SaaS ortamlarında delil toplama, e-posta, dosya paylaşımı veya CRM gibi bulutta çalışan yazılım hizmetlerinden adli kanıtı, sağlayıcının sunduğu günlükler ve etkinlik kayıtları üzerinden elde etme işidir. Burada geleneksel adli bilişimin temel varsayımı geçerli değildir: incelenecek bir disk ya da elle tutulur bir sunucu yoktur, yalnızca sağlayıcının size gösterdiği kadarı vardır.

Bulutta delil, ele geçirdiğiniz bir diskten değil, sağlayıcının kaydetmeyi seçtiği ve size erişim verdiği loglardan gelir.

Neden Klasik Yöntemler Yetersiz Kalır?

Bir kurum SaaS uygulaması kullandığında altyapı, veri ve loglar sağlayıcının kontrolündedir. Analist bir sunucudan imaj alamaz; bunun yerine sağlayıcının sunduğu yönetim panelleri ve API’ler aracılığıyla veriye ulaşır. Bu, delil toplamayı sağlayıcının tuttuğu kayıtların kapsamına ve bu kayıtların saklama süresine bağımlı kılar; kaydedilmemiş bir olay, sonradan hiçbir biçimde geri getirilemez.

Bu nedenle asıl kanıt kaynağı, uygulamanın ürettiği etkinlik günlükleridir. Kimin ne zaman oturum açtığını, hangi dosyayı paylaştığını veya hangi ayarı değiştirdiğini gösteren SaaS uygulama logları, bulut ortamındaki bir olayın yeniden kurulmasında merkezî rol oynar.

Delil Nasıl ve Ne Zaman Toplanır?

Bulut loglarının en kritik özelliği geçici olmalarıdır. Birçok sağlayıcı ayrıntılı kayıtları yalnızca belirli bir süre, örneğin doksan gün boyunca saklar; bu pencere kapandığında veri kalıcı olarak kaybolur. Bu yüzden bir olay şüphesi doğduğunda ilgili kayıtların ivedilikle dışa aktarılıp güvenli biçimde saklanması gerekir. Toplama sırasında verinin bütünlüğünü koruyan ve zaman damgalarını olduğu gibi muhafaza eden bir yaklaşım, bulgunun sonradan güvenilir sayılmasını sağlar.

• Oturum açma ve kimlik doğrulama kayıtları (başarılı ve başarısız denemeler)
• Dosya erişim, paylaşım ve indirme etkinlikleri
• Yönetici ayar ve yetki değişiklikleri
• Uygulamalar arası entegrasyon ve API erişim kayıtları
• Coğrafi konum ve cihaz bilgisi içeren erişim izleri

Önleme ile Bağlantısı

Olaydan sonra delil toplayabilmek, olaydan önce doğru kayıtların tutulmaya başlanmış olmasına bağlıdır. Ortamın güvenlik yapılandırmasını ve loglama düzeyini sürekli izleyen bir SaaS güvenlik duruşu yönetimi yaklaşımı, bir olay gerçekleştiğinde inceleme için gerekli izlerin zaten var olmasını sağlar. Loglama kapalıysa, en yetkin analist bile boşluğu dolduramaz.

Privia Security, bulut uygulamalarındaki olayları etkinlik kayıtları üzerinden çözümleyen adli analiz hizmetiyle, disk imajının mümkün olmadığı ortamlarda bile bir saldırının izini sürer. Bu çalışmalar, kurumun geniş DFIR adli analiz ve olay müdahalesi kabiliyetinin bulut ayağını tamamlar.