admin
Adli bilişim süreçlerinde dd komutu ile alınan disk imajının delil olarak kabul edilebilmesi için bazı temel adımlara uyulması gerekmektedir. İşte delil niteliğini sağlamak için izlenmesi gereken adımlar:
1. Orijinal Diskin Değiştirilmemesi
- Write-blocker kullanarak diskin yazmaya karşı korunması sağlanmalıdır.
- Salt okunur modda bağlama veya fiziksel olarak sadece okuma moduna alma seçenekleri değerlendirilmelidir.
2. İmaj Alma İşlemi (dd Komutu Kullanımı)
- dd komutunun bit-bit kopya oluşturduğu unutulmamalıdır.
- İmajın eksiksiz ve bozulmadan alındığı doğrulanmalıdır.
Örnek komut:
bashKopyalaDüzenledd if=/dev/sdX of=/mnt/evidences/disk_image.dd bs=4M status=progress
Burada:
if=/dev/sdX→ Kaynak diskof=/mnt/evidences/disk_image.dd→ Hedef imaj dosyasıbs=4M→ Blok boyutu (okuma-yazma performansı için artırılabilir)status=progress→ İlerleme durumunu gösterir
3. Özgünlüğün Korunması (Hash Alma ve Doğrulama)
- İmajın değiştirilmediğini ispat etmek için hash değeri hesaplanmalı ve saklanmalıdır.
Örnek hash hesaplama komutları:
bashKopyalaDüzenlemd5sum /mnt/evidences/disk_image.dd > /mnt/evidences/disk_image.md5
sha256sum /mnt/evidences/disk_image.dd > /mnt/evidences/disk_image.sha256
İmajın doğrulanması için tekrar hash alınmalı ve ilk hash değeriyle karşılaştırılmalıdır:
bashKopyalaDüzenlemd5sum -c /mnt/evidences/disk_image.md5
sha256sum -c /mnt/evidences/disk_image.sha256
4. Delil Zincirinin (Chain of Custody) Korunması
- İmajın kim tarafından, ne zaman, hangi sistemde alındığı detaylı şekilde kaydedilmelidir.
- Alınan imajın üzerinde değişiklik yapılmadığını göstermek için hash değerleri ve log kayıtları saklanmalıdır.
5. İmajın Adli Analiz Ortamına Aktarılması
- İmaj adli bilişim yazılımları ile analiz edilmelidir (Autopsy, FTK Imager, EnCase vb.).
- İmajın bir kopyası yedeklenmeli, inceleme işlemi kopya üzerinden yapılmalıdır.
6. İmajın Güvenli Saklanması
- İmajın bütünlüğünü bozmadan salt okunur bir ortamda saklanması gereklidir.
- Hash değerleri ve delil zinciri raporları imajla birlikte saklanmalıdır.
