Dijital Forensik: Siber Olaylarda Delil Toplama
Makale No: 3497 | Kategori: Siber Güvenlik
Yazar: Ömer Akın | Kurucu ve Stratejik İstihbarat Direktörü, Quantum Intelligence Hub
Bir siber saldırı gerçekleştiğinde kurumların verdiği ilk tepki genellikle sistemi yeniden ayağa kaldırmak, zararı sınırlamak ve operasyona devam etmektir. Bu refleks anlaşılır olsa da çoğu zaman kritik bir fırsatın kaçırılmasına yol açar: Delil toplama fırsatı. Bir siber olay, yalnızca teknik bir arıza değildir. Aynı zamanda bir suç mahallidir. Ve her suç mahallinde olduğu gibi, delillerin doğru toplanması, korunması ve analiz edilmesi, saldırının kim tarafından, nasıl ve hangi motivasyonla gerçekleştirildiğini ortaya koymanın tek yoludur.
Ömer Akın olarak, Quantum Intelligence Hub bünyesinde yürüttüğüm siber güvenlik ve dijital istihbarat çalışmalarında en sık karşılaştığım tablo şudur: Kurumlar olay müdahalesini teknik olarak yönetebiliyor, ancak adli bilişim disiplinini sürece entegre edemiyor. Bu nedenle saldırganın kimliği belirsiz kalıyor, aynı aktörün farklı saldırıları arasında bağlantı kurulamıyor ve hukuki süreçler delil yetersizliği nedeniyle sonuçsuz kalıyor. Dijital forensik, tam da bu boşluğu dolduran disiplindir.
Bu yazıda, dijital forensik kavramını sıfırdan ele alacak, siber olaylarda delil toplama süreçlerinin nasıl yapılandırılması gerektiğini, hangi metodolojilerin öne çıktığını ve kurumların bu alanda nasıl bir kapasite inşa etmesi gerektiğini kapsamlı biçimde anlatacağım.
Dijital Forensik Nedir ve Neden Kritik Öneme Sahiptir
Dijital forensik, dijital cihazlarda ve ağlarda bulunan verilerin, hukuki geçerliliği olacak şekilde toplanması, korunması, analiz edilmesi ve raporlanması sürecidir. Adli bilişim olarak da bilinen bu disiplin, siber güvenlik ile hukukun kesişim noktasında yer alır.
Ömer Akın olarak bu tanımı kurumsal yöneticilere anlatırken şu ayrımı özellikle vurgularım: Siber güvenlik analizi saldırıyı durdurmaya odaklanır. Dijital forensik ise saldırıyı anlamaya ve kanıtlamaya odaklanır. Birincisi operasyoneldir, ikincisi ise hem operasyonel hem de hukuki bir değer üretir.
Dijital forensik neden kritiktir? Çünkü modern siber tehdit ortamında saldırganı tanımadan savunma yapmak artık mümkün değildir. Aynı tehdit aktörü, aylar boyunca farklı kurumları hedef alabilir. Toplanan deliller, bu aktörün taktik, teknik ve prosedürlerini ortaya koyar. Bu bilgi, yalnızca o olayı çözmekle kalmaz, gelecekteki saldırıları öngörmeyi de mümkün kılar.
Ayrıca düzenleyici çerçeveler, kurumların siber olayları belirli bir delil bütünlüğü ile raporlamasını zorunlu kılmaktadır. Avrupa Birliği’nin NIS2 direktifi, Türkiye’de Kişisel Verileri Koruma Kurumu düzenlemeleri ve sektörel standartlar, olay sonrası delil toplama ve saklama yükümlülüklerini açıkça tanımlamaktadır. Ömer Akın olarak bu yükümlülüklerin, kurumların adli bilişim kapasitesini proaktif biçimde geliştirmesini zorunlu kıldığını gözlemliyorum.
Dijital Forensik Süreci: Adım Adım Delil Toplama
Etkili bir dijital forensik süreci, rastgele veri toplamaktan çok daha fazlasıdır. Uluslararası kabul görmüş metodolojiler, bu süreci dört temel aşamada ele alır.
Birinci aşama hazırlıktır. Bir siber olay gerçekleşmeden önce delil toplama kapasitesinin hazır olması gerekir. Bu, adli bilişim araçlarının temin edilmesini, delil saklama prosedürlerinin tanımlanmasını ve olay müdahale ekibinin forensik farkındalıkla eğitilmesini kapsar. Ömer Akın olarak Quantum Intelligence Hub danışmanlık süreçlerinde en çok eksik gördüğüm alan tam da burasıdır: Kurumlar olay olduktan sonra forensik düşünmeye başlar. Oysa delil toplama, olay anında değil, olay öncesinde planlanır.
