Savunma · Orta seviye

Adli Bilişim

Disk, bellek ve ağ delilinden olayın zaman çizelgesini kurar, savunulabilir rapor yazarsın.

İlk ders: Dijital delil nedir

Modül: 5
Ders: 20; 4,5 saat anlatım
Etkinlik: 140; uygulamalı soru
Lab: 5; +6 ek lab
Toplam süre: 7 saat; kendi hızında
Belge: ASAF-201; Orta seviye

Adli bilişim, olaydan sonra geriye kalan izleri bozmadan toplar ve okur. Diskteki dosya artığı, bellekteki süreç listesi ve ağdaki tek pcap dosyası birlikte saldırının hikâyesini verir. İyi bir analist bu hikâyeyi mahkemede de savunur, çünkü her adımı hash ile mühürler.

Bu yolun sonunda

Yolu bitirdiğinde elinde olacak üç somut beceri ve derslerde çalışacağın konular.

01
Delili hash ile mühürler, delil zincirini belgeleyerek imaj alırsın.
02
Disk, bellek ve pcap kaydından saldırının izlerini çıkarırsın.
03
Süper zaman çizelgesi kurar, TCK ve CMK çerçevesinde rapor yazarsın.

Derslerde çalışacağın konular

Dijital delil toplama ve delil zinciri
Bit bit imaj alma ve doğrulama (dd, ewfacquire, sha256sum)
Disk analizi (Sleuth Kit, Autopsy, $MFT, silinen dosya kurtarma)
Windows artefakt okuma (Prefetch, Amcache, ShimCache, SRUM, kayıt defteri)
Bellek analizi (Volatility 3, pslist, malfind, netscan)
Ağ adli analizi (tshark, tcpdump, pcap üzerinden IOC üretimi)
Süper zaman çizelgesi kurma ve rapor yazımı (plaso, log2timeline)

Kimler için

Olay müdahale ekibinde çalışan ya da çalışmak isteyenler
Adli bilirkişilik ve hukuk tarafında dijital delille uğraşanlar
Mavi takım deneyimini delil incelemesine taşımak isteyenler

Seviye: Orta
Dil: Türkçe
Tempo: Kendi hızında
Ücret: Ücretsiz
Önerilen hazırlık: Önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz. Zorunlu değil; bu yolun dersleri onsuz da açılır.

Müfredat

5 modül, 20 ders, 140 etkinlik. Dersler sırayla açılır; her modül bir labla kapanır. Modüle dokununca derslerini, kazanımlarını ve labını görürsün.

