Başvuru

Adli bilişim sözlüğü

İncelemelerde ve raporlarda kullanılan terimlerin kısa ve kesin tanımları: delil yönetimi, dosya sistemleri, işletim sistemi artefaktları, mobil, ağ ve zaman. Her kayıt dayandığı terimlere bağlanır.

153terim
27harf

A

Adli bilişim karşıtı teknikler (anti-forensics): Silme, günlük temizleme, zaman damgası değiştirme ve şifreleme gibi incelemeyi zorlaştırmaya yönelik teknikler. Bu tekniklerin izleri de başlı başına önemli bulgular olabilir.
Ayrıca bakınız: Zaman damgası manipülasyonu (timestomping), Güvenli silme (wiping), Olay günlüğünün temizlenmesi
Adli imaj (adli kopya): Ayrılmamış ve artık alanlar dahil bir depolama aygıtının veya biriminin bit düzeyinde kopyası; özet değerleriyle birlikte ham veya adli kap biçiminde saklanır.
Ayrıca bakınız: Ham (dd) imaj, E01 / EWF biçimi, AFF4, İmaj alma / yedekleme
AFF4: Advanced Forensic Format sürüm 4; disk ve bellek imajları için veriyi ve üst veriyi yapılandırılmış, genişletilebilir biçimde saklayan açık kap biçimi.
Ayrıca bakınız: Adli imaj (adli kopya)
Alternatif veri akışı (ADS): Bir NTFS dosyasına bağlı ek, adlandırılmış veri akışı. Windows bunu örneğin indirilen dosyalardaki Zone.Identifier işareti için kullanır; veri gizlemek için de kullanılabilir.
Ayrıca bakınız: NTFS, Zone.Identifier
Amcache: Çalıştırılabilir dosyalar ve yüklü programlarla ilgili, yollar ve SHA-1 özetleri dahil bilgileri kaydeden kayıt defteri biçimli dosya (Amcache.hve). Bir girdinin varlığı tek başına çalıştırıldığını kanıtlamaz.
Ayrıca bakınız: Shimcache (AppCompatCache), Prefetch, SHA-1
Ana Dosya Tablosu (MFT): Her dosya veya dizin için ad, zaman damgaları ve veri konumu gibi öznitelikleri içeren bir kayıt tutan NTFS üst veri dosyası ($MFT). Silinen dosyaların kayıtları yeniden kullanılana kadar kalabilir.
Ayrıca bakınız: NTFS, $STANDARD_INFORMATION ve $FILE_NAME, Yerleşik (resident) dosya
Anahtar kelime araması: Veride terim veya örüntü aranması. Sonuçlar karakter kodlamasına, sıkıştırmaya ve şifrelemeye bağlıdır; sonuç bulunamaması verinin bulunmadığını kanıtlamaz.
Ayrıca bakınız: Dosya oyma (carving)
APFS: Güncel macOS ve iOS aygıtlarında kullanılan Apple Dosya Sistemi. Anlık görüntüleri, klonlamayı ve yerleşik şifrelemeyi destekler.
Ayrıca bakınız: HFS+, FileVault
Araç doğrulaması (validasyon): Bir adli aracın veya yöntemin, amaçlanan kullanım için doğru ve tekrarlanabilir sonuç verdiğini göstermek üzere bilinen veriler üzerinde test edilmesi ve sınırlarının belgelenmesi.
Ayrıca bakınız: ISO/IEC 27041, Tekrarlanabilirlik
Arama detay kaydı (CDR): Bir arama, SMS veya veri oturumuna ilişkin, genellikle taraflar, başlangıç zamanı, süre ve şebeke hücre bilgisi içeren, ancak içerik içermeyen operatör kaydı.
Ayrıca bakınız: HTS kaydı, Hücre kimliği (Cell ID)
Arama ve el koyma: Hukuka uygun bir karar veya emirle yürütülen, delil aranmasına ve delil niteliğindeki eşyanın muhafaza altına alınmasına yönelik usul işlemleri. Bilgisayarlarda, programlarda ve kütüklerde arama da bu kapsamdadır.
Ayrıca bakınız: İmaj alma / yedekleme, Tutanak, Delil zinciri (gözetim zinciri)
Artefakt (iz): İşletim sistemi veya bir uygulamanın bıraktığı; günlük kaydı, kayıt defteri değeri veya veritabanı satırı gibi geçmiş etkinliği gösterebilen iz.
Ayrıca bakınız: Zaman çizelgesi
Artık alan (slack space): Bir dosyanın verisinin sonu ile ayrılan son kümenin sonu arasındaki kullanılmayan alan. Önceki verilere ait kalıntılar içerebilir.
Ayrıca bakınız: Küme (ayırma birimi), Ayrılmamış alan
Atlama Listesi (Jump List): Son veya sık kullanılan öğelerin uygulamaya göre tutulan listeleri; gömülü LNK verisi içeren dosyalar olarak saklanır.
Ayrıca bakınız: LNK (kısayol) dosyası
Ayrılmamış alan: Mevcut hiçbir dosyaya atanmamış alan. Üzerine yazılana kadar silinmiş dosyaların içeriğini barındırabilir.
Ayrıca bakınız: Dosya oyma (carving), Artık alan (slack space), Silinmiş dosya