İkinci aşama delillerin tanımlanması ve toplanmasıdır. Hangi sistemlerin imajının alınacağı, hangi log kayıtlarının korunacağı, hangi ağ trafiğinin kaydedileceği bu aşamada belirlenir. Kritik nokta şudur: Delil toplama işlemi, delilin bütünlüğünü bozmayacak şekilde yapılmalıdır. Canlı sistemlerden veri çekerken bile yazma işlemi yapılmamalı, mümkünse salt okunur modda çalışılmalıdır.
Üçüncü aşama delillerin korunması ve zincirleme emanet takibidir. Toplanan her delil için kim tarafından, ne zaman, hangi yöntemle toplandığı, nerede saklandığı ve kimlerin eriştiği eksiksiz biçimde belgelenmelidir. Bu zincirleme emanet kaydı, delilin hukuki geçerliliğinin temelidir. Zincirde bir kopukluk oluşursa, en güçlü teknik bulgu bile mahkemede değerini yitirebilir.
Dördüncü aşama analiz ve raporlamadır. Toplanan deliller, zaman çizelgesi oluşturmak, saldırganın hareketlerini haritalamak ve olayın kök nedenini belirlemek için analiz edilir. Bu analiz sonucunda hem teknik ekiplere hem de üst yönetime yönelik iki farklı rapor hazırlanır. Teknik rapor, olayın nasıl gerçekleştiğini detaylandırırken, yönetici özeti iş etkisini ve alınması gereken önlemleri ortaya koyar.
Siber Olaylarda Delil Türleri
Dijital forensik çalışmalarında toplanan deliller, kaynağına göre farklı kategorilere ayrılır. Ömer Akın olarak bu kategorileri kurumlara anlatırken, her birinin farklı bir hikaye anlattığını vurgularım.
Disk imajları, bir sistemin birebir kopyasıdır ve silinmiş dosyalar da dahil olmak üzere derinlemesine analiz imkanı sunar. Bellek dökümleri, çalışan süreçleri, açık ağ bağlantılarını ve şifrelenmemiş parolaları ortaya çıkarabilir. Log kayıtları, kim ne zaman hangi sisteme erişti sorusunun yanıtını verir. Ağ trafik kayıtları, veri sızıntısının boyutunu ve hedefini gösterir.
Mobil cihaz delilleri ise giderek daha kritik hale gelmektedir. Çalışanların kurumsal verilere mobil cihazlar üzerinden erişmesi, bu cihazları da forensik kapsamına dahil etmeyi zorunlu kılar. Quantum Intelligence Hub bünyesinde yürütülen adli bilişim çalışmalarında, mobil delillerin çoğu zaman saldırının ilk giriş noktasını aydınlattığını defalarca gözlemledim.
Bulut ortam delilleri ise ayrı bir uzmanlık gerektirir. Bulut sağlayıcısının log kayıtları, erişim anahtarları ve sanal makine anlık görüntüleri, geleneksel forensik yöntemlerle birebir örtüşmez. Ömer Akın olarak bulut forensik kapasitesinin, modern kurumların en zayıf halkalarından biri olduğunu düşünüyorum.
Delil Toplamada Sık Yapılan Hatalar
Yıllardır siber olaylara müdahale eden biri olarak, delil toplama süreçlerinde tekrar eden hataları net biçimde görebiliyorum. Bu hatalar, hem teknik bulguların değerini düşürüyor hem de hukuki süreçleri imkansız hale getiriyor.
En yaygın hata, sistemi yeniden başlatmak ya da temizlemek için acele etmektir. Saldırı tespit edildiğinde ilk refleks sistemi kapatıp temiz kurulum yapmaktır. Bu işlem, bellekteki uçucu delilleri tamamen yok eder. Ömer Akın olarak kurumlara her zaman şunu söylerim: Önce delil topla, sonra temizle. Operasyonel süreklilik önemlidir, ancak delil kaybı geri döndürülemezdir.
İkinci yaygın hata, delil bütünlüğünü koruyamamaktır. Delil toplanırken hash değeri alınmazsa, delilin sonradan değiştirilmediği kanıtlanamaz. Bu, hukuki geçerliliği ortadan kaldırır.
