Bilgisayar ve Mobil Cihaz İncelemeleri

Bilgisayar, cep telefonu, tablet ve dijital depolama ortamları; kullanıcı faaliyetleri, dosyalar, uygulama verileri, sistem kayıtları ve diğer dijital izler bakımından önemli veri kaynaklarıdır. Teknik inceleme kapsamında mevcut veriler, silinmiş veya erişilemeyen veriler ile cihaz kullanımına ilişkin dijital artefaktlar incelemenin amacı doğrultusunda değerlendirilir.

İnceleme yöntemi; cihazın türüne, işletim sistemine, veri yapısına, mevcut erişim durumuna ve cevaplanması beklenen teknik sorulara göre belirlenir. Uygun durumlarda inceleme, veri bütünlüğü korunarak oluşturulan adli bilişim imajı veya doğrulanmış veri kopyası üzerinden gerçekleştirilir.

Hangi Cihaz ve Depolama Ortamları İncelenebilir?

Dijital inceleme kapsamı, cihazın türüne ve incelemenin amacına göre değişebilir. Bilgisayar ve mobil cihazların yanı sıra bu cihazlarla ilişkili depolama ortamları ve veri kopyaları da teknik değerlendirmeye konu olabilir.

• Masaüstü ve dizüstü bilgisayarlar
• Cep telefonları
• Tabletler
• HDD ve SSD depolama birimleri
• USB bellekler ve harici diskler
• SD ve microSD hafıza kartları
• CD, DVD ve diğer optik depolama ortamları
• Bilgisayar ve mobil cihazlara ait mevcut yedekler
• Doğrulanmış dijital veri kopyaları

Hangi Veriler ve Dijital İzler Değerlendirilebilir?

Bilgisayar ve mobil cihaz incelemelerinde yalnızca mevcut dosyalar değil, cihazın kullanımına, kullanıcı faaliyetlerine, uygulamalara ve sistem işleyişine ilişkin dijital izler de değerlendirilebilir. İnceleme kapsamı, cihazın yapısına, erişim durumuna ve araştırılan teknik sorulara göre belirlenir.

• Mevcut ve silinmiş dosyalar
• Dosya oluşturma, değiştirme ve erişim zaman bilgileri
• Kullanıcı hesapları ve oturum bilgileri
• İşletim sistemi ve sistem kayıtları
• İnternet tarayıcı geçmişi, arama kayıtları ve ilgili artefaktlar
• İndirilen dosyalar, son kullanılan dosyalar ve kullanıcı erişim izleri
• Uygulama verileri, uygulama veritabanları ve kullanım izleri
• Mesajlaşma ve iletişim uygulamalarına ait mevcut veriler (örn. WhatsApp, Telegram, Instagram mesajlaşmaları)
• E-posta verileri ve cihaz üzerinde mevcut e-posta artefaktları
• Arama geçmişi, çağrı kayıtları ve cihazda mevcut iletişim kayıtları
• Kişiler ve adres defteri verileri
• Fotoğraf, video ve diğer medya dosyaları
• Fotoğraf ve videolara ait EXIF/metadata bilgileri
• Konum ve zaman bilgisi içeren mevcut veriler
• Harici cihaz, USB ve depolama ortamı kullanım izleri
• Wi-Fi, Bluetooth ve cihaz bağlantılarına ilişkin mevcut teknik kayıtlar
• Geri dönüşüm kutusu ve silme işlemlerine ilişkin sistem izleri
• Dosya metadata bilgileri
• Cihazda mevcut hesap, oturum ve senkronizasyon artefaktları
• Zaman çizelgesi (timeline) oluşturulmasına esas dijital kayıtlar
• Cihaz ve kullanıcı faaliyetleri arasındaki teknik ilişkiler
• İnceleme konusu açısından önem taşıyan diğer dijital bulgular

Bilgisayar ve Mobil Cihaz İnceleme Süreci Nasıl İlerler?

Bilgisayar ve mobil cihaz incelemelerinde uygulanacak yöntem; cihazın türüne, işletim sistemine, erişim durumuna, mevcut veri yapısına ve cevaplanması beklenen teknik sorulara göre belirlenir. Amaç, mümkün olduğu ölçüde kaynak verinin bütünlüğünü koruyarak incelemeye uygun ve doğrulanabilir bir çalışma ortamı oluşturmaktır.

