Adli Bilişim Üst Düzey Prosedürü
Adli Bilişim Üst Düzey Prosedürü
İncelenecek bir bilgisayar açıksa, verilecek ilk karar kapatılıp kapatılmayacağıdır. Genel olarak, dosyaların üzerine yazma adımlarını içerebilecek düzenli bir kapatma işlemi yoluyla değil, belirsiz bir şekilde kapatılmalıdır. Bilgisayar ağa bağlıysa ve kapatma işlemi bir suç ortağını uyaracaksa, o zaman kapatmanın artıları ve eksileri değerlendirilmelidir.
Bir sonraki adım, ekranı (açıksa), bilgisayara olan tüm bağlantıları ve kabinin içini fotoğraflamak olmalıdır. Windows tabanlı bilgisayarı başlatma işlemi büyük olasılıkla herhangi bir bağlı sabit diske yazacağından, araştırmacı o bilgisayarı asla başlatmamalıdır.
Bunun yerine, tüm manyetik ortamların (sabit diskler, disketler, süper disketler, Zip ve Jaz diskleri vb.) bilgisayarla bağlantısı kesilmeli ve adli araştırmacının sabit diskine ayrı ayrı kopyalanmalıdır; Bu, araştırmacının kopyasının orijinalin tam bir kopyası olduğunun onaylanabilmesi için MD5 veya tercihen SHA-1 karma algoritması kullanılarak bir dijital özet (karma değer) uygulandıktan sonra yapılmalıdır.
Özellikle kaynak ve hedef diskler (yani, şüphelinin ve soruşturmacının diskleri) aynı boyuttaysa, bir sabit diski diğerine kopyalamak, özel bir özen gösterilmedikçe tehlikelerle doludur; bunun nedeni, soruşturmacının sabit diskini şüphelilerin üzerine kopyalamak gibi bir hataya düşmek değil, bunun kolay olmasıdır. İdeal olarak, araştırmacının bu görevi hata olasılığı olmadan gerçekleştirmeye adanmış bir kutusu olmalıdır.
Şüphelinin sabit diski, soruşturmacının diskine, şüphelinin ortamının aynı kopyasıyla sonuçlanacak şekilde kopyalandıktan sonra, gerçek adli tıp analizi başlar. Özel bir adli yazılım paketi gerekmez; ne yapacağını, neden ve nasıl yapacağını bilen biri için çok sayıda ücretsiz yazılımdan oluşan makul bir koleksiyon yeterli olacaktır. Her şey dahil adli yazılım paketleri, adli tıp analizini kolay ve verimli hale getirir ve ayrıca birçok mahkeme tarafından kabul edilebilirlik geçmişi sağlar.
Analiz, aşağıdaki mantıksal adım dizisinden oluşur:
Popüler yazılımların yürütülebilir bölümleri gibi, adli tıpla ilgisi olmadığı bilinen tüm dosyaları analizden çıkarın. Elenen şeyin gerçekten, örneğin word.exe olduğundan emin olmak ve kasıtlı olarak bu adla yeniden adlandırılan başka bir dosya olmadığından emin olmak için, “bilinen” dosyaların tanımlanması, bu tür her birinin dijital özeti temelinde yapılır. dosya, o dosyanın güvenilir bir kaynaktan bilinen doğru dijital özetiyle tam olarak eşleşir.
Araştırmacı, daha önce diğer araştırmacılarda (örneğin bomb_recipe.txt için) karşılaşılmış olan dikkate değer dosyaların dijital özetlerini kullanarak, ilgi çekici olduğu bilinen tüm dosyaları arar.
Şimdi geriye analiz edilmesi gereken her şey kaldı. Araştırıcı şimdi, özellikle tüm bilinmeyen dosyalar, ayrılmamış disk alanı ve aranılan şey için genişlik (dosya sonu ile küme sonu işaretleri arasındaki boşluk) dahil olmak üzere kalan tüm sabit diski analiz etmelidir.
Adli bilişim ve elektronik deliller PDF
Adli bilişim eksiklik ve yetersizlikleri
Türkiye de adli bilişim
Bilişim suçlarında ispat
Adli Bilişim
Burada müfettişin yeterliliği ve tecrübesi devreye giriyor. Adli yazılım, müfettişin ne aradığı hakkında hiçbir fikre sahip değil; aramayı etkili bir şekilde tanımlamak araştırmacıya kalmıştır. Anahtar kelimeler (basit bir görev), resimler (aynı zamanda basit bir görev) veya bilgisayar kullanım kalıpları (çok daha zor bir görev) için olabilir.
