LNK dosya analizi, Windows’un bir belge açıldığında çoğu zaman otomatik ürettiği kısayol (.lnk) dosyalarını çözümleyerek, hangi dosyaya nereden ve ne zaman erişildiğini ortaya koyan adli tekniktir. Kullanıcının bilinçli oluşturduğu masaüstü kısayollarının yanında, işletim sistemi “son belgeler” listesi için arka planda sessizce kendi LNK dosyalarını da yaratır; asıl adli değer bu ikinci gruptadır.

Bir LNK dosyası, işaret ettiği belge çoktan silinmiş olsa bile o belgenin bir zamanlar var olduğunu ve açıldığını kanıtlayan küçük bir meta veri kapsülüdür.

Bir Kısayol Ne Kadar Bilgi Taşır?

Görünürde yalnızca bir hedefe yönlendiren LNK dosyası, ikili yapısının içinde şaşırtıcı miktarda ayrıntı barındırır: hedef dosyanın tam yolu, boyutu, oluşturma ve son değiştirilme zamanları, bağlı olduğu sürücünün türü ve seri numarası. Dosya bir ağ paylaşımından veya USB bellekten açıldıysa, o kaynağın adı ve yolu da kayda geçer. Bu nedenle tek bir LNK dosyası bile, bir kullanıcının harici bir belleğe bağlanıp belirli bir dosyayı açtığını tek başına gösterebilir.

Silinen Belgenin Ardında Kalan Kanıt

LNK analizini soruşturmalarda değerli kılan özellik, kısayolun işaret ettiği belgeden bağımsız yaşayabilmesidir. Kullanıcı hassas bir dosyayı silip çöp kutusunu boşaltsa bile, o dosyaya erişildiğinde oluşan LNK kaydı yerinde kalır ve içindeki gömülü zaman damgaları ile boyut bilgisi, artık var olmayan belgenin kimliğini yeniden kurar. Bu yönüyle teknik, inkârın kolay olmadığı sağlam bir dayanak sunarak adli bilişim incelemelerinde sık kullanılır.

Çift Zaman Damgasının Değeri

Bir LNK dosyası iki ayrı zaman katmanı taşır: dosya sisteminde LNK’nin kendi oluşturulma ve değiştirilme zamanı, bir de içine gömülü hedef belgenin zaman damgaları. Bu iki katmanın karşılaştırılması güçlü çıkarımlar üretir; örneğin hedefin gömülü oluşturma zamanı, LNK’nin oluşturma zamanından yeniyse bu, dosyanın kopyalanmış olabileceğine işaret eder. Bu ilişkilerin sıraya dizilmesi, olayı bir zaman çizelgesi analizi üzerine oturtarak kullanıcının belgelerle etkileşim sırasını görünür kılar.

Bütünsel İncelemedeki Yeri

LNK dosyaları tek başına değil, sabit diskteki yapıyı bütün olarak çözen dosya sistemi adli analizi ve kayıt defteri, jump list gibi diğer kullanıcı eserleriyle çapraz doğrulandığında güvenilir bir tablo verir. Bu birlikte okuma özellikle veri sızdırma soruşturmalarında, hangi dosyanın harici bir aygıta taşınmadan hemen önce açıldığını gösteren halkayı sağlar. Böyle çok kaynaklı çalışmalar, DFIR adli analiz ve olay müdahalesi pratiğinin merkezinde yer alır ve Privia Security’nin adli analiz hizmetinde Windows eserleri bu bütünsel yaklaşımla değerlendirilir.