Adli Bilişim (Computer Forensics) Nedir? Delil Nasıl Toplanır?

Dijital Delil ve Adli Bilişimdeki Rolü

Dijital çağda suçların şekli değişti, haliyle suçların izleri de fiziksel kanıtların ötesine geçti. Elektronik cihazlardan elde edilen tüm veri parçaları, sanal dünyada gerçekleşen eylemlerin ispatı olarak kabul edilir. Buna dijital delil denir. Telefonlar, bilgisayarlar, router’lar, e-posta hesapları, log dosyaları ve sosyal medya profilleri; hepsi farklı türde dijital delil kaynağı olabilir.

Dijital delillerin en kritik avantajı, olayın zamanını, yerini ve kim tarafından gerçekleştirildiğini net şekilde ortaya koyabilmesidir. Klasik deliller genelde sadece sonuç verirken, dijital delil sürecin kendisini de anlatır. Üstelik silinmiş veriler, eski log dosyaları ve ağ hareket kayıtları incelenerek geri dönük analiz yapılabilir. Bu yüzden ceza davalarında ve siber saldırı incelemelerinde dijital kanıtın mahkemede sunulması ciddi önem taşır. Tabii bunun için delilin güvenli ve prosedüre uygun şekilde toplanmış olması şarttır.

Dijital Delil Toplama Nasıl Yapılır?

Dijital delilin toplanması, “aman bi bakayım ne varmış” diyerek yapılabilecek bir iş değil. Uygunsuz bir müdahale tek bir byte’lık değişiklik bile yaratsa delil mahkemede çöp olabilir. Bu nedenle süreç belli aşamalara bölünmüş durumdadır.

Olay Yerinde İlk Müdahale

Uzman ekip önce olay ortamını kontrol altına alır. Cihazların kapatılması mı yoksa açık durumda bellek verisinin önce alınması mı gerektiğine olayın ciddiyetine göre karar verilir. RAM içeriği uçucudur; sistem kapanırsa o anki canlı veriler yok olur.

Veri Kopyalama ve Orijinalin Korunması

Adli bilişimde altın kural: Orijinale dokunma. Cihazın birebir kopyası alınır, buna disk imajı denir. Bu klonlama işlemi bittikten sonra veri bütünlüğünü garanti etmek için MD5 veya SHA-256 gibi hash algoritmaları hesaplanır. Orijinal veri mühürlenerek saklanır ve sadece kopya üzerinde çalışma yürütülür.

Delil Kaynakları

Dijital delilin tek türü yoktur. Farklı kaynaklardan çekilir:

1. 1. Depolama birimleri (HDD, SSD, flash bellek)
   2. Ağ trafiği
   3. RAM içerikleri
   4. E-posta ya da mesajlaşma kayıtları

Bu işlemler sırasında özel yazılımlardan yararlanılır. Örneğin Autopsy adli analiz için, FTK Imager disk imajı oluşturma için, Wireshark ise ağ paketlerini incelemek için kullanılır.

Dijital Delilin Analiz Süreci

Delil toplama tamamlandıktan sonra işin mutfağı başlar: analiz. Analistler gerçek suçun nasıl işlendiğini bulmak için verinin içine dalar.

Dosya Sistemi Analizi

NTFS ya da FAT32 gibi dosya sistemleri üzerinden silinen dosyaların izleri araştırılır. Zaman damgaları, metadata ve kullanıcı aktiviteleri sistemli şekilde incelenir.

Log Dosyalarının İncelenmesi

Sistem günlükleri çoğu zaman suçlunun bıraktığı ayak izidir. Windows Event Log, Linux syslog, uygulama kayıtları; hepsi zaman çizelgesinin parçalarını oluşturur.

Malware Analizi

Bir sızma, zararlı kod veya arka kapı varsa bunun ne olduğu anlaşılır. Gerekirse zararlı yazılım parçalanıp tersine mühendislik uygulanır.

E-posta İnceleme

Dolandırıcılık, kimlik avı ve spam saldırıları çoğunlukla e-posta ile yürütülür. Header bilgileri, gönderim zinciri ve mesaj içeriği özellikle önemlidir.

Bu analizlerde profesyonel araçlar devreye girer. Volatility bellek analizi için, EnCase kurumsal incelemelerde, X-Ways Forensics ise hızlı disk taramalarında sık kullanılır.

Dijital Delilin Hukuki Niteliği

Topladığın veriyi “ben buldum abi” diye mahkemeye taşıyamıyorsun. Dijital kanıtın kabul edilmesi için üç temel prensip uygulanır:​

1. 1. Bütünlük: Veri üzerinde oynama yapılmış olmamalı. Hash değerleri bu yüzden kritik.
2. 1. Zincirleme Muhafaza: Veriye kimin, ne zaman, nasıl dokunduğu kayıt altına alınmalı.
3. 1. Bilimsel Doğruluk: Kullanılan yöntemler kabul edilmiş standartlara uygun olmalı.

