01Oturum planı
| Dakika | Bölüm | Ne yapılır |
|---|---|---|
| 0–15 | Brifing, kurallar ve bütünlük (S01) | export-metadata.txt dosyasını yüksek sesle okuyun ve üç zaman yazımını birer dönüşüm örneğiyle tahtaya yazın. |
| 15–50 | İleti ve arama (S02–S06) | Bir epoch değerini elle çevirin, sonra aramayı iletiyle aynı UTC çizgisine yerleştirin. |
| 50–95 | Nerede ve ne kadar emin (S07–S09) | Akşamın kayıtlarını yarıçaplarıyla haritaya koyun; mesafeden önce doğruluğa göre süzün; hücre kaydını tartışın. |
| 95–130 | Telefonun kullanımı (S10–S14) | İleti çevresindeki kullanım olaylarını okuyun ve kilit açmaları sayın; telefonu eve kadar izleyin. |
| 130–150 | İfade ve cümle (S15–S16) | Sahibin ifadesini bölüm bölüm sınayın, sonra imzalanacak cümleyi yazın ve b ile karşılaştırın. |
Malzemeler: her katılımcının bilgisayarında paket dosyaları, paket sayfasından yazdırılmış bir çalışma kâğıdı ve bir inceleme günlüğü formu. Paket sayfası →
02Cevap anahtarı
S011 puan
sms.csv dosyasının bir kopyasında SHA-256 değerini hesaplayın, manifest.txt ile karşılaştırın ve ilk 8 onaltılık karakteri girin.
Cevap565d9572
Önek bildirim satırıyla eşleşir. Dosya yeniden kaydedilirse bir tablolama programı 13 basamaklı epoch değerlerini yuvarlanmış bilimsel gösterime çevirir; dışa aktarıldığı hâliyle hash'ini alın.
- Nerede
- manifest.txt, sms.csv satırı.
- Olağan hata
- Bir tablolama programının yeniden kaydettiği kopyanın hash'ini almak.
Hash hesaplayıcıF-04 İnceleme günlüğüSOP-02 Delil kabul ve kayıt
S022 puan
'Bu iş burada bitmedi…' iletisi telefonun SMS tablosuna gönderilmiş olarak ne zaman yazıldı? UTC.
Cevap2026-10-03 20:47:31
_id 1858 satırı: adres +905550193344, tür 2 (gönderilmiş), date 1791060451000. Epoch milisaniye UTC'dir: 2026-10-03 20:47:31, yani yerel 23:47:31; şikâyetin verdiği dakika. Aracın date_utc sütunu örtüşür; bir sütuna güvenmeden önce bir satırı elle denetleyin.
- Nerede
- sms.csv, _id 1858 satırı, date ve date_utc.
- Olağan hata
- 20:47'yi yerel saat sanıp iletinin şikâyetin söylediğinden üç saat önce çıktığı sonucuna varmak.
S032 puan
Telefon dışa aktarım aralığında +905550193344 numarasına kaç ileti gönderdi?
Cevap3
Üç tür 2 satırı: 29 Eylül 'Konuşmamız lazım.', 1 Ekim 'Son kez söylüyorum, ara beni.' ve 3 Ekim iletisi. İki tür 1 satırı o numaradan gelen cevaplardır: 29 Eylül'de 'Lütfen bana yazma' ve 3 Ekim 20:52:05 UTC'de 'Polise gidiyorum'.
- Nerede
- sms.csv, address +905550193344, type.
- Olağan hata
- Konuşmanın beş satırının hepsini saymak.
S042 puan
Arama kaydı 'Ece'ye 03.10.2026 23:41:12'de giden bir arama gösteriyor. İletiye göre nerede durur?
CevapB — Altı dakika on dokuz saniye önce: arama kaydı cihaz yerel saatidir, 20:41:12 UTC; ileti 20:47:31 UTC'dir.
export-metadata.txt, Türkçe raporun arama kaydını cihazın saat diliminde verdiğini söyler. Üç saat çıkarın: 20:41:12 UTC. Telefon, iletiden altı dakika önce, bırakıldığı söylenen arkadaşa 62 saniyelik bir arama için kullanıldı.
