Flash Bellek ve Hafıza Kartı Adli İncelemesi

Kurum verisinin dışarı çıkarılması çoğu zaman küçük, kolay saklanan bir USB bellek veya hafıza kartıyla gerçekleşir.

Bellekteki dosya hareketleri ve zaman bilgileri, verinin hangi tarihte belleğe yazıldığını ve sonrasında ne yapıldığını gösterebilir. Bu bulgu, olayın nasıl gerçekleştiğini anlamanın çoğu zaman en kısa yoludur.

• Yazma korumalı imaj alınması ve hash değeriyle doğrulama
• Mevcut dosya ve klasör yapısının incelenmesi
• Dosya oluşturma, değiştirme ve erişim zaman bilgilerinin analizi
• Silinmiş veya gizlenmiş dosyaların tespiti ve kurtarılabilirlik değerlendirmesi
• Dosya sistemi ve ayrılmamış alanın (unallocated space) incelenmesi
• Formatlama izlerinin değerlendirilmesi
• Dosya üst verilerinin (metadata) analizi

Flash bellekler küçük kapasiteli olsa da dosya sistemi kayıtları ayrıntılı iz taşır. Silinmiş verileri araştırırken dosya sistemi kayıtlarını ve ham veri alanını birlikte değerlendiririz.

1. Teslim ve kayıt: Ön görüşmede talep sahibinin yetkisi tespit edilir, gizlilik sözleşmesi imzalanır ve materyal delil teslim tutanağıyla alınır. Delil zinciri (chain of custody) bu andan itibaren belgelenir.
2. Adli imaj ve doğrulama: Materyale yazma engelleyici (write-blocker) bağlanarak birebir adli imaj alınır; imajın orijinalle aynı olduğu hash değeriyle doğrulanır ve kayda geçirilir.
3. Analiz: Dosya sistemi zaman bilgileri, silme ve formatlama izleri ile dosya üst verileri (metadata) incelenir; gerekirse ilgili bilgisayar kayıtlarıyla ilişkilendirilir.
4. Raporlama ve iade: Bulgular, kapsam ve sınırlarıyla birlikte raporlanır. Materyal tutanakla iade edilir; çalışma kopyaları müşterinin tercihine göre hiç saklanmaz ya da 3 veya 6 ay saklanır, süre sonunda güvenli biçimde imha edilir.

Süre; cihazın veya materyalin türüne, veri hacmine ve incelemenin kapsamına göre her işte farklılık gösterir. Tahmini süreyi ön değerlendirmeden sonra paylaşırız.

Veri sızıntısı şüphesi bulunan kurumlar, ticari uyuşmazlık tarafları ve hukuk büroları.