Adli bilişimin temelleri: dd, Foremost, ExifTool
Delil toplama, zaman çizelgesi ve disk incelemesi.
Seviye 201 · 17 ders · 15 pratik lab
Dersler
İlkeler ve aygıtlar
- Adli bilişim ilkeleri ve delil zinciri: Adli bilişimin temel ilkelerini ve delil zincirinin, delilin kimde olduğunu ve değişmediğini nasıl kanıtladığını anlarsın.
- lsblk ile depolama aygıtını tanımak: İncelenecek bilgisayara bağlı depolama aygıtını doğru tanımayı ve yanlış diske dokunmamayı öğrenirsin.
- Yazma koruması: blockdev --setro ve donanım engelleyiciler
- Kısa görev: lab diskini salt okunur yap ve kanıtla
İmaj ve bütünlük
- dd ile disk imajı almak: dd ile bir diskin birebir kopyasını (imaj) almayı ve asıl diske hiçbir şey yazmadan çalışmanın önemini öğrenirsin.
- sha256sum ile imajın bütünlüğünü doğrulamak: SHA-256 özetiyle (hash) bir imajın asıl diskle aynı kaldığını ve sonradan değişmediğini nasıl kanıtlayacağını öğrenirsin.
- dd ile adli imaj ve dosya kopyası farkı: Adli imajın neden sıradan dosya kopyasından farklı olduğunu, silinmiş izlerin ve boş alanın nasıl yakalandığını anlarsın.
- dcfldd ile imaj alırken özet hesaplamak
- Kısa görev: bir bölümün imajını al, iki özetle doğrula
Dosya kurtarma ve üst veri
- Foremost ile dosya oymacılığı: silinmiş dosyayı kurtarmak: Dosya oymacılığıyla, dosya kaydı silinmiş olsa bile diskte kalan verilerden belgeleri kurtarmayı kendi laboratuvar imajında öğrenirsin.
- ExifTool ile üst veri çıkarmak: ExifTool ile dosyaların içindeki üst veriyi (oluşturan, tarih, cihaz gibi) okumayı ve bunun soruşturmaya ne kattığını öğrenirsin.
- binwalk ile dosyalara gömülü veriyi ayırmak ve gizlenmiş içeriği tespit etmek: Bir görselin ya da yazılım imajının içine eklenmiş başka dosyaları binwalk ile bulup çıkarabileceksin.
- PhotoRec ile biçime göre dosya kurtarmak
- Kısa görev: biçimlendirilmiş bir bellekten fotoğrafları kurtar
Zaman çizelgesi ve rapor
- Zaman çizelgesi kurmak: Farklı kaynaklardaki zaman damgalarını tek bir sıraya dizip olayların ne zaman, hangi sırayla olduğunu gösteren bir zaman çizelgesi kurmayı öğrenirsin.
- Delil raporu yazmak: Bulgularını, kanıtlarını ve sınırlarını açıkça belirten, başkasının tekrar doğrulayabileceği sade bir delil raporu yazmayı öğrenirsin.
- Bitirme görevi: silinmiş bir belgeyi bul ve raporla (Foremost, ExifTool): Bitirme görevi: kurgusal bir şirketin çalışan disk imajında silinmiş bir belgeyi bulur, bütünlüğünü doğrular ve bulgularını kısa bir raporla sunarsın.
Pratik lablar
- Depolama aygıtını tanı: lsblk ile lab diskinin adını, boyutunu ve bölümlerini çıkar.
- Lab diskini salt okunur yap ve kanıtla: blockdev --setro ile diski koru ve yazma denemesinin reddedildiğini göster.
- Yazma koruması olmadan ne değişir: Korumasız bağlanan bir diskte hangi zaman damgalarının ve günlük alanlarının değiştiğini önce sonra özetleriyle göster.
- dd ile bölüm imajı al: Bir bölümün imajını dd ile al ve boyutunun kaynağa eşit olduğunu doğrula.
- İmajı iki özetle doğrula: Kaynağın ve imajın MD5 ile SHA-256 özetlerini al ve eşleşmeyi kayda geçir.
- dcfldd ile imaj alırken özet hesapla: dcfldd ile parçalı özet üreterek imaj al ve bozuk bir bloğun hangi parçada olduğunu bul.
- Adli imaj ile dosya kopyasının farkı: Aynı diskin imajında ve dosya kopyasında bulunanları karşılaştır, kopyada eksik kalanı yaz.
- İmajı bağla ve içeriği listele: İmajı döngü aygıtıyla salt okunur bağla ve kullanıcı klasörlerini listele.
- Kopyada görünmeyen silinmiş dosya: Silinmiş bir dosyanın yalnızca imajda bulunduğunu göster ve neden kopyada olmadığını açıkla.
- Foremost ile dosya kurtar: Bir imajdan JPEG ve PDF dosyalarını oyarak çıkar ve kurtarılan sayıyı raporla.
- Kurtarılan dosyanın üst verisini oku: Kurtarılan belgelerin yazarını ve tarihini ExifTool ile çıkar.
- Silinmiş belgeyi bul ve raporla: Mavikaya Lojistik imajında silinmiş sözleşme belgesini kurtar, üst verisini doğrula ve bulguyu yaz.
- Basit zaman çizelgesi kur: On dosyanın değişim zamanlarından sıralı bir olay listesi çıkar.
- Bulguyu tekrarlanabilir yaz: Tek bir bulguyu komut, çıktı ve özet değeriyle başkasının doğrulayabileceği biçimde belgele.
- Delil raporu yaz: Küçük bir inceleme için kapsam, yöntem, bulgular ve sınırlamalar başlıklarıyla bir sayfalık rapor yaz.
Kurs hakkında
Delil toplama, zaman çizelgesi ve disk incelemesi.
Ne öğreneceksin
- İlkeler ve aygıtlar
- İmaj ve bütünlük
- Dosya kurtarma ve üst veri
- Zaman çizelgesi ve rapor
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.