Bu modülün sonunda
- Delilleri ağ, bellek, disk ve merkezî log sırasıyla toplarsın.
- sha256sum ile imajın özetini alır, kaynak değerle karşılaştırırsın.
- Delil zinciri kaydındaki imzasız devri ve saat boşluğunu yakalarsın.
1. Dijital delil nedir. Sıradaki ders15 dk · 45 XP
  Dijital delilin kaynaklarını ve RFC 3227 oynaklık sırasını öğren, canlı bir makinede ilk otuz dakikalık triyajı adım adım uygula. Bu derste fin-pc12 makinesindeki delilleri kalıcılığına göre sıralayacak, altı komutluk canlı triyajı çıktılarıyla okuyacaksın. Hangi veriyi önce topladığın, davanın gidişini belirler. Sıra yanlışsa delil uçar.
  8 etkinlik: Terminal · Sınıflandırma · Sıralama · Eşleştirme
2. Delil bütünlüğü ve hash. Kilitli: önceki dersleri bitirince açılır14 dk · 50 XP
  Özet fonksiyonunun delil bütünlüğünü nasıl kanıtladığını, SHA-256 ile MD5 farkını ve bir imajın özetini adım adım doğrulamayı öğren. Bu derste fin-pc12 imajının SHA-256 değerini toplama anındaki değerle karşılaştıracak, bozulan bir bölümü parça özetiyle bulacaksın. MD5 neden hâlâ raporlarda görünür, neden tek başına yetmez? Bu sorunun cevabını da bulacaksın.
  8 etkinlik: Terminal · Kod okuma · Çıktı tahmini · Eşleştirme
3. İmaj alma ve write blocker. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  Yazma engelleyici arkasında doğru diski seçip dd, dcfldd ve ewfacquire ile imaj almayı, hedefli toplamayı ve özel durumları öğren. Bu derste fin-pc12 diskini Linux'ta uçtan uca imajlayacak, aynı diski E01 kabına alacak ve hedefli toplamayla karşılaştıracaksın. Yazma engelleyici olmadan bağlanan disk, ilk saniyede değişir.
  7 etkinlik: Terminal · Kod okuma · Sınıflandırma · Sıralama
4. Delil zinciri ve raporlama sorumluluğu. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP
  Delil zincirini form, mühür ve özetle kurmayı, zincirdeki boşluğu bulmayı ve bulguyu yorumdan ayıran raporu yazmayı öğren. Bu derste fin-pc12 diskinin zincir formunu okuyacak, devirde özeti doğrulayacak ve kayıttaki boşlukları yakalayacaksın. Teknik iş kusursuz olsa bile, zincirde bir saat boşluk varsa delil tartışmaya açılır.
  7 etkinlik: Terminal · Kayıt tarama · Sınıflandırma · Sıralama
5. Lab · Delili Mühürle. Kilitli: modülün derslerini bitirince açılır100 XP
  18 Eylül sabahı muhasebe biriminden iki makine toplandı. Delil sorumlusu formu doldurdu, sonra izne çıktı.
  Kanıt dosyalı lab · zorunlu
Ek lab: Kapanan Makine, Kaybolan Bellek. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- mmls ofsetiyle icat çalıştırıp silinmiş dosyayı kurtarırsın.
- İki NTFS damga kümesini kıyaslayıp bükülmüş damgayı bulursun.
- Run, Services ve Winlogon anahtarlarından kalıcılık kaydını ayıklarsın.
1. Dosya sistemleri: NTFS ve ext4 temelleri. Kilitli: önceki dersleri bitirince açılır14 dk · 55 XP
  Sleuth Kit ile bölüm tablosunu, NTFS $MFT kaydını ve ext4 inode yapısını oku. Ofseti doğru hesapla. Gizli veri akışını bulmayı öğren. Bu derste fin-pc12 imajında bölüm ofsetini hesaplayacak, bir $MFT kaydını ve web işaretini çözecek, web01 imajında da bir inode açacaksın. Defteri tanımadan silinen dosyayı da kurtaramazsın, zaman damgasını da yorumlayamazsın.
  7 etkinlik: Terminal · Çıktı tahmini · Eşleştirme · Boşluk doldurma
2. Silinen dosya kurtarma ve slack space. Kilitli: önceki dersleri bitirince açılır14 dk · 55 XP
  Silinen dosyayı $MFT kaydından, geri dönüşüm kutusundan, gölge kopyadan ve imzadan oyarak kurtarmayı, küme artığında iz aramayı öğren. Bu derste fin-pc12 imajından silinmiş update.exe dosyasını icat ile çıkaracak, çöp kutusundaki belgeyi ve boş alandaki komut izini bulacaksın. Küme artığı denen boşlukta eski dosyaların parçaları bekler. Oraya da bakacaksın.
  7 etkinlik: Terminal · Komut zinciri · Kayıt tarama · Sınıflandırma
3. Zaman damgaları MACB ve anti-forensics. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  MACB damgalarını NTFS'in iki öznitelik kümesinde okumayı, damga bükmeyi USN kaydıyla yakalamayı ve günlük temizliğinin bıraktığı izi bulmayı öğren. Bu derste update.exe dosyasının damgalarını okuyup elle değiştirilmiş olanı yakalayacak, bükmenin gerçek saatini USN günlüğünden çıkaracaksın. Zaman damgası yalan söyleyebilir. Hangi kaynağın daha zor değiştiğini öğreneceksin.
