Veri Kurtarma Hizmetleri

Dijital Depolama Ortamlarından Veri Kurtarma

Veri kurtarma hizmetleri; HDD, SSD, USB bellek, hafıza kartı, cep telefonu, tablet ve diğer dijital depolama ortamlarında silinen, erişilemeyen, kaybolan veya dosya sistemi ve cihaz kaynaklı sorunlar nedeniyle görüntülenemeyen verilerin teknik yöntemlerle araştırılması ve uygun durumlarda kurtarılmasını kapsar. Uygulanacak yöntem; cihazın veya depolama ortamının türüne, mevcut arızanın niteliğine, veri yapısına, işletim sistemine ve teknik durumuna göre belirlenir.

İnceleme sırasında mümkün olduğunca kaynak verinin korunması ve mevcut verilerin üzerine yazılmasına yol açabilecek işlemlerden kaçınılması esas alınır. Kurtarma işleminin başarısı; depolama ortamının fiziksel durumu, silinen alanların üzerine yeni veri yazılıp yazılmadığı, kullanılan dosya sistemi, SSD ve flash tabanlı ortamlardaki veri yönetim mekanizmaları, cihaz şifrelemesi ve mevcut diğer teknik koşullara bağlı olarak değişebilir. Bu nedenle veri kurtarma işlemlerinde kesin sonuç garantisi verilmeden, mevcut teknik imkânlar doğrultusunda değerlendirme yapılır.

Veri Kurtarma Hangi Durumlarda Gerekebilir?

Dijital veriler; yanlışlıkla silme, biçimlendirme, dosya sistemi bozulması, cihaz veya depolama ortamı arızaları, erişim sorunları ve çeşitli teknik nedenlerle kullanılamaz hale gelebilir. Veri kurtarma yöntemi; kullanılan cihaz veya depolama teknolojisine, veri kaybının niteliğine ve mevcut teknik koşullara göre belirlenir.

• Yanlışlıkla silinen veya kaybolan dosya ve kullanıcı verilerinin araştırılması
• Formatlama veya yeniden biçimlendirme sonrasında kaybolan verilerin araştırılması
• Dosya sistemi bozulması nedeniyle erişilemeyen verilerin değerlendirilmesi
• Silinmiş, kaybolmuş veya bozulmuş partition/volume yapıları nedeniyle oluşan veri kayıplarının araştırılması
• HDD, SSD, USB bellek ve hafıza kartlarında meydana gelen erişim, okuma veya teknik sorunların değerlendirilmesi
• Fiziksel, elektronik veya donanımsal arıza belirtileri bulunan depolama ortamlarında veri erişim imkânlarının değerlendirilmesi
• NAS, RAID ve diğer çok diskli depolama sistemlerinde meydana gelen veri kayıplarının araştırılması
• Cep telefonu ve tabletlerde silinen, kaybolan veya erişilemeyen mevcut verilerin teknik olarak araştırılması
• Bozuk, açılmayan, eksik veya kısmen erişilebilir dosyaların değerlendirilmesi
• İşletim sistemi kurulumu, yeniden kurulum, cihaz sıfırlama veya benzeri işlemler sonrasında kaybolan verilerin araştırılması
• Zararlı yazılım, fidye yazılımı veya benzeri teknik olaylar sonrasında silinen ya da erişilemez hale gelen verilerin mevcut teknik imkânlar kapsamında değerlendirilmesi
• Bozulmuş, eksik veya normal yöntemlerle açılamayan mevcut yedeklerin teknik olarak incelenmesi
• Mevcut disk, mobil cihaz veya diğer adli bilişim imajları üzerinden veri kurtarma ve yeniden inceleme çalışmaları
• Daha önce yapılmış formatlama, onarım veya veri kurtarma işlemlerinin mevcut veri yapısına etkisinin değerlendirilmesi
• Mevcut bilirkişi veya teknik raporlarda veri kurtarmaya ilişkin yöntem ve sonuçların yeniden değerlendirilmesi

Veri Kurtarmada Temel Yaklaşımımız

Veri kurtarma çalışmalarında temel yaklaşımımız; kaynak cihaz veya depolama ortamının mevcut durumunu mümkün olduğunca korumak, gereksiz yazma işlemlerinden kaçınmak, uygun olduğunda doğrulanmış imaj veya çalışma kopyası üzerinden ilerlemek ve elde edilen sonuçları teknik olarak yeniden değerlendirilebilir biçimde belgelemektir. Uygulanacak yöntem, veri kaybının türüne ve materyalin teknik durumuna göre belirlenir.

