Dijital Delillerin Teknik İncelenmesi ve Değerlendirilmesi

Adli bilişim incelemeleri; bilgisayar, mobil cihaz, dijital depolama ortamları ve diğer dijital materyallerde bulunan verilerin teknik yöntemlerle incelenmesi, değerlendirilmesi ve raporlanması süreçlerini kapsar. İncelemelerde veri bütünlüğünün korunması, yapılan işlemlerin teknik olarak doğrulanabilir olması ve elde edilen bulguların incelemenin amacı doğrultusunda değerlendirilmesi esas alınır.

İnceleme kapsamı; mevcut dijital verilerin değerlendirilmesinden silinmiş veya erişilemeyen verilerin araştırılmasına, kullanıcı aktivitelerinin ve zaman bilgilerinin incelenmesinden dijital bulgular arasındaki ilişkilerin ortaya konulmasına kadar olayın ve hukuki sürecin gerekliliklerine göre belirlenir.

Hangi Dijital Materyaller İncelenebilir?

Adli bilişim incelemesinin kapsamı, olayın niteliğine ve incelemeye sunulan materyale göre değişebilir. Teknik inceleme kapsamında farklı türde dijital cihazlar, depolama ortamları ve adli bilişim imajları değerlendirilebilir.

• Masaüstü ve dizüstü bilgisayarlar
• Cep telefonları ve tabletler
• HDD ve SSD depolama birimleri
• USB bellekler ve harici diskler
• SD ve microSD hafıza kartları
• Adli bilişim imajları ve dijital veri kopyaları

Adli Bilişim İncelemesinde Neler Değerlendirilir?

Dijital materyaller üzerinde gerçekleştirilen incelemelerde yalnızca mevcut dosyalar değil, cihazın kullanımına ve dijital faaliyetlere ilişkin teknik izler de değerlendirilir. İncelemenin kapsamı, materyalin yapısına ve araştırılan olaya göre belirlenir.

• Mevcut ve silinmiş dosyalar
• Dosya oluşturma, değiştirme ve erişim zaman bilgileri
• Olay ve kullanıcı aktivitelerine ilişkin zaman çizelgesi (timeline) analizi
• Kullanıcı aktiviteleri ve sistem kayıtları
• İnternet tarayıcı geçmişi ve ilgili dijital artefaktlar
• Uygulama ve kullanıcı verileri
• Dosya ve klasör yapıları
• Dosya metadata bilgileri ve dosya özelliklerinin teknik değerlendirilmesi
• Dosya imzaları, uzantı uyumsuzlukları ve dosya türlerinin doğrulanması
• Harici cihaz ve depolama ortamlarının kullanımına ilişkin dijital izler
• Veri bütünlüğünün doğrulanmasına yönelik hash değerleri ve teknik kontroller
• Dijital veriler arasındaki zaman ve ilişki bağlantıları
• İnceleme konusu açısından önem taşıyan diğer teknik bulgular

İnceleme Süreci Nasıl İlerler?

Adli bilişim incelemesi; materyalin teslim alınması veya mevcut adli bilişim imajının değerlendirilmesiyle başlayan, teknik analiz ve raporlama aşamalarıyla devam eden kontrollü bir süreçtir. İnceleme yöntemi, materyalin türüne, mevcut veriye ve araştırılan teknik sorulara göre belirlenir.

1. Materyalin teslim alınması ve gerektiğinde adli imajın oluşturulması
   İnceleme için sunulan dijital materyal kayıt altına alınır; gerekli olduğu durumlarda uygun yöntemlerle adli bilişim imajı oluşturulur ve veri bütünlüğünün korunmasına yönelik kontroller gerçekleştirilir.
2. İnceleme kapsamının belirlenmesi
   İncelenecek dijital materyal, mevcut imajlar ve cevaplanması beklenen teknik sorular değerlendirilir.
3. Veri bütünlüğünün kontrolü
   Mevcut adli bilişim imajları ve dijital veriler, hash değerleri ve uygun teknik kontrollerle doğrulanır.
4. Teknik analiz
   Dosyalar, sistem kayıtları, kullanıcı aktiviteleri, zaman bilgileri, dijital artefaktlar ve inceleme konusu açısından önem taşıyan diğer veriler analiz edilir.
5. Bulguların ilişkilendirilmesi ve zaman çizelgesi analizi
   Elde edilen teknik veriler; kullanıcı faaliyetleri, zaman bilgileri ve diğer dijital bulgularla birlikte değerlendirilerek olayın teknik zaman çizelgesi oluşturulur.
6. Raporlama
   İnceleme sonucunda tespit edilen teknik bulgular, kullanılan yöntemler ve ulaşılan sonuçlar anlaşılır ve doğrulanabilir şekilde raporlanır.

Veri Bütünlüğü ve İnceleme Güvenilirliği

Adli bilişim incelemelerinde dijital verinin bütünlüğünün korunması ve yapılan işlemlerin sonradan doğrulanabilir olması temel prensiplerdendir. İnceleme sürecinde kullanılan yöntemler, materyalin türüne ve teknik koşullara göre belirlenir; mümkün olduğu ölçüde orijinal verinin değiştirilmeden korunması esas alınır.

