ZEKASTRA

Öğrenme yolu

Adli bilişimde yapılandırılmış bir öğrenme yolu

Birbirinin üzerine kurulan on bir modül: delil bütünlüğü ve zamandan başlayıp işletim sistemi, mobil ve veri tabanı artefaktlarına, oradan kronoloji ve raporlamaya uzanır. Her modül öğrenme çıktılarını belirtir; okunacak kütüphane kayıtlarını, kullanılacak araçları ve üzerinde çalışılacak bir vakayı gösterir.

  • 11modül
  • ~48saatlik yönlendirmeli çalışma
  • 56kütüphane okuması

  1. 01~3 sa

    Temeller: bütünlük, belgeleme ve yöntem

    Bir bulguyu tekrarlanabilir kılan şey: doğrulanmış kopyalar, eşzamanlı notlar ve gözlem ile yorum arasındaki net ayrım.

    Kazanımlar

    • İncelemenin neden doğrulanmış bir kopya üzerinde yapıldığını ve hash değerinin bu iddiayı nasıl desteklediğini açıklamak.
    • Uygun hash algoritmasını seçmek; boyut, zaman ve araç bilgisiyle birlikte kaydetmek.
    • Bir artefaktın kaydettiği bilgiyi ondan çıkarılan yorumdan ayırmak.

  2. 02~4 sa

    Zaman: kodlamalar, saat dilimleri ve normalleştirme

    Her kronoloji, zaman dönüşümleri kadar sağlamdır. Bu modül başlangıç noktalarını, birimleri, yerel saati ve yaz saati uç durumlarını ele alır.

    Kazanımlar

    • FILETIME, Unix, WebKit, Apple mutlak ve FAT değerlerini büyüklüklerinden ve bağlamlarından tanımak.
    • Yerel saati UTC'ye çevirmek; belirsiz veya hiç var olmamış yerel saatleri belirlemek.
    • Raporlanan her zaman damgasının çözünürlüğünü ve saat dilimini belirtmek.

  3. 03~4 sa

    Dosyalar ve dosya sistemleri

    Dosyaları adına göre değil içeriğine göre tanımlamak, ham yapıları hex olarak okumak ve dosya sisteminin her dosya hakkında neyi kaydettiğini anlamak.

    Kazanımlar

    • Dosya türünü imzasından belirlemek ve uzantı uyuşmazlığını açıklamak.
    • Hex görünümünde little-endian tamsayıları ve zaman damgalarını bulup yorumlamak.
    • Dosya sisteminin hangi zaman damgalarını tuttuğunu ve bunları neyin değiştirdiğini açıklamak.

  4. 04~6 sa

    Windows: program çalıştırma ve kullanıcı etkinliği

    Bir programın var olduğunu, çalıştırıldığını ya da bir dosyanın açıldığını gösteren artefaktlar ve her birinin gerçekte neyi kanıtlayabildiği.

    Kazanımlar

    • Varlık kanıtını çalıştırma kanıtından ayırmak.
    • Bir programın çalıştığını söylemeden önce en az iki bağımsız artefaktı ilişkilendirmek.
    • Kullanıcıya özgü artefaktları doğru hesaba bağlamak.

  5. 05~5 sa

    Windows: olay günlükleri, oturum açma ve aygıtlar

    Security, System ve operasyonel günlükleri kanıt olarak okumak: neyin varsayılan olarak kaydedildiği, neyin denetim ilkesine bağlı olduğu ve bir oturumun nasıl yeniden kurulduğu.

    Kazanımlar

    • Oturum açma türlerini yorumlamak, oturum açma ve kapatma olaylarını eşleştirmek.
    • Hangi olayların denetim ilkesine bağlı olduğunu ve yokluklarının ne anlama geldiğini bilmek.
    • Kayıt defteri ve günlük kaynaklarından aygıt bağlantı kronolojisi oluşturmak.

    Kullanın ve uygulayın

  6. 06~4 sa

    Web tarayıcıları

    Chromium ve Firefox profillerinde geçmiş, indirmeler, çerezler ve oturumlar; zaman kodlamalarının nasıl farklılaştığı.

    Kazanımlar

    • Tarayıcı SQLite veri tabanlarını sorgulamak ve yerel zaman değerlerini dönüştürmek.
    • Elle yazılmış bir ziyareti yönlendirme ya da otomatik yüklemeden ayırmak.
    • Gizli gezinmenin ve profil eşitlemenin geride kalan veriyi nasıl etkilediğini açıklamak.

  7. 07~4 sa

    macOS ve Linux

    Unix benzeri sistemlerde günlükler, dosya sistemi olay kayıtları, karantina verisi ve kabuk geçmişi; zaman damgalarının nasıl saklandığı.

    Kazanımlar

    • Linux'ta kimlik doğrulama ve oturum kayıtlarını bulmak, zaman biçimlerini okumak.
    • Birleşik günlüğün, FSEvents'in ve karantina kayıtlarının macOS kronolojisine ne kattığını açıklamak.
    • Kabuk geçmişinde zaman damgası bulunmadığını fark etmek ve bunun kronoloji için anlamını bilmek.

  8. 08~6 sa

    Mobil cihazlar ve mesajlaşma uygulamaları

    Android ve iOS'ta sistem ve uygulama veri tabanları: iletişim, kullanım ve konum kayıtları ile bunları bir cihaza bağlayan tanımlayıcılar.

    Kazanımlar

    • Her platformda ana iletişim ve kullanım veri tabanlarını bulmak.
    • Apple mutlak ve Unix milisaniye değerlerini doğru dönüştürmek.
    • Bir IMEI'yi doğrulamak ve neyi tanımlayıp neyi tanımlamadığını açıklamak.

  9. 09~5 sa

    Derinlemesine SQLite

    Mobil ve tarayıcı kanıtlarının çoğu SQLite'ta durur. Sayfa yapısını, write-ahead log'u ve bir sorgu sonucunun neden veri tabanının tamamı olmadığını öğrenin.

    Kazanımlar

    • Veri tabanı başlığını okumak ve WAL kipini belirlemek.
    • Commit edilmemiş veya üzerine yazılmış WAL çerçevelerinin neden önemli olduğunu açıklamak.
    • Saklanan değerleri karşılaştırırken tür yakınlığı hatalarından kaçınmak.

  10. 10~3 sa

    Belge ve medya üst verisi

    Exif, ofis belgesi özellikleri ve PDF üst verisi: neyi kaydettikleri, kimlerin değiştirebildiği ve nasıl doğrulanacakları.

    Kazanımlar

    • Bir görselden çekim zamanını, saat farkını ve GPS konumunu çıkarmak.
    • Saat kaymasını saptamak için kamera zamanını GPS zamanıyla karşılaştırmak.
    • Gömülü üst veriyi doğrulanması gereken bir iddia olarak ele almak.

  11. 11~4 sa

    Kronoloji, ilişkilendirme ve raporlama

    Kaynakları tek bir UTC kronolojisinde birleştirmek, güven düzeyini dürüstçe belirtmek ve başka bir uzmanın tekrar edebileceği bir rapor yazmak.

    Kazanımlar

    • Farklı kaynaklardan gelen kayıtları saat farkı ve çözünürlük bilgisiyle birleştirmek.
    • Bulguları kanıtın desteklediği düzeyde ifade etmek.
    • Çalışmanın tekrarlanabilmesi için araçları, sürümleri, hash değerlerini ve adımları belgelemek.