otomatik olarak başarılı bir uzlaşmanın kanıtı değildir.

Fidye yazılımı ve şifreleme saldırıları

Fidye yazılımı saldırısının ardından çeşitli adli sorular ortaya çıkabilir.

Bu, örneğin, olası ilk saldırı yolunu, etkilenen kullanıcı hesaplarını, çalıştırılan programları, zaman çizelgelerini ve hangi sistemlerin etkilendiğini içerir.

Kurumsal olaylar söz konusu olduğunda, bu tür bir soruşturma daha kapsamlı bir olay müdahale analizinin parçası olabilir.

Şüpheli manipülasyonu araştırın.

Uyuşmazlıklarda, dosyaların, belgelerin veya diğer dijital bilgilerin sonradan değiştirilip değiştirilmediği sorusu ortaya çıkabilir.

Bilgisayar adli bilişimi, mevcut meta verileri, dosya sistemi bilgilerini ve diğer teknik kanıtları inceleyerek tutarsızlıkları kontrol edebilir.

Ancak, teknik bir anormallik otomatik olarak kasıtlı manipülasyonun kanıtı değildir.

Öte yandan, bir anormalliğin olmaması, dosyanın hiç değiştirilmediği anlamına gelmez.

Kullanıcı etkinliğinin yeniden yapılandırılması

Modern işletim sistemleri kullanım sırasında çok sayıda çıktı üretir.

Farklı kaynakları ilişkilendirerek, belirli zamanlarda bir sistemde hangi faaliyetlerin gerçekleştiğini yeniden oluşturmak mümkün olabilir.

Kullanıcı hesabının faaliyetleri ile gerçek bir kişinin kimliği arasında bir ayrım yapılmalıdır.

Belirli bir kullanıcı hesabının aktif olması, bilgisayarın başında kimin oturduğunu otomatik olarak kanıtlamaz.

Zaman çizelgesi analizi – olayların kronolojik olarak yeniden yapılandırılması

Bilgisayar adli bilişiminde en güçlü yöntemlerden biri, farklı dijital izlerin zamansal korelasyonudur.

Bu, örneğin dosya sistemi olaylarının, sistem günlüklerinin, program yürütmelerinin, tarayıcı etkinliklerinin, USB bağlantılarının ve diğer unsurların ortak bir zamansal bağlamda yerleştirilmesine olanak tanır.

Bu tür bir zaman çizelgesi, karmaşık süreçleri adım adım yeniden oluşturmaya yardımcı olabilir.

Zaman damgaları teknik açıdan doğru yorumlanmalıdır. Farklı sistemler farklı zaman dilimleri, zaman biçimleri ve zaman değerlerinin farklı anlamlarını kullanabilir.

Bilgisayarı ve akıllı telefonu birlikte inceleyin.

Günümüzde dijital konular nadiren tek bir cihazla sınırlı kalıyor.

Bir belge bilgisayarda oluşturulmuş, bulut hizmeti aracılığıyla senkronize edilmiş, akıllı telefonda açılmış ve ardından bir mesajlaşma uygulaması aracılığıyla gönderilmiş olabilir.

Dolayısıyla, karmaşık vakalarda farklı cihazların birlikte incelenmesi çok daha bilgilendirici olabilir.

LB Forensics, bilgisayar ve mobil adli bilişimini ortak bir soruşturma stratejisi içinde birleştirebilir .

Şifrelenmiş bilgisayarlar ve veri depolama aygıtları

Modern bilgisayarlarda sürücü ve dosya şifrelemesi giderek daha fazla kullanılmaktadır.

Örneğin, BitLocker Windows sistemleri için, FileVault ise Apple sistemleri için önemli olabilir.

Şifrelenmiş verilere erişimin mümkün olup olmadığı ve nasıl sağlanacağı, sistemin durumuna, yapılandırmasına ve mevcut erişim bilgilerine bağlıdır.

Bu nedenle, delillerin korunması planlanırken mevcut şifreleme yöntemleri dikkate alınmalıdır.

Basit dosya kopyalama yerine adli yedekleme

Görünür dosyaları bir USB belleğe kopyalamak, tam bir adli yedekleme ile eşdeğer değildir.