• İnceleme kapsamının belirlenmesi: Kurtarılması veya araştırılması istenen veri türleri, materyalin mevcut durumu ve cevaplanması beklenen teknik sorular çalışma öncesinde mümkün olduğunca açık biçimde belirlenir.
• Yetki ve işlem sınırlarının gözetilmesi: İnceleme yalnızca teslim edilen materyal ve yetkilendirilmiş teknik kapsam içerisinde gerçekleştirilir.
• Kaynak verinin korunması: İnceleme sırasında mümkün olduğunca orijinal cihaz veya depolama ortamının mevcut durumu korunur ve gereksiz yazma işlemlerinden kaçınılır.
• Kaynak üzerinde doğrudan onarım yapılmaması: Veri kurtarma amacıyla kaynak materyal üzerinde formatlama, dosya sistemi onarımı, RAID rebuild veya veri yapısını değiştirebilecek benzeri işlemler mümkün olduğunca uygulanmaz; teknik olarak uygun olduğunda çalışma kopyası üzerinden ilerlenir.
• Uygun veri edinim yönteminin seçilmesi: Materyalin türüne ve teknik durumuna göre adli imaj, bit düzeyinde kopya, kontrollü klonlama, mantıksal veri edinimi veya uygun diğer yöntemler değerlendirilir.
• Çalışma kopyası üzerinden inceleme: Teknik olarak uygun olduğu durumlarda analiz ve veri kurtarma işlemleri kaynak ortam yerine doğrulanmış imaj veya çalışma kopyaları üzerinden yürütülür.
• Ana veri kaynağı ile çalışma çıktılarının ayrılması: Doğrulanmış kaynak imaj veya veri kopyası mümkün olduğunca değiştirilmeden korunur; analiz çıktıları ve kurtarılan veriler ayrı çalışma alanlarında tutulur.
• Veri bütünlüğünün kontrolü: Uygun durumlarda hash değerleri ve diğer teknik kontroller kullanılarak oluşturulan imaj veya veri kopyalarının bütünlüğü doğrulanır.
• Materyalin mevcut durumuna göre risk değerlendirmesi: Fiziksel, elektronik veya mantıksal arıza belirtileri değerlendirilerek veri kaybını artırabilecek gereksiz işlemlerden kaçınılır.
• Önce veri edinimi, sonra analiz yaklaşımı: Özellikle kararsız, bozulmuş veya fiziksel sorun belirtileri bulunan ortamlarda mümkün olan verinin güvenli biçimde elde edilmesine öncelik verilir.
• İleri müdahale gerektiren durumların ayrılması: Ağır fiziksel veya elektronik arıza bulunan materyaller gereksiz yere çalıştırılmaz; özel laboratuvar, temiz oda veya ileri donanım gereksinimi bulunan durumlar ayrıca değerlendirilir.
• Silinmiş ve erişilemeyen verilerin kontrollü araştırılması: Dosya sistemi kayıtları, metadata, unallocated alanlar, uygulama veritabanları ve teknik olarak uygun diğer veri kaynakları birlikte değerlendirilir.
• Kurtarılan verilerin kaynak ortama geri yazılmaması: Elde edilen dosya ve diğer veriler kaynak materyalden ayrı, uygun bir hedef depolama ortamına aktarılır.
• Kurtarılan verilerin doğrulanması: Bir dosyanın veya kaydın tespit edilmesi tek başına sağlam ve eksiksiz olduğu anlamına gelmediğinden açılabilirlik, bütünlük ve kullanılabilirlik ayrıca kontrol edilir.
• Kritik bulguların doğrulanması: Önem taşıyan teknik sonuçlar mümkün olduğu durumlarda farklı araçlar, ham veri, ikinci bir analiz yöntemi veya manuel kontrollerle karşılaştırılır.
• Metadata ve zaman bilgilerinin mümkün olduğunca korunması: Dosya adları, klasör yapıları, tarih-saat bilgileri ve mevcut diğer teknik metadata değerlerinin korunmasına dikkat edilir.
• Yapılan işlemlerin belgelenmesi: Kullanılan yöntemler, yazılımlar, gerekli sürüm bilgileri, hash değerleri, hata kayıtları ve önemli teknik kararlar gerektiğinde yeniden değerlendirilebilecek şekilde kayıt altına alınır.
• Hukuki süreçlerde izlenebilirlik: Ceza soruşturma ve kovuşturmaları, hukuk yargılamaları veya diğer hukuki süreçler kapsamında yapılan çalışmalarda uygun durumlarda teslim, muhafaza, materyal envanteri ve delil zinciri bilgileri ayrıca belgelenir.
• Teknik sınırlılıkların açıkça belirtilmesi: Üzerine yazılma, şifreleme, TRIM, flash bellek yönetimi, fiziksel hasar, eksik depolama birimleri veya benzeri faktörlerin kurtarma sonucuna etkisi açıkça değerlendirilir.
• Bulunamayan verilerin dikkatli yorumlanması: Bir verinin teknik inceleme sırasında tespit edilememesi, o verinin geçmişte hiçbir zaman mevcut olmadığı şeklinde tek başına yorumlanmaz.
• Sonuç garantisi verilmemesi: Veri kurtarma başarısı materyalin mevcut teknik durumuna bağlı olduğundan belirli bir dosyanın veya tüm verilerin kesin olarak kurtarılacağı önceden taahhüt edilmez.
• Gizlilik ve veri güvenliği: İnceleme kapsamında erişilen verilerin mahremiyetinin korunması, yetkisiz erişimin önlenmesi ve çalışma verilerinin güvenli biçimde muhafaza edilmesi temel prensipler arasında tutulur.
• Tarafsız ve doğrulanabilir teknik değerlendirme: Sonuçlar beklentiye veya talep sahibinin iddiasına göre değil, mevcut teknik veriler ve doğrulanabilir bulgular doğrultusunda değerlendirilir.

