dd Komutu ile Alınan Disk İmajına Delil Niteliği Kazandırılması

Adli bilişim süreçlerinde dd komutu ile alınan disk imajının delil olarak kabul edilebilmesi için bazı temel adımlara uyulması gerekmektedir. İşte delil niteliğini sağlamak için izlenmesi gereken adımlar:

1. Orijinal Diskin Değiştirilmemesi

Write-blocker kullanarak diskin yazmaya karşı korunması sağlanmalıdır.
Salt okunur modda bağlama veya fiziksel olarak sadece okuma moduna alma seçenekleri değerlendirilmelidir.

2. İmaj Alma İşlemi (dd Komutu Kullanımı)

dd komutunun bit-bit kopya oluşturduğu unutulmamalıdır.
İmajın eksiksiz ve bozulmadan alındığı doğrulanmalıdır.

Örnek komut:

bashKopyalaDüzenledd if=/dev/sdX of=/mnt/evidences/disk_image.dd bs=4M status=progress

Burada:

if=/dev/sdX → Kaynak disk
of=/mnt/evidences/disk_image.dd → Hedef imaj dosyası
bs=4M → Blok boyutu (okuma-yazma performansı için artırılabilir)
status=progress → İlerleme durumunu gösterir

3. Özgünlüğün Korunması (Hash Alma ve Doğrulama)

İmajın değiştirilmediğini ispat etmek için hash değeri hesaplanmalı ve saklanmalıdır.

Örnek hash hesaplama komutları:

bashKopyalaDüzenlemd5sum /mnt/evidences/disk_image.dd > /mnt/evidences/disk_image.md5
sha256sum /mnt/evidences/disk_image.dd > /mnt/evidences/disk_image.sha256

İmajın doğrulanması için tekrar hash alınmalı ve ilk hash değeriyle karşılaştırılmalıdır:

bashKopyalaDüzenlemd5sum -c /mnt/evidences/disk_image.md5
sha256sum -c /mnt/evidences/disk_image.sha256

4. Delil Zincirinin (Chain of Custody) Korunması

İmajın kim tarafından, ne zaman, hangi sistemde alındığı detaylı şekilde kaydedilmelidir.
Alınan imajın üzerinde değişiklik yapılmadığını göstermek için hash değerleri ve log kayıtları saklanmalıdır.

5. İmajın Adli Analiz Ortamına Aktarılması

İmaj adli bilişim yazılımları ile analiz edilmelidir (Autopsy, FTK Imager, EnCase vb.).
İmajın bir kopyası yedeklenmeli, inceleme işlemi kopya üzerinden yapılmalıdır.