Olay Müdahale ve Adli Bilişim
Disk ve Sistem Adli Analizi
Disk imajları ve sistem izlerinden saldırganın hangi adımı ne zaman attığını belirliyoruz. Bulgular, bütünlüğü kanıtlanabilir delile dayanır.
Nedir?
Disk adli analizi, sistemin depolama alanının birebir kopyası üzerinde yapılır. Kopyanın özet (hash) değeri kaydedilerek incelemenin asıl veriyi değiştirmediği gösterilir. İşletim sistemleri, hangi programın ne zaman çalıştığına ve hangi dosyaya erişildiğine dair birçok iz bırakır. Bu izler loglarla birlikte okunarak saldırganın adımları yeniden oluşturulur.
Kapsam
- Sunucu, iş istasyonu ve sanal makine disklerinin adli kopyası
- Program çalıştırma, oturum açma ve dosya erişim izlerinin incelenmesi
- Silinmiş dosyaların ve saldırganın silmeye çalıştığı izlerin kurtarılması
- Veri sızdırma hazırlığına işaret eden sıkıştırılmış arşivlerin tespiti
- Her kanıt için özet değeri ve delil zinciri kaydı
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Ayrılan bir çalışanın müşteri listesini kopyaladığından şüphelenildiğinde.
- Saldırının hangi sunucudan başladığı ve nereye yayıldığı bilinmediğinde.
- Bulguların bir iç soruşturmada veya hukuki süreçte kullanılması gerekebileceğinde.
Yöntem
Nasıl çalışıyoruz?
-
Kanıt alma
Disk kopyasını yazma korumalı olarak alır, özet değerini kaydederiz. Bulut ve sanal ortamlarda disk anlık görüntüsü kullanırız.
-
Delil zinciri
Kanıtın kimden, ne zaman ve nasıl alındığını ISO/IEC 27037 ilkelerine göre kaydederiz.
-
İnceleme
Program çalıştırma, oturum ve dosya izlerini tek bir zaman çizelgesinde birleştiririz.
-
Raporlama
Her bulguyu dayandığı ize bağlarız. Kanıtın desteklemediği noktaları açıkça belirtiriz.
Sonuç
Çalışmanın sonunda elinizde olan
Saldırganın bu sistemde ne yaptığını, dakikasıyla ve dayandığı izle görürsünüz. Kanıt, bütünlüğü kanıtlanabilir şekilde saklanır.
Sık sorulan sorular
Bulgular mahkemede kullanılabilir mi?
Kanıtın nasıl kullanılacağına hukuk danışmanınız karar verir. Biz, bütünlüğünü özet değerleri ve delil zinciri kaydıyla kanıtlanabilir tutarız.
Disk kopyası alınırken sistemi durdurmak gerekir mi?
Her zaman gerekmez. Çalışan sistemlerden ve sanal makinelerden, sistem durdurulmadan kopya veya anlık görüntü alınabilir. Hangi yolun uygun olduğuna iş etkisine göre birlikte karar veririz.
Silinen dosyalar kurtarılabilir mi?
Çoğu zaman kısmen. Bu, dosyanın üzerine yazılıp yazılmadığına ve disk türüne bağlıdır. SSD'lerde silinen veri daha hızlı kaybolabilir.
Olay Müdahale ve Adli Bilişim
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın