Adli imaj formatları, bir diskin veya depolama biriminin bit birebir kopyasının nasıl bir dosyada saklanacağını belirleyen yapılardır. E01, AFF ve DD, bu alanda en sık karşılaşılan üç formattır ve aralarındaki fark, ham veriyi taşımanın yanında hangi ek bilgiyi ve garantiyi sunduklarında yatar. Doğru format seçimi, kopyanın mahkemede kabul edilebilirliğini doğrudan etkiler.

Adli imaj, delilin kendisi değil, delilin zamanı donmuş ve matematiksel olarak mühürlenmiş bir kopyasıdır.

DD: Ham ve Sade

DD formatı, adını klasik Unix aracından alır ve diskin en yalın hâlini taşır: hiçbir başlık, sıkıştırma ya da metadata olmadan yalnızca bit dizisi. Bu sadelik hem gücü hem zaafıdır. Neredeyse her araç DD imajını okuyabilir ve içeriğe doğrudan erişilebilir; ancak dosyanın içine gömülü bir doğrulama sağlaması yoktur, bu yüzden bütünlük ayrı bir sağlama dosyasıyla dışarıdan takip edilmek zorundadır. Sıkıştırma olmadığı için de kaynak diskle aynı büyüklükte yer kaplar.

E01: Adli Standart

EnCase aracından yaygınlaşan E01 (Expert Witness Format), adli dünyanın fiili standardıdır. DD’nin aksine veriyi sıkıştırır, imajı yönetilebilir parçalara böler ve en önemlisi doğrulama sağlamasını ile vaka bilgisini (soruşturmacı, tarih, cihaz notları) dosyanın içine gömer. Sağlama değeri gömülü olduğundan, imajın sonradan değişip değişmediği dosyanın kendisinden doğrulanabilir; bu özellik onu delil zinciri açısından güçlü kılar.

AFF: Açık Alternatif

AFF (Advanced Forensic Format), tescilli formatlara açık kaynaklı bir alternatif olarak tasarlandı. Sıkıştırma ve gömülü metadata gibi E01’in avantajlarını sunarken, veri ile vaka bilgisini ayrı tutabilme ve esnek metadata ekleyebilme gibi özellikler getirir. Uzun vadeli saklama ve araç bağımsızlığı öncelikliyse tercih edilir.

Format Neden Önemli?

İmajın oluşturulma anı, tüm adli sürecin temelini atar. Kopya alınırken kaynağa yazma yapılmadığının garanti altına alınması için sürecin bir disk imajı ve yazma koruyucu ile yürütülmesi şarttır; format ise bu kopyanın bütünlüğünün nasıl kanıtlanacağını belirler. Gömülü sağlama taşıyan bir format, sonraki analiz adımlarında delilin değişmediğini tekrar tekrar ispatlamayı kolaylaştırır ve bu, sağlam bir adli bilişim pratiğinin temel taşıdır.

Format seçimi tek başına yeterli değildir; imajın kim tarafından, hangi araçla ve hangi doğrulama adımlarıyla alındığı da savunulabilir bir sonuç için belirleyicidir. Bir olayın hukuki değeri taşıyan biçimde incelenmesi, bu adımları disiplinle işleten bir DFIR adli analiz ve olay müdahalesi sürecine dayanır. Delilin en baştan doğru toplanıp doğru saklanması için bu çalışmalar uzman bir adli analiz ekibiyle yürütüldüğünde, imaj formatının sunduğu bütünlük garantisi de tam anlamıyla değer kazanır.