Adli Bilişim İncelemelerinde Kullanılan Yazılımsal Araçlar: Taksonomik Bir Analiz ve Metodolojik Değerlendirme

Özet

Adli bilişim süreci, ham verinin mahkemede sunulabilir adli delile dönüştürülmesi sürecidir. Bu dönüşüm, verinin bütünlüğünü koruyan, doğrulanabilir ve tekrarlanabilir sonuçlar üreten özel yazılımlar aracılığıyla gerçekleştirilir. Bu çalışma, adli bilişimde kullanılan yazılımları; veri toplama (imaj alma), analiz süitleri, mobil inceleme ve açık kaynak çözümler başlıkları altında sınıflandırmakta; ticari ve açık kaynak kodlu araçların avantaj ve dezavantajlarını akademik bir perspektifle irdelemektedir.

1. Giriş

Geleneksel kriminalistikte mikroskop ne ise, dijital dünyada adli bilişim yazılımları odur. Bir adli bilişim uzmanının (analist) yetkinliği, kullandığı araçların (tools) kapasitesi ve bu araçların ürettiği sonuçları yorumlama becerisi ile sınırlıdır. Adli bilişim yazılımları, disk üzerindeki manyetik bit dizilimlerini (0 ve 1), insan algısına uygun dosya yapılarına, log kayıtlarına ve zaman çizelgelerine dönüştüren ara yüzlerdir. Bu araçların seçimi, NIST (National Institute of Standards and Technology) standartlarına uygunluk ve “Daubert Standartları” gereği hata payının biliniyor olması açısından hayati önem taşır.

2. Adli Bilişim Yazılımlarının Fonksiyonel Sınıflandırması

Yazılımlar, ISO/IEC 27037 standardındaki süreçlere (Tanımlama, Toplama, Analiz, Raporlama) paralel olarak dört ana kategoride incelenir.

2.1. Veri Toplama ve İmaj Alma Araçları (Acquisition Tools)

İncelemenin ilk adımı, orijinal delilin birebir kopyasının (bit-stream image) alınmasıdır. Bu aşamada kullanılan yazılımlar, veri üzerinde herhangi bir değişiklik yapmadan (write-blocking) okuma yapmalıdır.

FTK Imager (AccessData/Exterro): Endüstri standardı olarak kabul edilen, ücretsiz ancak kapalı kaynak kodlu bir araçtır. Bellek (RAM) imajı alma ve fiziksel disk kopyalama yeteneğine sahiptir.
Guymager: Özellikle Linux tabanlı adli bilişim dağıtımlarında kullanılan, yüksek hızlı ve eş zamanlı hash (MD5/SHA-256) hesaplayabilen açık kaynaklı bir imaj alma aracıdır.
Tableau Imager: Genellikle donanımsal yazma koruyucularla (write blocker) entegre çalışan ticari bir yazılımdır.

2.2. Kapsamlı Analiz Süitleri (Computer Forensics Suites)

Bu yazılımlar, alınan imajları işleyen, indeksleyen, silinmiş verileri kurtaran (data carving) ve raporlayan devasa platformlardır.

EnCase Forensic (OpenText): Adli bilişim dünyasının en köklü yazılımlarından biridir. Mahkemelerde kabul görme oranı (court acceptance) en yüksek araçlardandır. Özellikle kendi script dili (EnScript) ile özelleştirilebilir analiz imkânı sunar.
X-Ways Forensics: Alman mühendisliği ürünü olan bu yazılım, diğer süitlere göre daha hafif, hızlı ve donanım dostudur. “Hex” tabanlı derinlemesine inceleme yapabilmesi nedeniyle ileri seviye uzmanlar tarafından tercih edilir.
Autopsy (The Sleuth Kit): Açık kaynak kodlu ve ücretsiz olması nedeniyle akademik çalışmalarda ve bütçesi kısıtlı birimlerde sıkça kullanılır. Modüler yapısı sayesinde topluluk tarafından geliştirilen eklentilerle (plugin) yetenekleri artırılabilir.

2.3. Mobil Cihaz İnceleme Araçları (Mobile Forensics)

Akıllı telefonların kapalı devre işletim sistemleri ve şifreleme mekanizmaları, genel amaçlı süitlerin yetersiz kalmasına neden olmuş ve özelleşmiş araçları doğurmuştur.

