# Adli Bilişim ve Digital Forensics Hizmeti

**URL:** https://securesys.com.tr/tr/hizmetler/adli-bilisim-hizmeti

#### Adli Bilişim Nedir?

**Adli Bilişim (****Digital** **Forensics****)**, dijital sistemlerde gerçekleşen güvenlik olaylarının, veri ihlallerinin, yetkisiz erişimlerin, zararlı yazılım aktivitelerinin ve diğer şüpheli işlemlerin teknik olarak incelenmesi, delillerin korunması ve olayın nasıl gerçekleştiğinin ortaya çıkarılması amacıyla gerçekleştirilen uzmanlık çalışmasıdır.

Adli bilişim çalışmalarının temel amacı yalnızca bir güvenlik olayının meydana geldiğini doğrulamak değildir. Asıl amaç;

**olayın****ne zaman başladığını, saldırganın sisteme nasıl eriştiğini, hangi sistemlerde hareket ettiğini, hangi kullanıcı hesaplarının etkilendiğini, hangi verilerin erişildiğini veya dışarı çıkarıldığını ve saldırının kurum içerisinde ne kadar ilerlediğini**

teknik bulgularla ortaya koymaktır.

SecureSys tarafından sunulan **Adli Bilişim ve****Digital** **Forensics****Hizmeti**, kurumların siber güvenlik olaylarını teknik açıdan analiz etmelerine, olay kapsamını belirlemelerine ve gelecekte benzer saldırıların tekrar yaşanmasını önleyecek güvenlik aksiyonlarını oluşturmalarına yardımcı olmayı amaçlar.

Adli bilişim çalışmaları özellikle;

**ransomware****saldırıları, veri ihlalleri, yetkisiz erişimler,****malware****enfeksiyonları, hesap ele geçirme olayları, içeriden kaynaklanan tehditler ve şüpheli kullanıcı aktiviteleri**

sonrasında kritik öneme sahiptir.

### Digital Forensics Neden Önemlidir?

Bir siber güvenlik olayı sonrasında kurumların en sık karşılaştığı problem, olayın gerçek kapsamının bilinmemesidir.

Örneğin bir kullanıcı bilgisayarında zararlı yazılım tespit edilmiş olabilir.

Ancak cevaplanması gereken sorular şunlardır:

**Zararlı yazılım yalnızca bu bilgisayarda mı bulunuyor?**

**Başka sistemlere yayıldı mı?**

**Kullanıcı kimlik bilgileri ele geçirildi mi?**

**Saldırgan Active Directory ortamına erişti mi?**

**Herhangi bir veri dışarı çıkarıldı mı?**

**Saldırgan kurum içerisinde ne kadar süre kaldı?**

**Olay hâlâ devam ediyor mu?**

Bu sorulara doğru cevap verilmeden gerçekleştirilen müdahale çalışmaları eksik kalabilir.

Örneğin yalnızca enfekte bilgisayarın formatlanması saldırganın başka sistemlerde bıraktığı kalıcılık mekanizmalarını ortadan kaldırmayabilir.

Bu nedenle profesyonel adli bilişim çalışmaları olayın yalnızca görünen bölümüne değil, **tam saldırı zincirine** odaklanmalıdır.

### SecureSys Adli Bilişim Hizmeti

**SecureSys**, kurumların dijital sistemlerinde meydana gelen güvenlik olaylarının analiz edilmesine yönelik profesyonel **Adli Bilişim,****Digital** **Forensics****,****Incident** **Investigation****ve****Compromise** **Assessment** hizmetleri sunmaktadır.

Hizmet kapsamı olayın türüne göre;

**disk****analizi,****memory** **forensics****,****endpoint****analizi, log inceleme,****malware****analizi, kullanıcı aktivitesi analizi, network****artefact****analizi, e-posta incelemesi ve saldırı zaman çizelgesi oluşturulması**

gibi farklı teknik faaliyetlerden oluşabilir.

Amaç yalnızca teknik delil toplamak değildir.

Asıl hedef, olayın kurum açısından anlamlı şekilde açıklanmasıdır.

### Compromise Assessment Nedir?

**Compromise** **Assessment**, kurum sistemlerinde daha önce gerçekleşmiş veya hâlen devam ediyor olabilecek yetkisiz erişim, malware enfeksiyonu veya saldırgan aktivitesinin sistematik olarak araştırılmasıdır.

Bu çalışma klasik sızma testinden farklıdır.

[Sızma testi](/tr/hizmetler/sizma-testi-penetrasyon-testi-hizmeti) şu soruya cevap arar:

**“Bir saldırgan sistemlere girebilir mi?”**

Compromise Assessment ise şu soruya cevap arar:

**“Bir saldırgan zaten sistemlerimize girmiş olabilir mi?”**

Bu nedenle Compromise Assessment, özellikle şüpheli güvenlik olayları sonrasında veya kurumun mevcut güvenlik durumundan emin olmadığı durumlarda oldukça değerlidir.

### Compromise Assessment Ne Zaman Yapılmalıdır?

Compromise Assessment yalnızca büyük bir saldırı meydana geldikten sonra yapılmaz.

Aşağıdaki durumlarda bu çalışma değerlendirilebilir:

- Şüpheli network trafiği tespit edilmesi
- EDR veya [SIEM](/tr/hizmetler/siem-soar-guvenlik-hizmeti) üzerinde kritik alarm oluşması
- Kullanıcı hesabında olağan dışı oturum açma görülmesi
- Zararlı yazılım tespit edilmesi
- Ransomware saldırısı yaşanması
- Veri sızıntısı şüphesi oluşması
- Dark web üzerinde kuruma ait bilgiler görülmesi
- Yönetici veya kritik kullanıcı hesaplarının ele geçirildiğinden şüphelenilmesi
- Yeni satın alınan veya birleşilen şirket altyapısının güvenlik durumunun doğrulanmak istenmesi
- Uzun süredir güvenlik kontrolü yapılmamış sistemlerin değerlendirilmesi

Compromise Assessment aynı zamanda proaktif olarak da gerçekleştirilebilir.

