Saldırı sonrası bilgisayarı açıp kontrol etmemeliyim, biliyorum. Ama diskte kanıt toplanması nasıl yapılıyor? Polis, hukuk danışmanı mu yapıyor?
Adli bilişim (digital forensics) raporunda ne yazıyor? Bulguları anlamak zor mudur?
Kanıt israf etme riski nedir? Yanlış işlem yaparsam kanıt ısdığı mı sayılır? Hukuki değeri kalır mı?
Dijital Adli Bilişim (Digital Forensics): Siber saldırı kanıtı toplanması ve analizi. Yapanlar: 1) Sızma testi firması (preliminary), 2) Adli bilişim uzmanı (certified), 3) Polis (Siber Suçlar Şube) — criminal case için, 4) Özel müşavirler (bağımsız third-party investigation). Süreç: 1) Scene preservation (olaydan sonra hiçbir şeye dokunma), 2) Device acquisition (disk imaging: read-only copy, hash verification), 3) Analysis (file recovery, timeline reconstruction, malware analysis), 4) Chain of custody (dokümantasyon: kimin elinde, ne zaman), 5) Report (findings, methodology, conclusion). Rapor içeriği: 1) Executive summary (ne bulundu, sonuç), 2) Methodology (nasıl analiz yapıldı), 3) Detailed findings (file timeline, malware signatures, user activity logs), 4) Appendix (technical details, hash values, screenshots). Kanıt değeri: Bilim ve işleme uygunluğuna bağlıdır (chain of custody intact olmalı). Hukuki kabul: Polisle başlatılan kriminal davalarda savcılık özel rapor isteyebilir, tazminat davalarında sigorta/akran raport kabul eder. Maliyet: $2k-10k bağımlı olarak complexity (device sayısı, malware complexity).
adli bilisim uzmani hire et, polise de sikayet et. diski dokunma imaging al professionali... timelinei, malwarei bulup rapor yaz bir de chain of custody belgele — kanit hkuukta kabulu lazim..
Adli bilişim iş akışı: 1) Elde etme (dd aracı: dd if=/dev/sda of=image.img bs=1M, MD5 hash doğrula), 2) Analiz (FTK Imager, EnCase, Volatility bellek analizi), 3) Zaman çizelgesi (dosya zaman damgaları: oluşturma, değiştirme, erişim — MAC times), 4) Artefakt kurtarma (Windows Registry hives, tarayıcı önbelleği, e-posta veritabanları), 5) Zararlı yazılım analizi (statik + dinamik: sandbox çalıştırma, bellek dump analizi), 6) Raporlama (SANS formatı: metodoloji, bulgular, öneriler). Zincir-i muhafaza formu: Cihaz tanımlayıcı, teslim tarihi/saati, işlem yapan imzası, saklama koşulları, erişim logu (kim, ne zaman erişti). Mahkeme kabul edilebilirliği (Türk Ceza Muhakemesi): Uzmanlık belgeleri, metodoloji doğrulama, tekrarlanabilirlik (diğer uzman aynı sonucu bulabilir mi).
bilgisayara dokunma, forensik uzmanı işe al. disk imaging yap hash belge. kanıt ziinciri dokümante et — kimn elinde ne zaman. raporda timeline malware analiz. hukukta kanıtın kabulü metodolojinin dooğruluğuna bağlı..
Adli inceleme aşamaları: Koruma (anlık kanıt yakalama, sistem değişikliği yok), Elde Etme (bit-bit kopya, kriptografik hash doğrulaması), İnceleme (veri ayrıştırma, artefakt çıkarma), Analiz (zaman çizelgesi yeniden yapılandırma, nedensellik bağlama), Raporlama (yapılandırılmış dokümantasyon, bulguların doğrulanması). Kalite güvencesi: bağımsız doğrulama (ikinci analist incelemesi), araç doğrulama (yalnızca onaylı adli yazılım), uzman niteliği (sertifikalar: GCFE, CFE, ECCE). Yasal kabul edilebilirlik: Daubert standardı (ABD mahkemeleri) veya eşdeğeri (AB/TR mahkemeleri metodolojinin hakemli olmasını, hata oranlarının bilinmesini ve alanda genel kabul görmesini gerektirir).
Kafamdaki soru işareti kalktı teşekkürler. Ölçmeden karar verince hep aynı yere geliyoruz.
Başka türlü yapan varsa onu da merak ederim.
Geçen yıl neredeyse aynısını yaşadık. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.
Not olarak bırakayım lazım olur.
çok teşekkurler bugnü deneyeceğim. işte karar verirken en kötü senaryoyu da yazın sadce iyisini değil.
envanter cikarmadan aliann onlem, gormediginiz kapiyi acik birakiyor.
Buna tam katılamayacağım. Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil.
Envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor. Sorunuz olursa yazın elimden geldiğince cevaplarım.
Buna katılıyorum. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.
Ben olsam bu yoldan giderdim.
Genel olarak doğru ama bir yeri eksik kalmış. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.
Umarım işinize yarar.
Ucuz görünen yol genelde sonradan pahalıya patlıyor... bu arada küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.
Kayıt tutmayan hiçbi süreç düzelmiyor çünkü neyi düzelteceğinizi bilmiyorsunuz. işte kendi durumunuz farklıysa tabii değişir.
katılıyorum, hatta altını çizmek isterim... bu aradda her şeyi aynı anda dğeiiştirmeye çalışınca hiçbiri oturmuyor
baska turlu ypaan vaaras onu da merak ederim.
adli bilişim inceleme konusunda en çok atlanan nokta şu: Tek bi önlleme güvenmeyin; katman katman gidin.
kararı verirken elinizde hangi veri var önce ona bakın bir de başka türlü yapn varsa onu da merak ederim.
Bir şeyi atlamayın: İzin ve kapsam yazılı değilse o test başlamasın.
Test edilmemiş bi yedek, yedek değildir.
Bu başlığı açtığınız iyi olmuş. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.
Bu kdr, uzattıysam kusura bakmayın.
Doki · Kurumsal web sitesi · 2023
Evet adli bilişim inceleme konusunda durum aynen böyle... Zaman kaybının çoğu, onay bekleyen işlerde birikiyor.
Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor. Bu kadar, uzattıysam kusura bakmayın.