- Nerede
- call-log.csv, 3 Ekim 'Ece' satırı; export-metadata.txt, Dışa aktarım 2.
- Olağan hata
- Yerel bir saati UTC bir saatle yazıldığı gibi karşılaştırmak.
S052 puan
Ece'ye giden o arama ne zaman başladı? UTC.
Cevap2026-10-03 20:41:12
Yerel 03.10.2026 23:41:12 eksi üç saat. Kullanım olaylarında arama uygulaması 20:40:58 UTC'de ön plana gelir; bu örtüşür.
- Nerede
- call-log.csv, satırın date_local değeri.
- Olağan hata
- 23:41:12 girmek.
S061 puan
O arama kaç saniye sürdü?
Cevap62
duration_s 62, tür 2 (giden). Bağlanan bir aramanın süresi vardır; cevapsız kalan giden arama 0 ile kaydedilir. Yerel 00:02:40'ta Ece'nin numarası bu telefonu arar ve arama cevapsız kalır (tür 3).
- Nerede
- call-log.csv, duration_s.
- Olağan hata
- Ardından gelen cevapsız aramanın süresini okumak.
S072 puan
Konum geçmişi telefonu, yalnızca doğruluğu 100 m veya daha iyi olan kayıtlar sayılarak, şikâyetçinin binasına 200 m mesafede ilk kez ne zaman gösterdi? UTC.
Cevap2026-10-03 19:51:40
Bina 41.0452, 29.0049'dadır (acquisition-log.txt). 200 m içindeki, doğruluğu ≤100 m olan ilk kayıt 2026-10-03T22:51:40+03:00 damgalıdır, 19:51:40 UTC; Üsküdar'dan köprü üzerinden ilerleyen bir dizi GPS kaydından sonra. Kayıtlar 20:58:22 UTC'ye kadar orada kalır.
- Nerede
- Timeline.json, rawSignals[].position; acquisition-log.txt, binanın koordinatları.
- Olağan hata
- +03:00 ofsetini çıkarmadan 22:51:40'ı yazmak.
S082 puan
Yerel 23:30:07'de bir kaydın kaynağı CELL, doğruluğu 1.500 m ve merkezi binadan yaklaşık 870 m uzakta. Ne gösterir?
CevapB — Çevresindeki Wi-Fi ve GPS kayıtlarıyla çelişen bir şey göstermez: bina 1.500 m'lik dairesinin rahatça içindedir.
Bir hücre kaydı hizmet veren hücreye göre konumlanır ve geniştir. 1.500 m yarıçaplı bir merkezden 870 m uzaklık dairenin içindedir. Konumu birkaç on metrelik komşu Wi-Fi ve GPS kayıtları belirler; hücre kaydı yalnızca onlarla çelişmez. Sahibinin evi 6 km'den uzaktadır.
- Nerede
- Timeline.json, CELL kaydı ve önceki ile sonraki kayıtlar.
- Olağan hata
- Geniş bir kaydın merkezini telefonun konumu saymak.
S092 puan
3 Ekim yerel saatle 23:00 ile 00:00 arasında, doğruluğu ≤100 m olan kaç kayıt binaya 200 m mesafe içindedir?
Cevap12
20:00 ile 21:00 UTC arasında, üç ila altı dakikada bir, Wi-Fi ve GPS olmak üzere on iki böyle kayıt vardır; iletiye en yakın olanı 20:48:09 UTC'de, 20 m yarıçapla binadan 47 m uzaktadır. CELL kaydı doğruluk süzgeciyle dışarıda kalır.
- Nerede
- Timeline.json, rawSignals[].position, timestamp ve accuracyMeters.
- Olağan hata
- 23:00–00:00 aralığını UTC saatinde süzmek.