Dijital materyalin teslim alınmasından inceleme ve raporlama aşamasına kadar gerçekleştirilen işlemlerin kayıt altına alınması, delil zincirinin (chain of custody) korunmasına ve inceleme sürecinin izlenebilir olmasına katkı sağlar.

• Hash doğrulaması: Adli bilişim imajlarının ve dijital veri kopyalarının bütünlüğünün kontrol edilmesinde hash değerlerinden yararlanılır.
• Write blocker kullanımı: Uygun cihaz ve depolama ortamlarında, kaynak veriye yazma işlemini engellemek amacıyla donanımsal veya yazılımsal write blocker yöntemleri kullanılabilir.
• Delil zinciri (chain of custody): Dijital materyalin kim tarafından, ne zaman ve hangi işlem amacıyla teslim alındığı veya işlendiği kayıt altına alınır.
• İşlem kayıtları: Uygulanan teknik yöntemler, kullanılan araçlar ve inceleme aşamaları gerektiğinde yeniden değerlendirilebilecek şekilde kayıt altına alınır.
• Orijinal verinin korunması: Teknik olarak mümkün ve uygun olduğu durumlarda inceleme, orijinal materyal yerine oluşturulan adli bilişim imajı veya doğrulanmış veri kopyası üzerinden gerçekleştirilir.
• Teknik doğrulanabilirlik: Elde edilen bulguların hangi veri kaynağından ve hangi yöntemle elde edildiği raporlama aşamasında açıklanabilir olmalıdır.

Raporlama ve Uzman Mütalaası

Adli bilişim incelemesinde elde edilen teknik bulgular, yalnızca tespit edilmekle kalmaz; incelemenin amacı doğrultusunda anlamlandırılır, kullanılan yöntemlerle birlikte açıklanır ve gerektiğinde yeniden değerlendirilebilecek şekilde raporlanır. Raporlama sürecinde teknik verilerin açık, anlaşılır ve doğrulanabilir biçimde sunulması esas alınır.

Hukuki uyuşmazlıklar, ceza veya hukuk yargılamaları ile teknik değerlendirme gerektiren diğer süreçlerde; inceleme sonucunda elde edilen bulgular, dosya kapsamındaki sorular doğrultusunda uzman mütalaasına temel oluşturabilir. Uzman mütalaasında teknik bulgular ile hukuki değerlendirme birbirinden ayrılır; teknik konular uzmanlık alanı sınırları içerisinde açıklanır.

• İnceleme kapsamı ve kullanılan teknik yöntemlerin açıklanması
• Kullanılan adli bilişim araçları, yazılım/donanım ve gerekli durumlarda sürüm bilgilerinin belirtilmesi
• Tespit edilen dijital bulguların kaynaklarıyla birlikte sunulması
• Bulguların dayandığı veri kaynağı, dosya yolu, kayıt veya artefakt bilgilerinin gerektiğinde gösterilmesi
• Zaman çizelgesi ve ilişkili teknik verilerin değerlendirilmesi
• Hash değerleri ve veri bütünlüğüne ilişkin kontrollerin belirtilmesi
• Teknik bulguların anlaşılır ve doğrulanabilir şekilde raporlanması
• İncelemenin teknik sınırlılıklarının ve kesin sonuca ulaşılamayan hususların açıkça belirtilmesi
• Gerektiğinde uzman mütalaasına esas teknik değerlendirmelerin hazırlanması

Kimler İçin Uygundur?

Adli bilişim inceleme hizmetleri; dijital verilerin teknik olarak değerlendirilmesine ihtiyaç duyulan bireysel, kurumsal ve hukuki süreçlerde kullanılabilir. İncelemenin kapsamı, başvurunun amacı, mevcut dijital materyaller ve cevaplanması beklenen teknik sorular doğrultusunda belirlenir.

• Bireysel başvurular: Bilgisayar, mobil cihaz veya diğer dijital materyallerde bulunan verilerin teknik olarak incelenmesine ihtiyaç duyan kişiler.
• Avukatlar ve hukuk büroları: Dava veya soruşturma dosyalarında bulunan dijital delillerin teknik açıdan değerlendirilmesi, mevcut raporların incelenmesi veya uzman mütalaasına esas çalışma yapılması gereken durumlar.
• Şirketler ve diğer tüzel kişiler: Kurumsal cihazlar, kullanıcı aktiviteleri, dijital kayıtlar veya olaylara ilişkin teknik verilerin incelenmesi gereken durumlar.
• Kurum içi teknik inceleme ihtiyacı bulunan işletmeler: Kurumsal cihazlar, kullanıcı faaliyetleri, veri hareketleri veya belirli bir dijital olayın teknik olarak araştırılması gereken iç inceleme süreçleri.
• Ceza ve hukuk yargılamalarının tarafları: Dosya kapsamında bulunan dijital verilerin teknik anlamının, zaman çizelgesinin veya diğer dijital bulgularla ilişkisinin değerlendirilmesine ihtiyaç duyulan süreçler.
• Bilirkişi ve mevcut teknik raporların değerlendirilmesini isteyenler: Daha önce hazırlanmış bilirkişi, adli bilişim veya teknik inceleme raporlarında kullanılan yöntemlerin, tespitlerin ve teknik sonuçların yeniden değerlendirilmesine ihtiyaç duyulan durumlar.