Steganografi tespiti, bir görsel, ses ya da belge dosyasının taşıdığı görünür içeriğin yanında saklanmış ek veriyi saptama işidir; alan yazınında steganaliz adıyla da geçer. Şifrelemeden ayrıldığı nokta şudur: burada amaç mesajın içeriğini çözmek değil, öncelikle böyle bir mesajın var olup olmadığını kanıtlamaktır. Steganografi veriyi gözden kaçacak biçimde saklamayı hedeflerken, tespit tarafı bu saklama işleminin dosyada bıraktığı ince izleri arar.

Steganografi tespiti, bir dosyanın size gösterdiği içeriğin taşıdığı tek mesaj olmadığını gösterme çabasıdır.

Gizleme işlemlerinin çoğu, insan gözü ve kulağının fark edemeyeceği kadar küçük değişiklikler üzerine kuruludur. En yaygın yöntem, bir PNG ya da BMP görselindeki piksellerin en anlamsız bitine (LSB) veri yazmaktır; bu bit değiştiğinde renk tonu binde bir oranında kayar ve ekranda hiçbir fark görünmez. Ses dosyalarında aynı mantık örnekleme değerlerinin son bitlerine, belgelerde ise sözcük araları ve görünmez karakterlere uygulanır.

Gizli Veri Nasıl Aranır?

Steganaliz, dosyanın taşıması beklenen doğal istatistiksel yapıyla eldeki dosyanın gerçek yapısı arasındaki sapmayı ölçer. LSB gizlemesi, normalde düzensiz dağılan son bitleri belirli değer çiftleri arasında yapay olarak dengeler; ki-kare testi ve RS analizi gibi yöntemler tam da bu dengelenmeyi yakalar. Bir başka yaklaşım entropi ölçümüdür: sıkıştırılmış ya da şifreli veri gömülü bir dosyanın rastgelelik düzeyi, aynı türden temiz bir dosyaya göre belirgin biçimde yükselir.

İstatistiğin yanında dosyanın yapısal bütünlüğü de incelenir. Bir JPEG’in beklenen bitiş işaretinden sonra devam eden baytlar, alan boyutu bildirimiyle uyuşmayan başlıklar veya standart dışı meta veri blokları, gömülü bir yükün habercisi olabilir. İnceleyen kişi çoğu zaman şu belirtileri sırayla kontrol eder:

• Görsel kalitesiyle orantısız büyümüş dosya boyutu
• Dosya sonu işaretinden sonra gelen artık veri
• Beklenenden yüksek entropi ve bozulmuş renk histogramı
• Bilinen steganografi araçlarının bıraktığı imza dizileri

Adli İncelemede Yeri

Bir sızma ya da veri çıkarma olayında saldırganlar, çalınan bilgiyi kurum ağından dışarı taşırken masum görünen tatil fotoğraflarının içine saklayabilir; bu teknik güvenlik duvarı ve içerik denetimi katmanlarını atlatmayı kolaylaştırır. Bu yüzden steganaliz, DFIR adli analiz ve olay müdahalesi süreçlerinde ele geçirilen disklerdeki medya dosyalarına uygulanan standart bir kontrol adımına dönüşmüştür. Bulunan gizli yük, hem sızıntının kapsamını hem de kullanılan aracı belirlemede doğrudan kanıt sağlar.

Tespiti Zorlaştıran Etkenler

Modern gizleme araçları veriyi gömmeden önce şifreliyor ve dosyanın istatistiksel profilini bozmayacak biçimde dağıtıyorsa, klasik testlerin yakalama oranı düşer. Taşıyıcının orijinal halinin elde bulunması bu noktada belirleyicidir; aynı görselin bozulmamış kopyasıyla bayt bayt karşılaştırma, en dirençli yöntemleri bile açığa çıkarabilir. Kurumlar bu tür incelemeleri kendi ekipleriyle yürütmekte zorlandığında, uzman bir adli analiz ekibiyle çalışmak hem doğru araç seçimini hem de bulguların mahkemede geçerli biçimde raporlanmasını güvence altına alır.