Olay Yerindeki Bilgisayarlara Müdahale;

Admin — Thu, 20 Jun 2013 14:54:26 +0000

El koyma işlemi sırasında taşınabilir ve masa üstü bilgisayarlar dikkatli incelenmelidir. Bilgisayarların açık olabileceği ekran koruyucu özelliğinin aktif olabileceği veya sadece monitörün kapalı olabileceği seçenekleri akıldan çıkarılmamalı bilgisayarların ve monitörün açık olup olmadığı gösterge ışıklarından teyit edilmelidir.

Bilgisayar kapalı ise;

Masa üstü ve taşınabilir bilgisayarın fişinden çekili olup olmadığına bakın, taşınabilir bilgisayarların ise batarydan çalışabilme olasılığına karşı taşınabilir bilgisayarın bataryasını çıkartın.
Bilgisayara bağlı kesintisiz güç kaynağı olabileceğinden bilgisayarın fişini arkasındaki yuvasından çekin.
Bilgisayara bağlı bütün aygıtların elektrik fişini çekin.
Sistemin genel görünüşü, bilgisayar bağlantıları ile bilgisayara yada birbirleri ile bağlantısı olan malzemeleri fotoğrafını çekin.
Bilgisayara bağlı tüm bağlantı kablolarını bağlantı noktası yakınından etiketleyin.
Kapalı bilgisayar kesinlikle açılmamalıdır.

Bilgisayar açık ise;

Mümkünse telefon yada modemler vasıtasıyla bilgisayara uzaktan erişimi engelleyin.
Web kameraları sökün.
Eğer bilgisayar bir ağa bağlantılı olduğu tespit edilmişse adli bilişim uzmanından yardım isteyin.
Eğer delili bozabilecek bir program çalıştırılmışsa (formatlamak, 3ncü parti silme programları kullanımı) fişi kasanın arkasından çekin.
Ekrandaki görüntüsünün fotoğrafını çekin ve ekrandan görülebilen çalışan programları kaydını yapın
Eğer ekranda ekran koruyucu çalışıyor veya ekran boş olarak gözüküyorsa şifre konulmadığı sürece fareye tıklayarak yada üst-alt tuşlarına basarak ekran koruyucuyu kaldırın.
Bilgisayarda çalışan programlar incelendiğinde PGP ve TrueCrypt vb. dizin ve klasör şifreleme amaçlı kullanılan programlar ile bilgisayar kapatıldığında bilgisayarın ilk kuruluma dönmesini sağlayan Deepfreze tarzı programların bulunup bulunmadığına dikkat edilmelidir. Bu tarz programların bulunması durumunda bilgisayar kapatılmayarak bilgisayarın canlı incelemesi yapılmalıdır. Canlı inceleme sırasında önceden hazırlanan canlı veri inceleme araçları belirlenen veri uçuculuk sırası doğrultusunda incelemeye başlanmalıdır. Yapılan canlı inceleme işlemleri kamera ile kayıt altına alınmasına özen gösterilmelidir.
Müdahale sırasında yazıcıdan çıktı alınıyorsa işleminin bitmesi beklenmelidir.

Işletim Sistemlerini Kapatma Prosedürü;

Açık olduğu tespit edilen bilgisayarlara üzerlerinde kurulu bulunan işletim sistemlerinin tipine göre aşağıda gösterilen çizelgede belirtilen kapatma yöntemi kullanılmaktadır. Bu çizelgenin yapılacak işlem belirtilen işlem sırası önem arz etmektedir.