Kurum herhangi bir saldırı belirtisi görmemiş olsa bile geçmişe dönük saldırı izlerinin bulunup bulunmadığını kontrol etmek isteyebilir.

### Compromise Assessment Nasıl Yapılır?

Compromise Assessment çalışması kurumun mevcut altyapısına ve olayın kapsamına göre farklı yöntemlerle gerçekleştirilebilir.

#### \1. Kapsam Belirleme

Öncelikle incelenecek sistemler belirlenir.

Bunlar arasında;

**endpoint****cihazlar, sunucular, Active Directory, SIEM logları, EDR/[XDR](/tr/hizmetler/xdr-guvenlik-hizmeti) sistemleri, firewall kayıtları, VPN logları ve kritik uygulamalar**

bulunabilir.

#### \2. IOC Taraması

Bilinen zararlı göstergeler sistemlerde aranabilir.

Bunlar arasında;

**zararlı****IP adresleri, domainler, dosya****hash'leri****,****process****isimleri,****registry****kayıtları ve diğer****Indicator****of****Compromise****– IOC değerleri**

bulunabilir.

#### \3. Davranış Analizi

Yalnızca bilinen IOC'lere bakmak yeterli değildir.

Saldırganlar yeni veya bilinmeyen teknikler kullanabilir.

Bu nedenle;

**olağan****dışı****process****çalıştırma,****PowerShell****aktiviteleri,****credential** **access****davranışları, lateral****movement****,****persistence****ve****privilege** **escalation**

gibi şüpheli davranışlar analiz edilmelidir.

#### \4. Endpoint Analizi

Kritik sistemlerden elde edilen disk, memory veya endpoint telemetry verileri incelenebilir.

#### \5. Active Directory Analizi

Şüpheli hesaplar, ayrıcalıklı kullanıcı aktiviteleri ve olağan dışı authentication kayıtları değerlendirilebilir.

#### \6. Network ve Log Analizi

Firewall, proxy, DNS, VPN, SIEM ve diğer log kaynakları incelenerek saldırganın sistemler arasındaki hareketleri ortaya çıkarılabilir.

#### \7. Zaman Çizelgesi Oluşturma

Tespit edilen olaylar kronolojik olarak sıralanarak saldırının nasıl ilerlediği belirlenir.

### Compromise Assessment ile Incident Response Arasındaki Fark

Compromise Assessment ile Incident Response birbirine yakın ancak farklı amaçlara sahip hizmetlerdir.

**Compromise** **Assessment**, sistemlerde saldırgan bulunup bulunmadığını tespit etmeye odaklanır.

**Incident** **Response** ise doğrulanmış güvenlik olayına müdahale etmeyi, saldırganı sistemden çıkarmayı ve operasyonları güvenli duruma getirmeyi amaçlar.

Bu nedenle süreç çoğu zaman şu şekilde ilerleyebilir:

**Şüphe →****Compromise** **Assessment****→ Saldırının Doğrulanması →****Incident** **Response****→****Digital** **Forensics****→****Recovery****→****Lessons** **Learned**

Bu yaklaşım kurumun yalnızca saldırıyı durdurmasını değil, olayın kök nedenini anlamasını da sağlar.

### Adli Bilişim Süreci Nasıl İlerler?

#### \1. Olayın İlk Değerlendirmesi

Öncelikle olayın tipi ve etkilediği sistemler hakkında mevcut bilgiler toplanır.

İlk değerlendirme sırasında;

olayın ne zaman fark edildiği, hangi güvenlik ürünlerinin alarm verdiği ve hangi sistemlerin etkilenmiş olabileceği

belirlenir.

#### \2. Dijital Delillerin Korunması

Adli bilişim çalışmalarında en önemli prensiplerden biri delil bütünlüğünün korunmasıdır.

Yanlış müdahale, önemli delillerin kaybolmasına neden olabilir.

Bu nedenle kritik sistemler üzerinde yapılacak işlemler kontrollü şekilde planlanmalıdır.

#### \3. Veri Toplama

Disk image, memory dump, log dosyaları ve diğer dijital artefact'lar toplanabilir.

#### \4. Teknik Analiz

Toplanan veriler saldırgan aktivitesi açısından analiz edilir.

#### \5. Saldırı Zaman Çizelgesi

Olayların hangi sırayla gerçekleştiği belirlenir.

#### \6. Etki Analizi

Hangi sistemlerin ve verilerin etkilendiği değerlendirilir.

#### \7. Raporlama

Teknik bulgular ve önerilen aksiyonlar raporlanır.

### Disk Forensics Nedir?

**Disk****Forensics**, bilgisayar veya sunucu disklerinde bulunan dijital artefact'ların incelenmesidir.

Bu analiz sayesinde;

silinmiş dosyalar, kullanıcı aktiviteleri, uygulama kayıtları, dosya erişimleri ve zararlı yazılım izleri

tespit edilebilir.

Disk analizi özellikle geçmişte gerçekleşmiş olayların incelenmesinde değerlidir.

Saldırgan sistemden ayrılmış olsa bile bazı aktivitelerin izleri disk üzerinde kalabilir.

### Memory Forensics Nedir?

**Memory****Forensics**, çalışan sistemin RAM belleğinin analiz edilmesidir.

Memory analizi özellikle dosyasız malware ve çalışan process'lerin incelenmesi açısından önemlidir.

Saldırganın yalnızca memory içerisinde çalışan zararlı kod kullanması durumunda disk üzerinde yeterli iz bulunmayabilir.

