Adli bilişim atlatma teknikleri ve karşı tedbirler
Anti forensics techniques and countermeasures
Yazar: MURAT GÜL
Danışman: DR. ÖĞR. ÜYESİ MUHAMMED ALİ AYDIN ; DR. ÖMER ÇETİN
Milli Savunma Üniversitesi / Hezarfen Havacılık ve Uzay Teknolojileri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı / Siber Güvenlik Bilim Dalı
Derece: Yüksek Lisans, 2018
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Adli bilişim = Computer forensics

Özet:
Bilgi teknolojileri (BT), insanoğlunun yaşam biçimini önemli derecede değiştirmiştir. Özellikle 21'inci yüzyıl BT'nin yükselme dönemi olarak tarihe geçmiştir. BT ve dijital haberleşme yaşam standartlarını yükseltmiş, bilgiye ulaşmayı kolaylaştırmıştır. Bunun yanında BT ve dijital haberleşmedeki gelişmeler saldırganlara da suç işlemede yeni yöntemler sunmuştur. Kimlik hırsızlığı, çevrimiçi bilgisayar korsanlığı (hacking), siber terörizm siber suç olarak adlandırılan bu yöntemlerden bazılarıdır. Ayrıca siber suçlar milli güvenliği ve ekonomiyi tehdit etmektedir. 

Suçların siber alana taşınmasıyla birlikte, suçun ispatı için delillerin bilimsel ve teknik yöntemlerle toplanması, incelemenin yapılması ve bulguların adli birimlere sunulmasına yönelik yeni bir disiplin oluşturulmasına gerek duyulmuştur. "Adli Bilişim" olarak adlandırılan bu disiplin, elektro-optik ve manyetik ortamlarda tutulmakta olan veya bu ortamlar arasında iletilen veri, bilgi, görüntü, ses ya da bunların bütününden oluşan her türlü bilişim  nesnesinin, mahkemede sayısal delil özelliği taşıyacak şekilde tanımlanması, elde edilmesi, muhafazası, incelenmesi ve mahkemelere sunulması çalışmalarının bütünü olarak tanımlanmakta ve ele alınmaktadır.

Adli bilişim uzmanları, bir bilgisayardan kullanıcısına ait istihbarat elde edilmesi, silinen dijital verilerin kurtarılması, saldırganların faaliyetlerinin incelenmesi için "Adli Bilişim Araçları (ABA)"ndan faydalanmaktadır. Suçluların olay yerindeki delilleri yok etmeye çalıştıkları gibi, siber suçlular da dijital verilerin toplanmasında ve analizinde bilişim uzmanının veya ABA'ların çalışmalarına engel olan, aranan bilgiyi gizleyen, sahte delil ile masum üçüncü kişileri suçlu çıkartan bazı teknikler ve yöntemler kullanmaktadırlar.

Adli Bilişim Atlatma Teknikleri (ABAT) ve araçları  son dönemde ilgi çekici bir alan olmuştur. Adli bilişim süreçleri ve ABA'ların çalışma yöntemleri suçlular tarafından da bilinmekte ve karşı yöntemler geliştirilmektedir. Bu yöntemlerin bir kısmı, suç unsuru olan verinin tamamen yok edilmesine yönelik işlemleri içerirken, bir kısmı verinin şifrelenmesi veya gizlenmesine, bir kısmı da bilişim uzmanlarının ve ABA'ların aldatılmasına yönelik teknikleri içermektedir. Klasik ABAT'lar sabit disk üzerine yazma (disk overwrite), sürücülere fiziksel zarar verme veya şifreleme gibi verinin geri döndürülemeyeceği ya da geri döndürülmesinin çok uzun zaman alacağı yöntemlerden oluşmaktadır. Yeni gelişen ABAT'lar ise klasik yöntemlerin dışında, verilerin gizlenmesi, belgelere ait üst (metadata) verilerinde değişiklik yapma, belgelerin oluşturulma, değiştirilme ve erişim zamanlarında değişiklik yapma, belgelerin başlık bilgisini değiştirerek farklı tipte belge gibi davranmasını sağlama, belgelerin özet bilgisini (hash) çakıştırarak zararlı belgenin gizlenmesi, standart olmayan RAID yapısının kullanılması gibi, daha sık kullanılan, inceleme süresini uzatan, bilginin toplanmasını zorlaştıran yöntemleri içermektedir. 