  7 etkinlik: Kayıt tarama · Tahmin · Eşleştirme · Çoklu seçim
4. Kayıt defteri ve kullanıcı izleri. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Windows kayıt defteri kovanlarından kalıcılık anahtarlarını, Prefetch ve Amcache çalıştırma izlerini, USB geçmişini ve kullanıcı etkinliğini okumayı öğren. Bu derste fin-pc12 kovanlarından WinUpdateSvc kalıcılığını, svcupd.exe'nin çalıştırma izlerini ve gönderdiği veri miktarını çıkaracaksın. Prefetch, Amcache ve ShimCache üçlüsü program çalıştı mı sorusunu farklı açılardan yanıtlar.
  7 etkinlik: Terminal · Kayıt tarama · Sınıflandırma · Eşleştirme
5. Lab · Diskte silinmiş iz avı. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo'nun finans biriminde çalışan finans-pc03 makinesinde fidye şüphesi var. Gece nöbetinde makinenin adli görüntüsünü aldın ve şimdi bulguları çıkarman gerekiyor.
  Kanıt dosyalı lab · isteğe bağlı
Ek lab: Silinen İkilinin Çalıştırma Kanıtı. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- pstree çıktısında Office altından başlayan PowerShell zincirini yakalarsın.
- netscan bağlantısını süreç, ebeveyn ve malfind bulgusuna bağlarsın.
- hashdump çıktısında boş LM özetini ayırıp asıl NTLM özetini okursun.
1. Bellek dökümü almak. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP
  Canlı makineden adli açıdan sağlam bir bellek dökümü almayı, Windows ve Linux araçlarını, sembolleri ve dökümü doğrulamayı öğren. Bu derste fin-pc12 makinesinden bellek dökümü alma adımlarını kuracaksın. Dökümü almak dakikalar sürer. Kaçırırsan geri dönüşü yoktur.
  7 etkinlik: Terminal · Çıktı tahmini · Tahmin · Sıralama
2. Süreç listesi ve gizlenen süreçler. Kilitli: önceki dersleri bitirince açılır12 dk · 60 XP
  Volatility 3 ile bellek dökümünden süreç ağacını çıkarmayı, normal ebeveyn zincirini ve listeden koparılmış gizli süreçleri yakalamayı öğren. Bu derste Volatility 3 ile fin-pc12 dökümünden süreç ağacını çıkaracaksın. Listeden silinmiş süreçleri de yakalamayı öğreneceksin.
  7 etkinlik: Terminal · Kayıt tarama · Sınıflandırma · Eşleştirme
3. Ağ bağlantıları ve enjeksiyon izleri. Kilitli: önceki dersleri bitirince açılır12 dk · 60 XP
  Bellek dökümünden komuta bağlantısını netscan ile bulmayı, sürece kadar izlemeyi ve malfind ile enjekte kodu yakalamayı öğren. Bu derste netscan çıktısından 203.0.113.19 adresine giden C2 bağlantısını bulacaksın. Sonra malfind ile başka sürecin içine yerleştirilmiş kodu yakalayacaksın.
  6 etkinlik: Kayıt tarama · Çıktı tahmini · Sıralama · Boşluk doldurma
4. Kimlik bilgisi artıkları. Kilitli: önceki dersleri bitirince açılır12 dk · 60 XP
  Bellekteki parola özetlerinin ve biletlerin nerede durduğunu, yanal hareketi iki uçtan nasıl doğrulayacağını ve saldırıyı nasıl kapatacağını öğren. Bu derste dökümdeki kimlik artıklarının yanal hareketi nasıl açıkladığını göreceksin. Saldırganın neden LSASS sürecine gittiğini de anlayacaksın.
  6 etkinlik: Komut zinciri · Sınıflandırma · Eşleştirme · Boşluk doldurma
5. Lab · Bellekte Av. Kilitli: modülün derslerini bitirince açılır100 XP
  muh-pc04 makinesinden 18 Eylül 04:10'da bellek dökümü alındı. Döküm mühürlendi, Volatility 3 çıktıları sana bırakıldı.
  Kanıt dosyalı lab · zorunlu
Ek lablar: LSASS'a Uzanan El, Diskte Olmayan Kod, Özgeçmiş Kılığında Hırsız. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.
Bu modülün sonunda
- tshark'ta görüntüleme süzgecini -Y, yakalama süzgecini -f ile verirsin.
- Onaltılık alt alan taşıyan DNS sorgularını düzenli ifadeyle süzersin.
- IOC satırına tip, değer, kaynak ve güven düzeyini birlikte yazarsın.
1. pcap okumak. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP
  Ağ kaydının nereden alındığını okur, pcap dosyasını capinfos ile tanır, tshark ve Zeek ile olay penceresine daraltıp akışları çözersin. Bu derste Altay Kargo'nun web01.pcap kaydından saldırgan akışını tshark ile süzeceksin. Paket paket bakmak yerine akış düzeyinde okumayı öğreneceksin.
