Silinen Dosyaların Kurtarılması: File Carving Teknikleri

Bir dosya "silindiğinde", çoğu dosya sisteminde aslında verinin kendisi diskten hemen temizlenmez — sadece dosya sisteminin o alanı "boş" olarak işaretlemesi (unallocated olarak göstermesi) gerçekleşir. Bu, adli bilişimde file carving denilen tekniğin temelini oluşturur: dosya sistemi meta verisine (MFT, dizin girdileri) hiç bakmadan, doğrudan ham disk verisindeki bilinen dosya imzalarını (file signature / magic number) arayarak dosyaları yeniden yapılandırmak.

Dosya İmzaları (Magic Numbers) Nasıl Çalışır?

Hemen hemen her dosya formatının, dosyanın başında (header) ve genelde sonunda (footer) sabit bir byte dizisi vardır:

Carving araçları, diskteki ham byte akışını tarayarak bu imzaları arar; bir header bulduğunda, ilgili footer'a (veya dosya formatına özgü bir uzunluk hesabına) kadar olan veriyi bir dosya olarak "keser" (carve) ve yeniden oluşturur.

Neden Meta Veriye Değil, İçeriğe Bakılır?

Bir dosya silindiğinde MFT girişi (NTFS'te) veya dizin girdisi (FAT'ta) genellikle "kullanılabilir" olarak işaretlenir ve zamanla başka bir dosya tarafından üzerine yazılabilir. Bu meta veri kaybolduğunda, dosyanın adı, oluşturulma tarihi gibi bilgiler de kaybolur — ancak dosyanın ham içeriği (byte'ları) fiziksel olarak diskte hâlâ duruyorsa, carving bu içeriği meta veriden bağımsız olarak kurtarabilir. Bu yüzden carving ile kurtarılan dosyalar genelde orijinal adlarını değil, "00000123.jpg" gibi üretilmiş (aday) adlarını taşır.

Parçalanma (Fragmentation) Sorunu

Carving'in en büyük zorluğu, bir dosyanın disk üzerinde birbirine bitişik olmayan (fragmented) parçalara bölünmüş olabilmesidir. Basit carving araçları sadece header'dan footer'a kadar ardışık byte'ları keser — dosya parçalanmışsa bu yaklaşım bozuk bir çıktı üretir. Gelişmiş araçlar (örneğin PhotoRec, Scalpel), dosya formatının iç yapısını (örneğin JPEG'in kendi içindeki segment yapısını) anlayarak parçalanmış dosyaları da belirli ölçüde yeniden birleştirebilir.

Pratik Senaryo

Bir soruşturmada, şüphelinin USB belleğinden önemli bir belgeyi kasten sildiği düşünülüyor. Adli bilişim uzmanı, USB'nin bit-bit imajını PhotoRec ile tarıyor. Dosya sisteminin dizin yapısı incelendiğinde belge artık listede görünmüyor (silinmiş ve meta verisi kaybolmuş), ancak carving işlemi ham veride "%PDF" imzasıyla başlayan ve "%%EOF" ile biten bir blok buluyor; bu blok, orijinal dosya adı bilinmese de, belgenin tam içeriğini eksiksiz olarak kurtarmayı sağlıyor. Bu, dosya sisteminin "sildim" demesinin, verinin fiziksel olarak yok olduğu anlamına gelmediğinin somut bir kanıtı.

Sınırlamalar

• SSD'lerde TRIM komutu etkinse, silinen veri fiziksel olarak da temizlenebilir — carving'in başarı şansı ciddi şekilde düşer.
• Üzerine yazılmış (overwritten) alanlarda carving imkansız hâle gelir; bu yüzden bir olaydan sonra sistemin olabildiğince az kullanılması (yeni dosya yazılmaması) kurtarma şansını artırır.

Bu makale, file carving tekniklerinin orta-ileri seviye teknik bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.