Türkiye’de dijital delillerle ilgili hukuki zemin Türk Ceza Kanunu’nun 134–138. maddeleri, 5651 sayılı kanun ve KVKK kapsamında düzenlenmiştir. Eğer delil hukuka aykırı şekilde elde edildiyse mahkeme onu yok hükmünde sayabilir.

Adli Bilişim Uzmanlarının Dikkat Etmesi Gerekenler

Bu işte hata affetmez. Profesyonellerin takip etmesi gereken bazı temel uygulamalar vardır:

1. 1. Orijinali saklayıp yalnızca kopya üzerinde çalışmak,
   2. Bütünlük kontrolü için hash değerlerini düzenli kaydetmek,
   3. Chain of custody prosedürünü belgelemek,
   4. Uluslararası standart araçlar tercih etmek,
   5. Yasal gerekliliklere tam uyum sağlamak.

Teknoloji her gün değişiyor. Dolayısıyla adli bilişim uzmanları da kendini güncellemek zorunda. Eğitimler, sertifikalar ve saha tecrübesi bu alanda ilerlemek için kilometre taşıdır.

Dijital Adli Bilişimin Amaçları

Bu disiplin hem devletin suç soruşturmasını destekler hem özel sektörün güvenliğini güçlendirir. Temel hedefler arasında:

1. 1. Veri kurtarma ve analizini sağlayarak mahkemede sunulacak kanıtların hazırlanması,
   2. Delilin bozulmaması için toplama protokollerinin uygulanması,
   3. Silinen, şifrelenen veya saklanan kritik verilerin geri kazanılması,
   4. Failin kimliğinin belirlenmesi ve saldırının sebep-sonuç ilişkisinin ortaya çıkarılması,
   5. Soruşturmayı başlatacak analiz raporlarının üretilmesi,
   6. Delil bütünlüğünün kesintisiz biçimde korunması yer alır.

Dijital Adli Bilişim Süreci

Bu alan yalnızca teknik bilgi değil; sistematik işlem yönetimi de ister. Süreç beş ana aşamada ilerler:​

1. 1. Tanımlama: Hedefler belirlenir, hangi veri ve hangi cihazın inceleneceği netleştirilir.
2. 1. Koruma: Veriler izole edilir ve değişiklik ihtimali ortadan kaldırılır.
3. 1. Analiz: Cihaz ve kullanıcıya ait veriler detaylı şekilde incelenir.
4. 1. Belgeleme: Elde edilen bulgular, olay yeri ve süreç adımlarıyla birlikte kayıt altına alınır.
5. 1. Raporlama: Sonuçlar, kullanılan yöntem ve tekniklerle birlikte profesyonel bir rapor hâline getirilir.

Adli Bilişimde Kullanılan Araç Türleri

Zamanla adli analiz için özel araçlar geliştirildi. Günümüzde uzmanların elindeki araçlar oldukça geniştir:

1. 1. Fiziksel disk görüntüleme ve şifreli veri tespiti yapan yakalama araçları,
   2. Dosya analiz ve görüntüleme yazılımları,
   3. Windows kayıt defterinden kullanıcı izlerini alan yardımcı uygulamalar,
   4. İnternet trafiğini analiz eden ve kullanıcı aktivitelerini izleyen araçlar,
   5. E-posta analiz sistemleri,
   6. Mobil cihazlardan veri çıkaran ve bellek görüntüsü alan çözümler,
   7. macOS üzerinde metadata ve disk görüntüleme imkanı sunan araçlar,
   8. Veritabanı inceleme ve raporlama araçları.

Dijital Delil Türleri

Elektronik verinin saklandığı her ortam potansiyel kanıttır. Örnekler oldukça geniştir:

1. 1. Fotoğraf, ses ve video gibi medya dosyaları,
   2. Kullanıcı adları, şifreler ve profil bilgileri,
   3. E-posta içerikleri ve ekleri,
   4. Tarayıcı geçmişi,
   5. Telefon ve görüntülü aramalar,
   6. Veritabanı kayıtları,
   7. Muhasebe yazılımlarındaki veri dosyaları,
   8. Windows registry içerikleri,
   9. RAM çıkartma dosyaları,
   10. Metin, PDF, excel vb. her tür dijital dosya,
   11. Ağ cihazlarının logları,
   12. ATM işlem bilgileri,
   13. GPS konum kayıtları,
   14. Kartlı geçiş sistemleri,
   15. CCTV görüntüleri,
   16. Şifrelenmiş ve saklı veriler,
   17. Yazıcı ve faks kayıtları,
   18. Bilgisayar yedeklemeleri.