Kurumsal Adli Bilişim İncelemesi

Kurumsal Adli Bilişim İncelemesi: Şirketlerde Nasıl Yapılır?

Şirketlerde adli bilişim incelemesi, “bir şeyler oldu” şüphesini kanıta dayalı biçimde açıklığa kavuşturmayı amaçlar: iç suistimal iddiası, veri sızıntısı şüphesi, fidye yazılımı sonrası etki analizi, yetkisiz erişim, IP/Ar-Ge hırsızlığı, çalışan kaynaklı veri kaçışı vb. Kurumsal dünyada hedef genellikle iki şeyi aynı anda başarmaktır: iş sürekliliğini mümkün olduğunca az etkilemek ve dijital bulguların bütünlüğünü/izlenebilirliğini korumak. Bu nedenle en savunulabilir model, sahada hızlı tespit ile başlayıp şüphe güçlenince adli imaj alarak laboratuvarda kopya üzerinden detay analiz ve raporlamaya ilerleyen aşamalı yaklaşımdır.

Kurumsal Adli Bilişim İncelemesi

Her Şey İnsanla Başlar, Teknoloji Teferruattır

Kriminal Bilişim Perspektifinde Bir Değerlendirme

Kurumsal Adli Bilişim İncelemesi Nedir?

Kurumsal adli bilişim incelemesi; bilgisayar, sunucu, mobil cihaz ve ilgili log/telemetri kaynaklarındaki dijital izleri delil niteliğini koruyacak şekilde toplama, doğrulama ve analiz etme sürecidir. DNA Kriminal ve Adli Bilişim uzmanlığıyla yürütülen bu sürecin temel amacı; iddiayı güçlendiren veya çürüten bulguları tekrar üretilebilir ve denetlenebilir biçimde raporlamaktır.

Neden Aşamalı Yaklaşım? (Tespit → İmaj → Laboratuvar)

Kurumsal ortamlarda inceleme iki temel gereksinim arasındaki dengeyi yönetir:

1. Hızlı Karar ve Müdahale: Operasyonu durdurmadan riski anında analiz etmek.
2. Delil Bütünlüğü ve İzlenebilirlik: Bulguların hukuki geçerliliğini ve denetlenebilirliğini korumak.

Bu dengeyi kuran en savunulabilir akış; sahada hızlı tespit ile başlayıp, şüphe güçlendiğinde adli imaj almaya geçmek ve süreci laboratuvar analizi ile nihayete erdirmektir.

Sahada Hızlı Tespit: Canlı İnceleme

Canlı inceleme, sistem kapatılmadan önce sadece çalışan sistemde erişilebilen "uçucu verileri" (RAM içeriği, aktif oturumlar, anlık ağ bağlantıları) yakalayarak hızlı risk değerlendirmesi yapmaya yarar.

Tespit Sürecinde Neler İncelenir?

• Şüpheli süreçler, servisler ve kalıcılık belirtileri.
• Aktif ağ bağlantıları ve şüpheli dış iletişim izleri.
• Kritik kullanıcı oturumları ve zaman çizelgesi destekleyici veriler.

Çıktı: Müdahale ekibine sunulan “Şüphe zayıf / orta / güçlü” kararına temel oluşturan ilk bulgu seti.

Mobil Cihazlarda İlk Adım: Mantıksal İmaj

Kurumsal vakalarda mobil tarafta ilk adım çoğu zaman mobil mantıksal imaj ile başlar. Bu yöntemin tercih edilme nedeni, hızlı tespit ve kapsam daraltmada sunduğu pratik çözümlerdir.

Mantıksal edinim; uygulama verileri, mesajlaşma içerikleri ve kullanıcı artefaktlarını kısa sürede anlamlı hale getirir. Şüphe güçlendiğinde ise cihazın kilit/şifreleme durumuna göre JTAG veya Chip-off gibi daha derin edinim seçenekleri değerlendirilir.

Şüpheli Bulguda Adli İmaj Standartı

Tespit sırasında veri sızıntısı veya yetkisiz erişim gibi somut bir bulguya rastlanırsa, standart protokol gereği adli imaj alma aşamasına geçilir. Detaylı analiz işlemleri dosya erişim zamanlarını değiştirebileceği için, orijinal cihaz yerine kopyası üzerinde çalışmak esastır.

Bu aşamadaki teknik kontrollerimiz:

• Yazı Engelleme: Orijinal medyaya yazımı fiziksel/yazılımsal olarak engelleme.
• Hash Doğrulama: İmajın bütünlüğünü SHA-256 gibi kriptografik özetlerle kanıtlama.

