Dijital delil nedir

Bir olaydan sonra sistemde kalan her iz bir delil adayıdır. Diskteki bir blok, bellekteki bir sayfa, ağ kartının tamponundaki bir paket ya da bulut hizmetindeki bir oturum kaydı bu izlere örnektir. Adli analistin işi bu parçaları bozmadan almak ve ne anlattığını yazmaktır. Başka bir uzmanın aynı adımlarla aynı sonuca varabilmesi de işin parçasıdır.

Önce delilin ömrünü ve toplama sırasını belirleyen kuralı göreceksin. Sonra bu kuralı standartlara bağlayacak ve finans birimindeki fin-pc12 makinesinde ilk otuz dakikayı komut komut yürüyeceksin. Son iki bölümde kapatma kararını, toplama yetkisini ve olaydan önce kurulması gereken hazırlığı işleyeceksin.

Dijital delil iki kaynaktan gelir. Kullanıcı ürünü veri belge, resim ve e-postadır. Kişi onu bilerek oluşturur ve istediği gibi düzenler. Sistem ürünü veri ise kayıt defteri, Prefetch dosyaları ve olay günlükleridir.

İşletim sistemi onu kendiliğinden yazar. İkincisi daha az yalan söyler, çünkü kullanıcı çoğu zaman varlığından habersizdir. Delil yalnız bilgisayarda da durmaz. Kimlik sağlayıcının oturum günlüğü, nesne depolamanın erişim kaydı, ağ anahtarının kayıtları, kartlı geçiş sistemi ve kamera görüntüleri de delildir.

Bir hesabın gece 03.16'da oturum açtığını kimlik günlüğü gösterir. Hesap sahibinin o saatte binada olmadığını kartlı geçiş gösterir. İki kayıt yan yana gelince hesabın başkasının elinde olduğu sonucu güç kazanır.

Deliller ömürlerine göre de ayrılır ve toplama sırasını bu ömür belirler. Ağ bağlantısı saniyeler içinde kapanır. ARP tablosundaki kayıt birkaç dakikada düşer.

Bellek makine kapanana kadar durur, ama her saniye değişir. Disk haftalarca kalır, merkezî log ve yedek ise aylarca kalır. Buradan tek bir kural çıkar: önce en çabuk uçanı topla.

2002'de yayımlanan RFC 3227 bu kurala oynaklık sırası (order of volatility) adını verir. Makineyi hemen kapatan analist bellekteki kanıtı kendi eliyle siler. Diskten başlayan analist ise imajın bitmesini beklerken ağ bağlantılarını ve süreç listesini kaçırır. Aşağıdaki liste RFC'deki sırayı fin-pc12 için örneklerle verir.

Oynaklık sırası (RFC 3227, bölüm 2.1; en uçucudan kalıcıya)
1  Yazmaçlar, işlemci önbelleği
2  Yönlendirme tablosu, ARP önbelleği, süreç tablosu, çekirdek istatistikleri, bellek (RAM)
3  Geçici dosya sistemleri (%TEMP%; takas dosyası pagefile.sys de bu düzeyde alınır)
4  Disk (dosya sistemi, $MFT, silinen alan)
5  Uzak log ve izleme verisi (SIEM, güvenlik duvarı kaydı)
6  Fiziksel yapılandırma, ağ topolojisi
7  Arşiv ortamı (yedek bantları, eski anlık görüntüler)

Listeyi satır satır oku. Yazmaç ve işlemci önbelleği pratikte toplanamaz, bu yüzden sahada ilk gerçek adım ikinci satırdır.

İkinci satırdaki kalemler bir arada durur, çünkü aynı anda yaşar ve aynı anda ölür. Bellek dökümü bu satırın büyük kısmını tek dosyada yakalar. Ama döküm almak dakikalar sürer ve bu sürede bağlantılar değişir. O yüzden önce birkaç saniyelik komutlarla ağ durumunu kaydeder, sonra dökümü başlatırsın.

Diskteki veri bekleyebilir, ama sonsuza kadar değil. Silinen dosyanın alanı her yeni yazmayla biraz daha ezilir. Uzak log genelde en sağlam kaynaktır. Saldırgan yerel günlüğü silse bile SIEM'e giden kopya yerinde durur.

Oynaklık sırası 'önce neyi alayım' sorusunu yanıtlar. Bütün işin iskeletini ise NIST SP 800-86 verir. Bu rehber adli süreci dört aşamaya böler. Toplama, veriyi bütünlüğünü koruyarak almaktır.

İnceleme, ham veriden işe yarayan parçayı çıkarmaktır; silinen dosyayı kurtarmak ya da günlüğü ayrıştırmak buraya girer. Analiz, çıkan parçaları birbirine bağlayıp sorunun cevabını aramaktır. Raporlama ise bulguyu, yöntemini ve sınırını okura anlatmaktır. Aşamalar düz bir çizgi değildir.

