Açık kaynak zaman çizelgesi kurma

Beyaz Vadi Lojistik çalışanlarına 'teslimat adresiniz doğrulanamadı' başlıklı bir posta geldi. Bağlantı beyazvadi-teslimat.example adına gidiyordu.

Güvenlik ekibi iki soru soruyor: kampanya ne zaman hazırlandı ve kurum ne kadar geç fark etti? Cevap tek bir kayıtta durmuyor. Tescil kaydı, sertifika günlüğü, internet arşivi ve posta başlıkları zamanı ayrı ayrı tutar. Her biri farklı saat dilimi, farklı biçim ve farklı güvenilirlik taşır.

Zaman çizelgesi bu kayıtları tek eksene dizer. Önce çizelgenin satırını ve iki tarih türünü göreceksin. Sonra kaynakların zamanı nasıl yazdığını, saat dilimi dönüşümünü ve arşiv damgasını öğreneceksin. En sonda kampanyanın çizelgesini kurup aralıkları ölçeceksin.

Zaman çizelgesi bulguları sıraya dizer ve nedensellik sorusunu açar. Alan adı ne zaman alındı, sertifika ne zaman verildi, sayfa ne zaman arşivlendi? Sıraladığında olayların birbirini nasıl izlediği görünür.

Çizelgenin her satırında üç alan durur: zaman, olay ve kaynak. Kaynak sütunu olmayan satır doğrulanamaz. Zaman belirsizse aralık yazarsın, uydurma bir tarih koymazsın.

'Temmuz 2026 içinde, gün bilinmiyor' ifadesi kullanışlıdır. Kesinmiş gibi yazılan bir gün ise raporun tümüne olan güveni bozar. Kesin tarihleri düz yazar, tahminleri aralık olarak gösterir, bilinmeyeni boş bırakırsın. Boş satır bir sonraki araştırma turunun görevidir.

İki tarihi ayırmak da önemlidir. Kaynağın tarihi, o kaydın oluşturulduğu andır. Olayın tarihi ise anlatılan şeyin gerçekleştiği andır.

Bir haber 2026'da yayımlanıp 2019'daki bir olayı anlatabilir. Çizelgeye olay tarihi girer, kaynak tarihi kaynak sütununda durur. Arşiv kaydı bu ayrımın en sık karıştığı yerdir.

Arşiv yalnız o anda sayfanın o hâlde olduğunu söyler. Sayfa çok daha önce yayımlanmış olabilir. Bu yüzden ilk arşiv tarihi yayın tarihi için bir üst sınırdır ve çizelgeye 'en geç bu tarihte yayındaydı' diye yazılır.

Çizelge anlatıyı da disipline eder. İnsan zihni ardışık olayları kolayca nedensel sanır. Alan adı tescilinden sonra saldırı olması, tescilin saldırıya yol açtığını kanıtlamaz. Çizelge sıra verir, neden vermez ve raporda bu ayrımı açıkça yazarsın.

Oltalama kampanyaları çoğu zaman aynı iskeleti izler. Ad alınır, sertifika çıkarılır, sayfa kurulur ve posta gönderilir. Savunma ise çoğu zaman en sonda devreye girer. Şimdi bu iskeleti sıraya diz.

Her kaynak zamanı kendi kuralıyla yazar. Bazıları standart gereği UTC'dir. Bazıları yerel saati yazar ama dilimi söylemez. Bazılarını ise kaydı üreten kişi istediği gibi doldurabilir.

Çizelgeye girmeden önce her alanın hangi dilimde ve hangi biçimde olduğunu bilmen gerekir. Aşağıdaki tablo açık kaynak araştırmasında en sık karşılaşacağın zaman alanlarını toplar. Örneklerin çoğu Beyaz Vadi kampanyasının kayıtlarından alındı. Son sütun o alana ne kadar güvenebileceğini söyler.

Kaynak   Alan                Dilim                   Örnek                             Güven
RDAP     eventDate           UTC (sonda Z)           2026-06-28T09:14:02Z              yüksek
crt.sh   not_before          UTC                     2026-06-29T06:41:15               orta, geriye çekilebilir
SCT      timestamp           UTC, epoch milisaniye   1782718875000                     yüksek
Wayback  14 haneli damga     UTC                     20260704112233                    yüksek, yalnız çekim anı
EXIF     DateTimeOriginal    dilim yazmaz            2026:07:14 10:32:08               düşük, cihaz saati
EXIF     OffsetTimeOriginal  dilimin kendisi         +03:00                            her cihaz doldurmaz
HTTP     Last-Modified       GMT                     Tue, 14 Jul 2026 10:32:00 GMT     düşük, sunucu ayarı
E-posta  Date                gönderenin dilimi       Tue, 14 Jul 2026 13:32:00 +0300   düşük, gönderen yazar
E-posta  Received            her sunucunun dilimi    Tue, 14 Jul 2026 10:32:05 +0000   orta, sunucular ekler

Tabloyu üç gruba ayır. RDAP, SCT ve Wayback damgası UTC yazar. RDAP yanıtındaki olay listesi RFC 9083'te tanımlıdır.

registration, last changed ve expiration gibi olayların tarihi RFC 3339 biçimindedir ve sondaki Z harfi UTC demektir. SCT zaman damgası, sertifika şeffaflığı günlüğünün sertifikayı kabul ettiği anı 1 Ocak 1970'ten bu yana geçen milisaniye olarak yazar.

