Puan ders bitince hesaba yazılır. Bu dersi tamamlayınca +45 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Dijital delil nedir
Delil dediğimiz şey sihirli değil. Diskteki bir blok, bellekteki bir sayfa, kartın tamponundaki bir paket. Analistin işi bu parçaları bozmadan almak ve anlamını yazmaktır.
Deliller ömürlerine göre ayrılır. Ağ bağlantısı saniyeler yaşar. Bellek, fiş çekilene kadar durur. Disk haftalarca kalır. Yedek ve merkezî log ise aylarca durur.
Buradan tek bir kural çıkar. Önce en çabuk uçanı topla. RFC 3227 buna oynaklık sırası der. Makineyi hemen kapatan analist bellekteki kanıtı kendi eliyle siler.
Oynaklık sırası (en uçucudan kalıcıya) 1 CPU yazmaçları ve önbellek 2 Ağ bağlantıları, ARP tablosu, açık soketler 3 RAM (süreçler, çözülmüş yükler, oturum jetonları) 4 Geçici dosyalar, takas alanı (pagefile.sys) 5 Disk (dosya sistemi, $MFT, silinen alan) 6 Uzak log sunucusu ve yedekler 7 Fiziksel yapılandırma ve topoloji notları
Delil toplarken iki kopya mantığını baştan kur. Birinci kopya analiz için, ikinci kopya dokunulmaz arşiv için ayrılır. Arşiv kopyasına yalnız doğrulama anında dokunursun.
Olay yerinde fotoğraf çekmek de veri toplamaktır. Ekrandaki açık pencere, takılı USB birimi ve kablo düzeni fotoğrafta kalır. Bu görüntüler sonradan sorulan çok soruyu yanıtlar.
Sanal sunucularda iş biraz değişir. Anlık görüntü hem diski hem belleği tek adımda dondurur. Sanallaştırma yöneticisinden alınan bu dosya, fiziksel dökümün yerine geçer.