Analizde yeni bir soru doğarsa geri döner, yeni bir kaynak toplarsın. Bu yolun modülleri de aynı iskelete oturur. Aşağıdaki tablo hangi aşamayı nerede çalışacağını gösterir.

Aşama       Temel soru                         Bu yolda
Toplama     Veriyi bozmadan nasıl alırım?      Delil ve Zincir, Bellek Analizi (döküm)
İnceleme    Ham veriden ne çıkar?              Disk, Bellek ve Ağ Adli Analizi
Analiz      Parçalar neyi anlatıyor?           Olay Sonrası (zaman çizelgesi, kök neden)
Raporlama   Bulguyu nasıl savunurum?           Delil ve Zincir (4. ders), Olay Sonrası

Sahada davranışı yönlendiren en bilinen metin ise ACPO rehberidir. İngiltere, Galler ve Kuzey İrlanda polis şefleri birliğinin bu rehberi, 2012'de yayımlanan beşinci sürümünde dört ilke koyar. Birincisi, mahkemede dayanılacak veriyi değiştiren hiçbir işlem yapılmaz.

İkincisi, özgün veriye erişmek zorunda kalan kişi bu işte yetkin olmalı ve işleminin etkisini açıklayabilmelidir. Üçüncüsü, delile uygulanan her işlemin denetim izi tutulur ve bağımsız bir uzman aynı adımlarla aynı sonuca ulaşabilmelidir. Dördüncüsü, soruşturmayı yöneten kişi yasaya ve bu ilkelere uyulmasından sorumludur.

Analist bu çerçevede tarafsız kalır. Görevin suçluyu bulmak değil, veriyi doğru okumaktır. Aklayıcı bulguyu da aynı titizlikle yazarsın.

İki toplama tipi vardır. Canlı toplama makine açıkken yapılır ve bellek ile ağ durumunu kurtarır. Ölü toplama makine kapalıyken diske dokunur. İkisi rakip değil, sıralı adımdır.

Canlı toplama ilk ilkeyle çelişir gibi görünür, çünkü sistemi kaçınılmaz olarak değiştirir. Çalıştırdığın her araç belleğe yüklenir ve yeni süreç açar. Windows istemcisinde bir programı çalıştırmak Prefetch klasörüne dosya yazar.

İkinci ve üçüncü ilke bu gerilimi çözer. Değişikliği bilerek yapar, gerekçesini ve etkisini saatiyle yazarsın. Değişimi gizlemek değil, yazmak esastır. Raporda bu satırlar senin izini saldırganın izinden ayırır.

Olay yerine varınca ilk beş dakika belirleyicidir. Makineye kimse dokunmasın, ekran kapanmasın, kablo çekilmesin. Bu üç cümleyi oradaki herkese söyler, sonra ekranı, takılı USB birimlerini ve kablo düzenini fotoğraflarsın.

İki dakika ayırıp yazılı plan kurarsın: hangi makine, hangi sıra, hangi araç, hangi hedef disk. Tek başına çalışmazsın. İkinci kişi tanık olur ve notu saat, makine, işlem ve kişi sütunlarıyla tutar.

Canlı triyajda kendi araç setini kullanırsın. Temiz bir sistemden alınmış araçları salt okunur bir USB birimine koyar, oradan çalıştırırsın. Çıktılar incelenen diske değil, dışarıdaki temiz delil diskine yazılır. fin-pc12 örneğinde USB birimi D:, delil diski E: harfini aldı.

Her komutun çıktısı ayrı dosyaya gider ve dosya hemen özetlenir. Aşağıdaki oturum 14 Eylül sabahı ekibin çalıştırdığı komutları gösterir. Her dosya özetlendi, ama yalnız ilkinin özet satırı görünüyor.

D:\> date /t & time /t
14.09.2026
09:04
D:\> netstat -ano > E:\eviz\2026-014\01_netstat.txt
D:\> certutil -hashfile E:\eviz\2026-014\01_netstat.txt SHA256
SHA256 hash of E:\eviz\2026-014\01_netstat.txt:
4be1c0e27a9d3f5b86c2e1a07d94f38b5c6e2a1d9f07b3c48e5a6d2f1b9c7e03
CertUtil: -hashfile command completed successfully.
D:\> tasklist /v > E:\eviz\2026-014\02_tasklist.txt
D:\> ipconfig /displaydns > E:\eviz\2026-014\03_dnscache.txt
D:\> arp -a > E:\eviz\2026-014\04_arp.txt
D:\> query user > E:\eviz\2026-014\05_users.txt