Profesyonel bir yedekleme işlemi, hangi sistemin veya veri taşıyıcısının kullanıldığını, hangi yöntemin uygulandığını ve hangi veri setinin yedeklendiğini belgelemektedir.

İncelenen duruma bağlı olarak, kriptografik karma değerler, tanımlanmış veri kümelerinin bütünlüğünü izlenebilir bir şekilde belgelemek için kullanılabilir.

Bir karma değeri, bir dosyanın içeriğinin doğruluğunu veya yazarlığını otomatik olarak kanıtlamaz. Esasen, tanımlanmış bir veri kümesinin belgelenmiş bir referans durumuna göre değişip değişmediğini karşılaştırmaya olanak tanır.

Yazma engelleyici ve orijinal veri taşıyıcısının korunması

Uygun veri taşıyıcı analizleri, orijinal ortama istenmeyen yazma erişimini önlemek veya en aza indirmek için tasarlanmış donanım veya yazılım yöntemlerini kullanabilir.

Hangi yöntemin uygun olduğu, kullanılan veri taşıyıcısına ve yedekleme stratejisine bağlıdır.

Amaç, teknik olarak mümkün olduğu ölçüde kanıtların orijinal halini korumak ve değişiklikleri izlenebilir bir şekilde belgelemektir.

Delil Zinciri ve Muhafaza Zinciri

Hukuki açıdan önem taşıyan soruşturmalarda, analiz sonucu tek önemli faktör değildir.

Aynı derecede önemli olan bir diğer husus ise, hangi cihazın incelendiğini, ne zaman edinildiğini, nasıl güvence altına alındığını ve sonraki analizlerin hangi veri setine dayandırıldığını takip edebilme yeteneğidir.

Bu belgelenmiş delil zincirine genellikle "delil zinciri" adı verilir.

Adli rapor ve uzman görüşü

Kapsamlı bir teknik analiz, ancak sonuçları anlaşılabilir bir şekilde sunulursa faydalıdır.

Göreve bağlı olarak, ilgili bulgular bir soruşturma raporunda veya uzman analizinde belgelenebilir.

İyi bir adli dokümantasyon şunlar arasında ayrım yapar:

• tespit edilmiş teknik gerçekler,
• kullanılan muayene yöntemleri,
• teknik sonuçlar,
• mevcut kısıtlamalar ve
• Mevcut verilere dayanarak cevaplanamayan sorular.

Daha fazla bilgi için BT ve mobil adli bilişim uzmanlığı ofisimizle iletişime geçebilirsiniz.

Bilgisayar adli incelemesinden önce nelerden kaçınılmalıdır?

Olası bir delil davasında, düşüncesizce yapılan eylemler mevcut delilleri değiştirebilir.

• Dosyaları zamanından önce silmeyin veya taşımayın.
• Herhangi bir temizleme programı kullanmayın.
• Bilgisayarı fabrika ayarlarına sıfırlamayın.
• Yeni bir işletim sistemi kurulumu yapmayın.
• SSD veya sabit sürücüyü biçimlendirmeyin.
• Gereksiz güncellemeleri yüklemeyin.
• Önceden değerlendirme yapmadan herhangi bir virüs koruma veya onarım işlemi gerçekleştirmeyin.
• Gereksiz yere harici depolama aygıtları bağlamaktan kaçının.
• Günlük dosyalarını veya kullanıcı profillerini silmeyin.

Çalışmakta olan bir sistem otomatik olarak kapatılmamalıdır. Hassas veriler veya şifreleme durumu, yedekleme stratejisi açısından önem taşıyabilir.

İşletmeler için bilgisayar adli bilişimi

Şirketlerde, bilgisayar adli bilişimi özellikle veri sızıntısı şüphesi, yetkisiz erişim, kötü amaçlı yazılım, iç manipülasyon, uyumluluk ihlalleri veya diğer güvenlik olayları durumlarında önem taşıyabilir.

Teknik olanaklar ve yasal çerçeveler birlikte değerlendirilmelidir.

Bu nedenle, bir soruşturma belirli bir soruya ve açıkça tanımlanmış bir soruşturma kapsamına odaklanmalıdır.

