Hash kümesi ve bilinen dosya filtreleme, bir diskteki her dosyanın kriptografik özetini hesaplayıp bu değerleri önceden derlenmiş referans listeleriyle eşleştirerek incelenecek veri yığınını daraltan bir adli inceleme yöntemidir. Bir kurumsal dizüstü bilgisayarın imajında yüz binlerce dosya bulunabilir; bunların büyük çoğunluğu işletim sistemi ikili dosyaları, uygulama kütüphaneleri ve standart yazı tipleridir. İnceleyicinin ilgisi ise bu gürültünün altında kalan birkaç şüpheli dosyadadır.

Hash kümesi filtrelemesi, incelenecek dosya evrenini ‘zaten bildiğimiz her şeyi çıkar, geriye ne kalıyorsa ona bak’ mantığıyla küçülten bir eleme tekniğidir.

Özet Değeri Neden İşe Yarar?

Yöntemin temeli, bir dosyanın içeriğinden sabit uzunlukta benzersiz bir imza üreten Özet fonksiyonu mantığına dayanır. Aynı içerik her zaman aynı özeti verir, tek bir bit değişikliği ise tamamen farklı bir değer üretir. Böylece dosya adı değiştirilmiş, uzantısı gizlenmiş veya başka bir klasöre taşınmış olsa bile içeriği aynı kaldığı sürece özeti sabit kalır; inceleyici dosyayı adından değil parmak izinden tanır.

Bilinen İyi ve Bilinen Kötü Listeleri

Filtreleme iki yönde çalışır. Birincisi ‘bilinen iyi’ kümelerdir: NIST’in ulusal yazılım referans kütüphanesi gibi kaynaklar, işletim sistemi ve ticari yazılımların özet değerlerini derler. Bu değerler diskteki dosyalarla eşleşen her şey inceleme dışı bırakılır, çünkü bunlar üretici tarafından dağıtılan değişmemiş dosyalardır. İkinci yön ‘bilinen kötü’ kümeleridir; daha önceki vakalardan veya tehdit istihbaratından toplanan zararlı yazılım örneklerinin özetleri, diskte eşleşme verdiğinde inceleyiciyi doğrudan ilgili dosyaya yönlendirir.

• Bilinen iyi kümesi: üretici imzalı, değişmemiş sistem ve uygulama dosyalarını eleme dışı bırakır.
• Bilinen kötü kümesi: önceki vakalardan tanınan zararlı örnekleri anında işaretler.
• Bilinmeyenler: hiçbir kümeyle eşleşmeyen dosyalar, insan incelemesinin asıl odağıdır.

Yöntemin Sınırı

Klasik hash kümesi eşleştirmesi tam eşleşme arar; saldırganın bir baytını değiştirdiği zararlı bir dosya, artık listedeki özetle eşleşmez ve ‘bilinmeyen’ havuzuna düşer. Bu kör noktayı kapatmak için parça tabanlı özetleme (fuzzy hashing) gibi benzerlik ölçen yöntemler devreye girer; bunlar iki dosyanın ne kadar örtüştüğünü yüzdeyle ifade ederek küçük değişikliklerle üretilmiş varyantları da yakalar. Bilinen iyi filtrelemenin bir başka riski ise saldırganın meşru bir sistem dosyasının yerine aynı ada sahip zararlı bir dosya koymasıdır; bu durumda özet farklı çıkacağı için dosya elenmez, tam tersine dikkat çeker.

İncelemedeki Yeri

Filtreleme, Dosya sistemi adli analizi akışının en başında, imaj alındıktan hemen sonra uygulanır. Bir diskin tamamını elle taramak günler sürebilecekken, iyi kurgulanmış kümeler dosya sayısını çoğu zaman onda birine indirir ve inceleyicinin zamanını gerçekten anlamlı kanıtlara ayırmasını sağlar. Bu yönüyle yalnızca bir hız optimizasyonu değil, bir DFIR adli analiz ve olay müdahalesi sürecinin ölçeklenebilir kalmasını sağlayan yapısal bir adımdır.

Privia Security’nin adli analiz ekibi, güncel referans kümeleri ve kuruma özel derlenmiş listelerle çalışarak büyük hacimli disklerde bile inceleme süresini kısaltır ve gözden kaçabilecek varyantları benzerlik analiziyle yakalar.