Kurumsal adli bilişim incelemelerinde teknik yeterlilik kadar kritik bir diğer unsur da zincirleme muhafaza disiplinidir. İncelemeye alınan her cihazın kimden, hangi tarih/saatte, hangi koşullarda teslim alındığı; hangi işlemlerin kim tarafından uygulandığı; imajların nerede saklandığı ve kimlerin eriştiği kayıt altına alınır. Bu süreç; delilin bütünlüğünü, denetlenebilirliği ve iç soruşturma/mahkeme süreçlerinde savunulabilirliğini güçlendirir. Ayrıca kapsam dışı bırakılan alanlar (ör. kişisel içerikler, yetkisiz hesaplar) netleştirilerek KVKK ve şirket içi politikalarla uyum korunur.

Laboratuvar Analizi ve Teknik Raporlama

Şüpheli bulgu doğrulandıktan sonra detaylı inceleme, laboratuvarların steril ve güvenli koşullarda gerçekleştirilir.

Laboratuvar Süreci Neleri Kapsar?

• Zaman Çizelgesi Kurgusu: Olayın kronolojik akışının tespiti.
• Artefakt Analizi: Tarayıcı geçmişi, e-posta kayıtları ve sistem izlerinin derinlemesine incelenmesi.
• Teknik Rapor Üretimi: Bulguların, kanıtların ve uzman yorumlarının net bir dille ayrıştırıldığı, denetlenebilir raporlama.

Kurumsal Müşteriler İçin Hazırlık Listesi

Profesyonel bir inceleme öncesi süreci hızlandırmak için:

• İncelenecek kapsamın (cihaz/hesap) yazılı tanımı.
• Gerekli yasal yetkilendirmeler ve KVKK bildirimleri.
• Log kaynaklarının (EDR, Proxy, Sunucu logları vb.) dondurulması.
• Şifreleme/kilit bilgilerinin teknik ekip ile paylaşılması.

Sıkça Sorulan Sorular (SSS)

• Kurumsal adli bilişim incelemesi ne kadar sürer?
  Kurumsal vakalarda süre; cihaz sayısı, log kapsamı, şifreleme durumu ve olayın karmaşıklığına göre değişir. Triage genelde hızlı sonuç verir; detay analiz imaj üzerinden ilerlediği için daha uzun sürebilir.

• Canlı inceleme (triage) delili bozar mı?
  Doğru prosedürle, yalnızca gerekli uçucu veriler hedeflenerek yapılır. Şüphe güçlenince adli imaj alınarak analiz kopya üzerinden sürdürülür.

• Adli imaj alma neden standarttır?
  Detay analiz işlemleri dosya zaman bilgilerini etkileyebileceği için orijinal medyada çalışılmaz. Adli imaj + hash doğrulama ile bütünlük ve tekrarlanabilirlik korunur.

• Zincirleme muhafaza (chain of custody) nedir?
  Delilin kimden, ne zaman alındığı; kimlerin eriştiği; nerede saklandığı ve hangi işlemlerin uygulandığı kayıt altına alınır. Bu, hukuki/kurumsal savunulabilirliği artırır.

• Hangi log kaynakları gerekli olabilir?
  EDR, firewall, proxy, e-posta güvenliği, AD, sunucu logları ve bulut (M365/Google Workspace) audit kayıtları olay tipine göre değerlendirilebilir.

• Mobil cihazlarda mantıksal imaj yeterli mi?
  İlk aşamada kapsam daraltmak için çoğu vakada yeterlidir. Şüphe güçlenince cihazın kilit/şifreleme durumuna göre daha derin edinim seçenekleri değerlendirilebilir.

Sonuç

Kurumsal adli bilişim incelemesi, doğru metodolojiyle planlandığında hem hukuki geçerlilik hem de hızlı aksiyon kabiliyeti sağlar.

DNA Kriminal ve Adli Bilişim – Yeni Nesil Kriminal Çözümler kapsamında; sahada tespit, adli imaj, laboratuvar analizi ve mahkemelerde/disiplin kurullarında kullanılabilir teknik rapor desteği sunuyoruz.

Dijital olaylarınıza profesyonel bir bakış açısıyla müdahale etmek için bizimle iletişime geçebilirsiniz.

Teknik destek, adli raporlama ve profesyonel savunma için;

www.kriminalbilisim.com

0552 676 11 00 – dna@kriminalbilisim.com