Bilgisayar ve disk incelemesi

01Kapsam

Windows'ta program çalıştırma ve kullanıcı etkinliği (Prefetch, Amcache, ShimCache, UserAssist, BAM, SRUM, Jump List, LNK)
Dosya sistemi üst verisi ve günlükleri (NTFS $MFT, $UsnJrnl, $LogFile; FAT ve exFAT kayıtları; ext4 inode'ları)
Silinmiş, yeniden adlandırılmış ve taşınmış dosyalar; Geri Dönüşüm Kutusu; Birim Gölge Kopyaları
Çıkarılabilir aygıt geçmişi ve ona ne kopyalandığı
Security günlüğü ve kayıt defteri kovanlarından hesaplar, oturum açmalar ve yetki kullanımı
macOS birleşik günlüğü, FSEvents, karantina ve başlangıç öğeleri; Linux kimlik doğrulama günlükleri, journal ve kabuk geçmişi

Bu program bu bilgisayarda çalıştırıldı mı, hangi hesapla ve ne zaman?
Bu belge açıldı mı, düzenlendi mi, yazdırıldı mı ya da bir USB aygıta kopyalandı mı?
Hangi çıkarılabilir aygıtlar, ne zaman bağlandı ve hangi birim etiketlerini taşıyordu?
Cihaz teslim edilmeden kısa süre önce dosyalar silindi ya da temizlendi mi?
Sistem saati değiştirildi mi; dosya zamanları birbiriyle çelişiyor mu?
Kim, nereden ve hangi yetki düzeyiyle oturum açtı?

Kaynak	Ne verir	Not
Her dahili sürücünün tam disk imajı (E01, AFF4 veya raw)	Aşağıdaki tüm artefaktlar, ayrılmamış alandaki silinmiş veri, gölge kopyalar	Kaynağın ve imajın hash değerleri eşleşmeli ve incelemeden önce kaydedilmelidir.
Kayıt defteri kovanları (SYSTEM, SOFTWARE, SAM, NTUSER.DAT, UsrClass.dat, Amcache.hve)	Saat dilimi, yüklü yazılım, USB aygıtlar, kullanıcı etkinliği, hesaplar	Güncel görünüm için işlem günlükleri (.LOG1/.LOG2) uygulanmalıdır.
Olay günlükleri (Security, System, Application, operasyonel kanallar)	Oturum açmalar, hizmet kurulumları, görev oluşturma, günlük temizleme, güç olayları	Neyin var olduğuna denetim ilkesi karar verir. Olayın yokluğu, eylemin yokluğunun kanıtı değildir.
NTFS üst veri dosyaları ($MFT, $UsnJrnl:$J, $LogFile, $I30 dizinleri)	100 ns zaman damgalı oluşturma, değiştirme, yeniden adlandırma, taşıma ve silme geçmişi	$STANDARD_INFORMATION zamanları kullanıcı modundaki araçlarla değiştirilebilir; $FILE_NAME ile karşılaştırın.
Bellek imajı, hazırda bekletme dosyası, sayfa dosyası	Çalışan süreçler, ağ bağlantıları, şifresi çözülmüş veri, yakın zamanda yazılmış metin	Yalnızca kapatmadan önce alınmışsa ya da diskte hâlâ duruyorsa; bellek incelemesi alanına bakın.

Edinin ve doğrulayın
Sürücüyü yazma engelleyici ya da doğrulanmış bir yazılım yöntemiyle imajlayın; edinim hash değerini hesaplayın, imajı doğrulayın, araç, sürüm, operatör ve zamanı edinim kaydına yazın.
Sistemin referans çerçevesini belirleyin
Herhangi bir zaman damgasını yorumlamadan önce saat dilimini, yaz saati ayarını, işletim sistemi sürümünü, kurulum tarihini, kullanıcı hesaplarını ve son kapanışı kayıt defterinden okuyun.
Her soruyu en az iki bağımsız artefaktla yanıtlayın
Çalıştırma: Prefetch ile Amcache ya da BAM, denetim izin veriyorsa 4688 olayı. Dosya erişimi: LNK, Jump List ve RecentDocs. USB: USBSTOR, setupapi.dev.log, Windows Portable Devices ve LNK birim seri numarası.
Kronolojiyi UTC'de kurun
Her zamanı, özgün kodlaması ve çözünürlüğü notlanmış biçimde UTC'ye normalleştirin. Her olayın yanında artefaktı ve alan adını tutun ki başka bir inceleyici bayta kadar geri gidebilsin.
Alternatif açıklamaları sınayın
Otomatik güncellemeler, antivirüs taramaları, dizinleme hizmetleri ve yedekleme yazılımları da dosya açar ve oluşturur. Bir eylemi bir kişiye bağlamadan önce hesabın etkileşimli oturum açtığını ve örüntünün insan etkinliğine uyduğunu gösterin.

Bu alanın arkasındaki kütüphane kayıtları:

Prefetch çalıştırmayı kanıtlar, ancak hash adlı dosya aynı yürütülebilirin başka bir kopyasına ait olabilir; dosyanın içindeki yola bakın.
ShimCache ve Amcache varlığı ve üst veriyi kaydeder; programın o anda çalıştığının kanıtı değildir.
NTFS'te bir dosyanın 'oluşturma' zamanı kopyalamadan sonra 'değiştirme' zamanından eski olabilir; bu normaldir, müdahale değildir.
SSD TRIM ve aşınma dengeleme, silinmiş içeriğin kurtarılmasını güvenilmez kılar; oyulmuş veri bulunmaması bir şey kanıtlamaz.
Etki alanına katılmış bir makinede oturum açma olayları iş istasyonu ile etki alanı denetleyicisi arasında bölünür.

Kaynak cihaz tanımlayıcıları, imaj biçimi, edinim ve doğrulama hash değerleri ve kullanılan araç sürümleri.
Sistem saat dilimi ve her zaman damgasının UTC'ye çevrilme dayanağı.
Her bulgu için onu destekleyen artefaktlar, kontrol edilip çelişmeyen artefaktlar ve belirlenemeyenler.
'X hesabı yaptı' ile 'Y kişisi yaptı' arasında net bir çizgi; ikincisi cihaz dışından kanıt gerektirir.

İnceleme doğrulanmış bir imaj üzerinde mi yapıldı; edinim ve doğrulama hash değerleri eşleşiyor mu?
Hangi saat dilimi varsayıldı ve cihazın kendisinden nasıl belirlendi?
Her çalıştırma ya da dosya erişimi bulgusunu hangi ikinci artefakt destekliyor?
Otomatik etkinlik (güncelleme, antivirüs, yedekleme) olasılığı sınandı mı, nasıl?
Rapor neyin belirlenemediğini ve nedenini söylüyor mu?