Şifreli konteyner tespiti, bir disk üzerinde sıradan bir dosya gibi görünen ancak içinde gizli, şifrelenmiş bir hacim barındıran kapların adli analizle bulunması işidir. Bu konteynerler, doğru parola girilmeden erişilemeyen kilitli birer sandık gibidir; içeriğe ulaşmadan önce, öncelikle bu sandığın varlığının kanıtlanması gerekir.

Şifreli bir konteyneri açamasanız bile, onun orada bulunduğunu kanıtlamak çoğu zaman soruşturmanın en kritik adımıdır.

Neden Tespiti Zordur?

İyi tasarlanmış bir şifreli konteynerin en belirgin özelliği, hiçbir belirgin özelliğinin olmamasıdır. İçeriği doğru şekilde şifrelendiğinde, dosya rastgele üretilmiş verilerden ayırt edilemez; tanınabilir bir dosya başlığı ya da imzası taşımaz. Bu tasarım, konteynerin varlığını inkâr edebilmeyi (plausible deniability) amaçlar ve tam da bu yüzden geleneksel dosya türü tanıma yöntemleri burada işe yaramaz.

Bu gizleme yeteneği, konteynerleri iz gizlemenin etkili bir aracı yapar. Veriyi silmek yerine erişilemez kılmak, birçok anti-forensic teknikler yaklaşımının temelinde yatar ve analistin karşısına açılması güç bir engel çıkarır.

Tespit Yöntemleri

Şifreli veri, doğası gereği son derece yüksek ve düzensiz bir bilgi yoğunluğuna, yani yüksek entropiye sahiptir. Analist, disk üzerindeki dosyaların entropisini ölçerek olağandışı derecede rastgele görünen, hiçbir yapıya sahip olmayan büyük dosyaları işaretleyebilir; belirgin bir amacı olmayan, rastgele veri yığını gibi duran hacimli bir dosya güçlü bir işarettir. Bunun yanında, sistemde kurulu şifreleme yazılımlarının izleri, yakın zamanda açılmış dosya kayıtları ve bellekte kalan anahtar kalıntıları da konteynerin varlığına işaret eder.

Tam disk şifrelemeyle karıştırılmamalıdır. Bir aygıtın tamamını koruyan disk şifreleme çözümleri bilinen ve beklenen bir yapıdayken, gizli konteynerler tam olarak fark edilmemek üzere tasarlanır; tespit çabası da bu görünmezlik iddiasını kırmaya odaklanır.

Soruşturmadaki Rolü

Bir konteynerin varlığını kanıtlamak, içeriği hiç açılamasa bile soruşturma için değerlidir. Şüphelinin sistemine bilinçli olarak yerleştirilmiş bir gizli hacim, veriyi saklama niyetini gösterir ve hukuki süreçte anlam taşır. Konteynerin ne zaman oluşturulduğu ve en son ne zaman açıldığı gibi bilgiler ise olayın zaman çizgisine yerleştirilir.

Privia Security, disk üzerindeki gizli şifreli hacimleri entropi ve artefakt analiziyle ortaya çıkaran adli analiz hizmetiyle, veriyi bilinçli olarak gizleme çabalarını görünür kılar. Bu tespitler, kurumun geniş DFIR adli analiz ve olay müdahalesi sürecinde kök nedeni aydınlatan kritik bir halkadır.