Çalışanlarla ilgili davalarda bilgisayar adli incelemesi

Dahili soruşturmalar sırasında, iş istasyonu bilgisayarları önemli dijital izler içerebilir.

Olası sorular, örneğin veri kopyaları, harici depolama ortamları, dosya işlemleri veya diğer teknik süreçlerle ilgili olabilir.

Adli soruşturma, bir önlemin iş hukuku veya veri koruma hukuku kapsamındaki kabul edilebilirliğinin incelenmesinin yerini tutmaz.

Avukatlar ve mahkemeler için bilgisayar adli bilişimi

Dijital veriler, medeni hukuk, ceza hukuku, iş hukuku veya ekonomi davalarında çok önemli bir rol oynayabilir.

LB Forensik, dijital kanıtların teknik olarak güvence altına alınması, analizi ve değerlendirilmesi konusunda destek sağlar.

Teknik olarak doğrulanabilir gerçekler ile daha kapsamlı hukuki değerlendirmeler arasında bir ayrım yapılır.

Özel kişiler için bilgisayar adli bilişimi

Özel kişiler de bilgisayarlarını ve veri depolama cihazlarını adli incelemeye tabi tutabilirler.

Tipik sorular arasında örneğin, yetkisiz erişim şüphesi, veri kaybı, manipülasyon şüphesi, kötü amaçlı yazılım, silinmiş veriler veya yasal işlemler için dijital kanıtların güvence altına alınması yer almaktadır.

Almanya genelinde bilgisayar adli bilişimi

LB Forensik, ülke genelinde şirketlere, avukatlara, yetkililere ve özel kişilere dijital sistemlerin güvenliğinin sağlanması ve incelenmesi konusunda destek vermektedir.

Duruma bağlı olarak, güvenlik önlemlerinin alınması veya soruşturma, olay yerinde veya kontrollü soruşturma koşulları altında gerçekleştirilebilir.

Bölgesel bilgilere, örneğin, Stuttgart için BT adli bilişimi , Düsseldorf için BT adli bilişimi ve Hannover için BT adli bilişimi başlıkları altında ulaşılabilir.

Bilgisayar adli bilişiminin sınırları

Profesyonel bilgisayar adli bilişimi, kapsamlı dijital izleri ortaya çıkarabilir. Ancak her soruyu yanıtlayamaz.

• Silinen veriler her zaman kurtarılamayabilir.
• Üzerine yazılan veriler kalıcı olarak kaybolabilir.
• TRIM ve SSD'nin dahili işlemleri kurtarma işlemini sınırlayabilir.
• Şifreleme, verilere erişimi engelleyebilir veya zorlaştırabilir.
• Tüm kullanıcı etkinlikleri net bir dijital kayıt bırakmaz.
• Kullanıcı hesabı otomatik olarak belirli bir gerçek kişiyle eş anlamlı değildir.
• Zaman damgası teknik olarak yorumlanmalıdır.
• Bir eserin yokluğu, o olayın hiç gerçekleşmediğini otomatik olarak kanıtlamaz.

Dolayısıyla, profesyonelce yürütülen sağlam bir soruşturma, yalnızca bulunan izleri belirlemekle kalmaz, aynı zamanda bunların öneminin sınırlarını da ortaya koyar.

Bilgisayar adli bilişimi hakkında sıkça sorulan sorular

Bilgisayar adli bilişimi nedir?

Bilgisayar adli bilişimi, bilgisayarlar ve depolama ortamlarındaki dijital izlerin yapılandırılmış bir şekilde güvenli hale getirilmesi, analiz edilmesi ve değerlendirilmesidir. Amaç, mevcut verilere dayanarak belirli olayların teknik olarak yeniden yapılandırılmasıdır.

Hangi bilgisayarlar adli incelemeye tabi tutulabilir?

Kullanılan sisteme ve sorulan soruya bağlı olarak, Windows PC'ler, dizüstü bilgisayarlar, Apple Mac sistemleri ve bunlarla ilişkili sabit diskler, SSD'ler ve harici depolama ortamları incelenebilir.

Hangi dosyaların silindiği belirlenebilir mi?