Bu nedenle memory dump analizi;

**process'ler****, network bağlantıları,****credential** **artefact'ları****ve****injected** **code**

gibi önemli bilgiler sağlayabilir.

### Malware Forensics ve Zararlı Yazılım Analizi

Bir güvenlik olayında zararlı yazılım tespit edilmesi durumunda malware'in nasıl çalıştığının anlaşılması önemlidir.

Malware analizi kapsamında;

**dosya****davranışı, network bağlantıları,****persistence****mekanizmaları,****command** **and** **control****altyapısı ve oluşturduğu****artefact'lar**

incelenebilir.

Bu bilgiler yalnızca zararlı yazılımı anlamak için değil, kurumun diğer sistemlerinde aynı malware'in bulunup bulunmadığını kontrol etmek için de kullanılabilir.

### Ransomware Olaylarında Adli Bilişim

Ransomware saldırıları kurumlar açısından en kritik güvenlik olaylarından biridir.

Bir ransomware olayında yalnızca şifrelenen dosyaların kurtarılmasına odaklanmak yeterli değildir.

Öncelikle saldırganın sisteme nasıl girdiği anlaşılmalıdır.

Saldırgan;

VPN hesabı, phishing e-postası, güvenlik açığı veya çalınmış kullanıcı bilgileri

üzerinden ilk erişim sağlamış olabilir.

Daha sonra kurum ağı içerisinde günler veya haftalar boyunca hareket etmiş olabilir.

Bu nedenle ransomware forensics çalışmasında;

**initial** **access****,****credential** **access****,****privilege** **escalation****, lateral****movement****, data****exfiltration****ve****encryption**

aşamalarının tamamı değerlendirilmelidir.

### Ransomware Saldırısında Veri Sızıntısı Analizi

Modern ransomware saldırılarında dosyaların şifrelenmesinden önce verilerin kurum dışına çıkarılması sık görülen bir tekniktir.

Bu nedenle olay sonrasında yalnızca “hangi dosyalar şifrelendi?” sorusuna değil;

**“****hangi****veriler dışarı çıkarılmış olabilir?”**

sorusuna da cevap aranmalıdır.

Firewall, proxy, endpoint ve network logları bu konuda önemli bilgiler sağlayabilir.

### Active Directory Forensics

Birçok kurumsal saldırıda Active Directory kritik hedeflerden biridir.

Saldırganlar yüksek yetkili hesaplara erişerek kurum altyapısının büyük bölümünü kontrol etmeye çalışabilir.

Active Directory adli incelemesinde;

**başarısız****ve başarılı oturum açmalar, yeni hesap oluşturma, grup üyeliği değişiklikleri, ayrıcalıklı hesap aktiviteleri ve olağan dışı****authentication****davranışları**

incelenebilir.

Özellikle Domain Admin ve diğer yüksek yetkili gruplardaki değişiklikler dikkatle değerlendirilmelidir.

### Windows Event Log Analizi

Windows sistemlerinde gerçekleşen birçok güvenlik olayı Event Log kayıtlarında iz bırakabilir.

Bu loglar;

oturum açma, process oluşturma, servis değişiklikleri ve kullanıcı aktiviteleri

hakkında önemli bilgiler içerebilir.

Adli bilişim uzmanları farklı Event ID kayıtlarını bir araya getirerek saldırı zaman çizelgesinin oluşturulmasına yardımcı olabilir.

Ancak log bulunmaması saldırı olmadığı anlamına gelmez.

Logların silinmiş olması da saldırgan aktivitesinin göstergesi olabilir.

### Linux Forensics

Linux sunucularda adli inceleme;

**authentication****logları,****shell** **history****,****process****kayıtları,****cron** **job'lar****, SSH erişimleri ve dosya değişiklikleri**

üzerinden gerçekleştirilebilir.

Web sunucuları ve kritik backend sistemlerinde Linux forensics özellikle önemlidir.

Saldırganın yeni kullanıcı oluşturması, SSH key eklemesi veya cron üzerinden persistence sağlaması gibi aktiviteler araştırılabilir.

### Network Forensics Nedir?

**Network****Forensics**, saldırganın ağ üzerindeki hareketlerinin incelenmesini amaçlar.

Firewall, IDS/IPS, NDR, proxy, DNS ve packet capture verileri analiz edilebilir.

Bu sayede;

**Command** **and****Control bağlantıları, lateral****movement****, veri sızıntısı ve şüpheli dış bağlantılar**

tespit edilebilir.

Network forensics özellikle saldırganın bir sistemden diğerine nasıl geçtiğinin anlaşılması açısından önemlidir.

### E-posta Adli Bilişim Analizi

Phishing ve Business Email Compromise saldırılarında e-posta sistemleri kritik deliller içerir.

E-posta adli incelemesinde;

**mail** **header****, gönderici altyapısı, SPF/DKIM/DMARC sonuçları, zararlı bağlantılar, ek dosyalar ve kullanıcı etkileşimleri**

değerlendirilebilir.

Bu sayede phishing e-postasının hangi kaynaktan geldiği ve kullanıcı üzerinde nasıl bir etki oluşturduğu anlaşılabilir.

### Cloud Forensics

Kurumların bulut platformlarını yoğun şekilde kullanmasıyla birlikte **Cloud****Forensics** önem kazanmıştır.

AWS, Azure ve diğer cloud platformlarında;

**authentication****logları, IAM değişiklikleri, API aktiviteleri,****storage****erişimleri ve network logları**

olay analizinde kullanılabilir.

Özellikle ele geçirilmiş cloud credential'ları ile gerçekleştirilen saldırılarda cloud audit logları kritik delil kaynağıdır.

### Microsoft 365 ve Entra ID Olay Analizi

Microsoft 365 ve Entra ID kullanan kurumlarda hesap ele geçirme olayları yaygın güvenlik risklerinden biridir.

