Anti-forensic araçların tespiti, saldırganın kendi izlerini yok etmek için başvurduğu yazılımların ve yöntemlerin, geride bıraktıkları dolaylı işaretlerden yola çıkılarak belirlenmesidir. Bu araçlar günlükleri siler, dosyaları güvenli biçimde üzerine yazar, zaman damgalarını oynatır ya da belleğe yerleşip diske hiç değmemeye çalışır. Ancak hemen her gizleme eylemi kendi izini üretir; bir şeyin silinmiş olması da başlı başına bir kanıttır.

Anti-forensic tespiti, saldırganın sildiği şeylerin değil, silme eyleminin kendisinin bıraktığı boşlukları ve tutarsızlıkları okumaktır.

Saldırgan Ne Yapmaya Çalışır?

Gizleme çabaları genellikle birkaç kalıba oturur: olay günlüklerini toptan temizlemek, dosyaları geri getirilemeyecek şekilde çoklu üzerine yazmak, dosya zaman damgalarını meşru dosyalarla aynı görünecek biçimde değiştirmek ve araçları yalnızca bellekte çalıştırıp diske hiç düşürmemek. Bu tekniklerin geniş repertuvarı Anti-forensic teknikler başlığı altında toplanır; tespit çalışması da bu tekniklerin her birinin nasıl bir tortu bıraktığını bilmekle başlar.

Tespit Nasıl Yapılır?

En güvenilir işaretlerden biri tutarsızlıktır. Örneğin bir dosyanın standart zaman damgaları elle değiştirilse bile, NTFS’in daha derindeki $FILE_NAME kayıtları çoğu zaman aynı anda güncellenmez; bu iki katman arasındaki uyumsuzluk, zaman damgası oynamasını ele verir. Silinen bir olay günlüğü, günlük sırasındaki numara atlamasıyla ya da temizleme eyleminin kendisini kaydeden bir güvenlik olayıyla fark edilir. Bu tür ince karşılaştırmalar, sağlam bir Dosya sistemi adli analizi temeli gerektirir.

Bir başka yaklaşım, gizleme aracının kendi ayak izini aramaktır. Diskte silinen bir araç bile prefetch, kayıt defteri çalıştırma artefaktları ya da bellek kalıntılarında iz bırakabilir. Güvenli silme araçları çalıştıklarında disk üzerinde belirgin desenler oluşturur; ham diskin taranması, tümüyle sıfırlanmış ya da rastgele veriyle doldurulmuş bölgeleri ortaya çıkarır ve bu bölgelerin varlığı başlı başına şüphe uyandırır.

Kurumsal Etki ve Yorum

Anti-forensic izleri, bir olayın tesadüfi değil kasıtlı ve deneyimli bir aktör tarafından yürütüldüğünü gösterir; bu da müdahalenin ciddiyetini ve olası veri kaybının kapsamını yeniden değerlendirmeyi gerektirir. Gizleme çabasının yoğunluğu, çoğu zaman saldırganın ne kadar değerli bir şeye eriştiğinin de ölçüsüdür.

• Zaman damgası oynaması: standart ve derin NTFS kayıtları arasındaki uyumsuzluk
• Günlük temizleme: sıra numarası atlaması ve temizlemeyi kaydeden olaylar
• Güvenli silme: diskte sıfırlanmış veya rastgele doldurulmuş bölgeler
• Diske düşmeyen araçlar: bellek ve çalıştırma artefaktı kalıntıları

Bu bulguları doğru okumak, dağınık izleri tek bir olay hikâyesine bağlamayı gerektirir ve deneyim ister. Privia Security’nin DFIR adli analiz ve olay müdahalesi ekibi, gizleme çabalarını olayın bütünü içinde değerlendirir; gelişmiş bir saldırının izlerini kovalarken adli analiz hizmetimiz silinmiş kanıtın peşine düşer.