D:\> findstr ESTABLISHED E:\eviz\2026-014\01_netstat.txt
  TCP    10.20.30.61:49871    203.0.113.19:443     ESTABLISHED     4412
D:\> findstr 4412 E:\eviz\2026-014\02_tasklist.txt
svc_update.exe    4412 RDP-Tcp#3    2    18.204 K Running    FIN-PC12\svc_update  0:00:41 N/A
D:\> type E:\eviz\2026-014\05_users.txt
 USERNAME      SESSIONNAME   ID  STATE   IDLE TIME  LOGON TIME
>ayilmaz       console        1  Active       none  14.09.2026 08:52
 svc_update    rdp-tcp#3      2  Active       5:48  14.09.2026 03:16

Oturumu satır satır oku. İlk komut makinenin saatini kaydeder. Bu saati kendi saatinle karşılaştırır, farkı notuna yazarsın. Zaman çizelgesi bu farka göre düzeltilir.

netstat -ano açık bağlantıları süreç kimliğiyle (PID) verir. certutil çıktı dosyasının SHA-256 özetini hemen alır. Filtrelenen satır, 4412 numaralı sürecin 203.0.113.19 adresine 443 portundan bağlı olduğunu söyler. tasklist /v aynı numarayı svc_update.exe dosyasına ve makinenin yerel FIN-PC12\svc_update hesabına bağlar.

ipconfig /displaydns son çözülen alan adlarını, arp -a yerel ağdaki komşuları gösterir. query user ise 03.16'da açılmış ikinci bir uzak masaüstü oturumunu ortaya çıkarır. Her komutun da bir izi var.

Her biri yeni bir süreç açar ve belleğin bir kısmını ezer. Windows istemcisinde her biri Prefetch klasörüne bir dosya bırakır. Bu izleri komutun saatiyle birlikte notuna yazarsın.

$ export PATH=/mnt/arac/bin
$ date -u | tee /mnt/eviz/2026-014/web01/00_date.txt
Mon Sep 14 06:52:10 UTC 2026
$ ss -tupan | tee /mnt/eviz/2026-014/web01/01_ss.txt
Netid State  Recv-Q Send-Q  Local Address:Port   Peer Address:Port  Process
tcp   ESTAB  0      0       10.20.40.15:41822    203.0.113.19:443   users:(("kworkerd",pid=2207,fd=3))
$ ps auxww --forest > /mnt/eviz/2026-014/web01/02_ps.txt
$ ip neigh > /mnt/eviz/2026-014/web01/03_neigh.txt
$ who -a > /mnt/eviz/2026-014/web01/04_who.txt
$ last -F > /mnt/eviz/2026-014/web01/05_last.txt
$ cd /mnt/eviz/2026-014/web01 && sha256sum *.txt > SHA256SUMS

Linux tarafında mantık aynıdır. İlk satır PATH değişkenini salt okunur araç birimine yöneltir. Böylece sistemin belki değiştirilmiş ss ve ps dosyaları yerine, temiz bir sistemde hazırladığın statik bağlı kopyalar çalışır.

date -u saati UTC olarak yazar, saat dilimi karışıklığını baştan keser. tee çıktıyı hem ekrana hem dosyaya verir, böylece gördüğün şey kayda da geçer. ss -tupan TCP ve UDP soketlerini, dinleyenler dahil, sayısal adresle ve sahibi olan süreçle listeler.

ps auxww --forest tam komut satırını ve süreçlerin ebeveyn ilişkisini gösterir. ip neigh ARP tablosunun karşılığıdır. who -a açık oturumları, last -F ise wtmp dosyasındaki geçmiş girişleri tam tarihle verir. Son satır bütün çıktıların özetini tek dosyada toplar.

Çıktıdaki kworkerd adına dikkat et. Gerçek çekirdek iş parçacıkları ps çıktısında köşeli parantezle görünür ve ağ soketi açmaz. Çekirdek iş parçacığı kılığındaki bu süreç, ekibin ilk tespit ipucudur.

Her olay aynı sırayla ilerlemez. Sahada dört soruyu sırayla sorarsın.

Makine açık mı? Açıksa kapatma kararını erteler, önce canlı toplamayı yaparsın. Kapalıysa açmazsın, diski yazma engelleyiciyle imajlarsın.

Disk şifreli mi? BitLocker gibi bir şifreleme açıksa makine kapandığında disk kilitlenir. Kurtarma anahtarına ulaşamıyorsan açık birimin canlı mantıksal imajı tek şansın olabilir.

Sunucu sanal mı, bulutta mı? O zaman bellek seçeneğiyle anlık görüntü alırsın. Fidye yazılımı yayılıyor mu? Yayılma varsa öncelik değişir: önce ağdan ayırır, sonra delil toplarsın.