  6 etkinlik: Terminal · Çıktı tahmini · Tahmin · Eşleştirme
2. TLS trafiğinde ne görülür ne görülmez. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP
  TLS el sıkışmasından SNI, ALPN, sertifika ve JA4 izini okur, şifreli kanalı içeriğini çözmeden zamanlama ve hacim deseniyle tanımlarsın. Bu derste TLS el sıkışmasından çıkarabileceğin alanları sayacaksın. 203.0.113.19 adresine giden şifreli kanalı, içeriğini hiç görmeden tanımlayacaksın.
  6 etkinlik: Sınıflandırma · Çoklu seçim · Boşluk doldurma · Çoktan seçmeli
3. DNS ve beacon izleri. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Beacon aralığını ortalama, sapma ve değişim katsayısıyla ölçer, DNS alt alanlarındaki kaçırılan veriyi çözer, DGA ile tüneli ayırırsın. Bu derste düzenli aralıkla tekrarlayan beacon desenini ve DNS ile veri kaçırmayı tanıyacaksın. Uzun ve anlamsız alt alan adları gördüğünde ne düşüneceğini bileceksin.
  7 etkinlik: Düzenli ifade · Kod çözme · Sınıflandırma · Çıktı tahmini
4. Dosya çıkarma ve IOC üretimi. Kilitli: önceki dersleri bitirince açılır12 dk · 60 XP
  HTTP ve SMB akışlarından dosya çıkar. Dosya özetini Zeek files.log ile eşleştir. YARA ve Sigma kuralları yaz. Bulguları STIX biçiminde ve uygun TLP paylaşım etiketiyle hazırla. Bu derste web01 kaydından indirilen yükü ayıklayıp IOC listesi kuracaksın. IOC yazmak analizin son değil, paylaşılabilir ürünüdür.
  6 etkinlik: Terminal · Sınıflandırma · Sıralama · Çoklu seçim
5. Lab · Pcap kaydında sızıntı avı. Kilitli: modülün derslerini bitirince açılır100 XP
  Altay Kargo'nun depo yönetim sunucusunda (depo-sunucu) gece saatlerinde alışılmadık bağlantılar fark edildi. Ekip kısa bir paket kaydı aldı ve olayı sana devretti.
  Kanıt dosyalı lab · isteğe bağlı
Bu modülün sonunda
- psort.py ile plaso deposunu süzüp olay penceresini daraltırsın.
- Belirti ile kök nedeni ayırıp düzeltmeyi çalışmayan denetime bağlarsın.
- TCK 243, 244 ve CMK 134 maddelerini konularıyla eşlersin.
1. Süper zaman çizelgesi kurma. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  Disk, olay günlüğü ve ağ damgalarını mactime, plaso ve Hayabusa ile tek çizelgede birleştirir, pivot noktasından olayı yeniden kurarsın. Bu derste Altay Kargo'nun fin-pc12 olayını dakika dakika sıraya dizeceksin. Saat dilimi, saat kayması ve çift kayıt tuzaklarını tanıyıp çizelgeyi savunulabilir kılacaksın.
  8 etkinlik: Terminal · Kayıt tarama · Çıktı tahmini · Sıralama
2. Kök neden analizi. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  Belirtiyi kök nedenden ayırır, zinciri ATT&CK ile eşler, kapsamı ve etkiyi ölçer, düzeltmeyi çalışmayan denetime bağlarsın. Bu derste fin-pc12 olayında kapının nerede açıldığını ve neden açık kaldığını bulacaksın. Yanlış kök neden, aynı saldırının bir ay sonra tekrarlaması demektir.
  8 etkinlik: Sınıflandırma · Çıktı tahmini · Sıralama · Eşleştirme
3. Rapor yazımı ve hukuki çerçeve. Kilitli: önceki dersleri bitirince açılır13 dk · 60 XP
  Raporu okuruna göre kurar, bulgu cümlesini kaynak, zaman ve kesinlik düzeyiyle yazar, bilirkişi raporunun hukuki sınırını korursun. Bu derste fin-pc12 olayının raporunu yönetici özetinden eklere kadar bölüm bölüm kuracaksın. Kimse terminal geçmişini okumaz; analizin kalıcı ürünü rapordur.
  7 etkinlik: Kısa yazım · Sınıflandırma · Sıralama · Eşleştirme
4. Türkiye'de adli bilişim: TCK ve CMK çerçevesi. Kilitli: önceki dersleri bitirince açılır14 dk · 60 XP
  CMK 134'ün arama ve el koyma usulünü, TCK'daki bilişim suçlarını, 5651 saklama sürelerini, KVKK ve 7545 bildirim yükümlülüklerini tanırsın. Delilin hukuka uygun toplanması, teknik doğruluğu kadar önemlidir. Bu derste Altay Kargo olayının hukuki yolculuğunu adım adım izleyeceksin.
  8 etkinlik: Tahmin · Eşleştirme · Boşluk doldurma · Çoktan seçmeli
5. Lab · Olayı Yaz. Kilitli: modülün derslerini bitirince açılır100 XP
  muh-pc04 olayında disk, bellek ve ağ analizi bitti. Bulgular tek çizelgede birleşti, kök neden taslağı da yazıldı.
  Kanıt dosyalı lab · zorunlu
Ek lab: 72 Saatin Hesabı. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.

