Mobil cihazdan fiziksel imaj alma, bir telefonun ya da tabletin depolama biriminin her bir bitini olduğu gibi kopyalayarak birebir bir suret oluşturmaktır. Bu suret, yalnızca kullanıcının gördüğü dosyaları değil, silinmiş verilerin kalıntılarını, ayrılmamış alanı ve sistemin kullanıcıya hiç göstermediği bölgeleri de kapsar.

Fiziksel imaj, telefonun sana gösterdiklerini değil, hafızasında gerçekten ne olduğunu kopyalar.

Mantıksal Kopyadan Farkı

Mantıksal bir çıkarma, cihazın işletim sistemi üzerinden erişilebilen dosyaları, yani kişileri, mesajları ve fotoğrafları alır; bu, telefonun size sunmaya razı olduğu içeriktir. Fiziksel imaj ise bu aracı katmanı atlayıp doğrudan ham depolamayı okur. Aradaki fark, bir odadaki görünen eşyaları listelemek ile odanın zemininin altına, duvar aralarına kadar her yeri açmak arasındaki farka benzer.

Bu derinlik, silinmiş bir sohbetin kalıntısının ya da uygulama tarafından geçici olarak yazılmış bir dosyanın kurtarılmasını mümkün kılar. Modern cihazlarda donanım tabanlı şifreleme bu işi zorlaştırsa da, çözülebildiği durumlarda fiziksel imaj en zengin veri kaynağını sunar.

Süreç ve Bütünlük

İmaj alınırken en kritik ilke, cihaz üzerindeki hiçbir veriyi değiştirmemektir. Bir sabit diskte bu, disk imajı ve yazma koruyucu donanımıyla sağlanır; mobil cihazlarda ise özel çıkarma araçları ve kontrollü bağlantı yöntemleri kullanılarak yazma işlemleri en aza indirilir. Alınan imajın bütünlüğü hash değerleriyle mühürlenir, böylece kopyanın sonradan değişmediği kanıtlanabilir.

Elde edilen ham veri, standart bir kapta saklanır. Bu noktada adli imaj formatları devreye girer; ham dd kopyasından meta verili E01 kaplarına kadar farklı biçimler, imajın hem doğrulanabilir hem de araçlar arasında taşınabilir kalmasını sağlar.

Ne İşe Yarar?

Bir soruşturmada telefon çoğu zaman en yoğun kişisel iz kaynağıdır: konum geçmişi, uygulama verileri, silinmiş mesajlar ve kimliği doğrulanmış oturumlar burada birikir. Fiziksel imaj, bu verilerin bir kez güvenli biçimde alınıp sonra tekrar tekrar, cihaza dokunmadan incelenmesine olanak tanır. Cihazın nasıl yapılandırıldığını ve hangi uygulamaların hangi izinlere sahip olduğunu anlamak, mobil uygulama güvenliği açısından da değerli bir bağlam sunar.

Privia Security, mobil cihazlardan delil bütünlüğünü koruyarak imaj çıkaran ve bu imajları çözümleyen adli analiz hizmetiyle, cihazın hafızasında kalan izleri mahkemeye ve olay müdahalesine uygun biçimde ortaya koyar. Bu çalışmalar, daha geniş DFIR adli analiz ve olay müdahalesi sürecinin ayrılmaz bir parçasıdır.