Makine açık mı?
├─ Hayır → Açma. Fotoğrafla, diski yazma engelleyiciyle imajla.
└─ Evet
   ├─ Fidye yazılımı yayılıyor mu?  Evet → Ağdan ayır. Ayıramıyorsan kapat.
   ├─ Disk şifreli mi?              Evet → Anahtarı bul ya da canlı mantıksal imaj al.
   ├─ Sanal ya da bulutta mı?       Evet → Bellekli anlık görüntü al, özetini kaydet.
   └─ Her durumda: ağ durumu → bellek dökümü → kapatma kararı → disk imajı

Fidye yazılımında gerilim en yüksek noktadadır, çünkü her dakika yeni dosyalar şifrelenir. Resmî müdahale rehberleri ilk adım olarak etkilenen makineleri hemen yalıtmayı önerir.

Kabloyu çekmek, Wi-Fi bağlantısını kesmek ya da anahtar portunu kapatmak yayılmayı durdurur ve makineyi açık bırakır. Böylece bellek korunur. Makineyi kapatmak ancak ağdan ayırmanın hiçbir yolu yoksa önerilir. Aynı rehber bu adımın bellekteki izleri yok edeceğini açıkça yazar.

Yalıtılan örnek makinelerden bellek dökümü ve sistem imajı alınır. Bellekte zararlının çözülmüş kopyası ve bazen şifreleme anahtarı bulunur. Bu da kurtarma kararını değiştirebilir.

Delilin bir de hukuki yüzü var. Toplama yetkin yoksa teknik olarak kusursuz iş bile çöpe gider. Kurum içi incelemede bu yetkiyi yazılı politika, iş sözleşmesi ve yönetimin görevlendirmesi verir.

Kişisel veri içeren her kaynakta KVKK'nın ölçülülük ilkesini de gözetirsin. Ceza soruşturmasında kural bellidir. CMK'nın 134. maddesine göre şüphelinin bilgisayarında arama ve kopyalama kararını hâkim verir.

Gecikmesinde sakınca bulunan hâlde Cumhuriyet savcısı karar verir ve bu karar yirmi dört saat içinde hâkim onayına sunulur. Anayasanın 38. maddesi de kanuna aykırı elde edilen bulguların delil sayılmayacağını söyler. Toplama bitince kapsamı yazarsın.

Hangi makineler alındı, hangileri alınmadı ve neden alınmadı? Bu not sonradan gelen soruları peşinen kapatır.

En iyi toplama, olaydan önce hazırlanmış toplamadır. Buna adli hazırlık (forensic readiness) denir. Amaç, olay anında delil kaynağının zaten var, doğru ve erişilebilir olmasıdır.

Önce saatleri eşlersin. Bütün makineler aynı NTP kaynağına bağlı değilse zaman çizelgesi dakikalarca kayar. Sonra merkezî log kurar, saklama süresini yazarsın.

Toplama araçlarını önceden seçer, sınar ve sürümünü kayda geçirirsin. Sıfırlanmış, etiketli ve mühürlü boş delil diskleri dolapta bekler. İletişim ağacı ve imzaya hazır yetki belgesi şablonu da hazır olur.

Bulut delilinin bir de son tarihi vardır, çünkü sağlayıcı onu belirli bir süre sonra kendisi siler. Microsoft Entra oturum ve denetim günlükleri ücretsiz lisansta yedi gün, P1 ve P2 lisansında otuz gün durur. Microsoft 365 birleşik denetim günlüğü Audit (Standard) düzeyinde 180 gün saklanır.

AWS CloudTrail olay geçmişi yönetim olaylarının son 90 gününü tutar; daha uzun kayıt için önceden bir trail kurulmuş olmalıdır. Hazırlıkta bu süreleri bilir, günlükleri önceden bir depolama hesabına ya da SIEM'e akıtırsın. Akmıyorsa ve sürenin dolmasına günler kaldıysa, olay anında dışa aktarma ilk saatin işidir. Aşağıdaki liste finans biriminin eylül denetiminden çıktı.

ADLİ HAZIRLIK KONTROL LİSTESİ  (finans birimi, gözden geçirme 01.09.2026)
[x] Saat eşleme: bütün uç noktalar ntp.sirket.example kaynağında, sapma < 1 sn
[ ] Güvenlik günlüğü: fin-pc12 dahil 14 istemci yalnız yerel kayıt tutuyor
[ ] Bulut: Entra oturum günlüğü dışa aktarılmıyor (ücretsiz lisans, 7 gün)
[x] Onaylı araç seti: salt okunur USB, sürüm listesi ve SHA-256 değerleri ekte
[x] Boş delil diskleri: 4 adet, sıfırlanmış, etiketli, mühürlü
[x] İletişim ağacı ve yetki belgesi şablonu: hukuk ve İK onaylı