Adli analiz kapsamında;

**şüpheli****login kayıtları, ülke ve IP değişiklikleri, MFA aktiviteleri,****mailbox** **forwarding** **rule'ları****,****OAuth****izinleri ve kullanıcı oturumları**

değerlendirilebilir.

Örneğin saldırgan ele geçirdiği mailbox üzerinde otomatik forwarding kuralı oluşturmuş olabilir.

Bu tür yapılandırmalar saldırganın uzun süre bilgi toplamaya devam etmesine neden olabilir.

### Business Email Compromise Forensics

BEC saldırılarında saldırgan kurum yöneticisi veya tedarikçiyi taklit ederek finansal işlem gerçekleştirmeye çalışabilir.

Bazı durumlarda saldırgan gerçek e-posta hesabını ele geçirerek mevcut yazışmaları takip eder.

Daha sonra doğru zamanda ödeme bilgilerini değiştirir.

Adli analiz sırasında;

**mailbox****login kayıtları,****forwarding** **rule'ları****, gönderilen e-postalar ve****authentication****logları**

incelenerek saldırının nasıl gerçekleştiği ortaya çıkarılabilir.

### Insider Threat – İç Tehdit Adli Analizi

Her güvenlik olayı dış saldırgan kaynaklı değildir.

Çalışan veya yetkili kullanıcıların gerçekleştirdiği şüpheli aktiviteler de kurum açısından ciddi risk oluşturabilir.

İç tehdit analizinde;

**dosya****erişimleri, USB kullanımı, e-posta gönderimleri,****cloud** **storage****aktiviteleri ve kritik veri transferleri**

incelenebilir.

Bu tür çalışmalar hukuki ve kişisel veri gereksinimleri dikkate alınarak kontrollü şekilde gerçekleştirilmelidir.

### Veri İhlali Analizi

Kurumdan veri çıktığı şüphesi oluştuğunda olayın kapsamının belirlenmesi gerekir.

Temel sorular şunlardır:

**Hangi veriler etkilendi?**

**Kaç kayıt erişilmiş olabilir?**

**Veri gerçekten dışarı çıkarıldı mı?**

**Hangi kullanıcı veya sistem üzerinden gerçekleşti?**

Bu sorular özellikle kişisel veri veya kritik kurumsal bilgilerin işlendiği sistemlerde önemlidir.

### Root Cause Analysis – Kök Neden Analizi

Adli bilişim çalışmasının en kritik sonuçlarından biri **Root** **Cause****Analysis** yani kök neden analizidir.

Saldırının yalnızca sonuçları değil, başlangıç noktası da belirlenmelidir.

Örneğin ransomware saldırısının kök nedeni;

zayıf VPN parolası, güncel olmayan güvenlik cihazı veya phishing saldırısı

olabilir.

Kök neden düzeltilmezse sistemler temizlense bile benzer saldırının tekrar gerçekleşme ihtimali devam eder.

### Timeline Analysis – Saldırı Zaman Çizelgesi

Profesyonel bir adli bilişim raporunda olayın kronolojik olarak gösterilmesi oldukça değerlidir.

Örneğin saldırı şu şekilde gelişmiş olabilir:

**03 Mart 02:14 – Şüpheli VPN girişi**

**03 Mart 02:21 – İlk sunucuya erişim**

**03 Mart 03:05 –****Credential** **dumping**

**03 Mart 04:10 – Lateral****movement**

**04 Mart 01:30 – Veri dışarı aktarımı**

**05 Mart 04:45 –****Ransomware****çalıştırılması**

Bu zaman çizelgesi saldırının gerçek yapısının anlaşılmasını kolaylaştırır.

### Persistence Analizi

Saldırganlar sistemlere eriştikten sonra erişimlerini kaybetmemek için kalıcılık mekanizmaları oluşturabilir.

Bunlar arasında;

**yeni****kullanıcı hesabı,****scheduled** **task****, service,****registry****değişikliği,****startup** **script****ve web****shell**

gibi yöntemler bulunabilir.

Compromise Assessment ve adli bilişim çalışmalarında bu persistence mekanizmalarının araştırılması kritik öneme sahiptir.

### Lateral Movement Analizi

Saldırganın ilk ele geçirdiği sistem çoğu zaman nihai hedef değildir.

Saldırgan kurum ağı içerisinde farklı sistemlere doğru hareket eder.

Bu davranış **Lateral****Movement** olarak tanımlanır.

Adli analiz sayesinde saldırganın;

hangi kullanıcı hesaplarını kullandığı, hangi sistemlere eriştiği ve hangi protokolleri kullandığı

belirlenebilir.

Bu bilgi saldırının gerçek kapsamının ortaya çıkarılmasını sağlar.

### Credential Access Analizi

Saldırganların kurum içerisinde ilerleyebilmesi için en önemli kaynaklardan biri kullanıcı kimlik bilgileridir.

Adli analiz sırasında;

**credential** **dumping****, parola****hash'leri****,****cached** **credential****,****token****ve servis hesapları**

ile ilişkili aktiviteler araştırılabilir.

Bu bilgiler saldırganın hangi hesapları ele geçirmiş olabileceğinin belirlenmesine yardımcı olur.

### Data Exfiltration Analizi

Bir saldırganın kurumdan veri çıkarıp çıkarmadığının belirlenmesi adli bilişimin en zor alanlarından biridir.

Bu analiz için;

network logları, proxy kayıtları, cloud aktiviteleri ve endpoint verileri

birlikte değerlendirilebilir.

Büyük veri transferleri, bilinmeyen cloud servislerine bağlantılar veya şüpheli sıkıştırılmış dosyalar veri sızıntısının göstergesi olabilir.

### IOC ve IOA Analizi

Adli bilişim çalışmalarında hem **Indicator****of****Compromise****– IOC** hem de **Indicator****of Attack – IOA** göstergeleri değerlendirilebilir.

