Android adli analiz yöntemleri, bir telefon veya tabletten adli değeri olan verinin cihazın durumunu bozmadan çıkarılmasını sağlayan tekniklerdir. Android’in her cihazda farklılaşan üretici katmanları, sürüm parçalanması ve varsayılan şifreleme, bu işi masaüstü incelemesinden daha çetin kılar. Analist genellikle üç edinim düzeyi arasında seçim yapar: yüzeydeki verileri alan mantıksal edinim, dosya ağacının kopyasını çıkaran dosya sistemi edinimi ve ham flash belleğin bit bit kopyasını hedefleyen fiziksel edinim.

Android adli analiz, cihazın giderek güçlenen şifreleme ve kilit mekanizmaları arasında, kullanıcı verisini bütünlüğü kanıtlanabilir biçimde çıkarma sanatıdır.

Edinim Yöntemleri

Mantıksal edinim, ADB yedeği ya da uygulama arayüzleri üzerinden erişilebilen verileri toplar; hızlıdır ama silinmiş kayıtlara ve korumalı alanlara ulaşamaz. Dosya sistemi edinimi, çoğunlukla yükseltilmiş yetki gerektirir ve uygulamaların /data bölümündeki SQLite veritabanlarına, WAL dosyalarına ve önbelleklere erişim verir; mesajlaşma geçmişi, konum kayıtları ve oturum belirteçleri çoğu kez buradan gelir. Fiziksel edinim ise en eksiksiz kopyayı vaat eder fakat modern cihazlardaki donanım destekli şifreleme nedeniyle çoğu zaman elde edilen imaj çözülemez durumdadır.

Şifreleme ve Erişim Engelleri

Güncel Android sürümleri dosya bazlı şifreleme kullanır ve anahtarlar cihazın güvenli donanımına bağlıdır; bu da kilit açılmadan alınan bir imajın büyük ölçüde okunamaz kalması demektir. Bu yüzden analistin ilk kararlarından biri, cihazın açık ve kilidi çözülmüş halde mi yoksa kapalı mı geldiğidir. Açık bir cihazda uçucu veriyi kaybetmemek için uçak moduna alıp ağdan yalıtmak, uzaktan silme komutlarını da engeller. Cihazın dosya yapısını doğru yorumlamak, Dosya sistemi adli analizi bilgisiyle doğrudan iç içedir.

Uygulama verisi incelemenin kalbindedir. Her uygulama kendi veritabanını taşıdığı için, bir mesajın gerçekten gönderilip gönderilmediği ya da bir konumun ne zaman kaydedildiği çoğu kez ilgili SQLite tablosundaki satırlardan okunur. Silinen kayıtlar bazen veritabanının serbest sayfalarında ya da WAL günlüğünde kısa süre daha durur; bu artık alanları taramak, kaybolduğu sanılan kanıtı geri getirebilir. Kötü amaçlı bir uygulamanın davranışını çözmek gerektiğinde inceleme, Mobil uygulama güvenliği bakış açısıyla birleşir.

Delil Bütünlüğü ve Raporlama

Mobil incelemenin en kırılgan yanı, cihazla etkileşimin veriyi kolayca değiştirebilmesidir; bir bildirime dokunmak bile zaman damgalarını bozabilir. Bu nedenle her adım kayıt altına alınır, elde edilen imajın özet değeri edinim anında hesaplanır ve raporda tekrarlanabilir bir yöntem sunulur. Bu titizlik, bulguların hukuki bir süreçte ayakta kalması için şarttır.

• Mantıksal edinim: hızlı, yüzeysel, silinmiş veriye ulaşamaz
• Dosya sistemi edinimi: uygulama veritabanları ve önbellekler için en verimli düzey
• Fiziksel edinim: en kapsamlı ama şifreleme nedeniyle çoğu kez çözülemez
• Her düzeyde: ağ yalıtımı ve özet ile bütünlük kanıtı

Kurumsal olaylarda ele geçirilmiş bir çalışan telefonu, bir kimlik avı kampanyasının başlangıç noktası ya da veri sızıntısının kaynağı olabilir. Doğru yöntemle çıkarılan Android kanıtı, olayın kapsamını netleştirir ve müdahale ekibine somut bir zemin verir. Privia Security bu incelemeleri Windows ve bulut kaynaklarıyla birlikte, uçtan uca DFIR adli analiz ve olay müdahalesi disipliniyle yürütür; kapsamlı bir cihaz incelemesi gerektiğinde adli analiz ekibimiz devreye girer.