S102 puan
Kullanım olayları 20:46:51 UTC'de KEYGUARD_HIDDEN, ardından 20:46:58'de Mesajlar'ın ön plana, 20:47:40'ta arka plana geçişini kaydediyor. Ne söylenebilir?
CevapC — Kilit ekranı kapatıldı ve gönderilmiş satır 20:47:31'de yazılırken Mesajlar ön plandaydı: telefonun kilidi açıktı ve kullanılıyordu. Kimin tarafından, PIN ile mi parmak iziyle mi açıldığı kaydedilmez.
KEYGUARD_HIDDEN kilit ekranının kalktığı anlamına gelir; PIN kilitli bir telefonda bu, PIN'i ya da kayıtlı parmağı gerektirir. Ön plan aralığı gönderilmiş satırı kuşatır. usagestats içinde kişiyi adlandıran bir şey yoktur; rapor cihazda durmalıdır.
- Nerede
- usage-events.csv, time_ms 1791060451000 çevresindeki satırlar; export-metadata.txt, Dışa aktarım 3.
- Olağan hata
- İletiyi sahibinin gönderdiğini yazmak.
S112 puan
SMS satırı yazılırken ön planda hangi paket vardı?
Cevapcom.google.android.apps.messaging
1791060451000'den önceki, eşleşen MOVE_TO_BACKGROUND kaydı olmayan son MOVE_TO_FOREGROUND com.google.android.apps.messaging'dir (Google Mesajlar). Uygulamanın kendi veri tabanı bugle_db bu edinime dahil değildi.
- Nerede
- usage-events.csv, SMS zamanından önceki event_type 1 ve 2.
- Olağan hata
- 20:42'de arka plana geçen arama uygulamasını girmek.
Kullanım istatistikleri (usagestats)Google Mesajlar veri tabanı (bugle_db)
S122 puan
3 Ekim yerel saatle 23:00 ile 00:00 arasında kilit ekranı kaç kez kapatıldı (KEYGUARD_HIDDEN)?
Cevap5
Beş kilit açma: 23:12 (Haritalar), 23:40 (arama uygulaması, Ece'yi arama), 23:46 (Mesajlar, SMS), 23:52 (Mesajlar, cevap 23:52:05'te geldikten sonra) ve 23:56 (Haritalar). Telefon binanın yakınındaki saat boyunca defalarca kullanıldı.
- Nerede
- usage-events.csv, event_type 18, time_local 2026-10-03 23:xx.
- Olağan hata
- SCREEN_INTERACTIVE satırlarını saymak ya da time_ms değerlerini yerel saat sanmak.
S132 puan
Zaman esasları hakkında hangi ifade doğrudur?
CevapB — Epoch değerleri (sms date, usage time_ms) UTC'dir; arama kaydı raporu cihaz yerelidir; Timeline zamanları +03:00 taşır; elkoymada cihaz saati 2 sn ileriydi.
Android epoch milisaniye saklar; nasıl gösterileceği araca bağlıdır. Burada araç SMS'i UTC'de, arama kaydını cihaz yerel saatinde verdi; Timeline dışa aktarımı ofseti her zamanın içine yazar. İki saniyelik saat farkı hiçbir bulguyu değiştirmez ama raporda yer alır.
- Nerede
- export-metadata.txt; device-info.txt, elkoymadaki saat.
- Olağan hata
- Bir aracın her tabloyu tek bir esasta verdiğini varsaymak.
S142 puan
Konum geçmişi telefonu binadan ayrıldıktan sonra sahibinin evine 150 m mesafede ilk kez ne zaman gösterdi? UTC, doğruluğu ≤100 m olan kayıtlar.
Cevap2026-10-03 21:36:47
Binanın yakınındaki son kayıt 20:58:22 UTC'dedir; ardından GPS kayıtları köprüden Kadıköy'e döner ve 40.9869, 29.0261'e 150 m içindeki ilk kayıt 2026-10-04T00:36:47+03:00 damgalıdır, 3 Ekim 21:36:47 UTC. Telefon elkoymaya kadar evde kalır. Ece'nin binasına hiç dönmez.