B

Baz istasyonu: Kapsama alanındaki aygıtlara bir veya daha fazla hücre aracılığıyla hizmet veren mobil şebeke telsiz donanımı. Kapsama alanı arazi, yük ve anten yapılandırmasına bağlıdır.
Ayrıca bakınız: Hücre kimliği (Cell ID)
Bellek (RAM) edinimi: Çalışan bir sistemin fiziksel bellek içeriğinin alınması. Bellek edinim sırasında değiştiğinden imaj tutarlı bir anlık görüntü değildir ve kaynağa karşı yeniden doğrulanamaz.
Ayrıca bakınız: Canlı edinim, Uçuculuk sırası, Bellek imajı
Bellek dökümü (crash dump): Windows veya bir uygulama hata verdiğinde yazılan, belleğin tamamını veya bir kısmını içeren dosya; çökme nedeninin belirlenmesinde yararlıdır.
Ayrıca bakınız: Bellek imajı
Bellek imajı: Bellek ediniminden elde edilen dosya; edinim anında mevcut işlemleri, ağ bağlantılarını, yüklü modülleri ve anahtarları ortaya çıkarmak için incelenir.
Ayrıca bakınız: Bellek (RAM) edinimi
Bilinen dosya filtrelemesi: İncelemenin geri kalan dosyalara odaklanabilmesi için bilinen işletim sistemi ve uygulama dosyalarını dışlamak veya ilgi çekici dosyaları işaretlemek amacıyla referans özet kümelerinin kullanılması.
Ayrıca bakınız: Özet değeri (hash)
Bilirkişi: Özel veya teknik bilgi gerektiren konularda mahkeme ya da soruşturma makamınca görüşüne başvurulan kişi. HMK 266, hâkimlik mesleğinin gerektirdiği genel ve hukuki bilgiyle çözümlenebilecek konularda bilirkişiye başvurulamayacağını öngörür; bilirkişilik 6754 sayılı Bilirkişilik Kanunu ile düzenlenir.
Ayrıca bakınız: Bilirkişi raporu, Uzman mütalaası, Bilirkişilik Kanunu (6754 sayılı)
Bilirkişi raporu: Bilirkişinin kendisine yöneltilen teknik sorulara yanıt verdiği yazılı rapor. Ceza muhakemesinde CMK 67 ile düzenlenir; bilirkişi hukuki değerlendirme yapmaz.
Ayrıca bakınız: Bilirkişi, Uzman mütalaası
Bilirkişilik Kanunu (6754 sayılı): Bilirkişilik faaliyetinin ilkelerini, bölge bilirkişi listelerine kaydı ve buna ilişkin denetimi düzenleyen Türk kanunu.
Ayrıca bakınız: Bilirkişi
Birim: Kendi dosya sistemine sahip, genellikle bir bölüme karşılık gelen mantıksal depolama alanı.
Ayrıca bakınız: Bölüm tablosu (MBR / GPT), Dosya sistemi
Birim Gölge Kopyası (VSS): Bir birimin belirli bir andaki Windows anlık görüntüleri. Dosyaların, kayıt defteri dosyalarının ve günlüklerin önceki sürümlerini koruyabilir.
Ayrıca bakınız: Kayıt defteri dosyası (hive), EVTX
BitLocker: Genellikle TPM'e bağlı çalışan, Windows için Microsoft birim şifrelemesi. 48 haneli kurtarma anahtarıyla birimin kilidi açılabilir.
Ayrıca bakınız: Kurtarma anahtarı, TPM (Güvenilir Platform Modülü), Tam disk şifrelemesi
Bölüm tablosu (MBR / GPT): Diskin başında bölümleri tanımlayan yapı. MBR eski şema, GPT ise UEFI ile kullanılan güncel şemadır.
Ayrıca bakınız: Birim

C

Canlı edinim: Kapatıldığında kaybolacak geçici verilerin (bellek, ağ durumu, şifresi çözülmüş birimler) korunması için çalışan sistemden yapılan edinim. Her işlem sistemi bir miktar değiştirdiğinden adımların kayıt altına alınması gerekir.
Ayrıca bakınız: Uçuculuk sırası, Bellek (RAM) edinimi

Ç

Çalışma kopyası: Ana kopyanın dokunulmadan kalması için incelemede kullanılan, doğrulanmış adli imaj kopyası.
Ayrıca bakınız: Adli imaj (adli kopya), Doğrulama özeti

D

Delil: Yargılamada bir olayın varlığını veya niteliğini ispata yarayan her türlü araç. Dijital delil, bu amaçla kullanılabilecek, elektronik ortamda saklanan veya iletilen veridir.
Ayrıca bakınız: Delil zinciri (gözetim zinciri), Delil bütünlüğü
Delil bütünlüğü: Verinin edinimden bu yana değiştirilmemiş olması. Genellikle edinim sırasında ve sonraki kontrollerde hesaplanan özet değerlerinin karşılaştırılmasıyla gösterilir.
Ayrıca bakınız: Özet değeri (hash), Doğrulama özeti, Delil zinciri (gözetim zinciri)
Delil zinciri (gözetim zinciri): Bir delilin kimin tarafından, ne zaman ve hangi amaçla el konulduğunu, muhafaza edildiğini, devredildiğini, incelendiğini ve saklandığını gösteren kronolojik kayıt. Kayıttaki boşluklar delilin değişmediğinin gösterilmesini zayıflatır.
Ayrıca bakınız: Delil bütünlüğü, Tutanak, Mühür (kurcalanma belirteçli)
DHCP kirası: Bir DHCP sunucusunun bir aygıta belirli süreyle IP adresi ataması. Kira kayıtları bir IP adresini belirli bir süre için bir MAC adresine bağlar.
Ayrıca bakınız: IP adresi, MAC adresi
DNS (Alan Adı Sistemi): Alan adlarını IP adreslerine çözümleyen sistem. Çözümleyici önbellekleri ve kayıtları bir aygıtın hangi alan adlarını sorguladığını gösterebilir.
Ayrıca bakınız: IP adresi
Doğrulama özeti: Kopyanın eksiksiz ve değişmemiş olduğunu doğrulamak için edinilen kopya üzerinde hesaplanan ve kaynağın (veya edinim akışının) özet değeriyle karşılaştırılan özet değeri.
Ayrıca bakınız: Özet değeri (hash), Delil bütünlüğü
Dosya imzası (sihirli sayı): Uzantıdan bağımsız olarak dosya biçimini tanımlayan, genellikle dosyanın başında sabit konumdaki bayt dizisi.
Ayrıca bakınız: Dosya oyma (carving)
Dosya oyma (carving): Dosya sistemi üst verisine dayanmadan, bilinen başlık, bitiş ve yapıları arayarak ham veriden dosya kurtarma. Ad ve zaman damgaları genellikle kaybolur.
Ayrıca bakınız: Ayrılmamış alan, Dosya imzası (sihirli sayı)
Dosya sistemi: İşletim sisteminin bir birimdeki dosyaları düzenlemek için kullandığı; adları, konumları, boyutları, zaman damgalarını ve boş alan takibini içeren yapılar.
Ayrıca bakınız: NTFS, ext4, APFS
Dosya sistemi edinimi: Mantıksal edinimin ulaşamadığı uygulama veritabanları ve sistem dosyaları dahil aygıtın dosya sisteminin edinimi.
Ayrıca bakınız: Mantıksal edinim, Fiziksel edinim
Dosya sistemi günlüğü (journal): Dosya sisteminin çökme sonrası kurtarma için tuttuğu bekleyen veya yakın tarihli üst veri değişiklikleri kaydı. Ana yapılarda artık görünmeyen değişikliklerin izlerini koruyabilir.
Ayrıca bakınız: USN Günlüğü ($UsnJrnl), ext4
Durağan veri şifrelemesi: Saklanan verinin anahtar olmadan okunamayacak biçimde şifrelenmesi. Şifreli ortamın imajı incelenmeden önce anahtar veya kurtarma anahtarıyla çözülmelidir.
Ayrıca bakınız: Tam disk şifrelemesi, BitLocker, FileVault

