Tarayıcı adli analizi, bir web tarayıcısının kullanıcı etkinliği sırasında biriktirdiği verileri inceleyerek kimin, ne zaman, hangi adrese eriştiğini ve ne indirdiğini ortaya çıkaran incelemedir. Modern tarayıcılar; geçmiş, indirme kayıtları, çerezler, oturum verileri, önbellek ve otomatik doldurma bilgilerini yerel veri tabanlarında tutar, bu da bir cihazın çevrimiçi davranışına dair oldukça ayrıntılı bir tablo bırakır.

Bir tarayıcının yerel veritabanları, kullanıcının çevrimiçi hareketlerinin çoğu zaman farkında olmadan tutulan zamanlı bir kaydıdır.

Hangi Veriler İncelenir?

En doğrudan kaynak gezinme geçmişidir: her ziyaret bir URL, başlık, ziyaret sayısı ve zaman damgasıyla saklanır. Bunun yanında indirme kayıtları dosyanın nereden alındığını ve diskteki hedef yolunu gösterir; çerezler ve oturum belirteçleri belirli hesaplara giriş yapıldığını ortaya koyar; önbellek ise ziyaret edilen sayfaların görsel ve metin parçalarını, hatta artık çevrimdışı olan içerikleri barındırabilir. Otomatik doldurma ve kayıtlı form verileri, kullanıcının girdiği arama terimlerine ve bilgilere ışık tutar.

Bu verilerin çoğu SQLite veya benzeri yapılandırılmış dosyalarda tutulduğu için, silinmiş bir geçmiş satırı bile dosyanın kullanılmayan alanından geri gelebilir. Dolayısıyla tarayıcı incelemesi çoğu zaman ham dosyanın düşük seviyeli analiziyle iç içedir ve genel adli bilişim yöntemlerinin tarayıcı verisine uyarlanmış halidir. Zaman damgalarının farklı tarayıcılarda farklı biçimlerde (Unix, WebKit, FILETIME) saklanması, doğru yorumlama için biçim dönüşümünün titizlikle yapılmasını gerektirir.

Etkinliğin Yeniden Kurulması

Tekil kayıtlar tek başına anlamlı olsa da, asıl değer bu kayıtların sıraya dizilmesiyle ortaya çıkar. Bir kullanıcının belirli bir arama yapması, ardından bir siteye girmesi ve oradan bir dosya indirmesi, saniyeler içindeki zaman damgalarıyla birbirine bağlandığında niyet ve eylemi gösteren bir dizi oluşturur. Bu diziler zaman çizelgesi analizi içinde diğer sistem olaylarıyla hizalandığında, bir eylemin gerçekten o kişi tarafından, o anda yapıldığını destekleyen güçlü bir örüntü elde edilir.

İnceleme yalnızca ziyaret edilenleri değil, ziyaret bağlamını da dikkate alır. Gizli/özel pencere kullanımı geçmişi diske yazmasa da, DNS önbelleği veya bellek gibi başka kalıntılar iz bırakabilir. Aynı şekilde senkronizasyon açık bir hesap, bir cihazdaki etkinliğin başka bir cihaza taşınmış olabileceğini gösterir; bu da incelemenin kapsamını genişletir.

Vaka Türleri ve Kurumsal Değer

Tarayıcı verileri hem çalışan suistimali ve veri sızdırma incelemelerinde hem de bir cihazın nasıl ele geçirildiğini anlamada işe yarar. Bir kimlik avı saldırısında kurbanın hangi sahte adrese girdiği, bir veri hırsızlığında hangi bulut depolama servisine dosya yüklendiği çoğu zaman ilk olarak tarayıcı kayıtlarından okunur. Bu bulgular cihazın dosya sisteminde kalan diğer izlerle çapraz doğrulandığında, tek bir kaynağa dayanmanın yanıltıcılığından kaçınılır ve tablo bir dosya sistemi adli analizi bütünlüğüne kavuşur.

Elde edilen kronoloji ve etkinlik haritası, olayın nasıl geliştiğini anlatan daha geniş bir DFIR adli analiz ve olay müdahalesi anlatısının parçası olur. Privia Security, tarayıcı kalıntılarından delil niteliğinde etkinlik kaydı çıkarma işini adli analiz hizmeti kapsamında, kanıt bütünlüğünü koruyan bir yöntemle yürütür.