Bilgi sınavı ve belge

Yolun dörtte üçünü bitirince sınav açılır. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

ALTAYSECAkademi

BELGE NO

ALT-XXXXXXXXXX

ASAF-201 · ORTA SEVİYE

AltaySec Adli Bilişim Temel Bilgi Belgesi

Bu belge, aşağıda adı belirtilen katılımcının program kapsamındaki Yol Bilgisi Sınavı'nı başarıyla tamamladığını onaylar.

Ad Soyad

AltaySec adına düzenlenir Doğrulanabilir

Program: ASAF-201 · AltaySec Adli Bilişim Temel Bilgi Belgesi
Sınav: 25 soru · 40 dakika
Geçme notu: 75 / 100
Açılma şartı: Yolun dörtte üçünü bitirmek. Yerleştirme testiyle atlanan dersler sayılmaz
Deneme hakkı: 24 saatte en fazla üç
Belge: Belge numarasıyla doğrulama sayfasında sorgulanır

Sınav hesapla açılır. Sorular yolun modüllerine dengeli dağılır. Belge akredite bir kurum diploması değildir, kapsamı bu müfredattır. Belge doğrulama

Kariyer rotaları

Bu yol, kariyer haritasındaki 1 rolün önerilen rotasında yer alır. Rota, rolün izlemeni önerdiği yol sırasıdır.

Adli Bilişim Uzmanı
Olay sonrası neyin nasıl olduğunu delillerle kanıtlarsın. Disk ve bellek imajından iz çıkarır, zaman çizelgesi kurar, bulguyu titizlikle belgelersin. Delil zincirini bozmak affedilmez.
1. Siber Güvenlik Temelleri
2. Mavi Takım
3. Adli Bilişim

Pekiştir

Yolun konularını derslerin dışında da çalıştıran sayfalar.

Sertifika hazırlık

Bu yolun derslerine dayanan uluslararası sertifika soruları

Kopya kâğıtları

Komut ve sorgu özetleri, yazdırılabilir

Saha görevleri

Tarayıcıdaki terminalde komutla çözülen görevler

Okuma listesi

Konuya giriş ve derinleşme için blog rehberleri

Uygulama modları

Öğrendiğini zaman baskısı ve gerçekçi veriyle sına

CTF ArenaDosyayı indir, soruyu çöz, flag gönder.

Sık sorulanlar

Adli Bilişim yolu ne kadar sürer?

Derslerin toplamı 4,5 saat. Labları da çözersen yaklaşık 7 saat. Haftada beş saat ayırırsan yaklaşık 1 haftada biter; kendi hızında ilerlersin.

Ön koşul var mı?

Zorunlu değil. Dersler ağ, web ve Linux temellerini bildiğini varsayar; bu yüzden önce Siber Güvenlik Temelleri yolunu bitirmeni öneririz.

Ücretli mi?

Hayır. Dersler, lablar ve bilgi sınavı ücretsizdir. Belge de ücretsizdir. Kart bilgisi istenmez.

Belgeyi nasıl alırım?

Yolun dörtte üçünü bitirince ASAF-201 sınavı açılır: 25 soru, 40 dakika, geçme notu 75. Sınav hesapla açılır. Yerleştirme testiyle atlanan dersler bu eşiğe sayılmaz. Geçersen numaralı belgen hesabına düzenlenir ve doğrulama sayfasında sorgulanır. İlk geçişin XP kazandırır ve lige sayılır. Belge bilgi düzeyini gösterir, akredite bir kurum diploması değildir.

Lablar nasıl çözülür?

Her modül bir labla kapanır: 3 zorunlu lab kanıt dosyası üzerinden soru-cevapla çözülür; isteğe bağlı lablar bir vakanın kanıt dosyalarını inceletir.

Bu yolla birlikte izlenenler

Aynı kariyer rotalarında bu yolun yanında en sık geçen yollar.