E

E-posta üst bilgisi: Her sunucunun eklediği Received satırları dahil bir e-posta iletisinin üst veri satırları. Yalnızca güvenilen sunucuların eklediği satırlar güvenilirdir; önceki satırlar sahte olabilir.
Ayrıca bakınız: Üst veri, IP adresi
E.164: ITU-T uluslararası telefon numaralandırma biçimi: Ülke kodu ve ardından ulusal numara; örneğin Türkiye için +90.
Ayrıca bakınız: MSISDN
E01 / EWF biçimi: Expert Witness Format; edinilen veriyi sıkıştırılmış parçalar hâlinde, vaka üst verisi ve sağlama değerleriyle birlikte saklayan adli imaj kap biçimi.
Ayrıca bakınız: Adli imaj (adli kopya), Ham (dd) imaj
Edinim (imaj alma): Dijital verinin, aslı değiştirilmeden, belgelenmiş ve doğrulanabilir biçimde inceleme amacıyla kopyalanması işlemi.
Ayrıca bakınız: Adli imaj (adli kopya), Yazma engelleyici, Doğrulama özeti
ESE veritabanı: Extensible Storage Engine; SRUM, Windows Search ve diğer bileşenlerin kullandığı Microsoft veritabanı biçimi.
Ayrıca bakınız: SRUM
EVTX: Güvenlik, Sistem, Uygulama ve uygulamaya özgü birçok günlük için kullanılan Windows XML olay günlüğü dosya biçimi (.evtx).
Ayrıca bakınız: Olay kimliği (Event ID), Olay günlüğünün temizlenmesi
exFAT: Flaş bellekler ve büyük dosyalar için tasarlanmış, SD kartlarda ve USB sürücülerde yaygın kullanılan dosya sistemi.
Ayrıca bakınız: FAT32
EXIF: Görüntü dosyalarına gömülen; kamera modeli, çekim ayarları, tarih-saat ve bazen GPS koordinatlarını kaydedebilen üst veri standardı. Düzenlenebilir veya silinebilir.
Ayrıca bakınız: Üst veri
ext4: Yaygın Linux dosya sistemi. İnode yapıları ve günlük kullanır; oluşturma zamanı (crtime) dahil zaman damgalarını nanosaniye çözünürlükte saklar.
Ayrıca bakınız: İnode, Dosya sistemi günlüğü (journal)

F

Faraday torbası (RF yalıtımı): El konulan mobil aygıtın uzaktan silme komutu veya yeni veri almasını önlemek için radyo sinyallerini engelleyen koruma. Pil tükenmesi ve bağlantı kaybının yönetilmesi gerekir.
Ayrıca bakınız: Canlı edinim
FAT32: Çıkarılabilir ortamlarda yaygın, basit ve eski bir dosya sistemi. Sınırlı zaman damgaları (son erişim için yalnızca tarih) tutar ve UTC yerine yerel saat kullanır.
Ayrıca bakınız: exFAT, UTC (Eşgüdümlü Evrensel Zaman)
FILETIME: 01.01.1601 UTC'den bu yana geçen 100 nanosaniyelik aralıkları sayan 64 bitlik Windows zaman damgası.
Ayrıca bakınız: UTC (Eşgüdümlü Evrensel Zaman), Unix epoch zamanı
FileVault: macOS birimleri için Apple tam disk şifrelemesi.
Ayrıca bakınız: APFS, Tam disk şifrelemesi, Kurtarma anahtarı
Fiziksel edinim: Aygıtın depolamasının bit düzeyinde kopyasının edinimi. Güncel şifreli aygıtlarda mümkün olmayabilir veya şifresi çözülemeyen veri verebilir.
Ayrıca bakınız: Mantıksal edinim, Dosya sistemi edinimi, Durağan veri şifrelemesi

