Dijital Adli Bilişim Nedir? Teknik İnceleme Nasıl Yapılır?

Dijital adli bilişim nedir?

Dijital adli bilişim, yalnızca veriye ulaşmak değil; verinin kaynağını, bütünlüğünü, bağlamını ve teknik anlamını doğrulanabilir yöntemlerle incelemektir.

Dijital adli bilişim; bilgisayar, mobil cihaz, sunucu, ağ, uygulama, bulut hizmeti veya başka bir dijital ortamda bulunan verinin belirli bir inceleme sorusu için tanımlanması, korunması, uygun yöntemle edinilmesi, doğrulanması, analiz edilmesi ve raporlanması sürecidir.

Dijital veri; bir dosya, mesaj, e-posta, log satırı, veritabanı kaydı, işlem kaydı veya metadata olabilir. Bu veri bir olayın teknik olarak açıklanmasına katkı sağladığında inceleme materyaline dönüşür. “Dijital delil” ifadesi ise teknik alanda yaygın kullanılmakla birlikte, bir verinin hukuki delil niteliği ve ispat değeri teknik incelemenin tek başına belirlediği bir sonuç değildir.

Teknik incelemenin görevi; verinin hangi kaynaktan geldiğini, bütünlüğünün korunup korunmadığını, hangi yöntemle incelendiğini, başka kayıtlarla uyumunu ve hangi alternatif açıklamaların bulunduğunu göstermektir. Nihai hukuki değerlendirme ile teknik bulgu aynı şey değildir. Bu ayrım, dijital adli bilişim ve kripto varlık incelemeleri yaklaşımının temel sınırlarından biridir.

Dijital adli bilişim hangi durumlarda kullanılır?

Dijital inceleme tek bir cihaz türü veya olayla sınırlı değildir. Kullanılacak yöntem; inceleme sorusuna, mevcut veri kaynağına, erişim yetkisine, cihazın veya sistemin durumuna ve teknik sınırlara göre değişir. Aşağıdaki alanlar yaygın örneklerdir; her olayda bütün tekniklerin kullanılması gerekmez.

• Bilgisayar ve mobil cihazlardaki dosya, uygulama ve kullanıcı hareketlerinin incelenmesi
• E-posta kayıtlarının başlık, ileti akışı, ek ve sunucu kayıtlarıyla değerlendirilmesi
• Sistem, uygulama, erişim, güvenlik ve ağ loglarının analiz edilmesi
• Mesajlaşma verileri ile bunlara ait zaman ve hesap bilgilerinin değerlendirilmesi
• Dosya içeriği, metadata, sürüm ve değişiklik izlerinin incelenmesi
• Veri silme, değiştirme veya yetkisiz erişim iddialarının teknik kayıtlarla araştırılması
• Kullanıcı, hesap, oturum ve işlem hareketleri arasındaki ilişkilerin incelenmesi
• Siber olaylarda zaman çizelgesi, etkilenen sistem ve olası hareketlerin belirlenmesi
• Kripto varlık transferleri, blokzincir kayıtları ve platform verilerinin ayrı katmanlar halinde değerlendirilmesi

Dijital incelemede en kritik konu: veri bütünlüğü

Bir teknik bulgunun değerlendirilebilmesi için önce hangi veriye dayandığı anlaşılmalıdır. Verinin kaynağı, ne zaman ve kim tarafından elde edildiği, hangi yöntemle kopyalandığı, işlem sırasında değişiklik oluşup oluşmadığı ve incelemeye kadar nasıl korunduğu kayıt altına alınmalıdır.

Hash değeri, bir veri kümesinin veya dosyanın belirli andaki sayısal parmak izi gibi kullanılabilir. Edinme öncesi ve sonrası uygun hash kontrolleri, karşılaştırılan kopyaların aynı olup olmadığını doğrulamaya yardımcı olur. Ancak hash eşleşmesi verinin içeriğinin doğru olduğunu, kimin oluşturduğunu veya ileri sürülen olayın gerçekleştiğini tek başına kanıtlamaz; yalnızca bütünlük değerlendirmesinin önemli bir parçasıdır.

Mümkün olduğunda orijinal veri üzerinde doğrudan değişiklik oluşturacak işlemlerden kaçınılır ve analiz doğrulanmış çalışma kopyaları üzerinde yürütülür. Canlı sistemler, bulut servisleri ve mobil cihazlarda ise verinin yapısı veya erişim koşulları farklı olabilir. Bu nedenle “tek doğru kopyalama yöntemi” yerine, seçilen yöntemin gerekçesi ve oluşturduğu sınırlılık raporda açıklanmalıdır.

Dijital adli bilişim süreci nasıl ilerler?

İyi bir teknik inceleme yalnızca ne bulunduğunu değil, neyin söylenemeyeceğini de açıkça belirtmelidir.

