Sunucu ve Kurumsal Sistem Adli Bilişim İncelemesi

Kurumsal bir olayın ne zaman başladığı ve hangi verilere erişildiği çoğu zaman yalnızca sunucu kayıtlarından anlaşılabilir.

Bu kayıtlar sınırlı süre saklanır ve rotasyonla silinir. Olay şüphesi doğduğunda hızlı hareket etmek, delilin elde edilip edilemeyeceğini belirleyebilir.

• Sistem, uygulama ve güvenlik günlüklerinin toplanması ve analizi
• Kullanıcı oturum açma ve erişim kayıtlarının incelenmesi
• Dosya erişim, kopyalama ve silme hareketlerinin tespiti
• Veri tabanı erişim ve sorgu kayıtlarının değerlendirilmesi
• Yetkisiz erişim ve yetki yükseltme izlerinin araştırılması
• Ağ bağlantı kayıtları ve dışarıya veri aktarımının incelenmesi
• Zaman çizelgesi (timeline) oluşturulması
• Etkilenen varlık ve veri kapsamının belirlenmesi

Kritik sistemleri kapatmadan delil toplamak çoğu zaman gerekir. Sistemin çalışır kalması gerekiyorsa uçucu veriyi (bellek, aktif bağlantılar) canlı sistemden topluyor, mümkün olduğunda imaj alarak çevrimdışı analiz yapıyoruz.

1. Teslim ve kayıt: Ön görüşmede talep sahibinin yetkisi tespit edilir, gizlilik sözleşmesi imzalanır ve materyal delil teslim tutanağıyla alınır. Delil zinciri (chain of custody) bu andan itibaren belgelenir.
2. Toplama ve doğrulama: Uçucu veri ve kayıtlar canlı sistemden toplanır, mümkünse disk imajı alınır; toplanan her verinin hash değeri kaydedilir.
3. Analiz: Farklı sunucu, uygulama ve ağ cihazlarından gelen kayıtlar birbiriyle ilişkilendirilir ve olayın zaman çizelgesi çıkarılır.
4. Raporlama ve iade: Bulgular, kapsam ve sınırlarıyla birlikte raporlanır. Materyal tutanakla iade edilir; çalışma kopyaları müşterinin tercihine göre hiç saklanmaz ya da 3 veya 6 ay saklanır, süre sonunda güvenli biçimde imha edilir.

Süre; cihazın veya materyalin türüne, veri hacmine ve incelemenin kapsamına göre her işte farklılık gösterir. Tahmini süreyi ön değerlendirmeden sonra paylaşırız.

Yetkisiz erişim, veri sızıntısı veya iç suistimal şüphesi bulunan kurumlar.