G

Geri Dönüşüm Kutusu: Gezgin ile silinen dosyaların taşındığı Windows klasörü ($Recycle.Bin). Güncel sürümlerde her öğe için bir $I dosyası (özgün yol, boyut, silme zamanı) ve bir $R dosyası (içerik) bulunur.
Ayrıca bakınız: Silinmiş dosya
Güvenli silme (wiping): Verinin kurtarılamayacak biçimde üzerine yazılması. Hedef veri yok olsa bile silme araçları ve bunların çalıştırılması iz bırakabilir.
Ayrıca bakınız: Adli bilişim karşıtı teknikler (anti-forensics), Ayrılmamış alan

H

Ham (dd) imaj: Yalnızca sektör verisini bayt bayt içeren, gömülü üst verisi olmayan imaj. Özet değerleri ve notlar ayrı dosyalarda saklanmalıdır.
Ayrıca bakınız: Adli imaj (adli kopya), E01 / EWF biçimi
Hazırda bekleme dosyası (hiberfil.sys): Windows hazırda bekleme moduna geçtiğinde veya hızlı başlatma kullandığında diske yazılan sıkıştırılmış bellek kopyası. Dönüştürülerek bellek imajı gibi incelenebilir.
Ayrıca bakınız: Sayfa dosyası (pagefile.sys), Bellek imajı
HFS+: APFS'ten önce kullanılan Apple dosya sistemi. Zaman damgaları 01.01.1904'ten itibaren saniye sayar.
Ayrıca bakınız: APFS
HPA / DCO: Host Protected Area ve Device Configuration Overlay: Disk kapasitesinin bir bölümünü işletim sisteminden gizleyebilen ATA özellikleri. Edinim sırasında varlıkları kontrol edilmelidir.
Ayrıca bakınız: Edinim (imaj alma)
HTS kaydı: Türkiye'de elektronik haberleşme işletmecilerinden elde edilen iletişim trafik kayıtları için kullanılan terim (genellikle Historical Traffic Search olarak açılır). Numara, zaman, süre ve baz istasyonu bilgisi gibi trafik verilerini içerir; içerik içermez.
Ayrıca bakınız: Arama detay kaydı (CDR), Hücre kimliği (Cell ID), Baz istasyonu
Hücre kimliği (Cell ID): Belirli bir anda aygıta hizmet veren şebeke hücresinin (baz istasyonunun bir sektörü) tanımlayıcısı. Kesin konumu değil, bir kapsama alanını gösterir.
Ayrıca bakınız: Baz istasyonu, HTS kaydı

I

ICCID: Entegre Devre Kartı Tanımlayıcısı: SIM kartın seri numarası; genellikle kartın üzerinde basılıdır.
Ayrıca bakınız: SIM kart, IMSI
IMEI: Uluslararası Mobil Ekipman Kimliği: Mobil cihazı (aboneyi değil, aygıtı) tanımlayan numara.
Ayrıca bakınız: IMSI, ICCID, MSISDN
IMSI: Uluslararası Mobil Abone Kimliği: SIM kartta saklanan ve mobil şebekenin kullandığı abone kimliği.
Ayrıca bakınız: SIM kart, MSISDN, IMEI
IP adresi: Bir ağ arabirimini belirli bir zamanda tanımlayan sayısal adres (IPv4 veya IPv6). NAT ve dinamik atama nedeniyle bir kişiyi değil, bir bağlantı noktasını tanımlar.
Ayrıca bakınız: NAT (Ağ Adresi Çevirisi), Operatör düzeyinde NAT (CGNAT), Port (bağlantı noktası)
IP konum tahmini: Üçüncü taraf veritabanları kullanılarak bir IP adresinden konum tahmin edilmesi. Doğruluk büyük ölçüde değişir; sonuç kesin konum değil, tahmindir.
Ayrıca bakınız: IP adresi
ISO 8601: Tarih ve saat için uluslararası standart gösterim; örneğin 2026-10-14T09:30:00Z. Fark değerinin veya Z harfinin yazılması belirsizliği ortadan kaldırır.
Ayrıca bakınız: UTC (Eşgüdümlü Evrensel Zaman)
ISO/IEC 27037: Dijital delilin tanımlanması, toplanması, edinimi ve korunmasına ilişkin uluslararası kılavuz standart.
Ayrıca bakınız: ISO/IEC 27041, ISO/IEC 27042, ISO/IEC 27043
ISO/IEC 27041: Olay inceleme yöntemlerinin uygunluğunun ve yeterliliğinin güvence altına alınmasına, araç ve süreçlerin geçerli kılınmasına ilişkin uluslararası kılavuz standart.
Ayrıca bakınız: ISO/IEC 27037, ISO/IEC 27042
ISO/IEC 27042: Dijital delilin analizi ve yorumlanmasına, yetkinliğe ve raporlamaya ilişkin uluslararası kılavuz standart.
Ayrıca bakınız: ISO/IEC 27037, ISO/IEC 27041
ISO/IEC 27043: Hazırlıktan kapanışa kadar olay incelemesinin ilke ve süreçlerini tanımlayan uluslararası standart.
Ayrıca bakınız: ISO/IEC 27037

İ

İmaj alma / yedekleme: El konulan veya incelenen bilişim sistemindeki verinin bit düzeyinde kopyasının alınması için Türk uygulamasında kullanılan terimler. Kopyanın özet değerleri olağan olarak tutanağa geçirilir.
Ayrıca bakınız: Adli imaj (adli kopya), Özet değeri (hash), Tutanak
İnode: Bir dosyanın üst verisini (sahip, izinler, zaman damgaları, blok işaretçileri) tutan, ancak dosya adını içermeyen Unix tarzı dosya sistemi yapısı.
Ayrıca bakınız: ext4