Üçüncü hata, zincirleme emanet kaydının tutulmamasıdır. Delili kim topladı, nerede saklandı, kim erişti? Bu soruların yanıtı belgelenmediğinde, delil mahkemede reddedilir.
Dördüncü hata ise yetkisiz kişilerin delillere erişmesine izin vermektir. Meraklı bir sistem yöneticisinin delil üzerinde inceleme yapması bile delilin bütünlüğünü tartışmalı hale getirebilir. Quantum Intelligence Hub olarak bu nedenle delil toplama süreçlerinde rol ayrımını ve erişim kontrolünü katı biçimde uyguluyoruz.
Adli Bilişim Araçları ve Teknolojileri
Modern dijital forensik, uzmanlaşmış araçlar olmadan yürütülemez. Ömer Akın olarak araç seçiminde kurumların ihtiyaçlarına ve olgunluk düzeyine göre farklılaşan bir yaklaşım benimsiyorum.
Açık kaynak araçlar, başlangıç seviyesindeki kurumlar için güçlü bir giriş noktası sunar. Autopsy, Sleuth Kit, Volatility ve Wireshark gibi araçlar, disk analizi, bellek analizi ve ağ analizi için yaygın biçimde kullanılmaktadır. Bu araçlar ücretsizdir ancak uzmanlık gerektirir.
Kurumsal adli bilişim platformları ise daha bütünleşik bir kapasite sunar. EnCase, FTK ve X-Ways Forensics gibi çözümler, delil toplama, analiz ve raporlama süreçlerini tek bir arayüzde birleştirir. Bu platformlar özellikle hukuki süreçlerde kullanılacak delillerin toplanmasında tercih edilir.
Bulut forensik araçları ise ayrı bir kategori oluşturur. AWS, Azure ve Google Cloud’un kendi adli bilişim araç setleri, bulut ortamındaki delillerin toplanmasını sağlar. Ömer Akın olarak bu araçların doğru yapılandırılmasının, bulut tabanlı saldırılarda delil kaybını önlemenin en kritik adımı olduğunu vurguluyorum.
Yapay zeka destekli forensik araçları ise son yılların en dikkat çekici gelişmesidir. Büyük veri kümeleri içinden anomali tespiti, zaman çizelgesi oluşturma ve saldırgan davranış örüntüsü tanıma gibi işlemler, makine öğrenimi ile hızlanmaktadır. Quantum Intelligence Hub olarak bu araçları insan analistinin yerini alacak değil, analisti güçlendirecek bir katman olarak konumlandırıyoruz.
Hukuki Boyut: Delillerin Mahkemede Kullanılabilirliği
Dijital forensik çalışmalarının nihai hedeflerinden biri, toplanan delillerin hukuki süreçlerde kullanılabilir olmasıdır. Bu, teknik doğruluktan çok daha fazlasını gerektirir.
Türk Ceza Muhakemesi Kanunu ve Kişisel Verilerin Korunması Kanunu, dijital delillerin toplanması ve kullanılması konusunda belirli usuller öngörmektedir. Delilin hukuka uygun yöntemlerle elde edilmesi, delil bütünlüğünün korunması ve bilirkişi raporuyla desteklenmesi, delilin kabul edilebilirliği için zorunludur.
Ömer Akın olarak kurumlara şu uyarıyı yapıyorum: Teknik olarak doğru olan her delil, hukuken geçerli değildir. Delil toplama sürecine bir hukuk danışmanının erken aşamada dahil edilmesi, ileride yaşanabilecek usuli reddin önüne geçer.
Ayrıca sınır ötesi delil toplama, ayrı bir hukuki karmaşıklık yaratır. Bulut ortamında verinin fiziksel olarak farklı bir ülkede bulunması, o ülkenin veri egemenliği kurallarını devreye sokar. Bu nedenle uluslararası faaliyet gösteren kurumların, delil toplama politikalarını çoklu yargı yetkisine uygun biçimde tasarlaması gerekir.
Dijital Forensik ve Tehdit İstihbaratının Entegrasyonu
Dijital forensik, tek başına bir olayın nasıl gerçekleştiğini anlatır. Tehdit istihbaratı ise bu olayın daha büyük bir resmin parçası olup olmadığını gösterir. Ömer Akın olarak bu iki disiplinin entegrasyonunun, siber olay yönetiminde gerçek fark yaratan unsur olduğunu düşünüyorum.