- Nerede
- Timeline.json, 20:58 UTC sonrasındaki rawSignals.
- Olağan hata
- Yerel damga gece yarısından sonra olduğu için tarihi 2026-10-04 yazmak.
S152 puan
Sahibi telefonu 21:30 sularında Üsküdar'da Ece'nin evinde bıraktığını ve ertesi sabah aldığını söylüyor. Kayıtlar ne gösteriyor?
CevapB — İkinci yarısıyla çelişiyor: telefon yerel 22:24'te Ece'nin binasından ayrıldı, 22:51–23:58 arasında şikâyetçinin binasının yakınındaydı, orada kilidi beş kez açıldı, Ece'nin numarasını aradı, iletiyi gönderdi ve 00:36'da sahibinin evine gitti; elkoymadan önce Ece'nin binasına hiç dönmedi.
İlk yarı (Ece'de yemek) uyuyor: yerel 19:18'den 22:24'e kadar onun binasında kayıtlar var. Gerisi uymuyor: telefon o gece hareket etti, kullanıldı ve eve gitti. Kim taşıdıysa taşısın, cihaz sabah Ece'de değildi. Ece'nin 00:02'de telefona yaptığı cevapsız arama da telefonun onun evinde olmasıyla zor bağdaşır.
- Nerede
- Timeline.json; call-log.csv; usage-events.csv; acquisition-log.txt, ifade.
- Olağan hata
- Her bölümü sınamak yerine ifadenin tamamını kabul ya da reddetmek.
S162 puan
İnceleme uzmanı hangi cümleyi imzalayabilir?
CevapB — +905550127788 telefonu, 3 Ekim 20:47:31 UTC'de +905550193344 numarasına giden iletiyi gönderilmiş olarak kaydetti; o dakikada kilidi açıktı ve önde Google Mesajlar vardı; konum geçmişi onu şikâyetçinin binasına 47 m uzakta (yarıçap 20 m) gösteriyor. Kayıtlar telefonu kimin tuttuğunu göstermiyor.
b cümlesi cihazı, esasıyla zamanı, telefonun durumunu ve yarıçapıyla konumu adlandırır; kişide durur. a ve d cihazı kişiye çevirir; c bir UTC saatini yerel okur. İfadenin doğru olup olmadığını diğer delillerle birlikte mahkeme tartar.
- Nerede
- Tüm dışa aktarımlar; README.txt, kural 4.
- Olağan hata
- Kişi ya da ifadenin doğruluğu hakkında bir sonuç yazmak.
03Kurulan kronoloji
Doğru cevaplarla kurulan zaman çizelgesi. Yerel saat UTC+3'tür.
| UTC | Yerel | Olay | Kaynak |
|---|---|---|---|
| 19:24:16 | 22:24:16 | Üsküdar'da Ece'nin binasındaki son kayıt (yerel 22:24:16). | Timeline.json |
| 19:51:40 | 22:51:40 | Şikâyetçinin binasına 200 m içindeki ilk kayıt. | Timeline.json |
| 20:41:12 | 23:41:12 | Ece'ye giden arama, 62 sn (yerel 23:41:12 olarak yazılmış). | call-log.csv |
| 20:46:51 | 23:46:51 | Kilit ekranı kapatılır; Google Mesajlar ön plana gelir. | usage-events.csv |
| 20:47:31 | 23:47:31 | +905550193344'e ileti gönderilmiş olarak yazılır. | sms.csv |
| 20:52:05 | 23:52:05 | Cevap gelir: 'Kimsin sen? Polise gidiyorum.' | sms.csv |
| 20:58:22 | 23:58:22 | Binanın yakınındaki son kayıt. | Timeline.json |
| 21:36:47 | 00:36:47 | Sahibinin Kadıköy'deki evinde ilk kayıt (4 Ekim yerel 00:36:47). | Timeline.json |
04Puanlama
1–11. sorular birer puan, 12. soru üç puan değerindedir: toplam 30 puan. Bulgu paragrafı puanla değerlendirilmez; aşağıdaki dört ölçüte göre işaretleyin ve değerlendirmede tartışın.