K

Kapalı sistem (statik) edinim: Kapalı durumdaki bir sistemin depolama ortamından, genellikle yazma engelleyici aracılığıyla yapılan edinim. Ortamı korur ancak geçici veriler kaybolur.
Ayrıca bakınız: Yazma engelleyici, Canlı edinim
Kayıt defteri dosyası (hive): SYSTEM, SOFTWARE, SAM veya kullanıcının NTUSER.DAT dosyası gibi Windows kayıt defterinin bir bölümünü saklayan dosya. Her anahtarın bir son yazma zaman damgası vardır.
Ayrıca bakınız: NTUSER.DAT, SYSTEM kayıt dosyası, SOFTWARE kayıt dosyası, SAM kayıt dosyası, Son yazma zamanı (LastWrite)
Konum verisi: Bir aygıtın veya hizmetin GPS, Wi-Fi, hücre veya IP kaynaklarından kaydettiği konumlar. Her kaynağın doğruluğu farklıdır ve sonuçla birlikte belirtilmelidir.
Ayrıca bakınız: Hücre kimliği (Cell ID), IP konum tahmini, EXIF
Kurtarma anahtarı: Normal kimlik bilgisi kullanılamadığında şifreli birimin kilidini açan alternatif gizli değer. Bir dizin hizmetinde veya kullanıcı hesabında emanet olarak saklanmış olabilir.
Ayrıca bakınız: BitLocker, FileVault
Küçük resim önbelleği: Gezgin'de görüntülenen resim ve belgelerin küçük resimlerini tutan Windows veritabanı dosyaları (thumbcache_*.db); özgün dosyalar silindikten sonra da kalabilir.
Ayrıca bakınız: Silinmiş dosya
Küme (ayırma birimi): Dosya sisteminin bir dosyaya ayırdığı, bir veya daha fazla sektörden oluşan en küçük alan birimi.
Ayrıca bakınız: Sektör, Artık alan (slack space)

L

LNK (kısayol) dosyası: Windows kısayol dosyası. Hedef yolu, hedefin zaman damgalarını, birim seri numarasını ve bazen ağ paylaşımı veya makine tanımlayıcısını saklar.
Ayrıca bakınız: Atlama Listesi (Jump List)

M

MAC adresi: Yerel ağda kullanılan ağ arabirimi donanım adresi. Değiştirilebilir veya rastgele üretilebilir ve normalde yerel ağ kesimi dışında görünmez.
Ayrıca bakınız: IP adresi
Mac mutlak zamanı (Cocoa zamanı): 01.01.2001 00:00:00 UTC'den itibaren saniye (bazen nanosaniye) sayan, iOS ve macOS veritabanlarında yaygın Apple zaman damgası.
Ayrıca bakınız: Unix epoch zamanı, SQLite
MACB zaman damgaları: Bir dosyanın Değiştirilme (Modified), Erişim (Accessed), Üst veri değişikliği (Changed) ve Oluşturulma (Born) zaman damgalarının kısaltması. Güncellenme kuralları dosya sistemine ve işletim sistemine göre farklıdır.
Ayrıca bakınız: $STANDARD_INFORMATION ve $FILE_NAME, Zaman çizelgesi
Mantıksal edinim: Aygıtın işletim sisteminin veya yedekleme arabiriminin sunduğu kişiler, mesajlar ve medya gibi verilerin edinimi. Ayrılmamış alanlardaki silinmiş verileri içermez.
Ayrıca bakınız: Dosya sistemi edinimi, Fiziksel edinim, Mobil aygıt yedeği
Mantıksal imaj: Aygıtın tamamı yerine seçilen dosya ve klasörlerin üst verileriyle birlikte kopyası. Silinmiş veriler ve ayrılmamış alan dahil edilmez.
Ayrıca bakınız: Adli imaj (adli kopya), Mantıksal edinim
MD5: 128 bitlik özet fonksiyonu. Uygulamada çakışmalar üretilebildiğinden kasıtlı manipülasyon kaygısı olan durumlarda tek başına güvenilmemelidir; kazara değişikliği yine de tespit eder.
Ayrıca bakınız: SHA-256, Özet çakışması, Özet değeri (hash)
Mobil aygıt yedeği: iTunes/Finder yedeği veya Android yedeği gibi aygıtın kendi araçlarıyla oluşturulan yedek. İçeriği platforma ve yedeğin şifreli olup olmamasına bağlıdır.
Ayrıca bakınız: Mantıksal edinim, Özellik listesi (plist)
MRU listesi: Windows'un veya bir uygulamanın kayıt defterinde tuttuğu, son açılan dosyaları, komutları veya konumları kaydeden "en son kullanılanlar" listesi.
Ayrıca bakınız: NTUSER.DAT
MSISDN: Bir mobil aboneliğe atanan, E.164 uluslararası biçiminde yazılan telefon numarası.
Ayrıca bakınız: E.164, IMSI
Mühür (kurcalanma belirteçli): Açıldığında görünür iz bırakan mühür veya torba. Paketin açılmadığını sonradan doğrulayabilmek için seri numarası kayda geçirilir.
Ayrıca bakınız: Delil zinciri (gözetim zinciri), Tutanak

N

NAT (Ağ Adresi Çevirisi): Birçok aygıtın tek bir genel IP adresini paylaşmasını sağlayan ağ adresi çevirisi. İç ağdaki aygıtın belirlenmesi için çeviri kayıtları gerekir.
Ayrıca bakınız: IP adresi, Operatör düzeyinde NAT (CGNAT)
NetFlow / akış kayıtları: Paket içeriği olmadan ağ bağlantılarının özetleri (adresler, portlar, protokol, bayt sayıları, zamanlar).
Ayrıca bakınız: PCAP
NIST SP 800-86: NIST'in adli tekniklerin olay müdahalesine entegrasyonuna ilişkin, toplama, inceleme, analiz ve raporlama aşamalarını açıklayan kılavuzu.
Ayrıca bakınız: ISO/IEC 27037
NTFS: Windows'un varsayılan dosya sistemi. Dosya üst verisi Ana Dosya Tablosunda (MFT) tutulur; alternatif veri akışları ve günlükleme gibi özellikler içerir.
Ayrıca bakınız: Ana Dosya Tablosu (MFT), Alternatif veri akışı (ADS), USN Günlüğü ($UsnJrnl)
NTP: Aygıt saatlerini zaman sunucularıyla eşitlemek için kullanılan Ağ Zaman Protokolü. Eşitleme kayıtları saat doğruluğunun belirlenmesine yardımcı olabilir.
Ayrıca bakınız: Saat sapması
NTUSER.DAT: Kullanıcının profil klasöründeki kullanıcıya özgü kayıt defteri dosyası. Kullanıcı ayarlarını ve son kullanılan dosyalar, UserAssist gibi birçok etkinlik izini içerir.
Ayrıca bakınız: Kayıt defteri dosyası (hive), UserAssist, MRU listesi, UsrClass.dat