IOC saldırının bıraktığı teknik izleri gösterir.

IOA ise saldırgan davranışlarını ifade eder.

Örneğin belirli bir malware hash'i IOC iken, PowerShell üzerinden credential dumping davranışı IOA olarak değerlendirilebilir.

Modern Compromise Assessment çalışmalarında davranış temelli analiz özellikle önemlidir.

### MITRE ATT&CK ile Olay Haritalama

Adli analiz sonucunda tespit edilen saldırgan aktiviteleri **MITRE ATT&CK** teknikleriyle ilişkilendirilebilir.

Örneğin saldırı zinciri;

**Initial****Access →****Execution****→****Persistence****→****Credential****Access →****Discovery****→ Lateral****Movement****→****Exfiltration**

aşamalarıyla haritalandırılabilir.

Bu yaklaşım kurumun saldırganın hangi tekniklerde başarılı olduğunu görmesini sağlar.

Aynı bilgiler daha sonra Purple Team veya detection engineering çalışmalarında kullanılabilir.

### Adli Bilişim ve SOC Entegrasyonu

Adli bilişim yalnızca geçmişi araştırmak için kullanılmamalıdır.

Elde edilen bilgiler SOC süreçlerini geliştirmek için önemli girdiler sağlar.

Örneğin saldırganın kullandığı yeni bir teknik tespit edildiğinde SIEM üzerinde yeni korelasyon kuralı oluşturulabilir.

EDR üzerinde yeni detection kuralı tanımlanabilir.

Firewall veya DNS üzerinde zararlı altyapılar engellenebilir.

Bu sayede gerçekleşmiş bir olay kurumun gelecekteki savunmasını güçlendiren bir öğrenme sürecine dönüşür.

### Lessons Learned Süreci

Olay müdahale ve adli bilişim çalışmalarının sonunda yalnızca teknik rapor hazırlanması yeterli değildir.

Kurumun olaydan ne öğrendiği değerlendirilmelidir.

**Lessons** **Learned** sürecinde;

hangi güvenlik kontrolünün başarısız olduğu, saldırının neden geç tespit edildiği, hangi süreçlerin iyileştirilmesi gerektiği ve hangi yeni kontrollerin devreye alınması gerektiği

belirlenebilir.

Bu yaklaşım kurumun siber güvenlik olgunluğunu artırır.

### Adli Bilişim Raporu Neleri İçerir?

Profesyonel Digital Forensics raporunda proje kapsamına göre;

**olayın****özeti, etkilenen sistemler, saldırı zaman çizelgesi, tespit edilen IOC/IOA göstergeleri, saldırgan aktiviteleri, etkilenen kullanıcı hesapları, veri sızıntısı değerlendirmesi, kök neden ve iyileştirme önerileri**

yer alabilir.

Teknik detayların yanında yönetimin olayın iş etkisini anlayabileceği bir yönetici özeti de hazırlanabilir.

### Adli Bilişimde Delil Bütünlüğü

Adli bilişim çalışmalarında elde edilen dijital delillerin bütünlüğünün korunması önemlidir.

Disk image veya diğer deliller üzerinde hash değerleri kullanılarak veri bütünlüğü doğrulanabilir.

Ayrıca delilin kim tarafından, ne zaman ve hangi yöntemle alındığının kayıt altına alınması gerekir.

Bu yaklaşım özellikle hukuki süreçlerde kullanılabilecek olaylarda kritik öneme sahiptir.

### Chain of Custody Nedir?

**Chain****of****Custody**, dijital delilin toplandığı andan analiz tamamlanana kadar kimlerin eriştiğinin ve hangi işlemlerin gerçekleştirildiğinin kayıt altına alınmasıdır.

Bu kayıt;

delilin değişmediğini ve kontrollü şekilde işlendiğini göstermek açısından önemlidir.

Özellikle hukuki veya disiplin sürecine dönüşebilecek olaylarda Chain of Custody prosedürleri dikkate alınmalıdır.

### Adli Bilişim Hangi Kurumlar İçin Gereklidir?

Digital Forensics hizmetleri özellikle;

**finans****kuruluşları, kamu kurumları, savunma sanayii, enerji şirketleri, sağlık kuruluşları, e-ticaret firmaları, teknoloji şirketleri, holdingler ve kritik altyapı işletmecileri**

için önemlidir.

Ancak veri işleyen ve dijital sistem kullanan her kurum güvenlik olayı yaşaması durumunda adli bilişim ihtiyacı duyabilir.

### Proaktif Compromise Assessment

Compromise Assessment yalnızca olay sonrasında yapılmak zorunda değildir.

Kurumlar periyodik olarak sistemlerinde geçmiş saldırı izlerinin bulunup bulunmadığını kontrol ettirebilir.

Bu yaklaşım özellikle uzun süredir güvenlik değerlendirmesi yapılmamış ortamlarda değer sağlar.

Amaç;

**“Henüz alarm almadık, ancak içeride saldırgan olmadığına ne kadar eminiz?”**

sorusuna teknik verilerle cevap verebilmektir.

### Adli Bilişim ile Incident Response Arasındaki İlişki

**Incident** **Response**, yaşanan siber güvenlik olayına müdahale edilmesini; **Digital** **Forensics** ise olayın teknik olarak incelenmesini sağlar. Bu iki disiplin çoğu siber olayda birlikte çalışır.

Bir saldırı tespit edildiğinde öncelikle olayın yayılması engellenmeli, kritik sistemler korunmalı ve saldırgan erişimi sınırlandırılmalıdır. Bunun ardından adli bilişim teknikleri kullanılarak saldırının nasıl başladığı, hangi sistemleri etkilediği ve hangi kullanıcı hesaplarının kullanıldığı araştırılır.