Cellebrite UFED (Universal Forensic Extraction Device): İsrail menşeli bu araç, özellikle fiziksel imaj alma (chip-off seviyesine yakın veri çekme) ve şifre kırma konusundaki başarısıyla pazar lideridir.
Magnet AXIOM: Mobil veriler ile bilgisayar verilerini ve bulut verilerini tek bir vaka dosyasında birleştirme (artifact correlation) yeteneği ile öne çıkar. Sohbet uygulamalarını (WhatsApp, Telegram) ayrıştırmada (parsing) oldukça başarılıdır.

2.4. Bellek ve Zararlı Yazılım Analizi (Memory & Malware Forensics)

Volatility Framework: RAM imajlarının analizi için geliştirilmiş, komut satırı üzerinden çalışan (CLI) en kapsamlı açık kaynak araçtır. Çalışan süreçleri (processes), ağ bağlantılarını ve şifreleme anahtarlarını bellekten çıkarabilir.
Wireshark: Ağ trafiği analizi (Network Forensics) için kullanılan, paket yakalama ve inceleme yazılımıdır.

3. Ticari Yazılımlar vs. Açık Kaynak Kodlu Yazılımlar (OSS)

Akademik literatürde sıkça tartışılan konulardan biri “Güvenilirlik” sorunudur.

Ticari Yazılımlar (EnCase, Cellebrite): Kullanıcı dostu arayüzler sunar, teknik destek sağlar ve mahkemeler nezdinde yerleşik bir güvenilirliği vardır. Ancak “Black Box” (Kara Kutu) yapıları nedeniyle, arka planda algoritmaların tam olarak nasıl çalıştığı kullanıcı tarafından denetlenemez (Casey, 2011).
Açık Kaynak Kodlu Yazılımlar (Autopsy, Volatility): Kodları şeffaftır, herkes tarafından denetlenebilir (Audit). Bilimsel metodolojiye (şeffaflık ve tekrarlanabilirlik) daha uygundur. Ancak kullanım zorluğu ve resmi destek eksikliği gibi dezavantajları vardır.

En İyi Uygulama (Best Practice): Bir bulgunun (artefact), tek bir araçla değil, en az iki farklı araçla (Cross-Validation) doğrulanması esastır. Örneğin, EnCase ile bulunan bir silinmiş dosya, X-Ways ile de teyit edilmelidir.

4. Yazılımların Güncel Yeterliliği ve Sınırlılıklar Üzerine Değerlendirme

Mevcut adli bilişim yazılımlarının yeterliliği, teknolojinin gelişim hızıyla ters orantılı bir grafik çizmektedir ve bu durum “Adli Bilişim Krizi” (Forensic Backlog) olarak adlandırılmaktadır.

Günümüz yazılımları, yapılandırılmış verileri (dosya sistemi, registry, tarayıcı geçmişi) işlemede son derece başarılıdır ve süreci %80 oranında otomatize etmiştir. Ancak, “Yeterlilik” noktasında üç büyük zafiyet mevcuttur:

Şifreleme (Encryption) Yarışı: Yazılımlar, Apple ve Google’ın her yeni işletim sistemi güncellemesindeki güvenlik yamalarını aşmakta (Bypass) giderek daha fazla zorlanmaktadır. Veriyi çözemeyen (decrypt) bir yazılım, inceleme için işlevsizdir.
Uygulama Enflasyonu: Her gün yeni bir mesajlaşma veya sosyal medya uygulaması çıkmaktadır. Ticari yazılımların bu uygulamaların veritabanı yapılarını (parsing) kütüphanelerine eklemeleri aylar sürmekte, bu süre zarfında manuel analiz (SQLite analizi) zorunlu hale gelmektedir.
Anti-Forensics: Yazılımlar genellikle verinin “orada olduğu” varsayımıyla çalışır. Ancak verinin bilinçli olarak manipüle edildiği veya gizlendiği durumlarda, otomatik analiz araçları (Push-Button Forensics) uzmanı yanıltabilir.

Sonuç olarak; Yazılımlar, uzmanı ham verinin (Hexadecimal) karmaşasından kurtaran güçlü asistanlardır, ancak nihai karar verici olamazlar. Mevcut araç seti, standart vakalar için “yeterli”, ancak sofistike siber suçlar ve bulut tabanlı incelemeler için henüz “gelişim aşamasındadır”.

Kaynakça

Kitap: Casey, E. (2011). Digital Evidence and Computer Crime. Academic Press.
Standart: NIST (2018). Computer Forensics Tool Testing (CFTT) Program.
Makale: Garfinkel, S. L. (2010). Digital forensics research: The next 10 years. Digital Investigation.