| Puan | Sonraki adım |
|---|---|
| 27–30 | Yeterli. bugle_db ve operatör kayıtları dahil, tam dosya sistemi ediniminin gözetimli incelemesine geçin. |
| 15–26 | Kaçırdığınız her soruyu açıklamasıyla gözden geçirin, sonra akşamı İnceleme Masası'nda her kaynak UTC'deyken yeniden kurun. |
| 0–14 | Önce VP-02'yi çalışın, sonra İnceleme Masası'nı kullanmadan önce her zamanı elle çevirerek bu paketi tekrarlayın. |
Bulgu paragrafı: ölçütler
- Her zaman kendi esasını taşır; epoch, yerel ve ofsetli zamanların her biri doğru çevrilir.
- Her konum doğruluk yarıçapıyla verilir ve geniş kayıtlar nokta gibi okunmaz.
- Telefonun kullanımı (kilit açmalar, ön plandaki uygulama) iletinin çevresine tek bir UTC çizgisinde yerleştirilir.
- Sahibin ifadesi bölüm bölüm sınanır.
- Rapor kişiden değil telefondan söz eder ve incelenmeyenleri listeler.
05Değerlendirme
- Android epoch milisaniye tutar; her araç onları nasıl göstereceğini kendisi seçer. Sayılardan önce dışa aktarım notlarını okuyun.
- Ofsetiyle bir ISO zamanı, bir inceleme uzmanına verilebilecek en iyi zamandır. Kopyalarken ofseti koruyun.
- Konum 'ne kadar yakın' sorusuna ancak 'ne kadar emin' ile birlikte cevap verir.
- Kilit açma olayları telefonun üzerinde bir el olduğunu gösterir, kimin eli olduğunu asla.
06Örnek bulgu
SIM numarası +905550127788 olan telefonun SMS tablosu, +905550193344 numarasına giden 'Bu iş burada bitmedi. Şu an neredesin biliyorum.' iletisini 3 Ekim 2026 20:47:31 UTC'de gönderilmiş olarak kaydeder (epoch 1791060451000; yerel 23:47:31; sms.csv). Bu, aralık içinde o numaraya giden üçüncü iletidir. 20:46:51 UTC'de kilit ekranı kapatıldı ve Google Mesajlar 20:47:40'a kadar ön plandaydı (usage-events.csv); yerel 23:00 ile 00:00 arasında telefonun kilidi beş kez açıldı. İletiden altı dakika önce, 20:41:12 UTC'de (yerel saatli arama kaydında 23:41:12) telefon Ece olarak kayıtlı numarayı 62 saniye aradı (call-log.csv). Cihaz üzerindeki konum geçmişi telefonu 19:24:16 UTC'ye kadar Üsküdar'da Ece'nin binasında; 19:51:40–20:58:22 UTC arasında şikâyetçinin binasına 200 m mesafede, iletinin saatinde doğruluğu ≤100 m olan on iki Wi-Fi ve GPS kaydıyla, en yakını 20:48:09 UTC'de 20 m yarıçapla 47 m uzakta; 21:36:47 UTC'den elkoymaya kadar da sahibinin Kadıköy'deki evinde gösterir (Timeline.json, zamanlar +03:00 ile yazılı). Sahibin, telefonun ertesi sabaha kadar Ece'de kaldığı anlatımı bu kayıtlarla bağdaşmaz. Sınırlar: kayıtlar telefonu anlatır; onu kimin taşıdığını ya da kullandığını göstermez. Şikâyetçinin telefonu, operatör kayıtları ve Mesajlar veri tabanı incelenmedi. Elkoymada cihaz saati 2 sn ileriydi.