Macos işletim sistemine sahip bilgisayarlar üzerinde adli bilişim açısından önem arz eden kayıtların incelenmesi
Investigation of important records in terms of forensic computing on macos operating system
Yazar: TÜMAY KURTCA
Danışman: PROF. DR. REFİK SAMET
Ankara Üniversitesi / Sağlık Bilimleri Enstitüsü / Disiplinlerarası Adli Bilimler Ana Bilim Dalı
Derece: Yüksek Lisans, 2021
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control ; Bilim ve Teknoloji = Science and Technology ; Mühendislik Bilimleri = Engineering Sciences
Dizin: Adli bilimler = Forensic sciences ; Adli bilişim = Computer forensics ; Bilgi kaydı = Information recording ; Bilgisayarlar = Computers ; İşletim sistemleri = Operating systems

Özet:
Bu çalışma, Mac işletim sistemine sahip bilgisayarlar üzerinde; adli bilişim açısından önem arz eden kayıtların tespit edilmesi ve analizi için bir metodoloji önerilmesi, inceleme yaparken karşılaşılan problemleri tespit etmek ve bu problemlere çözüm önerisi sunmak amacıyla yapılmıştır.

Bu çalışma için ilk aşamada literatür taraması yapılmıştır. Literatür taraması sonucunda; yapılan çalışmaların MacOS 10.14 versiyonundan önceki sürümler üzerinde gerçekleştirildiği görülmüş olup platform olarak MacOS 10.14 (Mojave) versiyonu seçilmiştir.

İncelemeler için, adli bilişim açısından önem arz edebileceği değerlendirilen ve genel olarak inceleme isteklerinde belirtilen istekler doğrultusunda çeşitli uygulamalar yapılmış ve bu uygulamaların ardından; lisanslı programlar ve internet üzerinden araştırılarak ücretsiz temin edilen programlar ile analizleri gerçekleştirilmiştir.

Önerilen metodoloji kullanılarak yapılan analizlerin sonucunda;  işletim sisteminin kurulma tarihi, oluşturulan ve silinen kullanıcılar, kullanıcı giriş (login) ve çıkış (logout) verileri, bilgisayarın başlatma ve kapama bilgileri, tarih-saat değişiklikleri, ağ yapılandırması, ağ üzerinden erişim, kablosuz erişim noktalarına yapılan bağlantılar, MAC adresi tespitleri, yazıcı ile ilgili kayıtlar, bilgisayara takılan harici veri depolayan cihazlar, yüklü programlara ait kayıtlar gibi çeşitli veriler tespit edilmiştir. Ayrıca karşılaşılan problemlere ait çözüm önerileri sunulmuştur.

Çalışmalar neticesinde yapılan tespitler ve yapılan literatür taramasında tespit edilen diğer kayıtlara ait izlerin nerede bulunduğunu gösteren bir çizelge oluşturulmuştur.

Abstract:
This study was conducted on computers with Mac operating system sent to our laboratory for examination; The aim of this study was to determine the problems that are important for forensic informatics and to create a methodology for the analysis of the records, to identify the problems encountered during the investigation and to propose solutions to these problems.

In the first stage of this study, literature review was executed. As a result of literature review; It has been noticed that the studies were performed on versions which are earlier than MacOS 10.14. For this reason, MacOS 10.14 (Mojave) version was chosen as the platform.

For the investigations, various applications have been made in line with the requests that are considered to be of importance in terms of forensic informatics and that are generally stated in the requests for examination. And in addition; the licensed programs and the programs that were provided free of charge were searched through the internet and analyzed. 

As a result of analysis using the proposed methodology; operating system installation date, created and deleted users, user login and logout data, computer startup and shutdown information, date-time changes, network configuration, network access, connections to wireless access points, MAC addresses, printer-related records various data, such as devices attached to the computer, external data storage devices, records of installed programs have been identified. In addition, solutions for the problems encountered are presented.

As a result of the studies, a table showing the traces of the other records found in the findings and the literature search has been created.