O

Olay günlüğünün temizlenmesi: Bir olay günlüğündeki tüm kayıtların silinmesi. Windows bunu kaydeder (Güvenlik olayı 1102, Sistem olayı 104); ancak diğer silme yöntemleri böyle bir kayıt bırakmayabilir.
Ayrıca bakınız: EVTX
Olay kimliği (Event ID): Belirli bir sağlayıcı içinde olay türünü tanımlayan sayı. Aynı sayı farklı sağlayıcılarda farklı anlam taşıyabileceğinden her zaman kaynağıyla birlikte okunmalıdır.
Ayrıca bakınız: EVTX
Operatör düzeyinde NAT (CGNAT): Birçok abonenin aynı genel IP adresini paylaştığı, internet veya mobil hizmet sağlayıcısı tarafından işletilen NAT. Abone tespiti için IP adresi, kaynak port ve kesin zaman birlikte gerekir.
Ayrıca bakınız: NAT (Ağ Adresi Çevirisi), Port (bağlantı noktası), IP adresi

Ö

Ön inceleme (triyaj): Hangi aygıtların veya verilerin öncelikle edinileceğine ya da inceleneceğine karar vermek için yapılan hızlı ve sınırlı inceleme. Bulguları geçicidir.
Ayrıca bakınız: Edinim (imaj alma)
Önceden yazma günlüğü (WAL): SQLite'ın değişiklikleri ana veritabanına aktarmadan önce yazdığı yardımcı dosya (-wal). Ana dosyada henüz bulunmayan veya artık bulunmayan kayıtları içerebilir.
Ayrıca bakınız: SQLite
Özellik listesi (plist): iOS ve macOS'ta ayarlar ve uygulama verisi için kullanılan, XML veya ikili biçimde saklanan Apple yapılandırılmış veri biçimi.
Ayrıca bakınız: Mac mutlak zamanı (Cocoa zamanı), Mobil aygıt yedeği
Özet çakışması: İki farklı girdinin aynı özet değerini üretmesi. Üretilebilir çakışmalar, verinin kasıtlı olarak değiştirilmediğini kanıtlamada özet fonksiyonunu zayıflatır.
Ayrıca bakınız: MD5, SHA-1
Özet değeri (hash): Bir özet fonksiyonuyla veriden hesaplanan sabit uzunlukta değer; verideki herhangi bir değişiklik çok yüksek olasılıkla farklı bir değer üretir.
Ayrıca bakınız: SHA-256, MD5, SHA-1, Özet çakışması

P

PCAP: Yakalanan ağ paketleri için dosya biçimi. Yalnızca yakalama noktası ve zaman aralığındaki trafiği içerir; şifreli içerik anahtar olmadan okunamaz.
Ayrıca bakınız: NetFlow / akış kayıtları
Port (bağlantı noktası): Bir bilgisayardaki TCP veya UDP bağlantısının uç noktasını tanımlayan 16 bitlik sayı. CGNAT arkasında abone tespiti için kaynak port zorunludur.
Ayrıca bakınız: Operatör düzeyinde NAT (CGNAT), IP adresi
Prefetch: Windows'un program yüklemeyi hızlandırmak için C:\Windows\Prefetch altında oluşturduğu dosyalar. Çalıştırılabilir dosya adlarını, çalışma sayısını, son çalışma zamanlarını ve başvurulan dosyaları kaydeder.
Ayrıca bakınız: Amcache, Shimcache (AppCompatCache)
Protocol Buffers (protobuf): Birçok uygulamanın kullandığı sıkıştırılmış ikili serileştirme biçimi. Şema olmadan alanların anlamı çıkarım yoluyla belirlenmeli ve bu durum belirtilmelidir.
Ayrıca bakınız: SQLite

R

RFC 3227: IETF'in delil toplama ve arşivlemeye ilişkin kılavuzu; çalışan sistemlerden veri toplamada uçuculuk sırasıyla bilinir.
Ayrıca bakınız: Uçuculuk sırası