Bu durum dosya sistemine, depolama ortamına ve sonraki kullanıma bağlı olarak ortaya çıkabilir. Dosya içerikleri kurtarılamasa bile, diğer kalıntılar önceki dosyaların varlığını gösterebilir.

Silinen dosyalar kurtarılabilir mi?

Kısmen. Başarı şansı büyük ölçüde depolama ortamına, dosya sistemine, silme işlemine ve sonraki kullanıma bağlıdır. Özellikle SSD'lerde TRIM ve dahili bellek temizliği, kurtarmayı sınırlayabilir.

Bir dosyanın ne zaman silindiğini belirlemek mümkün mü?

Belirli koşullar altında, çeşitli eserler silme süreci veya zamansal ilişkisi hakkında ipuçları sağlayabilir. Bununla birlikte, kesin bir silme zamanı her zaman belirlenemez.

Bir dosyayı kimin sildiğini belirlemek mümkün mü?

Dijital izler, faaliyetleri bir sisteme veya kullanıcı hesabına bağlayabilir. Ancak bu, eylemi hangi gerçek kişinin gerçekleştirdiğini otomatik olarak ortaya çıkarmaz.

USB belleğin takılı olup olmadığını belirlemek mümkün mü?

İşletim sistemine ve veri durumuna bağlı olarak, bağlı USB aygıtlarının izleri bulunabilir.

USB belleğe hangi dosyaların kopyalandığını belirlemek mümkün mü?

Bu durum, birden fazla veri kaynağı kullanılarak doğrulanmalıdır. Bağlı bir USB cihazının varlığı, kopyalama işleminin gerçekten gerçekleştiğini otomatik olarak kanıtlamaz.

Saldırıya uğramış bir bilgisayar incelenebilir mi?

Evet. Yetkisiz erişim şüphesi durumlarında, mevcut sistem, dosya, kullanıcı, tarayıcı, uygulama ve varsa ağ izleri analiz edilebilir.

Bir bilgisayar korsanının ne zaman erişim sağladığını belirlemek mümkün mü?

Uygun kayıtlar ve diğer belgeler mevcutsa, potansiyel erişim zaman aralığını daraltmak mümkün olabilir. Ancak, her zaman tam bir yeniden yapılandırma mümkün değildir.

Kötü amaçlı yazılımlar tespit edilebilir mi?

İlgili kalıntılar hala mevcutsa, bunlar kötü amaçlı yazılımları, şüpheli programları veya olağandışı sistem değişikliklerini gösterebilir.

Hangi web sitelerinin ziyaret edildiğini belirlemek mümkün mü?

Tarayıcı profilleri, veri durumuna bağlı olarak geçmiş, önbellek, indirmeler ve diğer verileri içerebilir. Ancak, gizli modlar, silme işlemleri ve diğer faktörler veri durumunu etkileyebilir.

Silinen tarayıcı verileri kurtarılabilir mi?

Kullanılan tarayıcıya, dosya sistemine ve depolama durumuna bağlı olarak, bu kısmen mümkün olabilir. Tam bir kurtarma garanti edilemez.

E-postalar incelenebilir mi?

Evet. Kullanılan sisteme bağlı olarak, yerel olarak depolanan e-posta verileri, ekler ve diğer teknik bilgiler analiz edilebilir.

Bilgisayar üzerinden bulut işlemleri takip edilebilir mi?

Yerel senkronizasyon ve uygulama bileşenleri, belirli bulut hizmetlerinin kullanımı hakkında ipuçları sağlayabilir. Tam bir değerlendirme için ek bulut verilerine ihtiyaç duyulabilir.

Dosyaların üzerinde değişiklik yapılıp yapılmadığını tespit etmek mümkün mü?

Bir soruşturma, teknik anormallikleri, meta verileri ve tutarsızlıkları inceleyebilir. Ancak her değişiklik kesin olarak tanımlanamaz veya belirli bir kişiye atfedilemez.

Kapalı bir bilgisayar incelenebilir mi?

Evet. Mevcut depolama ortamlarındaki kalıcı veriler, şifreleme, durum ve teknik erişilebilirliğe bağlı olarak yedeklenebilir ve analiz edilebilir.

Şüpheli bir bilgisayar kapatılmalı mı?

