Log silme izlerinin bulunması, bir saldırganın kendi faaliyetini gizlemek için sistem günlüklerini sildiğine, boşalttığına veya değiştirdiğine dair kanıtların adli analizle ortaya çıkarılması sürecidir. Buradaki temel fikir, silme eyleminin çoğu zaman içeriği yok etse de, bu yok etmenin kendisinin geride bir düzensizlik bırakmasıdır; analist artık olmayan kaydı değil, o kaydın eksikliğinin izini arar.

Bir günlüğün silinmesi kanıtı yok etmez, kanıtın türünü değiştirir; yokluk, tutarsızlık ve boşluk artık başlı başına birer delildir.

Silme Neden İz Bırakır?

Günlük kayıtları çoğu sistemde sıralı ve numaralı üretilir. Windows olay günlüklerinde her kayıt artan bir kayıt numarası taşır; saldırgan araya giren kayıtları temizlese bile numaralandırmadaki atlama görünür kalır. Aynı biçimde, günlüğün topluca boşaltılması işleminin kendisi ayrı bir olay olarak kaydedilir (Event ID 1102 gibi), yani silme eylemi çelişkili biçimde kendi kanıtını yaratır. Linux tarafında ise sürekli akan bir günlükte belirli bir saat aralığının hiç kayıt içermemesi, o pencerede bir müdahale olduğunu düşündürür.

Analistin İzlediği Belirtiler

Silme faaliyetini ele veren birkaç tipik işaret vardır:

• Zaman boşlukları: Normalde kesintisiz üretilen günlükte açıklanamayan sessiz aralıklar.
• Sıra numarası atlamaları: Ardışık olması gereken kayıt kimliklerinde eksik halkalar.
• Günlük temizleme olayları: Bir günlüğün boşaltıldığını doğrudan bildiren sistem kayıtları.
• Tutarsız zaman damgaları: Bir dosyanın değiştirilme zamanının, ona ait olması gereken kayıtlarla çelişmesi.
• Yedek ve merkezi kopyalar: Yerelde silinen kaydın, uzak bir günlük sunucusunda hâlâ duruyor olması.

Merkezi Günlüklemenin Belirleyiciliği

Silmeye karşı en güçlü savunma, günlükleri üretildikleri makinede tutmamaktır. Kayıtlar oluştuğu anda uzaktaki bir günlük toplama sunucusuna veya yalnızca yazılabilir (append-only) bir depoya akıtılıyorsa, saldırgan ele geçirdiği makinedeki yerel kopyayı silse bile merkezi kopya el değmeden kalır. Bu iki kaynağın karşılaştırılması silinen içeriği doğrudan geri getirebilir ve boşluğun tam olarak neyi gizlediğini gösterir. Bu tür iz gizleme çabaları, saldırganların başvurduğu anti-forensic teknikler ailesinin en yaygın örneğidir.

Soruşturmadaki Rolü

Bir günlük boşluğunun tespiti tek başına bir sonuç değil, bir başlangıç noktasıdır; analist bu boşluğu diğer kanıt kaynaklarıyla doldurmaya çalışır. Silinen aralık, dosya sistemi zaman damgaları ve bellek kanıtıyla birlikte bir zaman çizelgesi analizi üzerine oturtulduğunda, saldırganın tam da neyi saklamak istediği çoğu zaman ortaya çıkar. Boşluğun konumu bile bir ipucudur; saldırgan genellikle en kritik hareketinin üzerini örter. Bu yaklaşım DFIR adli analiz ve olay müdahalesi pratiğinin ayrılmaz bir parçasıdır ve Privia Security’nin adli analiz ekibi, iz silme girişimlerini soruşturmanın önündeki bir engel değil, bir yön göstergesi olarak değerlendirir.