Harici Disk ve Depolama Cihazı Adli İncelemesi

Yüksek kapasiteli harici diskler hem toplu veri kaçırmanın hem de delil gizlemenin aracı olabilir. Gizli bölümler, şifreli alanlar veya yeniden adlandırılmış dosyalar ilk bakışta görünmez.

Bu cihazlardaki dosya hareketleri, gizleme ve silme izleri, olayın seyrini ve kapsamını ortaya koyabilir.

• Yazma korumalı imaj alınması ve hash değeriyle doğrulama
• Mevcut dosya ve klasör yapısının incelenmesi
• Dosya oluşturma, değiştirme ve erişim zaman bilgilerinin analizi
• Silinmiş ve gizlenmiş dosyaların tespiti
• Gizli disk bölümleri (partition) ve şifreli alanların araştırması
• Dosya üst verilerinin (metadata) analizi
• Cihazın hangi bilgisayarlara takıldığına dair izlerin değerlendirilmesi
• Bulguların sistematik olarak raporlanması

Harici disklerde odak, görünen dosyaların ötesine geçmektir. Dosya sistemi kayıtlarının yanında bölüm tablosunu, ayrılmamış alanı ve dosya artıklarını (file slack) tarayarak gizlenmiş veya silinmiş verileri araştırırız.

1. Teslim ve kayıt: Ön görüşmede talep sahibinin yetkisi tespit edilir, gizlilik sözleşmesi imzalanır ve materyal delil teslim tutanağıyla alınır. Delil zinciri (chain of custody) bu andan itibaren belgelenir.
2. Adli imaj ve doğrulama: Materyale yazma engelleyici (write-blocker) bağlanarak birebir adli imaj alınır; imajın orijinalle aynı olduğu hash değeriyle doğrulanır ve kayda geçirilir.
3. Analiz: Bölüm tablosu, ayrılmamış alan ve dosya artıkları (file slack) taranır; uzantısı değiştirilmiş dosyalar imza analiziyle tespit edilir, bulgular ilgili bilgisayar kayıtlarıyla ilişkilendirilir.
4. Raporlama ve iade: Bulgular, kapsam ve sınırlarıyla birlikte raporlanır. Materyal tutanakla iade edilir; çalışma kopyaları müşterinin tercihine göre hiç saklanmaz ya da 3 veya 6 ay saklanır, süre sonunda güvenli biçimde imha edilir.

Süre; cihazın veya materyalin türüne, veri hacmine ve incelemenin kapsamına göre her işte farklılık gösterir. Tahmini süreyi ön değerlendirmeden sonra paylaşırız.

Veri sızıntısı ve iç suistimal şüphesi bulunan kurumlar ile ticari uyuşmazlık tarafları.