NIST rehberleri; koruma, edinme, inceleme, analiz ve raporlama gibi birbirini izleyen faaliyetleri dijital incelemenin temel parçaları olarak ele alır. Uygulamadaki sıra olayın koşullarına göre değişebilse de, aşağıdaki sekiz adım genel ve denetlenebilir bir çerçeve sağlar.

• 1. İnceleme sorusunu tanımlama: Teknik olarak hangi soruya cevap aranacağını ve kapsam dışını belirleme.
• 2. Veri kaynaklarını belirleme: Cihaz, hesap, platform, sunucu, yedek, log veya blokzincir gibi olası kaynakları çıkarma.
• 3. Veriyi koruma ve uygun şekilde edinme: Kaynağın durumuna göre değişikliği azaltan, kayıtlı ve gerekçeli yöntemi seçme.
• 4. Bütünlük kontrolleri: Hash, edinme kayıtları, zaman bilgileri ve diğer kontrollerle çalışma materyalini doğrulama.
• 5. Teknik analiz: Dosya, metadata, log, hesap, işlem ve zaman ilişkilerini inceleme.
• 6. Alternatif açıklamaları değerlendirme: Aynı bulgunun başka hangi teknik senaryolarla açıklanabileceğini araştırma.
• 7. Teknik sınırları belirtme: Eksik veri, araç kısıtı, saat farkı, kayıt politikası veya atıf belirsizliği gibi sınırları görünür kılma.
• 8. Raporlama: Kaynak, yöntem, bulgu, doğrulama, yorum ve sınırlılıkları birbirinden ayırarak sunma.

Teknik bulgu ile yorum arasındaki fark

Teknik bulgu, incelenen kaynakta doğrudan gözlenebilen ve yöntemi açıklanabilen kayıttır. Yorum ise bu kaydın inceleme sorusu bakımından ne anlama gelebileceğine ilişkin değerlendirmedir. Rapor, gözlenen veriyi yorumdan ayırmazsa okuyucu olasılığı kesinlik gibi algılayabilir.

Örneğin belirli bir sistemde belirli tarihte bir oturum kaydının bulunması teknik bulgudur. Bu oturumu fiilen kimin açtığı, işlemin hangi niyetle yapıldığı veya hesabın başka biri tarafından kullanılıp kullanılmadığı ise ek veri ve bağlam gerektiren yorum alanıdır.

Bu ayrım yalnızca dil meselesi değildir. Teknik bulgunun tekrar kontrol edilebilmesini, yorumun dayanaklarının tartışılabilmesini ve raporun sınırlarının anlaşılmasını sağlar.

Kaynak verisi ile platform verisi aynı şey değildir

Dijital olaylarda aynı işlem farklı sistemlerde farklı izler bırakabilir. Bir cihazdaki uygulama kaydı, platformun sunucu kaydı, e-posta bildirimi, banka hareketi veya blokzincir işlemi aynı olayla ilişkili olabilir; ancak bunlar aynı veri değildir ve aynı şeyi kanıtlamaz.

Blokzincir verisi, belirli adresler arasında gerçekleşen transferi ve ağ üzerindeki işlem özelliklerini gösterebilir. Borsa veya platform kaydı, kendi sistemi içindeki hesap, emir, çekim, yatırma veya kullanıcı doğrulama bilgilerini içerebilir. Cihaz kaydı, belirli bir uygulamanın veya oturumun cihaz üzerindeki izini gösterebilir. Kullanıcı beyanı ise teknik kayıt değil, diğer verilerle karşılaştırılması gereken ayrı bir bilgi katmanıdır.

Bu katmanlar zaman, kimlik ve işlem referansları üzerinden karşılaştırılabilir; fakat eksik olan katman varsayımla tamamlanmamalıdır. Mevcut anonim blokzincir ve kripto varlık teknik inceleme vakası, kaynakların ayrıştırılmasının ve ek veri ihtiyacının açıkça raporlanmasının neden önemli olduğunu gösterir.

Dijital adli bilişim ile kripto varlık incelemesi nasıl kesişir?

Kripto varlık incelemesinde blokzincirin şeffaf ve doğrulanabilir işlem kayıtları önemli bir veri kaynağıdır. Ancak bir transferin zincir üzerinde görülmesi, işlemin otomatik olarak belirli bir gerçek kişiye bağlanabileceği anlamına gelmez.

Adres, blokzincirde işlem yapan teknik tanımlayıcıdır. İşlem, adresler arasındaki değer hareketidir. Platform kaydı, bir hizmet sağlayıcının kendi sistemindeki hesap ve işlem bilgisidir. Hesap ilişkisi, platform veya başka bir kaynakta adres ile hesap arasında kurulan bağdır. Kimlik ilişkisi ise hesabın veya işlemin belirli kişiyle ilişkilendirilmesi için ayrıca değerlendirilmesi gereken katmandır.

