Yazma koruyucu donanım, inceleyeceğiniz disk ile analiz bilgisayarı arasına takılan ve diske giden her yazma komutunu geçirmeyen bir ara birimdir. Adli incelemede temel sorun şudur: modern işletim sistemleri bir depolama birimini gördüğü anda ona kendiliğinden dokunur; erişim zaman damgalarını günceller, geri dönüşüm kutusunu yazar, hatta bir birim etiketi oluşturur. Bu sessiz yazmaların her biri, orijinal delilin durumunu değiştirir ve mahkemede itiraza açık hale getirir.

Yazma koruyucu donanım, deliline dokunmadan okumanı sağlayan, okuma komutlarını geçiren ama yazma komutlarını kapıda durduran donanımsal bir tek yön kapısıdır.

Nasıl Çalışır?

Cihaz, disk ile inceleyicinin makinesi arasındaki veri yolunda oturur ve protokol seviyesinde komutları ayıklar. SATA, SAS, USB, NVMe ve IDE gibi arayüzler için okuma yönündeki komutlar (READ, IDENTIFY) hedefe iletilirken, yazma yönündeki komutlar (WRITE, ERASE, FORMAT) ya sessizce düşürülür ya da diske ulaşmadan hata olarak geri döndürülür. Böylece işletim sistemi diski takıldığını görür, imaj alma yazılımı bütün sektörleri okuyabilir, ama fiziksel ortamdaki hiçbir bit değişmez.

Donanımsal yazma koruyucular, yazılım tabanlı alternatiflere göre daha güvenilir kabul edilir çünkü koruma işletim sisteminin insafına bırakılmaz; kaynak diske giden yol fiziksel devrede kesilmiştir. Ciddi cihazlar yazma girişimlerini bir sayaçta tutar ve inceleme sonunda bu sayacın sıfır olması, sürecin temizliğine dair somut bir kanıt sağlar.

Kanıt Bütünlüğüyle İlişkisi

Bir disk imajının delil olarak kabul görmesi, kaynağın alma anında ve sonrasında değişmediğinin gösterilmesine bağlıdır. Uygulamada imaj alınmadan önce ve sonra hesaplanan kriptografik özet değerlerinin (hash) birebir aynı çıkması beklenir. Yazma koruyucu tam bu noktada devreye girer: kaynak diske yazma imkânsız olduğu için alma sürecinin özet değeri bozması mümkün değildir. Bu adım, disk imajı ve yazma koruyucu pratiğinin ayrılmaz bir parçasıdır ve toplanan verinin sonraki her aşamada güvenilir kalmasını mümkün kılar.

Cihazın kullanımı da kayıt altına alınır. Hangi diskin, hangi seri numarasıyla, hangi yazma koruyucu üzerinden, kimin elinde ve ne zaman incelendiği belgelenir. Bu belgeleme, delil zinciri kayıtlarının bir halkasını oluşturur ve mahkemede “bu veriyle oynanmış olabilir mi?” sorusuna verilecek yanıtı hazırlar.

Donanımsal ve Yazılımsal Koruma Ayrımı

Yazma koruma iki biçimde uygulanabilir ve ikisi de farklı bağlamlarda iş görür:

• Donanımsal yazma koruyucu: Ayrı bir fiziksel cihazdır, işletim sisteminden bağımsız çalışır ve saha koşullarında en yüksek güveni sağlar.
• Yazılımsal yazma koruma: Kayıt defteri veya çekirdek seviyesinde yazmayı kapatan yapılandırmadır; pratiktir ama doğru kurulmazsa boşluk bırakabilir.
• Salt-okunur bağlama (read-only mount): Linux tabanlı inceleme ortamlarında dosya sistemini yalnızca okunur bağlamak, yazılımsal korumanın yaygın bir biçimidir.

Pratikte Ne İfade Eder?

Bir olay sonrası ele geçen dizüstü bilgisayarın diski incelenecekse, ilk fiziksel temas yazma koruyucu üzerinden yapılır; ham imaj bu koruma altında alınır ve bütün analiz kopya üzerinde yürütülür. Orijinal medya bir daha çalıştırılmaz. Privia Security’nin adli bilişim çalışmalarında bu sıra bir alışkanlık değil, sonucun hukuki geçerliliğini belirleyen bir zorunluluktur. Kurumsal bir vakada delil toplama ve inceleme aşaması için ekibimizin adli analiz hizmetinden yararlanabilirsiniz.