İşletim Sistemi	Karakteristik Özellikleri	Yapılacak işlem
DOS	Ekranın tamamı siyah ve text tabanlıdır. Bilgisayar işlem yapmadığı durumlarda komut satırı pozisyonunda bekler. Ör: C:\DOS>	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Windows 3.1	Program yöneticisi yerine Windows Explorer bulunur. Renkli, yassı bar şeklinde standart menü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Windows 95	Başlangıç butonu ile birlikte Windows sembolü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Windows NT Workstation	Başlangıç butonu ile birlikte Windows sembolü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Windows NT Server	Başlangıç butonu ile birlikte Windows sembolü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarı normal kapat.
Windows 98/Me	Başlangıç butonu ile birlikte Windows sembolü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Windows 2000	Başlangıç butonu ile birlikte Windows sembolü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Windows 2000 Server	Başlangıç butonu ile birlikte Windows sembolü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarı normal kapat.
Windows XP	Yeşil renkli başlangıç butonu ile birlikte Windows sembolü bulunur.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Windows Vista Windows-7	Daire içerisinde Windows sembolü bulunur. (Standart Tema)	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarın fişini çek.
Linux/Unix	Linux ve Unix dağıtımlarına göre semboller farklılık gösterir. Komut satırı [root@localhost root]#[user@host dir]$ şeklindedir.	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarı normal kapat.
Machintosh	Elma şeklinde başlangıç butonu bulunur	– Ekranın fotoğrafını çek. – Çalışan programları ve mesajları not et. – Bilgisayarı normal kapat.

Bilgisayar Üzerinde Bulunana Uçucu (Canlı) Veriler;

Bilgisayar kapatıldığında yok olacak olan veriye canlı veri denilmektedir. Bilgisayar üzerinde hafıza (RAM), takas alanı (Swap), ağ bağlantıları ve çalışan işlemler canlı veri içeren kaynaklardır. Canlı bilgisayar incelemelerinde veri kaybını en aza indirmek amacıyla uçucu verilerin toplanmasına öncelik verilmelidir.

Canlı bilgisayar inceleme işlemlerinde öncelikli olarak hafıza, çalışan işlemler, ağ bağlantıları, sistem giriş bilgileri toplanmalı son olarak sabit bellek üzerinde inceleme yapılmalıdır. Canlı verinin toplanması aşamasında şüpheli bilgisayar üzerinde;

Sistemin tarih ve zamanı
Sisteme girmiş olan kullanıcıları listesi
Tüm dosya sitemleri için tarih/zaman damgaları
Sistemde çalışan işlemlerin (process) listesi
Sistemde açık olan portların listesi
Açık olan portlardan dinleyen yazılımların listesi
Siteme bağlantısı olan diğer sistemlerin listesi ve bağlantı bilgileri toplanmalıdır.

Bir bilgisayar üzerinde canlı veriler ancak özel araçlarla toplanabilmektedir. Canlı işleme başlamadan önce bu araçlar hazırlanmış olmalıdır. İnceleme yapılırken şüpheliye veya saldırıya uğramış sistemlerdeki araçlara kesinlikle güvenilmemelidir.

Sistemde minimum değişiklik için komut satırında çalışan araçlar tercih edilmelidir. İnceleme sırasında elde edilen veriler yazma korumalı olarak canlı sisteme irtibatlandırılan USB belleğe veya şüpheli bilgisayarın bulunduğu yerel ağa irtibatlandırılan bilgisayara netcat veya cryptcat komutları ile aktarılmalıdır.

“netcat” bilgisayarlar arasında haberleşme kanalı oluşturan ücretsiz bir yazılımdır. Canlı inceleme anında, şüpheli veya saldırıya uğramış sistemle güvenli olan bir sistem arasında TCP bağlantısı oluşturmak amacıyla kullanılır.

Sistemde bulunan geçerli kullanıcın adını kaydedin
Sistem zamanı ve tarihini kaydedin.
Kimlerin bağlı olduğuna bakın.
Dosyaların MAC zamanlarını kaydedin.
Açık portları öğrenin.
Portları kullanan programları kaydedin.
Tüm çalışan süreçleri kaydedin.
Tüm dosyaların düzenleme, düzeltme ve erişilme saatlerini kaydedin.
Anlık ve geçmiş bağlantıları listeleyin.
Tekrar sistem zamanı ve tarihi kaydedin.
Müdahale esnasında kullanılan komutları ve programları belgeleyin.

The post Olay Yerindeki Bilgisayarlara Müdahale; first appeared on DIFOSE Adli Bilişim, Veri Kurtarma ve Elektronik Arama Hizmetleri.