S

Saat dilimi farkı: Yerel saat ile UTC arasındaki fark; örneğin Türkiye için +03:00. Saklanan bir zaman damgasının yerel saat mi UTC mi olduğu her kaynak için ayrıca belirlenmelidir.
Ayrıca bakınız: UTC (Eşgüdümlü Evrensel Zaman), Yaz saati uygulaması (DST)
Saat sapması: Bir aygıtın saati ile referans zaman arasındaki fark. Farklı aygıtlardaki zaman damgaları karşılaştırılmadan önce ölçülmeli veya tahmin edilmelidir.
Ayrıca bakınız: NTP, Zaman çizelgesi
SAM kayıt dosyası: Hesap oluşturma ve son oturum açma bilgileri dahil yerel kullanıcı hesaplarını ve grupları tutan kayıt defteri dosyası.
Ayrıca bakınız: Kayıt defteri dosyası (hive)
Sayfa dosyası (pagefile.sys): Bellek yetersiz kaldığında bellek sayfalarının taşındığı Windows disk dosyası. Önceki oturumlara ait işlem belleği parçalarını içerebilir.
Ayrıca bakınız: Hazırda bekleme dosyası (hiberfil.sys), Bellek (RAM) edinimi
Sektör: Bir depolama aygıtındaki en küçük adreslenebilir birim; genellikle 512 veya 4.096 bayttır.
Ayrıca bakınız: Küme (ayırma birimi)
SHA-1: 160 bitlik özet fonksiyonu. Uygulamada çakışma üretilebildiği gösterilmiştir; Amcache gibi birçok araçta ve artefaktta hâlâ kullanılır.
Ayrıca bakınız: SHA-256, Özet çakışması
SHA-256: SHA-2 ailesinden 256 bitlik özet fonksiyonu; günümüzde delil doğrulamasında yaygın tercih edilen algoritmadır.
Ayrıca bakınız: Özet değeri (hash), Doğrulama özeti
ShellBags: Klasörlere ilişkin Gezgin görünüm ayarlarını saklayan kayıt defteri verisi. Klasör artık mevcut olmasa bile, çıkarılabilir veya ağ sürücülerindekiler dahil, kullanıcının bir klasöre göz attığını gösterebilir.
Ayrıca bakınız: UsrClass.dat
Shimcache (AppCompatCache): SYSTEM kayıt dosyasında bulunan, sistemin karşılaştığı çalıştırılabilir dosyaları değişiklik zamanlarıyla listeleyen uygulama uyumluluk verisi. Güncel Windows sürümlerinde çalıştırmayı güvenilir biçimde göstermez.
Ayrıca bakınız: SYSTEM kayıt dosyası, Amcache
SIM kart: Abone Kimlik Modülü: Abone kimliğini ve şebeke kimlik bilgilerini tutan kart (veya gömülü eSIM profili).
Ayrıca bakınız: ICCID, IMSI
Silinmiş dosya: Dizin girdisi veya üst verisi boş olarak işaretlenmiş dosya. Alan yeniden kullanılana, TRIM uygulanana veya silinene kadar içeriği kurtarılabilir olabilir.
Ayrıca bakınız: Ayrılmamış alan, Dosya oyma (carving), TRIM
SOFTWARE kayıt dosyası: Yüklü yazılımları, işletim sistemi sürümünü ve kurulum bilgilerini, makine genelindeki otomatik başlatma girdilerini tutan kayıt defteri dosyası.
Ayrıca bakınız: Kayıt defteri dosyası (hive)
Son yazma zamanı (LastWrite): Bir kayıt defteri anahtarındaki son değişikliğin zaman damgası. Tek bir değere değil, anahtarın bütününe aittir.
Ayrıca bakınız: Kayıt defteri dosyası (hive)
SQLite: Çoğu mobil uygulama ve tarayıcının kullandığı dosya tabanlı veritabanı biçimi. Silinmiş kayıtlar bazen boş sayfalardan ve WAL dosyasından kurtarılabilir.
Ayrıca bakınız: Önceden yazma günlüğü (WAL), Tarayıcı geçmişi
SRUM: System Resource Usage Monitor: Uygulama başına gönderilen ve alınan ağ baytları gibi kaynak kullanımını yaklaşık saatlik aralıklarla kaydeden veritabanı (SRUDB.dat).
Ayrıca bakınız: ESE veritabanı
$STANDARD_INFORMATION ve $FILE_NAME: Her biri dört zaman damgasından oluşan bir küme taşıyan iki NTFS özniteliği. Farklı kurallarla güncellendiklerinden karşılaştırılmaları zaman damgası manipülasyonunun tespitine yardımcı olur.
Ayrıca bakınız: Ana Dosya Tablosu (MFT), MACB zaman damgaları, Zaman damgası manipülasyonu (timestomping)
Süper zaman çizelgesi: Birçok artefakt türünden (dosya sistemi, kayıt defteri, günlükler, tarayıcı verisi) gelen zaman damgalarını tek bir sırada birleştiren zaman çizelgesi.
Ayrıca bakınız: Zaman çizelgesi
SWGDE: Scientific Working Group on Digital Evidence; dijital adli bilişim için en iyi uygulama ve terminoloji belgeleri yayımlayan ABD merkezli çalışma grubu.
Ayrıca bakınız: NIST SP 800-86
SYSTEM kayıt dosyası: Hizmetler, saat dilimi ayarları, bağlı aygıtlar ve USB aygıt geçmişi gibi sistem yapılandırmasını tutan kayıt defteri dosyası.
Ayrıca bakınız: Kayıt defteri dosyası (hive), Shimcache (AppCompatCache)

T

Takas alanı (swap): Sayfa dosyasının Linux ve macOS karşılığı: RAM'den çıkarılan bellek sayfalarını tutmak için kullanılan disk alanı.
Ayrıca bakınız: Sayfa dosyası (pagefile.sys)
Tam disk şifrelemesi: Bir birimin veya diskin tamamının şifrelenmesi. Çalışan sistemin kapatılması verinin kilitlenmesine yol açabilir; bu durum canlı ve kapalı sistem edinimi arasındaki tercihi etkiler.
Ayrıca bakınız: Durağan veri şifrelemesi, Canlı edinim, Kurtarma anahtarı
Tarayıcı geçmişi: Web tarayıcılarının, genellikle SQLite veritabanlarında, ziyaret edilen URL'ler, indirmeler, aramalar ve form verileri için tuttuğu, tarayıcıya özgü biçimde zaman damgalı kayıtlar.
Ayrıca bakınız: SQLite, WebKit / Chrome zamanı
Tekrarlanabilirlik: Başka bir yetkin incelemecinin aynı veri ve belgelenmiş yöntemle aynı sonuca ulaşabilmesi.
Ayrıca bakınız: Delil bütünlüğü
TPM (Güvenilir Platform Modülü): Anahtarları saklayan ve yalnızca sistem beklenen durumda açıldığında bunları serbest bırakabilen donanım bileşeni.
Ayrıca bakınız: BitLocker
TRIM: İşletim sisteminin SSD'ye hangi blokların artık kullanılmadığını bildirdiği ve sürücünün bunları silmesine olanak tanıyan komut. SSD'lerde silinmiş verinin kurtarılma olasılığını azaltır.
Ayrıca bakınız: Ayrılmamış alan, Dosya oyma (carving)
Tutanak: Bir usul işleminin yerini, zamanını, katılanlarını ve sonucunu kayıt altına alan, işlemi yapanlar ve hazır bulunanlarca imzalanan resmî belge. Dijital delil işlemlerinde el koyma, imaj alma ve özet değerleri tutanağa geçirilir.
Ayrıca bakınız: Delil zinciri (gözetim zinciri), İmaj alma / yedekleme

