Volume Shadow Copy incelemesi, Windows’un bir birimin belirli anlardaki durumunu saklamak için oluşturduğu anlık görüntüleri (VSS) çözümleyerek, dosyaların geçmiş sürümlerine ve o zamandan bu yana silinmiş verilere ulaşma işidir. Bu görüntüler aslında yedekleme ve sistem geri yükleme için tasarlanmıştır, ancak adli açıdan bir sistemin geçmişteki fotoğrafları gibi davranarak bugün artık var olmayan bilgiyi geri getirir.

Bir birim anlık görüntüsü, sistemin geçmiş bir anına ait ve bugünkü diskte silinmiş olsa bile hâlâ okunabilen dondurulmuş bir kopyasıdır.

Nasıl Çalışır?

Windows bir anlık görüntü oluşturduğunda tüm diski kopyalamaz; bunun yerine yazma sırasında kopyalama (copy-on-write) yöntemiyle yalnızca değişen blokların eski hallerini saklar. Bir dosya güncellenmeden ya da silinmeden önceki bloğu, anlık görüntü tarafından bir kenara yazılır; böylece o görüntü etkin olduğu sürece dosyanın önceki hali yeniden kurulabilir. Sistem güncellemeleri, sürücü kurulumları ya da zamanlanmış görevler zaman zaman yeni görüntüler ürettiğinden, bir makinede geçmişin birden çok kesitine ait katmanlar bir arada bulunabilir.

Analist bu görüntüleri incelemeye aldığında, her birini ayrı bir birim gibi bağlayarak o ana ait dosya sistemini adeta zaman içinde geri sarar. Böylece bugünkü diskte bulunmayan bir belge, bir görüntüde olduğu gibi durabilir; ya da aynı dosyanın farklı görüntülerdeki sürümleri karşılaştırılarak içeriğin zaman içinde nasıl değiştiği izlenebilir. Bu yaklaşım, genel adli bilişim pratiğine geçmişe erişim boyutu ekleyen güçlü bir kaynaktır.

Neyi Ortaya Çıkarır?

Anlık görüntülerin adli değeri, özellikle silme ve değiştirme vakalarında belirginleşir. Bir kullanıcı bir dosyayı silmiş olsa bile, silme işleminden önce alınmış bir görüntüde o dosya bütünüyle durabilir. Aynı şekilde bir belgenin üzerine yazılıp değiştirilmiş hali diskte görünürken, önceki metni bir görüntüden çıkarmak mümkün olur. Kayıt defteri kovanlarının geçmiş sürümleri de bu görüntülerden alınabildiğinden, inceleme dosya içeriğiyle sınırlı kalmaz.

Bu yetenek, kanıtı gizlemeye çalışan saldırganların işini zorlaştırır. Diskteki güncel dosyalarını temizleyen biri, çoğu zaman aynı verinin eski bir anlık görüntüde durduğunun farkında olmaz. Bu yönüyle VSS incelemesi, kanıt izlerini silmeyi amaçlayan anti-forensic teknikler karşısında güçlü bir denge unsuru sağlar; ancak dikkatli saldırganların görüntüleri de silebileceği ve bu silmenin kendisinin ayrı bir iz oluşturduğu unutulmaz.

İncelemedeki Yeri

Volume Shadow Copy, her görüntünün kendi zaman damgasını taşıması sayesinde bir olayın gelişimini zaman içinde izlemek için de değerlidir. Bir dosyanın hangi görüntüde belirdiği ve hangisinde kaybolduğu, o dosyanın yaşam süresini belirli bir aralığa oturtur. Bu bilgi zaman çizelgesi analizi ile birleştirildiğinde, bir eylemin kabaca ne zaman gerçekleştiğine dair güçlü bir çerçeve çıkar.

Elde edilen geçmiş sürümler ve silinmiş dosyalar tek başına değil, olayın diğer kalıntılarıyla birlikte değerlendirilir ve bir dosya sistemi adli analizi bütünlüğü içinde yorumlanır. Privia Security, birim anlık görüntülerinden geçmiş veriyi delil değeriyle çıkarma işini adli analiz hizmeti kapsamında yürütür.