1. İnceleme kapsamının ve teknik soruların belirlenmesi
   İncelenecek cihaz veya veri kaynağı, olayın niteliği ve cevaplanması beklenen teknik sorular değerlendirilir.
2. Materyalin teslim alınması ve kayıt altına alınması
   Fiziksel cihazın teslim edildiği durumlarda cihazın tanımlayıcı bilgileri, mevcut fiziksel durumu, teslim bilgileri ve delil zincirinin izlenebilirliğine ilişkin gerekli kayıtlar oluşturulur. NIST de delilin kim tarafından, ne zaman ve hangi amaçla devralındığının kayıt altına alınmasını chain of custody’nin temeli olarak tanımlar.
3. Cihazın mevcut durumunun korunması
   Cihazın açık/kapalı durumu, bağlantıları ve mevcut çalışma koşulları değerlendirilir; inceleme açısından gerekli olduğunda verinin değişmesini veya uzaktan müdahaleyi önlemeye yönelik uygun koruma tedbirleri uygulanır. Mobil adli bilişimde edinimden önce preservation ayrı bir aşama olarak ele alınır.
4. Uçucu verilerin ve canlı sistem durumunun değerlendirilmesi
   Açık ve çalışan sistemlerde, inceleme açısından önem taşıması halinde RAM, çalışan süreçler, aktif oturumlar, ağ bağlantıları ve benzeri uçucu verilerin cihaz kapatılmadan önce elde edilmesinin gerekli olup olmadığı değerlendirilir. NIST’in bilgisayar adli bilişim yaklaşımı farklı veri kaynaklarının edinim ve analiz yöntemlerinin olayın koşullarına göre belirlenmesini öngörür.
5. Veri edinimi ve gerektiğinde adli bilişim imajının oluşturulması
   Cihazın ve veri kaynağının teknik özelliklerine göre uygun edinim yöntemi belirlenir. Gerekli ve teknik olarak mümkün olduğu durumlarda adli bilişim imajı veya doğrulanmış veri kopyası oluşturulur.
6. Veri bütünlüğünün doğrulanması
   Uygun durumlarda hash değerleri ve diğer teknik kontroller kullanılarak elde edilen veri veya adli bilişim imajının bütünlüğü doğrulanır. Dijital adli bilişimin temelinde verinin bütünlüğünü koruyarak edinme, inceleme ve raporlama bulunur.
7. Teknik inceleme ve artefakt analizi
   Dosyalar, sistem kayıtları, kullanıcı aktiviteleri, internet geçmişi, uygulama verileri, iletişim kayıtları, metadata bilgileri ve diğer ilgili dijital artefaktlar analiz edilir.
8. Silinmiş ve erişilemeyen verilerin araştırılması
   Materyalin teknik durumu ve inceleme kapsamı uygun olduğunda silinmiş, kaybolmuş veya doğrudan erişilemeyen veriler araştırılır.
9. Zaman çizelgesi ve bulguların ilişkilendirilmesi
   Farklı veri kaynaklarından elde edilen tarih-saat bilgileri, kullanıcı faaliyetleri ve dijital artefaktlar birlikte değerlendirilerek teknik zaman çizelgesi ve ilişkiler incelenir.
10. Teknik bulguların değerlendirilmesi ve raporlanması
    Bulgular, kullanılan yöntemler, veri kaynakları ve incelemenin teknik sınırlılıkları açık ve doğrulanabilir şekilde raporlanır. NIST’in genel adli bilişim süreci de toplama/edinim, inceleme, analiz ve raporlama aşamalarını temel alır.

Bilgisayar ve Mobil Cihaz İncelemelerinde Veri Bütünlüğü ve Güvenilirlik

Bilgisayar ve mobil cihazlarda gerçekleştirilen adli bilişim incelemelerinde, elde edilen verinin kaynağıyla ilişkisinin korunması ve inceleme sürecinde meydana gelebilecek değişikliklerin kontrol altında tutulması önemlidir. Uygulanacak koruma ve veri edinim yöntemi; cihazın türüne, açık veya kapalı olmasına, işletim sistemine, depolama yapısına ve mevcut erişim koşullarına göre belirlenir.