Kimler İçin Uygundur?

Veri kurtarma hizmetleri; dijital cihaz ve depolama ortamlarında silinen, kaybolan, erişilemeyen veya teknik sorunlar nedeniyle ulaşılamayan verilerin araştırılmasına ihtiyaç duyulan bireysel, kurumsal ve hukuki süreçlerde uygulanabilir. İnceleme kapsamı; materyalin türü, mevcut teknik durum, veri kaybının niteliği ve kurtarılması hedeflenen veriler doğrultusunda belirlenir.

• Bireysel başvurular: Bilgisayar, harici disk, USB bellek, hafıza kartı, cep telefonu veya tabletlerinde silinen, kaybolan ya da erişilemeyen verilerin araştırılmasına ihtiyaç duyan kişiler.
• Avukatlar ve hukuk büroları: Hukuki süreçlerde önem taşıyan dijital materyallerdeki silinmiş veya erişilemeyen verilerin teknik olarak araştırılması ve gerektiğinde uzman mütalaasına esas değerlendirme yapılmasına ihtiyaç duyanlar.
• Ceza ve hukuk yargılamalarının tarafları: Dosya kapsamında önem taşıyan dijital verilerin kurtarılması, erişilebilirliğinin değerlendirilmesi veya mevcut veri kurtarma çalışmalarının teknik olarak incelenmesine ihtiyaç duyulan süreçler.
• Şirketler ve diğer tüzel kişiler: Kurumsal bilgisayarlar, sunucular, NAS/RAID sistemleri, taşınabilir depolama ortamları veya mobil cihazlarda meydana gelen veri kayıplarının teknik olarak değerlendirilmesine ihtiyaç duyan kurum ve işletmeler.
• Bilgi işlem birimleri ve sistem yöneticileri: Disk, sunucu, NAS, RAID, USB, hafıza kartı veya mobil cihazlarda meydana gelen veri kaybı, dosya sistemi bozulması, erişim veya yedekleme sorunlarında teknik inceleme ve veri kurtarma desteğine ihtiyaç duyan ekipler.
• Bilgi güvenliği, kurum içi inceleme ve olay müdahale ekipleri: Veri silme, zararlı yazılım, fidye yazılımı, yetkisiz işlem veya diğer teknik olayların ardından mevcut verilerin araştırılmasına ihtiyaç duyan ekipler.
• Kurum içi hukuk, uyum ve denetim birimleri: Kurumsal uyuşmazlıklar, iç incelemeler veya hukuki süreçler kapsamında silinen, kaybolan ya da erişilemeyen dijital verilerin teknik olarak değerlendirilmesine ihtiyaç duyan birimler.
• Teknik servisler ve BT hizmet sağlayıcıları: Müşterilerine ait bilgisayar, disk, NAS, taşınabilir depolama ortamı veya mobil cihazlarda standart teknik destek yöntemlerinin ötesinde veri kurtarma ve uzman incelemesi gereken durumlarda destek talep eden işletmeler.
• Fotoğraf, video ve medya alanında çalışan kişi ve işletmeler: Hafıza kartı, harici disk veya diğer depolama ortamlarındaki fotoğraf, video ve ses kayıtlarının kaybolması veya erişilemez hale gelmesi durumlarında veri kurtarma desteğine ihtiyaç duyanlar.
• Mevcut adli bilişim imajı veya veri kopyası üzerinden çalışma talep edenler: RAW, E01/Ex01, mobil veri çıktıları veya diğer uygun veri kopyalarında silinmiş ve erişilemeyen verilerin araştırılmasına ihtiyaç duyanlar.
• Bilirkişiler ve diğer teknik uzmanlar: Mevcut dijital materyal, adli bilişim imajı veya veri kurtarma çalışması üzerinde ek teknik inceleme, veri çıkarımı veya ikinci değerlendirmeye ihtiyaç duyan uzmanlar.
• Mevcut bilirkişi veya teknik raporların yeniden değerlendirilmesini isteyenler: Veri kurtarma yöntemleri, kullanılan araçlar, ulaşılan sonuçlar veya belirtilen teknik sınırlılıkların yeniden incelenmesine ihtiyaç duyan kişiler veya kurumlar.
• Uzman mütalaasına ihtiyaç duyanlar: Veri kaybı, veri kurtarma işlemleri ve elde edilen dijital bulguların hukuki süreçte uzman görüşü kapsamında teknik olarak açıklanmasına ihtiyaç duyanlar.