Bu nedenle modern siber olay müdahale süreçleri çoğunlukla **DFIR –****Digital** **Forensics** **and** **Incident** **Response** yaklaşımıyla ele alınır.

SecureSys DFIR yaklaşımında temel hedef yalnızca sistemi yeniden çalışır hale getirmek değildir. Olayın kök nedeninin anlaşılması, saldırganın sistemde bıraktığı izlerin ortaya çıkarılması ve benzer bir olayın tekrar yaşanmaması için gerekli güvenlik kontrollerinin belirlenmesi hedeflenir.

### DFIR Nedir?

**DFIR –****Digital** **Forensics** **and** **Incident** **Response**, dijital adli bilişim ile siber olay müdahale süreçlerinin birlikte yürütüldüğü güvenlik yaklaşımıdır.

DFIR çalışmaları;

**olay****tespiti,****containment****, dijital delil toplama, analiz, saldırgan aktivitesinin belirlenmesi,****eradication****,****recovery****ve olay sonrası iyileştirme**

aşamalarından oluşabilir.

Özellikle ransomware, veri ihlali ve gelişmiş hedefli saldırılarda DFIR yaklaşımı kritik öneme sahiptir.

Bir kurum yalnızca zararlı yazılımı silerek saldırıyı sona erdirmiş olmayabilir.

Saldırgan farklı kullanıcı hesapları oluşturmuş, yeni servisler eklemiş veya kalıcılık mekanizmaları bırakmış olabilir.

DFIR çalışması bu nedenle saldırının bütün yaşam döngüsünü ele alır.

### Breach Investigation Nedir?

**Breach** **Investigation**, gerçekleşmiş veya gerçekleştiğinden şüphelenilen veri ihlalinin detaylı teknik olarak araştırılmasıdır.

Bu çalışma sırasında temel hedeflerden biri olayın kapsamını belirlemektir.

Örneğin;

**hangi****sistemler ele geçirildi, hangi kullanıcılar etkilendi, hangi dosyalara erişildi, saldırgan ne kadar süre sistemde kaldı ve veri dışarı çıkarıldı mı**

sorularının cevapları araştırılır.

Breach Investigation özellikle kişisel veri, finansal bilgi, ticari sır veya kritik kurumsal dokümanların işlendiği ortamlarda önemlidir.

SecureSys tarafından gerçekleştirilen veri ihlali analizlerinde mevcut log kayıtları, endpoint verileri, network verileri ve dijital artefact'lar birlikte değerlendirilebilir.

### Account Compromise Investigation

Bir kullanıcı hesabının ele geçirildiğinden şüphelenildiğinde yalnızca parolanın değiştirilmesi yeterli olmayabilir.

Saldırgan hesaba eriştikten sonra yeni oturumlar oluşturmuş, forwarding rule eklemiş veya başka sistemlere erişmiş olabilir.

**Account** **Compromise** **Investigation**, ele geçirilen veya şüpheli kullanıcı hesaplarının detaylı olarak incelenmesini amaçlar.

Bu kapsamda;

**başarılı****ve başarısız login kayıtları, MFA aktiviteleri, cihaz bilgileri, IP adresleri, oturum kayıtları, parola değişiklikleri ve yetkilendirme değişiklikleri**

analiz edilebilir.

Özellikle Microsoft 365, Entra ID, VPN ve Active Directory hesaplarında bu tür analizler önemlidir.

### Microsoft 365 Compromise Assessment

Microsoft 365 ortamlarında hesap ele geçirme, phishing ve Business Email Compromise olayları sık karşılaşılan güvenlik riskleri arasındadır.

**Microsoft 365****Compromise** **Assessment** çalışmasında;

şüpheli kullanıcı oturumları, yeni cihaz girişleri, inbox rule değişiklikleri, mailbox forwarding, OAuth uygulama izinleri ve yönetici aktiviteleri

incelenebilir.

Örneğin saldırgan kullanıcı hesabına eriştikten sonra e-postaların dış adrese otomatik yönlendirilmesini sağlayan bir kural oluşturmuş olabilir.

Kullanıcı parolası değiştirilse bile bu forwarding rule aktif kalabilir.

Bu nedenle Microsoft 365 olaylarında yalnızca parolayı değiştirmek yeterli bir müdahale değildir.

### Active Directory Compromise Assessment

**Active Directory****Compromise** **Assessment**, kurumun Active Directory altyapısında geçmiş veya devam eden saldırgan aktivitelerinin araştırılmasını amaçlar.

Saldırganların hedeflerinden biri yüksek yetkili hesaplara erişmektir.

Bu nedenle analiz sırasında;

**Domain Admin aktiviteleri, yeni kullanıcı ve grup oluşturma, servis hesapları, olağan dışı****authentication****,****Kerberos****aktiviteleri ve****privilege** **escalation****izleri**

değerlendirilebilir.

Active Directory ortamında bir saldırganın yüksek yetki elde etmesi tüm kurum için kritik risk anlamına gelebilir.

Bu nedenle compromise assessment çalışmalarında AD ortamı önemli analiz alanlarından biridir.

### Endpoint Compromise Assessment

Endpoint cihazlar saldırganların ilk erişim sağladığı veya kurum içerisinde hareket ettiği sistemler olabilir.

**Endpoint** **Compromise** **Assessment** kapsamında kullanıcı bilgisayarları ve sunucular saldırı izleri açısından değerlendirilebilir.

Analizde;

**şüpheli** **process'ler****,****persistence****mekanizmaları,****scheduled** **task'lar****, servisler,****registry****değişiklikleri,****malware** **artefact'ları****ve****command** **execution****izleri**

incelenebilir.

Amaç yalnızca bilinen malware'leri bulmak değil, saldırgan davranışlarını da tespit etmektir.

### IOC Hunting

**IOC****Hunting**, bilinen saldırı göstergelerinin kurum sistemlerinde aranmasıdır.

IOC listeleri;

IP adresleri, domainler, URL'ler, dosya hash'leri ve farklı malware göstergelerinden oluşabilir.

