Şifreli Disklerden Veri Kurtarma ve İnceleme

Disk şifreleme, veri güvenliği için doğru bir tercihtir. Ancak kurtarma anahtarının kaybedilmesi, anahtarın merkezi olarak yedeklenmemesi veya cihazı kullanan çalışanın işten ayrılması durumunda kurum kendi verisine erişemeyebilir.

Bu durumda ilk adım parola denemek değil, kurtarma anahtarının bulunabileceği yerleri sistematik biçimde araştırmaktır.

Diski farklı bilgisayarlara takmayın, BIOS/UEFI ayarlarını veya TPM yapılandırmasını değiştirmeyin ve rastgele parola denemeyin.

Bu işlemler bazı yapılandırmalarda erişim olanaklarını daraltabilir. Cihazı mevcut hâliyle bize ulaştırın.

• Kullanılan şifreleme çözümünün ve yapılandırmasının tespiti
• Kurtarma anahtarı ve yedek anahtar kaynaklarının araştırılması
• Şifreleme mekanizmasına yönelik teknik analiz
• Uygun durumlarda parola denemesi çalışmaları
• Erişim sağlandığında adli imaj alınması
• İmaj üzerinden dosya, kullanıcı verisi ve sistem kayıtlarının incelenmesi
• Olayla ilişkili dijital bulguların değerlendirilmesi
• Sonuçların teknik ve anlaşılır biçimde raporlanması

Şifreleme yapısını önce teknik olarak analiz eder; kurtarma anahtarının kurumsal dizin hizmeti (ör. Active Directory), yedek sistemler veya kullanıcı hesabı üzerinden elde edilip edilemeyeceğini araştırırız. Erişim sağlanan durumlarda diskin adli imajını alarak orijinal veriyi korur, incelemeyi imaj üzerinde yürütürüz.

1. Teslim ve kayıt: Ön görüşmede talep sahibinin yetkisi tespit edilir, gizlilik sözleşmesi imzalanır ve materyal delil teslim tutanağıyla alınır. Delil zinciri (chain of custody) bu andan itibaren belgelenir.
2. Yetki ve yapı tespiti: Disk üzerindeki yetkiniz belgelenir; şifreleme çözümü ve yapılandırması belirlenir.
3. Anahtar araştırması ve erişim: Kurtarma anahtarı kaynakları taranır, uygun durumlarda parola denemesi yapılır; erişim sağlanırsa adli imaj alınır ve hash değeri kaydedilir.
4. Raporlama ve iade: Bulgular, kapsam ve sınırlarıyla birlikte raporlanır. Materyal tutanakla iade edilir; çalışma kopyaları müşterinin tercihine göre hiç saklanmaz ya da 3 veya 6 ay saklanır, süre sonunda güvenli biçimde imha edilir.

Süre; cihazın veya materyalin türüne, veri hacmine ve incelemenin kapsamına göre her işte farklılık gösterir. Tahmini süreyi ön değerlendirmeden sonra paylaşırız. Bazı yapılandırmalarda erişim teknik olarak mümkün olmayabilir; bunu ön incelemede açıkça paylaşırız.

Kurtarma anahtarını kaybeden kurumlar, çalışan ayrılığı sonrası erişim sorunu yaşayan şirketler ve hukuki süreç yürüten taraflar.