Raporlama ve Uzman Mütalaası

Veri kurtarma çalışmalarında elde edilen teknik bulgular; incelenen cihaz veya depolama ortamının özellikleri, veri kaybının niteliği, kullanılan veri edinim ve kurtarma yöntemleri, bütünlük kontrolleri ve mevcut teknik sınırlılıklar dikkate alınarak değerlendirilir. Gerektiğinde yapılan işlemler, elde edilen sonuçlar ve kurtarılamayan veriler açık, anlaşılır ve teknik olarak yeniden değerlendirilebilir biçimde raporlanır.

Hukuki bir süreç kapsamında silinmiş veya erişilemeyen verilerin araştırılması, mevcut bir veri kurtarma çalışmasının teknik açıdan değerlendirilmesi ya da bilirkişi raporunda yer alan tespitlerin incelenmesi gerektiğinde, elde edilen bulgular uzman mütalaasına esas olacak şekilde ayrıca değerlendirilebilir.

• İncelemeye sunulan cihaz, depolama ortamı, yedek, adli bilişim imajı veya diğer veri kaynaklarının tanımlanması
• Materyalin marka-model, kapasite, seri numarası ve mevcut diğer tanımlayıcı bilgilerinin belirtilmesi
• Hukuki süreçlerde gerekli olması halinde teslim, muhafaza, materyal envanteri ve delil zinciri bilgilerinin belgelenmesi
• Veri kaybının başlangıç durumunun ve inceleme kapsamının açıklanması
• Araştırılması veya kurtarılması talep edilen veri türlerinin, mümkünse tarih aralıklarının ve cevaplanması beklenen teknik soruların belirtilmesi
• İnceleme öncesinde materyal üzerinde yapılmış formatlama, onarım, sıfırlama, RAID rebuild, servis işlemi veya önceki veri kurtarma müdahalelerinin mevcut bilgiler doğrultusunda belirtilmesi
• Kaynak materyalin korunmasına yönelik kullanılan salt-okunur erişim, write blocker veya diğer koruyucu yöntemlerin açıklanması
• Kullanılan veri edinim, imajlama, klonlama, mantıksal edinim veya diğer uygun teknik yöntemlerin belirtilmesi
• Kullanılan yazılım, donanım ve gerekli durumlarda sürüm bilgilerinin belirtilmesi
• Standart yöntemden farklı bir teknik işlem uygulanmışsa bunun gerekçesinin ve veri üzerindeki olası etkisinin açıklanması
• Oluşturulan imaj, veri kopyası, klon veya diğer edinim çıktılarının tanımlanması
• Ana kaynak veya doğrulanmış edinim çıktısı ile analiz amacıyla kullanılan çalışma kopyalarının birbirinden ayrılarak belirtilmesi
• Uygun durumlarda hash değerleri ve diğer veri bütünlüğü kontrollerinin belirtilmesi
• İmajlama veya veri edinimi sırasında oluşturulan işlem loglarının, hata kayıtlarının ve edinimin tamamlanma durumunun değerlendirilmesi
• Okunamayan sektörler, bad block, I/O hataları veya erişilemeyen veri alanlarının belirtilmesi
• Dosya sistemi, partition, volume, uygulama verisi veya ilgili diğer veri yapılarındaki teknik tespitlerin açıklanması
• Silinmiş, kaybolmuş veya erişilemeyen verilerin hangi teknik yöntemlerle araştırıldığının belirtilmesi
• Dosya sistemi kayıtları, metadata, unallocated alanlar, veritabanları veya gerektiğinde file carving gibi yöntemlerden elde edilen bulguların açıklanması
