Ağ bağlantılarının bellekten çıkarılması, bir sistemin RAM görüntüsünü inceleyerek makinenin dışarıyla kurduğu bağlantıların izini geri kazanmaktır. İşletim sistemi, açık her soketi, ilişkili yerel ve uzak IP adreslerini, port numaralarını ve bağlantının durumunu çekirdek yapılarında tutar. Bir olay anında alınan bellek dökümü, bu yapıların o anki fotoğrafını içerdiği için, diskte hiç iz bırakmamış bir iletişimin bile kaydına ulaşmayı mümkün kılar.

Bellek dökümü, disk kayıtları silinmiş olsa bile makinenin dışarıyla konuştuğu adresleri ve portları donduran anlık bir fotoğraftır.

Bellek Neden Diskten Değerlidir?

Bu tekniğin gücü, birçok tehdidin diske hiç yazılmadan yalnızca bellekte yaşamasından gelir. Diske dokunmayan zararlı yazılımlar, şifreli iletişim kanalları ve yalnızca çalışırken var olan tüneller, sistem kapandığında iz bırakmadan kaybolur. Bu yüzden bellek adli analizi, geleneksel disk incelemesinin göremeyeceği canlı iletişimi yakalamanın çoğu zaman tek yoludur ve müdahalenin ilk saatlerinde belleğin dondurulması kritik önem taşır.

Nasıl Çıkarılır?

Analiz, ham bellek görüntüsü üzerinde işletim sisteminin bağlantı tablolarını taramakla başlar. Volatility gibi araçlar, çekirdeğin soket ve bağlantı yapılarının imzalarını bellekte arar; bu sayede işletim sisteminin canlıyken raporladığı listede olmayan, gizlenmiş bağlantılar da ortaya çıkarılabilir. Elde edilen her kayıt, yerel süreç, uzak adres ve zaman bilgisiyle eşleştirilerek makinenin dışarıyla kurduğu iletişimin haritası çıkarılır.

• Ham bellek görüntüsünde soket ve bağlantı yapılarını tarama.
• Her bağlantıyı onu açan süreçle eşleştirme.
• Uzak IP ve portları bilinen zararlı altyapıyla karşılaştırma.
• Gizlenmiş veya listede görünmeyen bağlantıları tespit etme.

Bulguların Anlamlandırılması

Çıkarılan bağlantı listesinin asıl değeri, uzak adreslerin kime ait olduğu araştırıldığında ortaya çıkar. Tanıdık olmayan bir dış IP’ye açılmış, düzenli aralıklarla canlanan bir bağlantı, çoğu zaman bir komuta-kontrol sunucusu ile kurulan haberleşmeye işaret eder. Bu adres, aynı saldırganın hedeflediği diğer sistemleri bulmak ve saldırının kapsamını çıkarmak için de bir mihenk taşı görevi görür.

Ağ bağlantılarının belleğe dayalı incelemesi, tek başına değil, süreç listeleri, kayıt defteri artıkları ve zaman çizelgesiyle birleştirildiğinde tam anlamını kazanan bir DFIR adli analiz ve olay müdahalesi adımıdır. Bir olay sonrası bellek delillerinin doğru toplanması ve yorumlanması için Privia Security’nin adli analiz hizmeti, uçucu kanıtları kaybolmadan sabitler ve saldırının izini uçtan uca çıkarır.