• Kaynak verinin korunması: Teknik olarak uygun durumlarda inceleme, orijinal materyal üzerinde doğrudan çalışmak yerine adli bilişim imajı veya doğrulanmış veri kopyası üzerinden gerçekleştirilir.
• Write blocker kullanımı: HDD, SSD, USB bellek ve benzeri uygun depolama ortamlarında kaynak veriye yazılmasını önlemek amacıyla donanımsal veya yazılımsal write blocker yöntemlerinden yararlanılabilir.
• Mobil cihaz durumunun korunması: Açık mobil cihazlarda veri kaybı, senkronizasyon veya uzaktan müdahale riski dikkate alınarak cihazın mevcut durumuna uygun koruma yöntemi belirlenir.
• Uygun veri edinim yönteminin seçilmesi: Mobil cihazlarda mantıksal, dosya sistemi veya cihazın teknik özelliklerinin izin verdiği diğer edinim yöntemleri; inceleme amacı ve erişim koşulları doğrultusunda değerlendirilir.
• Hash ve bütünlük kontrolleri: Adli bilişim imajları ve uygun dijital veri kopyalarında bütünlüğün doğrulanması amacıyla hash değerleri ve diğer teknik kontroller kullanılabilir.
• İşlem kayıtlarının tutulması: Veri edinimi ve inceleme sırasında gerçekleştirilen önemli teknik işlemler, kullanılan yöntemler ve gerekli durumlarda kullanılan araçlara ilişkin bilgiler kayıt altına alınır.
• Delil zincirinin korunması: Fiziksel materyalin teslimi, muhafazası ve inceleme sürecindeki hareketleri gerektiğinde izlenebilir şekilde kayıt altına alınır.
• Teknik sınırlılıkların belirtilmesi: Cihaz güvenliği, şifreleme, işletim sistemi özellikleri, donanımsal arızalar veya veri üzerine yazılması gibi incelemeyi etkileyen teknik sınırlılıklar raporlama aşamasında dikkate alınır.
• Araç ve yöntemlerin doğrulanması: Kullanılan adli bilişim araçlarının ve yöntemlerin amaçlanan işlem için uygunluğu, bilinen sınırlılıkları ve gerektiğinde doğrulama kontrolleri dikkate alınır. Kritik bulgular mümkün olduğunda farklı yöntem veya veri kaynaklarıyla karşılaştırılarak değerlendirilir.
• Çalışma kopyalarının ayrılması ve güvenli muhafaza: Orijinal materyal veya doğrulanmış ana kopya korunur; teknik inceleme mümkün olduğunda çalışma kopyaları üzerinden yürütülür ve elde edilen verilerin yetkisiz erişime karşı güvenli şekilde muhafaza edilmesine dikkat edilir.

Bilgisayar ve Mobil Cihaz İncelemesi Hangi Durumlarda Gerekebilir?

Bilgisayar ve mobil cihaz incelemeleri; dijital verilerin bir olayın aydınlatılması, mevcut teknik bulguların doğrulanması veya hukuki bir süreçte değerlendirilmesi gereken durumlarda kullanılabilir. İncelemenin kapsamı, olayın niteliğine ve cevaplanması beklenen teknik sorulara göre belirlenir.

• Silinmiş veya erişilemeyen verilerin araştırılması gereken durumlar
• Belirli bir kullanıcı faaliyeti veya cihaz kullanımının zaman açısından incelenmesi gereken durumlar
• İnternet tarayıcı geçmişi, uygulama kullanımı veya kullanıcı aktivitelerinin teknik olarak değerlendirilmesi gereken durumlar
• Mesajlaşma ve iletişim uygulamalarındaki mevcut verilerin incelenmesi gereken durumlar
• Fotoğraf, video, belge ve diğer dosyaların metadata ve zaman bilgilerinin değerlendirilmesi gereken durumlar
• Harici depolama ortamlarının veya USB cihazlarının kullanım izlerinin araştırılması gereken durumlar
• Birden fazla veri kaynağındaki kayıtların zaman çizelgesi üzerinden ilişkilendirilmesi gereken durumlar
• Mevcut bilirkişi, adli bilişim veya teknik raporların dayandığı dijital bulguların yeniden değerlendirilmesi gereken durumlar
• Şirket içi olaylarda kullanıcı veya cihaz faaliyetlerinin teknik açıdan incelenmesi gereken durumlar
• Hukuki süreçlerde uzman mütalaasına esas teknik değerlendirme yapılması gereken durumlar
• Cihazda yetkisiz erişim, veri silme veya kullanıcı faaliyeti şüphesi bulunan durumlar
• Bir dosyanın veya dijital içeriğin oluşturulma, değiştirilme, kopyalanma ya da başka bir ortama aktarılma sürecinin araştırılması gereken durumlar
• Cihazda bulunan bir verinin gerçekten o cihazda oluşturulup oluşturulmadığının veya başka bir kaynaktan gelip gelmediğinin teknik olarak değerlendirilmesi gereken durumlar
• Farklı cihazlar, hesaplar veya veri kaynakları arasında teknik bağlantı ve tutarlılık araştırılması gereken durumlar

Kimler İçin Uygundur?