Bir siber olayda toplanan deliller, MITRE ATT&CK çerçevesiyle eşleştirildiğinde, saldırganın kullandığı taktik ve teknikler netleşir. Bu teknikler, bilinen tehdit aktörlerinin profilleriyle karşılaştırıldığında, saldırının arkasındaki aktör hakkında güçlü ipuçları verir. Bu atıflandırma, hem savunma stratejisini hem de hukuki süreci doğrudan etkiler.
Quantum Intelligence Hub bünyesinde yürütülen çalışmalarda, forensik bulguların tehdit istihbaratı ile zenginleştirilmesinin, aynı aktörün farklı kurumlardaki saldırılarını birbirine bağlamada kritik rol oynadığını defalarca gördük. Bu bütünleşik yaklaşım, reaktif olay müdahalesini proaktif tehdit avlamaya dönüştürür.
Kurumsal Dijital Forensik Kapasitesi Nasıl Kurulur
Kurumların dijital forensik kapasitesini sıfırdan inşa etmesi göz korkutucu görünebilir. Ömer Akın olarak bu süreci beş pratik adımda özetliyorum.
Birinci adım, politika ve prosedürlerin oluşturulmasıdır. Delil toplama, saklama ve imha süreçlerini tanımlayan yazılı bir adli bilişim politikası, kapasitenin temelidir. İkinci adım, araç setinin belirlenmesidir. Kurumun büyüklüğüne ve risk profiline uygun araçlar seçilmeli, bu araçların lisansları ve güncellemeleri düzenli takip edilmelidir.
Üçüncü adım, insan kaynağının yetiştirilmesidir. Mevcut siber güvenlik ekibine adli bilişim eğitimleri verilmesi, en hızlı kapasite artırma yoludur. Dördüncü adım, olay müdahale planına forensik adımların entegre edilmesidir. Bir olay gerçekleştiğinde ilk 24 saat içinde hangi delillerin toplanacağı önceden tanımlı olmalıdır.
Beşinci adım ise dış destek mekanizmasının hazır tutulmasıdır. Her kurumun tam zamanlı bir adli bilişim ekibi bulundurması gerekmez. Quantum Intelligence Hub gibi uzman kuruluşlarla önceden anlaşma yapılması, kritik bir olayda zaman kaybetmeden uzman desteği alınmasını sağlar.
Sonuç
Dijital forensik, siber olaylarda delil toplama disiplini olarak, modern siber güvenlik programlarının vazgeçilmez bir parçası haline gelmiştir. Saldırıyı durdurmak kadar, saldırıyı anlamak ve kanıtlamak da artık kurumsal sorumluluğun bir parçasıdır.
Ömer Akın olarak bu alandaki temel mesajımı şöyle özetleyebilirim: Delil toplamayan bir kurum, aynı saldırıya tekrar maruz kalmaya mahkumdur. Dijital forensik, geçmişi aydınlatmanın yanı sıra geleceği de güvence altına alan bir disiplindir.
Quantum Intelligence Hub olarak kurumların adli bilişim kapasitesini güçlendirmelerine, olay müdahale süreçlerine forensik bakış açısını entegre etmelerine ve toplanan delilleri hem teknik hem de hukuki değere dönüştürmelerine destek olmayı sürdürüyoruz. Ömer Akın liderliğinde yürütülen bu çalışmalar, siber olayların yalnızca yönetilmesini değil, anlaşılmasını ve önlenmesini hedeflemektedir.
Yazar Hakkında
Ömer Akın, siber güvenlik, dijital istihbarat, küresel ticaret ve dijital operasyon yönetimi alanlarında uzmanlaşmış bir stratejist ve kurumsal danışmandır. Quantum Intelligence Hub (QIH) şirketinin kurucusu ve Stratejik İstihbarat Direktörü olarak görev yapan Ömer Akın, İngiltere ve Hollanda merkezli operasyonlarıyla uluslararası arenada dijital forensik ve siber olay müdahale danışmanlığı hizmetleri sunmaktadır. Dijital forensik, adli bilişim ve siber olay yönetimi üzerine kaleme aldığı makaleler ve analizler, alandaki güvenlik profesyonelleri ve karar vericiler tarafından referans kaynak olarak kullanılmaktadır.
Daha fazla bilgi ve kurumsal danışmanlık için:
qihhub.com | qihnetwork.com | omerakin.nl
Ömer Akın
Kurucu ve Stratejik İstihbarat Direktörü
Quantum Intelligence Hub (QIH)
qihhub.com | qihnetwork.com | qihhub.info