01Kapsam
- Uçuculuk sırası ve sistemi çalışır tutma kararı
- RAM'in doğrulanmış bir imaj dosyasına alınması ve hash değeri
- Süreç ağaçları, yüklü modüller, tanıtıcılar, ağ soketleri, enjekte kod
- Şifreleme durumu: alım anında bağlı BitLocker, FileVault, VeraCrypt birimleri
- Diskteki bellek kalıntıları olarak hazırda bekletme ve sayfa dosyaları
02Yanıtladığı sorular
- Hangi süreçler çalışıyordu; kim, hangi komut satırıyla başlattı?
- Sistem alım anında hangi uzak adreslere bağlıydı?
- Bellekte, diskte dosya bırakmayan kötü amaçlı kod var mıydı?
- Şifreli birimler bağlı mıydı; anahtarları hukuka uygun biçimde korunabilir mi?
- Ekranda ve panoda ne vardı?
03Kullanılan delil
| Kaynak | Ne verir | Not |
|---|---|---|
| Fiziksel bellek imajı (raw, LiME, AFF4) | Süreçler, DLL'ler, soketler, bellekteki kayıt defteri, kimlik bilgileri, şifresi çözülmüş içerik | Aracı, sürücü sürümünü, başlangıç ve bitiş zamanını ve çıktının hash değerini kaydedin; bellek okunurken değişir. |
| Uçucu komut çıktıları (süreç listesi, ağ durumu, oturum açmış kullanıcılar, ARP, yönlendirmeler) | Bellek imajını çapraz kontrol eden okunabilir bir anlık görüntü | Güvenilir harici ortamdan çalıştırın; her komutu, zamanını ve hash değerini günlükleyin. |
| hiberfil.sys, pagefile.sys, swapfile.sys, çökme dökümleri | Son kapanıştan öncesine ait bellek parçaları | Modern Windows'ta sıkıştırılmıştır; içerik kısmi ve tarihsizdir. |
| Ekran fotoğrafları ve cihazın gösterdiği saat | Görünür durum, açık uygulamalar, saat sapması | Klavyeye dokunmadan önce çekin; kameranın referans zamanını not edin. |
04Nasıl ele alınır
Karar verin ve nedenini kaydedin
Sistem açıksa ekranı belgeleyin; şifreleme, uzaktan silme riski ve sorulan sorulara göre canlı toplama ile kontrollü kapatma arasında karar verin. Gerekçe notlara yazılır.
Uçuculuk sırasına göre toplayın
RFC 3227'nin sıraladığı gibi: yazmaçlar ve önbellek, bellek, ağ durumu, çalışan süreçler, disk, ardından uzak günlükler ve arşiv ortamları.
Ayak izinizi en aza indirin ve günlükleyin
Çalıştırdığınız her araç bir süreç oluşturur, bellek ayırır ve diske yazabilir. Yazma korumalı ortamdan bilinen araçları kullanın, çıktıyı kendi ortamınıza yazın ve her eylemi zamanıyla günlükleyin.
Çekirdekle eşleşen profil ve sembollerle analiz edin
Bellek yapılarını ayrıştırmadan önce tam işletim sistemi yapısını belirleyin; yanlış profil makul görünen ama yanlış süreç listeleri üretir.
Disk ve günlüklerle çapraz doğrulayın
Bellekteki bir süreç diskteki bir yürütülebilir dosyayla, bir Prefetch kaydıyla, 4688 olayıyla ya da hizmet kurulumuyla eşleşmelidir; eşleşmeyen süreç incelemenin odağıdır.
05Artefaktlar
Bu alanın arkasındaki kütüphane kayıtları:
06Tuzaklar
- Bellek edinimi hiçbir zaman tam tutarlı değildir; okuma sırasında sayfalar değişir. Alım süresini raporlayın.
- Kendi araçlarınız imajda görünür; şüpheli olarak raporlanmamaları için etiketleyin.
- Süreç adları kolayca taklit edilir; yol, hash, üst süreç ve komut satırıyla tanımlayın.
- Bellekte bulunan kimlik bilgileri ya da anahtarların kullanımı hukuki sınırlara tabi olabilir; yetki olmadıkça koruyun, kullanmayın.
07Rapor ne belirtir
- Varıştaki sistem durumu (güç, kilit, ekran içeriği), fotoğraflar ve zamanlarla.
- Canlı sistemde yapılan eylemlerin sırası; her biri zaman, araç, sürüm ve çıktı hash değeriyle.
- Bellek imajı boyutu, alım süresi, hash değeri ve analizde kullanılan profil.
- Hangi bulguların yalnızca bellekten geldiği, hangilerinin diskte doğrulandığı.
08Bir rapora sorulacaklar
- Sistem neden çalışır tutuldu ya da kapatıldı; bu kararı kim verdi?
- Canlı sistemde ne, hangi sırayla çalıştırıldı ve neyi değiştirdi?
- Bellek imajının hash değeri alındı mı; analiz profili belirtilmiş mi?
- Her bellek bulgusu bir disk ya da günlük artefaktıyla eşleştirilmiş mi?