Zaman damgası manipülasyonu tespiti, bir dosyanın oluşturma, değiştirme ve erişim tarihlerinin kasıtlı olarak geriye alınıp alınmadığını ortaya çıkarma işidir. Saldırganlar, sisteme bıraktıkları bir aracı komşu meşru dosyalarla aynı tarihe çekerek incelemede göze batmamaya çalışır; bu tekniğe genellikle timestomping denir. İnceleyicinin görevi, görünen tarihin arkasındaki gerçek zaman çizgisini yeniden kurmaktır.

Zaman damgası manipülasyonu tespiti, bir saldırganın sildiği değil, değiştirdiği izi arar: yanlış görünen değil, fazla düzgün görünen tarihi.

Saldırgan Neyi Değiştirir?

NTFS dosya sisteminde her dosyanın iki ayrı zaman damgası kümesi bulunur. Standart Bilgi (\$STANDARD_INFORMATION) alanı, kullanıcıya ve çoğu araca görünen tarihleri tutar; saldırganların değiştirdiği yer burasıdır. Dosya Adı (\$FILE_NAME) alanı ise ayrı bir zaman kümesi taşır ve yaygın manipülasyon araçlarının çoğu bu ikinci kümeye dokunmaz. Bu iki küme arasındaki tutarsızlık, tespitin en güçlü işaretlerinden biridir: görünen oluşturma tarihi 2019 gösterirken \$FILE_NAME kaydının birkaç ay öncesini işaret etmesi, birinin tarihi geriye çektiğini söyler.

İkinci bir ipucu çözünürlüktedir. İşletim sistemi bir dosyayı yazarken zaman damgasını nanosaniye hassasiyetinde damgalar. Manipülasyon araçları ise çoğu zaman saniye ya da tam yuvarlak bir değer yazar. Milisaniye ve altı hanelerin tam sıfır olduğu bir oluşturma tarihi, doğal bir olayın değil, elle atanmış bir değerin işaretidir.

İzler Nasıl Ortaya Çıkar?

Manipüle edilmiş bir zaman damgası, sistemin kendi tuttuğu diğer defterlerle çeliştiğinde açığa çıkar. NTFS dosya sisteminin günlük dosyaları (\$LogFile, \$UsnJrnl), bir dosyanın ne zaman gerçekten yazıldığını bağımsız olarak kaydeder; bu kayıtlar dosyanın kendi zaman damgasından farklıysa oynama vardır. Bu tür çapraz doğrulama, dosya sistemi adli analizi disiplininin merkezindedir ve tek bir kaynağa güvenmek yerine birbirini denetleyen birden çok defterin karşılaştırılmasına dayanır.

Zaman damgasıyla oynamak tek başına bir eylem değil, daha geniş bir iz gizleme çabasının parçasıdır. Log silme, güvenli dosya silme ve araç maskeleme ile birlikte anti-forensic teknikler ailesine girer; bu yüzden bir yerde timestomping bulan inceleyici, aynı sistemde başka gizleme girişimleri de arar.

Bütüncül Zaman Çizgisiyle Doğrulama

Tek bir dosyanın tarihi şüpheli görünse bile, kesin sonuç için o dosyayı sistemin bütün olaylarıyla aynı eksene yerleştirmek gerekir. Kayıt defteri girdileri, olay günlükleri, tarayıcı geçmişi ve prefetch kayıtları birleştirildiğinde, manipüle edilmiş dosya kendi iddia ettiği tarihte hiçbir destekleyici iz bırakmamışken bambaşka bir anda yoğun etkinlik göstererek sırıtır. Bu bütünleşik bakış zaman çizelgesi analizi ile kurulur ve tek başına inandırıcı görünen bir tarihi bağlam içinde yalanlar.

Vaka İncelemesindeki Yeri

Bir ihlalde saldırganın sisteme ne zaman girdiğini ve ne kadar süre kaldığını doğru saptamak, hem zararın kapsamını hem de yasal sorumluluğu belirler. Zaman damgasıyla oynanmış bir ortamda bu soruların yanıtı, ancak manipülasyonu ayıklayan bir inceleme ile güvenilir olur. Privia Security ekibi, bu tür titiz zaman analizini kurumsal olay sonrası incelemelerde adli analiz kapsamında yürütür.