Dijital Delil Toplama İlkeleri: Chain of Custody ve Volatilite Sırası

Dijital adli bilişimde (digital forensics) bir delilin teknik olarak doğru toplanmış olması yetmez — aynı zamanda hukuki süreçte kabul edilebilir olması için belirli metodolojik ilkelere uyulması gerekir. Bu makale, alanın iki temel kavramına odaklanır: Chain of Custody ve Order of Volatility.

Chain of Custody (Delil Zinciri) Nedir?

Chain of Custody, bir delilin toplandığı andan mahkemede sunulduğu ana kadar kimin elinden geçtiğinin, ne zaman ve nasıl işlendiğinin kesintisiz şekilde belgelenmesidir. Bu zincirdeki her adım kayıt altına alınmalıdır:

• Delilin toplandığı tarih, saat ve kişi.
• Delilin nasıl saklandığı (hangi kap, hangi etiket, hangi ortam).
• Delile erişen her kişinin kimliği ve erişim amacı.
• Delil üzerinde yapılan her işlemin (imaj alma, analiz etme) detaylı kaydı.

Bu zincirde bir boşluk veya belgelenmemiş bir erişim, delilin mahkemede itiraza uğramasına, hatta tamamen reddedilmesine yol açabilir — savunma avukatı "bu delile kim, ne zaman müdahale etti, biz bilmiyoruz" diyerek delilin bütünlüğünü sorgulayabilir.

Order of Volatility (Volatilite Sırası)

Bir olay müdahalesi sırasında, veriler kaybolma hızlarına göre önceliklendirilerek toplanmalıdır. RFC 3227'de tanımlanan klasik sıralama, en geçici (volatile) veriden en kalıcıya doğru şöyledir:

1. CPU önbelleği ve register'lar (saniyeler içinde kaybolur)
2. RAM (bellek) (sistem kapatıldığında kaybolur)
3. Ağ bağlantı durumu ve routing tabloları
4. Çalışan process'ler
5. Disk üzerindeki veriler
6. Uzak loglama ve izleme verileri
7. Fiziksel yapılandırma, ağ topolojisi
8. Arşiv medyası (yedekler)

Bu sıralamanın pratik anlamı şudur: bir olay müdahale ekibi, önce en kolay kaybolacak veriyi (RAM'i) yakalamalı, diski imajlamayı sona bırakmalıdır — çünkü disk zaten kalıcıdır ve saatler sonra da alınabilir, ama RAM saniyeler içinde uçup gidebilir.

Yazma Koruması (Write Blocking)

Bir disk incelenirken, orijinal medyaya YAZILMASI kesinlikle engellenmelidir — hatta salt "bağlama" (mounting) işlemi bile dosya sisteminin meta verilerini (son erişim zamanı gibi) değiştirebilir. Bu yüzden fiziksel write blocker donanımları veya yazılım tabanlı salt-okunur bağlama teknikleri kullanılır. Bu, orijinal delilin "el değmemiş" (pristine) durumda kalmasını sağlar; tüm analiz, orijinalin bit-bit kopyası (forensic image) üzerinde yapılır.

Pratik Senaryo

Bir şirkette içeriden veri sızdırma şüphesi üzerine adli bilişim uzmanı çağrılıyor. Uzman, önce şüpheli bilgisayarın RAM'ini bir araçla (örneğin FTK Imager veya WinPMem) imajlıyor çünkü bilgisayar kapatılırsa çalışan process'ler, açık ağ bağlantıları ve şifre çözülmüş veriler kalıcı olarak kaybolacak. RAM imajı alındıktan sonra, bir write blocker takılı disk sürücüsünün bit-bit kopyası (forensic image) çıkarılıyor ve bu kopyanın SHA-256 hash değeri hesaplanıp belgeleniyor. Her adım, saat damgası ve uzmanın imzasıyla bir delil kayıt formuna işleniyor — böylece dava mahkemeye taşınırsa, delilin bütünlüğü teknik olarak kanıtlanabilir durumda oluyor.

Neden Hash Doğrulama Kritik?

Bir forensic image alındığında, hem orijinal medyanın hem de alınan imajın kriptografik hash değeri (genelde SHA-256, bazen ek olarak MD5) hesaplanır. Analiz süresince ve sonrasında bu hash tekrar hesaplanarak imajın değişmediği doğrulanır. Hash değerleri eşleşmiyorsa, delilin bütünlüğü tartışmalı hâle gelir.

Bu makale, dijital delil toplama ilkelerinin orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.