Bilgisayar ve mobil cihaz inceleme hizmetleri; bir cihazda bulunan dijital verilerin, kullanıcı faaliyetlerinin veya belirli bir olayla ilişkili teknik izlerin değerlendirilmesine ihtiyaç duyulan bireysel, kurumsal ve hukuki süreçlerde kullanılabilir. İncelemenin kapsamı, cihazın türüne, mevcut veri durumuna ve cevaplanması beklenen teknik sorulara göre belirlenir.

• Bireysel başvurular: Bilgisayar, cep telefonu, tablet veya diğer dijital materyallerde bulunan verilerin teknik olarak incelenmesine ihtiyaç duyan kişiler.
• Avukatlar ve hukuk büroları: Dava veya soruşturma dosyalarında yer alan bilgisayar ve mobil cihaz verilerinin, kullanıcı faaliyetlerinin, zaman bilgilerinin veya mevcut teknik raporların değerlendirilmesine ihtiyaç duyulan durumlar.
• Ceza ve hukuk yargılamalarının tarafları: Bir cihazdaki dijital verilerin olayla ilişkisi, oluşturulma veya değiştirilme zamanı, kullanıcı faaliyeti ya da veri kaynağı gibi teknik hususların açıklığa kavuşturulması gereken süreçler.
• Şirketler ve diğer tüzel kişiler: Kurumsal bilgisayarlar, mobil cihazlar, kullanıcı hesapları veya depolama ortamlarında meydana gelen olayların teknik açıdan araştırılması gereken durumlar.
• Kurum içi inceleme ihtiyacı bulunan işletmeler: Yetkisiz erişim, veri silme, dosya aktarımı, harici cihaz kullanımı veya kullanıcı faaliyetlerine ilişkin teknik izlerin değerlendirilmesi gereken iç inceleme süreçleri.
• Mevcut bilirkişi veya teknik raporların yeniden değerlendirilmesini isteyenler: Bilgisayar veya mobil cihaz incelemesine dayanan mevcut raporlarda kullanılan yöntemlerin, dijital bulguların ve teknik sonuçların yeniden incelenmesine ihtiyaç duyulan durumlar.

Raporlama ve Uzman Mütalaası

Bilgisayar ve mobil cihaz incelemelerinde elde edilen teknik bulgular; kullanılan yöntemler, veri kaynakları, zaman bilgileri ve incelemenin teknik sınırlılıklarıyla birlikte değerlendirilerek raporlanır. Raporlamada, tespitlerin hangi veri veya artefakta dayandığının açık ve gerektiğinde yeniden doğrulanabilir olması esas alınır.

Hukuki bir süreç kapsamında cihaz üzerindeki dijital verilerin teknik anlamının açıklanması, mevcut bilirkişi raporunun değerlendirilmesi veya belirli teknik soruların yanıtlanması gerektiğinde; elde edilen bulgular uzman mütalaasına esas olacak şekilde ayrıca ele alınabilir.

• Kullanılan veri edinim ve inceleme yöntemlerinin belirtilmesi
• Tespit edilen bulguların veri kaynağı ve artefakt bilgileriyle birlikte sunulması
• Dosya, uygulama ve kullanıcı faaliyetlerine ilişkin zaman bilgilerinin değerlendirilmesi
• Zaman çizelgesi ve farklı dijital bulgular arasındaki ilişkilerin açıklanması
• Hash ve veri bütünlüğü kontrollerine ilişkin bilgilerin belirtilmesi
• İncelemenin teknik sınırlılıklarının ve yorum sınırlarının açıkça ifade edilmesi
• Gerektiğinde mevcut bilirkişi veya teknik rapor bulgularının karşılaştırmalı değerlendirilmesi
• Uzman mütalaasına esas teknik tespit ve değerlendirmelerin hazırlanması
• Gerektiğinde uzman mütalaasında yer alan teknik tespitlerin duruşmada açıklanmasına yönelik teknik destek