• Kurtarılan verilerin hangi veri kaynağı, alan veya yöntem üzerinden elde edildiğinin gerektiğinde gösterilmesi
• Kurtarılan verilerin dosya adı, klasör yapısı, tarih-saat ve mevcut diğer metadata bilgilerinin korunma durumunun belirtilmesi
• Kurtarılan dosyaların açılabilirlik, bütünlük ve kullanılabilirlik durumlarının değerlendirilmesi
• Tam, kısmi, bozuk veya yalnızca belirli bölümleri elde edilebilen verilerin gerektiğinde birbirinden ayrılması
• ritik teknik bulguların mümkün olduğu durumlarda ham veri, farklı araç, ikinci analiz yöntemi veya manuel kontrollerle doğrulanması
• Gerektiğinde farklı veri kaynakları arasındaki tarih-saat ve olay ilişkilerinin değerlendirilmesi
• Zaman dilimi, cihaz saati veya farklı timestamp biçimlerinin sonuçların yorumlanmasına etkisinin gerektiğinde açıklanması
• Üzerine yazılma, şifreleme, Secure Erase, TRIM, flash bellek yönetimi, fiziksel hasar veya benzeri teknik koşulların kurtarma sonucuna etkisinin belirtilmesi
• RAID/NAS veya diğer çok diskli yapılarda RAID seviyesi, disk sırası, parity, storage pool ve önemli diğer yapılandırma bilgilerinin gerektiğinde değerlendirilmesi
• Mobil cihazlarda işletim sistemi, cihaz kilidi, şifreleme ve güvenlik mimarisinin veri erişimine etkisinin gerektiğinde açıklanması
• Fiziksel veya elektronik hasar nedeniyle özel laboratuvar, temiz oda veya ileri donanım müdahalesi gerektiren durumların belirtilmesi
• Kurtarılamayan veya yalnızca kısmen kurtarılabilen verilere ilişkin teknik nedenlerin mümkün olduğunca açıklanması
• Bir verinin bulunamamasının, o verinin geçmişte hiç mevcut olmadığı anlamına gelmeyebileceği gibi yorum sınırlılıklarının belirtilmesi
• Kurtarma sonucunda oluşturulan dosya, klasör, rapor veya diğer çıktı veri setlerinin tanımlanması
• Uygun durumlarda teslim edilen veri seti veya hedef depolama ortamına ilişkin hash ve diğer bütünlük bilgilerinin belirtilmesi
• Kurtarılan verilerin kaynak materyalden ayrı bir hedef ortamda muhafaza edildiğinin belirtilmesi
• Yapılan işlemlerin, kullanılan yöntemlerin ve önemli teknik kararların gerektiğinde yeniden değerlendirilebilecek şekilde belgelenmesi
• Mevcut bilirkişi, veri kurtarma veya teknik raporların kullanılan yöntemler ve ulaşılan sonuçlar açısından gerektiğinde karşılaştırmalı olarak değerlendirilmesi
• Mevcut teknik raporlardaki tespitlerin kaynak veriler ve yeniden yapılan inceleme sonuçlarıyla uyumunun değerlendirilmesi
• Teknik bulgular ile yorum veya kanaatin birbirinden açık biçimde ayrılması
• Kesin teknik sonuca ulaşılamayan hususların, belirsizliklerin ve mevcut teknik sınırlılıkların açıkça belirtilmesi
• Uzman mütalaasına esas teknik tespit, değerlendirme ve sonuçların hazırlanması
• Gerektiğinde uzman mütalaasında yer alan teknik tespitlerin duruşmada açıklanmasına ve teknik soruların cevaplandırılmasına yönelik destek sağlanması