Bu tez çalışmasında, öncelikle adli bilişim uzmanları (ABU), bilirkişiler ve bilgi güvenliği uzmanları için, adli bilişim süreçlerini atlatma, ABA'ları aldatma, ABA'lara yönelik saldırılar, klasik ABAT'lar ve günümüzde kullanılan modern ABAT'lar ele alınmıştır. ABAT'ların nasıl yapıldıkları, hangi adli bilişim süreçlerini hedef aldıkları, ABAT'ların tespiti ve bu tekniklere karşı alınabilecek önlemler hakkında bilgi verilmiştir. ABAT'lar, kullanım amaçlarına göre belirli bir sınıflandırma altında incelenmiştir. Genel olarak, yaygın kullanımı nedeniyle Microsoft Windows işletim sistemi esas hedef olarak ele alınmıştır. Çok basit teknikler kullanılarak dahi, bir adli bilişim incelemesinin ne kadar karmaşık bir hal alabileceği bu çalışma içerisinde ortaya konulmaya çalışılmış ve bu tekniklere karşı dikkat edilecek hususlar ile alınabilecek tedbirlere ait bilgilere yer verilmiştir.

Abstract:
Information technology (IT), has significantly changed human lifestyle. Especially 21st century has been a rising period in the history of IT. IT and digital communications have raised living standards and have facilitated access to information. However, digital communications have provided criminals a newer way to commit crime. Amongst digital crime (cyber-crime) is the combination of wide range of crimes, such as identity theft, online piracy, hacking, and terrorism. Furthermore, cyber crime poses a threat to national security and the economy.

With the shifting of crimes to the cyber space, it has been necessary to establish a new discipline which covers gathering evidence scientifically and technically as a proof of a crime, analysing evidence and presenting findings to the judicial units or law enforcement agencies. This discipline, which is called as "Digital Forensics", is defined as combination of efforts of identifying, obtaining, capturing, analysing data, information, image, sound or an informatics object that is combination of all these as digital evidences which are kept in or transferred through electro-optical and magnetic medium  and presenting them to the courts.

Forensics experts benefit from "Computer Forensic Tools" (CFT) to obtain intelligence from a computer, to recover deleted digital data, and to investigate the activities of attackers. Just as criminals are trying to remove evidence at the physical crime-scene, cyber-criminals also use some techniques and methods which cause disrupting CFTs and forensics experts at the phase of collecting and analysing of digital evidence, hiding suspicious data, incriminating innocent third parties by planting fake evidence into digital media.

The Anti-Forensics Techniques (AFT) and its tools have recently become an area of interest. Computer Forensics processes and CFT's working methods are also known to criminals and counter-methods are being developed by them. Some of these methods include procedures for the complete destruction of the data which is suspected as crime element, some of which are ciphering or concealing the data, and some of which are techniques for deceiving computer experts and CFTs. Classic AFTs consist of methods such as overwriting the hard disk, physically damaging the disk drives or encrypting which causes data not to be recovered or require a long time to be recovered. Newly developed AFTs, contrary to classical methods, include frequently used methods, which prolong analysis time, complicate gathering of digital evidences such as using data hiding techniques, changing metadata of documents, manipulating timestamps of a document's modified, access, change and entry times, making a file type seem like another file type by changing document header information, hiding malicious data by colliding its hash info with a good known file's hash and applying non-standard RAID types. 

In this thesis study, it is dealt with describing countering digital forensics processes, deceiving CFTs, attacks targeting bugs of CFTs, classical AFTs and modern AFTs used frequently today for primarily digital forensics investigators, valuators and information security specialists. It is aimed to provide information about how AFTs are being implemented and which digital forensics process is targeted by AFTs and how to detect AFTs used and countermeasures against AFTs. AFTs have been studied under a specific classification for their intended use. In general, as it is widely used, the Microsoft Windows operating system is considered as the main target. It is shown in this study how complex a forensic examination can be, even using very simple techniques and the information on considerations against these techniques with the precautions are included.