Bu nedenle adres → işlem → platform hesabı → kişi şeklinde otomatik ve kesintisiz bir eşleştirme varsayılmamalıdır. Her bağlantı, kendi veri kaynağı ve doğrulama gücüyle raporlanmalıdır. Teknik doğruluk ile hukuki değerlendirme arasındaki sınır özellikle bu noktada korunmalıdır.

İyi bir teknik inceleme raporunda neler olmalı?

Teknik rapor yalnızca sonuç bölümünden oluşmamalıdır. Okuyucunun bulgunun nasıl üretildiğini, hangi veriye dayandığını ve hangi koşullarda yeniden kontrol edilebileceğini anlayabilmesi gerekir.

• İnceleme kapsamı, sorusu ve kapsam dışında bırakılan hususlar
• Kullanılan veri kaynakları ile bunların nasıl ve ne zaman elde edildiği
• İnceleme yöntemi, kullanılan araçların amacı ve uygunluğu
• Gözlenen teknik bulguların yorumdan ayrı sunumu
• Hash, karşılaştırma veya çapraz kaynak kontrolü gibi doğrulama adımları
• Eksik veri, zaman bilgisi, erişim veya araç kapasitesi gibi sınırlılıklar
• Bulgularla uyumlu olabilecek alternatif teknik açıklamalar
• Sonuçların kesinlik düzeyi ve yalnızca teknik çerçevede ne ifade ettiği

Sık yapılan hatalar

Dijital kayıtlar kesin ve değişmez görünse de, kaynağı ve üretim biçimi anlaşılmadan yapılan yorumlar hatalı kesinlik yaratabilir. En sık karşılaşılan sorunlar şunlardır:

• Ekran görüntüsünü kaynağı ve tamamlayıcı kayıtları olmadan tek başına yeterli kabul etmek
• Verinin nereden ve nasıl elde edildiğini doğrulamadan içeriğini yorumlamak
• Metadata alanını uygulama, saat dilimi ve sistem bağlamından koparmak
• Platform verisi ile blokzincir verisini aynı kayıt katmanı kabul etmek
• Teknik bulguyu doğrudan hukuki sonuç veya kişi sorumluluğu gibi sunmak
• Yalnızca beklenen sonucu destekleyen kayıtları seçip çelişkili verileri dışarıda bırakmak
• Eksik veri, araç kapasitesi ve yöntem sınırlılıklarını raporda belirtmemek
• Bir aracın ürettiği çıktıyı ikinci kontrol olmadan nihai gerçek kabul etmek

Dijital adli bilişimde insan uzmanlığı neden önemlidir?

Otomasyon ve yapay zekâ araçları büyük veri kümelerini sınıflandırabilir, loglarda örüntü arayabilir, zaman çizelgesi taslağı çıkarabilir ve incelemeyi hızlandıracak aday kayıtları işaretleyebilir. Bu katkı özellikle çok sayıda dosya veya olay kaydının bulunduğu çalışmalarda değerlidir.

Bununla birlikte araç çıktısı; doğru inceleme sorusunu, veri kaynağının güvenilirliğini, olası saat ve kimlik sorunlarını veya alternatif açıklamaları kendiliğinden çözmez. NIST’in Computer Forensics Tool Testing programı da adli bilişim araçlarının yeteneklerinin ve sınırlarının test edilmesinin önemini vurgular. Bir aracın sonuç vermesi, sonucun her koşulda doğru yorumlandığı anlamına gelmez.

İnsan uzmanlığı; yöntemi seçmek, aracın sonucunu doğrulamak, farklı veri katmanlarını bağlam içinde karşılaştırmak, karşıt açıklamaları sınamak ve raporun neyi söyleyemeyeceğini belirlemek için gereklidir. Nihai teknik yorum ve sorumluluk otomasyona devredilmemelidir.

Sonuç: güvenilirlik verinin kendisinden değil, inceleme yönteminden doğar

Dijital adli bilişim, veriyi bulmaktan çok daha fazlasıdır. Güvenilir bir teknik inceleme; kaynağı, bütünlüğü, bağlamı, yöntemi ve sınırları birlikte değerlendirir.

Bir kayıt mevcut olabilir; fakat bu kaydın hangi sistem tarafından, hangi koşulda ve hangi kullanıcı bağlamında üretildiği anlaşılmadan kesin bir sonuca ulaşmak doğru değildir. Aynı şekilde hash kontrolü, yazılım çıktısı veya blokzincir kaydı değerli teknik göstergelerdir; ancak her biri yalnızca kendi doğruladığı sınır içinde anlam taşır.

İyi hazırlanmış rapor, bulguyu yorumdan ayırır, çelişkili veriyi gizlemez, alternatif açıklamaları değerlendirir ve teknik incelemeyi hukuki kararın yerine koymaz. Dijital adli bilişimin güvenilirliği, kesinlik görüntüsünde değil; doğrulanabilir yöntem ve açık sınırlarda ortaya çıkar.