Örneğin kurumun sektörünü hedefleyen bir saldırı kampanyasında kullanılan yeni IOC'ler tespit edilmiş olabilir.

Bu göstergeler kurumun EDR, SIEM, firewall, proxy ve DNS loglarında aranabilir.

Bu şekilde kurumun ilgili tehdit aktörüyle daha önce temas edip etmediği değerlendirilebilir.

### Threat Hunting ile Compromise Assessment Arasındaki Fark

Threat Hunting ve Compromise Assessment birbirine yakın kavramlardır.

**Compromise** **Assessment**, sistemlerde geçmiş veya devam eden saldırgan aktivitesi bulunup bulunmadığını sistematik olarak araştırır.

**Threat** **Hunting** ise bilinen veya varsayılan saldırgan davranışlarının kurum sistemlerinde proaktif olarak aranmasına odaklanır.

Örneğin “saldırgan PowerShell üzerinden credential dumping yapmış olabilir” varsayımıyla loglarda belirli davranışların aranması bir Threat Hunting çalışmasıdır.

Bu iki yaklaşım birlikte kullanıldığında saldırganların yalnızca bilinen IOC'lerle değil, davranışsal tekniklerle de tespit edilmesi mümkün olabilir.

### Fileless Malware Analizi

Bazı modern saldırılar diske geleneksel zararlı dosya bırakmadan gerçekleştirilebilir.

Bu yaklaşım genellikle **Fileless** **Malware** veya living-off-the-land teknikleriyle ilişkilidir.

Saldırgan;

PowerShell, WMI, rundll32, mshta veya sistemde zaten bulunan araçları

kullanarak faaliyet gösterebilir.

Bu saldırılar klasik antivirüs sistemleri tarafından her zaman kolayca tespit edilemeyebilir.

Memory Forensics, EDR telemetry ve Windows Event Log analizi fileless saldırıların incelenmesinde önemli rol oynar.

### Living off the Land Saldırıları

**Living** **off** **the****Land**, saldırganların zararlı yazılım yüklemek yerine işletim sisteminde bulunan meşru araçları kötüye kullanmasıdır.

PowerShell, Windows Management Instrumentation ve diğer sistem araçları saldırı amacıyla kullanılabilir.

Bu durum saldırgan aktivitelerinin normal yönetim işlemleriyle karıştırılmasına neden olabilir.

Adli bilişim ve Compromise Assessment çalışmalarında yalnızca bilinmeyen dosyalar değil, meşru araçların olağan dışı kullanım şekilleri de değerlendirilmelidir.

### Web Shell Forensics

Web sunucuları saldırganlar için önemli hedeflerdir.

Bir web uygulamasındaki güvenlik açığını istismar eden saldırgan, sunucuya **web****shell** bırakabilir.

Web shell sayesinde saldırgan sistem üzerinde uzaktan komut çalıştırabilir.

Adli bilişim çalışmasında;

web dosyalarındaki değişiklikler, yeni oluşturulan dosyalar, web server access logları ve şüpheli process aktiviteleri

incelenebilir.

Web shell tespit edilmesi durumunda yalnızca dosyanın silinmesi yeterli değildir.

Saldırganın hangi zafiyeti kullanarak bu erişimi elde ettiği de belirlenmelidir.

### Persistence Hunting

Saldırganın kurum sistemlerine yeniden erişebilmek için bıraktığı kalıcılık mekanizmalarının araştırılması **Persistence** **Hunting** kapsamında değerlendirilebilir.

Saldırgan;

yeni kullanıcı hesabı, startup entry, scheduled task, service, registry key veya farklı authentication mekanizmaları

oluşturabilir.

Özellikle incident response sonrasında saldırgan erişiminin tamamen kaldırıldığından emin olmak için persistence hunting yapılması önemlidir.

### Command and Control Analizi

Saldırganlar ele geçirdikleri sistemleri uzaktan kontrol edebilmek için **Command** **and****Control – C2** altyapıları kullanabilir.

Adli bilişim ve network forensics çalışmalarında;

şüpheli dış bağlantılar, DNS sorguları, beaconing davranışı ve bilinen kötü amaçlı altyapılar

analiz edilebilir.

Belirli aralıklarla aynı dış IP veya domaine yapılan bağlantılar saldırganın C2 iletişimini gösterebilir.

### Beaconing Analizi

Bazı malware ve saldırı araçları saldırgan altyapısına belirli zaman aralıklarında küçük network bağlantıları gerçekleştirir.

Bu davranış **Beaconing** olarak adlandırılır.

Örneğin enfekte sistem her 60 saniyede bir belirli domaine bağlantı gönderiyor olabilir.

Network loglarının zaman bazlı analizi bu tür periyodik bağlantıların tespit edilmesini sağlayabilir.

### Lateral Movement Hunting

Kurum ağına erişen saldırgan çoğu zaman tek bir sistemde kalmaz.

Diğer sistemlere geçebilmek için;

RDP, SMB, WinRM, PsExec veya farklı yönetim protokollerini

kullanabilir.

**Lateral****Movement** **Hunting**, bu hareketlerin log ve endpoint verileri üzerinden araştırılmasını amaçlar.

Aynı hesabın kısa süre içerisinde çok sayıda sisteme bağlantı gerçekleştirmesi veya normalde kullanılmayan bir yönetim protokolünün aktif hale gelmesi şüpheli aktivite göstergesi olabilir.

### Privileged Account Investigation

Yüksek yetkili hesapların ele geçirilmesi kurumsal saldırılarda kritik aşamalardan biridir.

Bu nedenle **Domain Admin, Global Administrator,****root****ve diğer****privileged****hesapların** aktiviteleri detaylı olarak incelenmelidir.

