Windows Sistemlerde Adli Analiz

Siber olaylar, doğru teknik ve yöntemlerle incelenmesi gereken dijital delil süreçleridir. Windows sistemlerde adli analiz, bir şüpheyi teknik kanıta dönüştürme disiplinidir. Bu doküman, Windows ortamlarında gerçekleştirilen adli bilişim çalışmalarında ihtiyaç duyulan temel teknik referansları tek bir çerçevede sunmak amacıyla hazırlanmıştır. İçerik; veri toplama aşamasından bellek analizine, Registry incelemesinden NTFS ve MFT yapılarına, Volatility kullanımı ve Windows Event Log analizine kadar kritik başlıkları kapsamaktadır.

Veri Toplama Süreci

Adli analiz sürecinin en kritik aşaması doğru veri toplamadır. Sanal makinelerden bellek ve disk imajı alınırken delil bütünlüğünün korunması esastır. VMware ve VirtualBox ortamlarında memory ve disk acquisition yöntemleri, UUID doğrulaması ve hash kontrol süreçleriyle birlikte ele alınmaktadır. Eksik veya hatalı imaj alma işlemi, analiz sürecinin teknik geçerliliğini doğrudan etkiler.

Registry Analizi

Windows Registry, sistem yapılandırmalarından kullanıcı davranış izlerine kadar geniş bir dijital iz (artifact) kaynağıdır. SYSTEM ve SOFTWARE hive’ları sistem değişikliklerini gösterirken, NTUSER.DAT ve USRCLASS.DAT kullanıcı etkileşimlerini ortaya çıkarır. Run anahtarları, servis kayıtları, MRU girdileri ve ShellBag izleri olay zaman çizelgesi oluşturma sürecinde kritik rol oynar.

NTFS ve MFT İncelemesi

NTFS dosya sistemi, her dosya için MFT kaydı oluşturur ve MACB zaman damgaları üzerinden detaylı analiz yapılmasına imkan tanır. $LogFile ve $UsnJrnl mekanizmaları, dosya sistemi değişikliklerini takip etmeyi mümkün kılar. Silinmiş dosyaların tespiti, zaman manipülasyonu analizi ve metadata karşılaştırmaları adli incelemenin temel yapı taşlarıdır.

Bellek Analizi ve Volatility

Disk üzerinde iz bırakmayan fileless zararlılar, injected kodlar ve process hollowing gibi teknikler yalnızca RAM analizi ile tespit edilebilir. Volatility framework kullanılarak süreç analizi, DLL yüklemeleri, ağ bağlantıları, token manipülasyonları ve kernel seviyesinde incelemeler gerçekleştirilebilir. Bellek analizi, özellikle gelişmiş tehdit aktörlerinin kullandığı tekniklerin ortaya çıkarılmasında kritik öneme sahiptir.

Windows Event Log ve Sysmon

Oturum açma denemeleri, servis kurulumları, PowerShell aktiviteleri ve Defender olayları Windows Event Log’larında kayıt altına alınır. Event ID’lerin tek başına değerlendirilmesi yeterli değildir. Zaman damgası, SID, kaynak ve süreç bilgileri ile birlikte analiz edilmelidir. Sysmon kurulu ortamlarda süreç oluşturma, DNS sorguları, DLL yüklemeleri ve registry değişiklikleri gibi olaylar daha derin görünürlük sağlar.