Delil Toplama ve Analiz Sürecinde Uygulanan Kurallar

Admin — Mon, 03 Jun 2013 17:47:54 +0000

Yapılan adli kopyalama (İmaj) alma işlemi dışında kesinlikle orjinal delile dokunulmamalıdır. İzlenecek bu yol ile böylece delili bozma olasılığını en aza indirmiş olursunuz. Orjinal delilin üzerindeki herhangi bir değişiklik, daha sonra alınacak imajlar üzerinde yapılacak incelemelerin sonuçlarını da etkileyecektir. Delil toplanıp, birebir kopyası, imajı alınmadan asala delili analiz etmeye çalışmayın.
Orjinal delil üstünde yapılan tüm değişikliklerin hesabını daha sonradan verebilmek için yapılan tüm işlemlerin ve değişikliklerin olabildiğine detaylı bir kaydını tutun. Bazı durumlarda delilin değiştirilmesi kaçınılmaz olur. Bu tür durumlarda var olan durumu, kapsamı ve değişiklik sebeplerini belgelendirmek kesinlikle gereklidir.
Daha önce anlatılan delilin beş niteliğini sağlamak için gerekli kurallara uyun. Topladığınız şeyler delilin yasal gerekliliklerini sağlamıyor ise muhtemelen zamanı ve kaynakları boşa harcıyorsunuzdur.
Teknik olarak sahip olduğunuz bilginizi aşmayın. Ne yaptığınızı bilmiyorsanız, delil üzerinde yaptığınız işlemlerden ötürü gerçekleşecek değişikliklerin ya da yaptığınız işlemlerin doğru bir şekilde hesabını veremeyebilirsiniz. Bu alan bir anda kendinizi kafanız patlamış olarak bulabileceğiniz bir alandır. Bu nedenle araştırmanızı her an size yardın edebilecek biri ile ya da bilgiye kolay erişebilecek bir ortamda yapın.
Kurumunuzun kurallarına ve soruşturma rehberlerine uygun hareket edin. Yapılacak usul hataları ihlali mahkemede delilinizi geçersiz bile kılabilir.
Mümkün olan en kısa sürede sistemin eksiksiz tam bir imajını alın. Orjinal ve imajı alınmış kopya arasındaki şüpheli sabit diskte kötü sektörlerden dolayı sayısal imzaların uyuşmaması gibi farklar kopyalama adaptörünün vermiş olduğu rapor ile desteklenerek açıklanmalıdır. Yoksa delil bozuk, hasar görmüş olarak yorumlanacaktır.
Yapılan işlemleri doğrulamak için tanıklığa hazır olun. Eğer delilleri siz topladıysanız, delil toplama sürecinde ürettiğiniz belgelerin doğruluğunu tasdik etmek ve gerçekliğini anlatmaya hazır olmalısınız. Bu nedenle her aşamada kayıt tutmak gereklidir.
· Yaptığınız işlemlerin tekrar edilebilir olmasına dikkat edin.
İşlemleriniz ve analizlerinizin tekrarlanabilir olması gerekir. Hareketlerinizin denemeye yanılmaya ya da hatalara dayanmaması gerekmektedir.
Hızlı ama doğru çalışın. Özellikle çalışan bir sistem üzerinde, ne kadar hızlı çalışırsanız o kadar az uçucu delil kaybedersiniz.
En uçucu delilleri ilk olarak toplayın.
· Uçucu delilleri toplamadan sistemi kapatmayın. Uçucu deliller kaybolacaktır ama ek olarak başlangıç ve kapanış betikleri verileri de silebilir.
Bilgisayarı normal olarak kapatmak delile zarar verip değiştirebilir, geçici dosya sistemleri ve sistem yapılandırma dosyaları değişebilir. Kapalı bir bilgisayarı açmak da daha fazla potansiyel delili de yok edebilir.
· Asla şüpheli bilgisayarda çalışmayın ve o bilgisayara ve ekli donanımlara güvenmeyin.
· Truva atı programları tahrip edici bir düzeneği başlatabilir.
Delili değiştirebilirsiniz.

The post Delil Toplama ve Analiz Sürecinde Uygulanan Kurallar first appeared on DIFOSE Adli Bilişim, Veri Kurtarma ve Elektronik Arama Hizmetleri.

Güncel Olaylar | DIFOSE Adli Bilişim, Veri Kurtarma ve Elektronik Arama Hizmetleri

Olay Yerindeki Bilgisayarlara Müdahale;

Delil Toplama ve Analiz Sürecinde Uygulanan Kurallar