İkinci grup yerel saattir. EXIF'in DateTimeOriginal alanı dilim taşımaz, OffsetTimeOriginal ise her cihazda dolu değildir. E-postanın Date başlığı dilimi taşır ama değeri gönderenin bilgisayarı yazar.

Üçüncü grup sunucu ayarına bağlıdır. HTTP Last-Modified alanı GMT yazılır, ama değeri çoğu zaman sunucudaki dosyanın değişiklik saatinden gelir.

Sertifika satırı ayrı dikkat ister. crt.sh'teki not_before alanı sertifikanın verildiği anı değil, geçerliliğin başladığı anı yazar. Bazı sertifika otoriteleri istemcilerdeki saat farkına karşı bu değeri bir süre geriye çeker.

Verilme anına daha yakın bir değer istiyorsan günlüğe giriş zamanına, yani SCT zaman damgasına bakarsın. E-postada da benzer bir ayrım vardır.

Date başlığını gönderen yazar ve istediği değeri koyabilir. Received başlıklarını ise posta yolundaki her sunucu kendisi ekler. Sahte bir Date başlığı alıcı sunucunun Received satırıyla çelişir. Çelişki kendi başına bir bulgudur.

Çizelgeye girmeden önce her zamanı tek dilime çevirirsin. Ortak dil UTC'dir. Yerel saatle UTC'yi aynı eksene koyarsan Türkiye için üç saatlik hayali bir boşluk ya da çakışma doğar.

Dönüşüm için ayrı bir araca gerek yoktur, date komutu yeter. Ama komut iki dünyada farklı yazılır. Linux'taki GNU date, -d seçeneğiyle serbest biçimli bir tarih okur.

macOS ve BSD sistemlerindeki date ise tarihi -d ile okumaz; girdinin kalıbını -f ile açıkça söylemen gerekir. Aynı an bir de epoch olarak yazılabilir: 1 Ocak 1970 00:00 UTC'den bu yana geçen saniye sayısı. SCT gibi bazı alanlar bu sayıyı milisaniye olarak verir.

# GNU date (Linux): yerel saati UTC'ye çevir
$ date -u -d '2026-07-14 13:32 +03:00'
Tue Jul 14 10:32:00 UTC 2026

# Aynı anın epoch karşılığı ve geri dönüşü
$ date -u -d '2026-07-14 13:32 +03:00' +%s
1784025120
$ date -u -d @1784025120
Tue Jul 14 10:32:00 UTC 2026

# Aynı anı İstanbul saatiyle göstermek
$ TZ=Europe/Istanbul date -d @1784025120
Tue Jul 14 13:32:00 +03 2026

# macOS ve BSD: girdinin kalıbı -f ile verilir
$ date -j -u -f '%Y-%m-%d %H:%M:%S %z' '2026-07-14 13:32:00 +0300'
Tue Jul 14 10:32:00 UTC 2026

Komutları sırayla oku. -u çıktıyı UTC verir. -d çevrilecek zamanı alır ve sondaki +03:00 girdinin Türkiye saati olduğunu söyler. +%s çıktıyı epoch saniyesi olarak basar; @ ile başlayan değer ise epoch'u geri okur. TZ değişkeni aynı anı İstanbul saatiyle gösterir.

BSD satırında -j sistem saatine dokunmadan yalnız çevirme yapılmasını, -f ise girdinin kalıbını söyler. Kalıba saniyeyi de yazarsın. Yazmazsan BSD date eksik alanı o anki saatten doldurur ve çıktıya rastgele bir saniye girer. Raporda iki gösterimi birlikte yazmak okuyanın işini kolaylaştırır: 10:32 UTC (13:32 TSİ).

İnternet arşivinin damgası da bir zaman biçimidir. 20240312083015 damgası soldan sağa yıl, ay, gün, saat, dakika ve saniyedir: 2024-03-12T08:30:15Z. Damga UTC'dir. Wayback'in CDX arayüzü bir adresin bütün çekimlerini bu damgalarla listeler.

from ve to parametreleri aralığı süzer. İkisi de bir ile on dört hane arasında aynı biçimi kabul eder ve sınırları dahil eder.

from=202606 Haziran 2026 ve sonrasını getirir. fl parametresi yalnız istediğin alanları basar. Beyaz Vadi ekibi oltalama adının çekimlerini böyle listeledi.