Hiçbir şey bulunamazsa, araştırmacı, özellikle bilgisayar steganografi yazılımının kurulduğuna veya kullanıldığına dair göstergeler içeriyorsa, steganografik olarak gizlenmiş herhangi bir veriye ilişkin kanıt aramayı seçebilir. Çoğu adli araştırmacı, steganografi hakkında oldukça bilgisiz veya yanlış bilgilendirilmiş durumdadır.
Kısaca:
A. İnternet üzerinden açıkça elde edilebilenler gibi amatörce steganografi kolayca tespit edilebilir.
B. Son derece idareli kullanılan ve gizli dosyaların açık dosyalara oranının çok küçük olduğu, profesyonelce tasarlanmış steganografi tespit edilemez.
Hâlâ hiçbir şey bulunamazsa, üzerine gerçekten yazılmış dosyaları bulmaya yönelik nihai adli soruşturma tekniğini garanti eden aşırı derecede önemli bir vaka (örneğin, ulusal öneme sahip bir vaka) olmadıkça, kişi genellikle işi bırakır.
Bu, manyetik yüzeyin, mıknatıslanmanın “sıfır” veya “bir”den önce ne olabileceğini gösteren çok küçük bozulmaları anlayabilmek için tek tek manyetik parçacıklara gerçekten bakabilen yüksek güçlü bir mikroskopla incelendiği adli tıp mikroskopisini içerir. Son adım, bulguları belgelemek ve sunmaktır.
Adli Tıp Özellikleri
Daha önce de belirtildiği gibi, bazı teknik olmayan çevrelerde analizlerinin uygunluğu ve kabul edilebilirliği dışında, her şey dahil adli yazılıma ihtiyaç yoktur. İyi bir ücretsiz yazılım tamamlayıcısı, gerekli bireysel görevleri yapabilir.
Örneğin, çok sayıda kaynaktan çevrimiçi olarak edinilebilen SectorSpyXP ile tüm bir sabit diski anahtar sözcükler için aramak kolayca yapılır. Bu, yazılımdan “Windows” anahtar kelimesini bulması istendiğinde tasvir edilmiştir.
Bir anahtar kelimenin (ör. “bomba”) çoğu zaman tek bir sektörde olduğu gibi görünmediği konusunda uyarılmalıdır; bir kısmı (ör. “b”) bir sektörde olabilir ve bir kısmı (ör. “omb”) uzak bir sektörde olabilir. Bunun nedeni, Windows’un o anda uygun bulduğu sektörlere dosya yazması ve tek bir dosyayı çok sayıda bitişik olmayan sektöre bölebilmesidir.
“BOULAMITE” için anahtar kelime araması, kişiyi Windows kayıtlı sahibinin adı ve ilişkisinin bulunduğu sektöre götürecektir. Guidance Software’den Encase gibi her şey dahil adli yazılım takımları ayrıca çok sayıda kişisel dijital yardımcıyı (PDA), Yedek Dizili Ucuz Diskleri (RAID) diskleri, Flash ortamını (örneğin, popüler Evrensel Seri Veri Yolu (USB) anahtar benzeri) işleyebilir. geçici depolama ortamı olarak disketlerin yerini alıyor gibi görünen eklentiler, dosya ayırma tablosuna (FAT) sahip bir sabit disk gibi biçimlendirilir ve disk gibi kendi boş ve ayrılmamış alanlarına sahiptir.
Bir dosyayı daha az uyarı verecek şekilde yeniden adlandırmanın (örneğin, bomb.jpg’den kutsal.txt’ye) aslında size zarar vermesi dikkat çekicidir. Her dosya türünün (.jpg dosyaları gibi), dosyanın adı değiştirildiğinde değişmeyen benzersiz bir başlığı vardır. .jpg dosyaları söz konusu olduğunda, bu başlık “xFF\xD8\xFF\xFE” şeklindedir.
Dosyanın adını kutsal.txt olarak değiştirmek, yalnızca o dosyanın aşağıda gösterildiği gibi adli tıp müfettişine kasıtlı olarak yanlış adlandırılmış bir dosya olarak işaretlenmesine neden olur ve böylece dosya daha fazla incelemeye tabi tutulur.
Adli Bilişim Adli bilişim eksiklik ve yetersizlikleri Adli bilişim ve elektronik deliller PDF Bilişim suçlarında ispat Türkiye de adli bilişim