U

Uçuculuk sırası: En kısa ömürlü verilerin (işlemci durumu, bellek, ağ durumu) diskler gibi daha kalıcı verilerden önce toplanması ilkesi.
Ayrıca bakınız: RFC 3227, Canlı edinim
Unix epoch zamanı: 01.01.1970 00:00:00 UTC'den itibaren sayılan zaman; genellikle saniye, bazı uygulamalarda milisaniye veya mikrosaniye cinsindendir. Birim doğrulanmalıdır.
Ayrıca bakınız: UTC (Eşgüdümlü Evrensel Zaman), FILETIME
UserAssist: Kullanıcının grafik arayüzden başlattığı programları sayan ve zaman damgasıyla kaydeden NTUSER.DAT içindeki veri. Değer adları ROT13 ile kodlanmıştır.
Ayrıca bakınız: NTUSER.DAT
USN Günlüğü ($UsnJrnl): Dosya oluşturma, yeniden adlandırma, silme ve diğer değişiklikleri zaman damgaları ve neden kodlarıyla kaydeden NTFS değişiklik günlüğü. Doldukça eski kayıtların üzerine yazılır.
Ayrıca bakınız: NTFS, Dosya sistemi günlüğü (journal)
UsrClass.dat: AppData\Local\Microsoft\Windows altında saklanan ve diğer verilerin yanında ShellBags kayıtlarını içeren ikinci kullanıcı kayıt defteri dosyası.
Ayrıca bakınız: ShellBags, NTUSER.DAT
UTC (Eşgüdümlü Evrensel Zaman): Farklı kaynaklardan gelen zaman damgalarını karşılaştırmadan önce ortak bir tabana getirmek için kullanılan referans zaman ölçeği.
Ayrıca bakınız: Saat dilimi farkı, Zaman çizelgesi
Uzman mütalaası: Bir tarafın kendi seçtiği uzmandan aldığı ve mahkemeye sunduğu bilimsel veya teknik görüş. Mahkemece diğer delillerle birlikte değerlendirilir; mahkemece atanan bilirkişinin raporu niteliğinde değildir.
Ayrıca bakınız: Bilirkişi raporu, Bilirkişi

Ü

Üst veri: Dosya zaman damgaları, boyutlar, yazar alanları veya fotoğraflardaki EXIF bilgileri gibi başka bir veriyi tanımlayan veri.
Ayrıca bakınız: EXIF, MACB zaman damgaları

V

VPN (Sanal Özel Ağ): Trafiği başka bir ağ uç noktası üzerinden taşıyan tünel; bu nedenle gözlemlenen IP adresi kullanıcının bağlantısına değil, VPN sunucusuna aittir.
Ayrıca bakınız: IP adresi

W

WebKit / Chrome zamanı: Chromium tabanlı tarayıcı veritabanlarında kullanılan, 01.01.1601 UTC'den itibaren mikrosaniye sayan zaman damgası.
Ayrıca bakınız: Tarayıcı geçmişi, FILETIME

Y

Yaz saati uygulaması (DST): Yerel saatlerin mevsimsel olarak ileri veya geri alınması. Geçmişe ait yerel saatler dönüştürülürken o tarihteki kurallar uygulanmalıdır; Türkiye 2016'dan bu yana mevsimsel saat değişikliği uygulamamaktadır.
Ayrıca bakınız: Saat dilimi farkı
Yazma engelleyici: Bir depolama aygıtından okumaya izin verirken aygıta yazılmasını engelleyen donanım aygıtı veya yazılım denetimi.
Ayrıca bakınız: Edinim (imaj alma), Kapalı sistem (statik) edinim
Yerleşik (resident) dosya: İçeriği ayrı kümeler yerine doğrudan MFT kaydı içinde saklanan küçük NTFS dosyası.
Ayrıca bakınız: Ana Dosya Tablosu (MFT)

Z

Zaman çizelgesi: Bir veya daha fazla kaynaktaki olayların ortak bir zaman tabanına getirilerek kronolojik olarak dizilmesi; etkinlik sırasını yeniden kurmak için kullanılır.
Ayrıca bakınız: Süper zaman çizelgesi, UTC (Eşgüdümlü Evrensel Zaman), MACB zaman damgaları
Zaman damgası manipülasyonu (timestomping): İncelemeyi yanıltmak amacıyla dosya zaman damgalarının kasıtlı olarak değiştirilmesi. Zaman damgası kaynakları arasındaki tutarsızlıklar bunu ortaya çıkarabilir.
Ayrıca bakınız: $STANDARD_INFORMATION ve $FILE_NAME, MACB zaman damgaları, USN Günlüğü ($UsnJrnl)
Zone.Identifier: Windows'un internetten edinilen dosyalara eklediği; güvenlik bölgesini ve çoğu zaman kaynak URL'yi kaydeden alternatif veri akışı.
Ayrıca bakınız: Alternatif veri akışı (ADS)