Otomatik olarak değil. Çalışır durumdaki bir sistemde, geçici RAM verileri veya önceden şifresi çözülmüş veri taşıyıcıları önemli olabilir. Bu nedenle, mümkünse herhangi bir müdahaleden önce uygun yedekleme stratejisi netleştirilmelidir.

RAM adli bilişimi nedir?

RAM adli bilişimi, çalışan bir sistemin geçici belleğindeki verileri inceler. Bu veriler, aktif süreçler ve diğer mevcut sistem durumları hakkında bilgiler içerebilir.

Şifrelenmiş bir sabit sürücü incelenebilir mi?

Bu, şifreleme yöntemine, sistem durumuna ve mevcut erişim bilgilerine bağlıdır. Yedekleme planlamasında mevcut şifreleme mümkün olan en erken aşamada dikkate alınmalıdır.

Adli görüntü nedir?

Adli imaj, belirli bir yöntem kullanılarak oluşturulmuş ve daha sonra analiz için kullanılabilen bir veri taşıyıcısının veya veri kümesinin yedeğindir. Belirli yedekleme yöntemi, incelenen nesneye bağlıdır.

Delil zincirinin takibi ne anlama gelir?

Delil zincirini belgeleyen bu doküman, delillerin nasıl ele geçirildiğini, nasıl işlendiğini ve soruşturmanın hangi veri tabanına göre yürütüldüğünü takip etmeyi amaçlar.

Bilgisayar adli bilişimi ne kadar sürer?

Süre, öncelikle veri miktarına, cihaz sayısına, şifrelemeye, sorulan özel sorulara ve gerekli araştırma derinliğine bağlıdır. Bu nedenle, güvenilir bir tahmin genellikle ancak araştırmanın kesin kapsamı bilindikten sonra mümkündür.

Sıfırlanmış veya yeni kurulmuş bir bilgisayar incelenebilir mi?

Evet, bir araştırma yine de faydalı olabilir. Ancak, sıfırlama, yeniden yükleme ve sonraki kullanımlar önceki verilerin üzerine yazabilir veya verilerin kullanılamaz hale gelmesine neden olabilir. Hangi bilgilerin hala elde edilebileceği, belirli sistem üzerinde incelenmelidir.

Ekran görüntüsü dijital kanıt olarak yeterli midir?

Ekran görüntüsü görünür bir durumu belgeleyebilir, ancak genellikle altta yatan orijinal veri kaynağına kıyasla önemli ölçüde daha az teknik bağlam bilgisi içerir. Bu nedenle, daha kapsamlı bir adli değerlendirme için, mümkün olduğunca orijinal veri kaynağı korunmalıdır.

Bilgisayarımın adli incelemeye tabi tutulmasını istiyorsam ne yapmalıyım?

Sisteme gereksiz değişiklikler yapmaktan kaçının ve mevcut durumunu belgeleyin. Çalışır durumda olan veya şifrelenmiş bir sistem için, kapatmadan veya başka müdahalelerde bulunmadan önce en iyi hareket tarzını belirleyin.

LB Forensics aracılığıyla bilgisayar adli bilişim hizmeti talep edin.

Bir güvenlik olayı sonrasında, şüpheli manipülasyon, veri kaybı veya yasal bir ihtilaf durumunda bir bilgisayarın, dizüstü bilgisayarın, Mac'in veya veri depolama cihazının incelenmesi gerekiyorsa, mümkün olan en kısa sürede koordinasyon sağlanması önerilir.

İlk değerlendirme için cihaz türü, işletim sistemi, mevcut veri depolama ortamı, şifreleme durumu ve sorulan özel soru özellikle önemlidir.

LB Forensics daha sonra hangi veri kaynaklarının güvence altına alınması gerektiğini ve hangi inceleme yönteminin delil sorusuna uygun olduğunu belirleyebilir.

Profesyonel bilgisayar adli bilişimi, mümkün olduğunca çok veri bulmakla ilgili değildir. Asıl önemli olan, dijital izleri sistematik bir şekilde güvence altına almak, teknik açıdan doğru bir şekilde yorumlamak ve izlenebilir bir şekilde belgelemektir.