$ curl -s 'https://web.archive.org/cdx/search/cdx?url=beyazvadi-teslimat.example&from=202606&to=202607&fl=timestamp,statuscode'
20260704112233 200
20260709081502 200
20260714194410 200

Çıktıda üç çekim var. İlki 2026-07-04T11:22:33Z anına denk gelir. Sayfa en geç bu anda yayındaydı, daha önce de yayında olabilir. statuscode sütunu da okunur.

200 sayfanın kendisinin çekildiğini, 301 ya da 302 ise bir yönlendirmeyi gösterir. Yönlendirme çekimi sayfanın yayında olduğunu kanıtlamaz. Sıralama için bir kolaylık daha var.

ISO 8601 biçiminde yazılmış ve aynı dilime çevrilmiş zamanlarda sözlük sırası zaman sırasıdır. Karakterler soldan sağa en büyük birimden en küçüğe dizilir. Bu yüzden 2026-06-28T09:14:02Z, 2026-07-04T11:22:33Z'den önce gelir ve düz sort komutu çizelgeyi sıralar.

Koşul, bütün satırların aynı biçimde ve aynı dilimde olmasıdır. '14.07.2026' ile '2026-07-14' karışık durursa sort yanlış sıralar. Önce hepsini tek biçime çevirirsin.

Şimdi parçaları birleştir. Beyaz Vadi ekibi beyazvadi-teslimat.example için beş kaynaktan zaman topladı: RDAP tescil olayı, SCT zaman damgası, Wayback'in ilk çekimi, posta başlıkları ve kurumun kendi kayıtları. Hepsini UTC'ye çevirdi ve tek bir dosyaya ISO 8601 biçiminde yazdı.

Her satırın sonunda kaynak duruyor. Kaynakların çeşitliliği de bilinçli bir seçimdir. Tek bir servisten gelen beş tarih o servisin hatasını da taşır.

Üç ayrı sistemden gelen tarihler birbirini tutarsa omurga sağlam olur. Dosya sort ile sıralandıktan sonra çizelge ve aralıklar aşağıdaki gibi görünüyor.

$ sort cizelge.txt
2026-06-28T09:14:02Z  Alan adı tescil edildi       RDAP events: registration
2026-06-29T07:41:15Z  Sertifika günlüğe girdi      SCT zaman damgası, crt.sh
2026-07-04T11:22:33Z  Sahte giriş sayfası yayında  Wayback ilk çekim (üst sınır)
2026-07-14T10:32:05Z  İlk posta kuruma ulaştı      Received başlığı, kurum posta sunucusu
2026-07-14T11:05:00Z  İlk çalışan bildirimi        yardım masası kaydı (14:05 TSİ)
2026-07-16T06:20:00Z  Alan adı engellendi          güvenlik duvarı değişiklik kaydı

Aralıklar
  tescil     -> sertifika      : 22 saat
  tescil     -> sayfa yayında  : en geç 6 gün 2 saat
  tescil     -> ilk posta      : 16 gün
  ilk posta  -> bildirim       : 33 dakika
  bildirim   -> engelleme      : yaklaşık 43 saat

Çizelgeyi satır satır oku. Tescil ile sertifika arasında bir gün bile yok; hazırlık hızlı başlamış.

Sayfa en geç 4 Temmuz'da, tescilden altı gün sonra yayındaydı. İlk posta ise tescilden on altı gün sonra geldi. Yani sayfa hazır olduktan sonra en az dokuz gün 23 saat, kabaca on gün beklenmiş.

Neden beklendiğini çizelge söylemez. Bir maaş günü ya da yoğun bir teslimat dönemi seçilmiş olabilir, ama bu bir hipotezdir ve öyle yazılır. Asıl bulgu alt satırlardadır.

Bir çalışan postayı 33 dakikada bildirdi. Engelleme ise bildirimden yaklaşık 43 saat sonra geldi. Bu süre savunmanın ölçülebilir gecikmesidir. Üç ayrı sistemden gelen tarihler birbirini tuttuğu için çizelgenin omurgası da sağlamdır.

Aynı çizelge olay müdahalesinin de omurgasıdır. NIST SP 800-86, olay kayıtlarından zaman çizelgesi kurmanın adli analizdeki değerini anlatır ve saatlerin neden yanılabileceğini sayar. Sistem saati yetkili bir zaman kaynağıyla eşitlenmemiş olabilir.

Kayıt saniyeyi ya da dakikayı atlamış olabilir. Saldırgan zamanı değiştirmiş olabilir. Savunmadaki ilk önlem bu yüzden bütün sistemleri NTP ile eşitlemek ve kayıtları UTC tutmaktır.

İkinci önlem tepki süresini ölçmektir. 'Geç kaldık' yerine '43 saat' yazmak, iyileştirmenin hedefini koyar. NIST SP 800-61r3 olay müdahalesini CSF 2.0 ile birlikte ele alır ve tespit, müdahale ve kurtarmanın verimini artırmayı hedefler. Bir sonraki kampanyada aynı aralık yeniden ölçülür.