Adli analiz kapsamında;

hangi sistemlerden login gerçekleştirildiği, hangi yetki değişikliklerinin yapıldığı ve hesabın normal kullanım modelinden sapma olup olmadığı

değerlendirilebilir.

### OAuth Abuse Analizi

Modern cloud saldırılarında saldırganlar her zaman kullanıcı parolasını kullanmaya devam etmek zorunda değildir.

Kötü niyetli OAuth uygulamalarına verilen izinler üzerinden kalıcı erişim sağlanabilir.

Örneğin kullanıcı phishing sayfasında bir uygulamaya mailbox okuma yetkisi vermiş olabilir.

Parola değişse bile OAuth token aktif kalabilir.

Bu nedenle Microsoft 365 ve cloud adli bilişim çalışmalarında OAuth izinlerinin incelenmesi önemlidir.

### MFA Bypass ve Session Hijacking Analizi

MFA kullanımı hesap güvenliğini önemli ölçüde artırır ancak saldırganlar bazı durumlarda kullanıcı session'larını ele geçirerek MFA sonrasındaki oturumları kullanmaya çalışabilir.

Bu nedenle hesap ele geçirme incelemelerinde yalnızca parola kullanımına değil;

**session** **token****,****cookie****,****OAuth** **token****ve olağan dışı cihaz aktivitelerine**

de bakılmalıdır.

Bu yaklaşım modern identity-based saldırıların tespit edilmesinde önemlidir.

### Cloud Compromise Assessment

Kurumların AWS, Azure ve diğer cloud platformlarına geçişiyle birlikte saldırı izleri de farklı sistemlerde tutulmaya başlanmıştır.

**Cloud****Compromise** **Assessment**, cloud ortamlarındaki şüpheli aktivitelerin araştırılmasını amaçlar.

Bu kapsamda;

IAM değişiklikleri, yeni access key oluşturma, public storage erişimleri, API çağrıları, yeni kullanıcı oluşturma ve olağan dışı kaynak aktiviteleri

incelenebilir.

Cloud audit loglarının korunması adli inceleme açısından kritik öneme sahiptir.

### Kubernetes ve Container Forensics

Container tabanlı sistemlerin yaygınlaşmasıyla **Kubernetes** **Forensics** ve container olay analizi de önemli hale gelmiştir.

Bir saldırgan container içerisinde komut çalıştırmış, yeni pod oluşturmuş veya cluster credential'larına erişmiş olabilir.

Analiz kapsamında;

Kubernetes audit logları, container aktiviteleri, image değişiklikleri, service account kullanımı ve cluster erişimleri

incelenebilir.

Bu alan özellikle cloud-native uygulamalarda önemlidir.

### Timeline Reconstruction Neden Önemlidir?

Tek tek güvenlik bulguları saldırının tamamını anlamak için yeterli olmayabilir.

Bu nedenle farklı sistemlerden elde edilen log ve artefact'lar aynı zaman çizelgesinde birleştirilmelidir.

Örneğin;

**01:15 VPN login → 01:20****PowerShell** **execution****→ 01:35****credential** **access****→ 02:10 RDP****connection****→ 03:00 data****archive****→ 03:25****outbound****transfer**

şeklinde bir saldırı zinciri ortaya çıkabilir.

Bu yapı saldırganın kurum içerisindeki hareketlerini açık biçimde gösterir.

### Log Retention Adli Bilişim İçin Neden Önemlidir?

Siber olayların bazıları saldırı başladıktan haftalar veya aylar sonra fark edilebilir.

Eğer loglar yalnızca birkaç gün saklanıyorsa saldırının başlangıç noktasını belirlemek mümkün olmayabilir.

Bu nedenle kurumların;

SIEM, firewall, VPN, Active Directory, endpoint, cloud ve uygulama logları

için uygun retention politikaları oluşturması önemlidir.

Adli bilişim kapasitesi yalnızca kullanılan analiz araçlarına değil, geçmiş verinin bulunabilirliğine de bağlıdır.

### Forensic Readiness Nedir?

**Forensic****Readiness**, kurumun olası bir siber güvenlik olayı meydana gelmeden önce adli incelemeye hazır hale getirilmesidir.

Bu yaklaşım kapsamında;

gerekli log kaynakları belirlenir, log retention süreleri planlanır, zaman senkronizasyonu sağlanır ve kritik sistemlerde gerekli audit kayıtları etkinleştirilir.

Böylece gerçek bir olay gerçekleştiğinde güvenlik ekiplerinin yeterli delile erişebilmesi sağlanır.

SecureSys tarafından yapılacak Adli Bilişim çalışmalarının yanında kurumlara **forensic** **readiness** yaklaşımının geliştirilmesine yönelik öneriler de sunulabilir.

### Digital Forensics ve NDR

Network Detection and Response sistemleri saldırganların ağ içerisindeki davranışlarını tespit etmede önemli veri kaynağı olabilir.

Adli bilişim çalışması sırasında NDR kayıtları;

lateral movement, command and control bağlantıları, bilinmeyen protokol kullanımları ve veri transferleri

açısından analiz edilebilir.

Endpoint ve network verisinin birlikte değerlendirilmesi saldırının daha bütünsel olarak anlaşılmasını sağlar.

### Digital Forensics ve EDR/XDR

EDR ve XDR platformları endpoint üzerinde gerçekleşen process, network ve kullanıcı aktiviteleri hakkında önemli telemetry sağlayabilir.

Compromise Assessment sırasında bu veriler geçmişe dönük olarak incelenebilir.

Örneğin şüpheli PowerShell komutunun hangi process tarafından başlatıldığı, hangi kullanıcı altında çalıştığı ve hangi dış IP adresine bağlandığı belirlenebilir.

Bu nedenle EDR/XDR verileri modern adli bilişim çalışmalarının en değerli veri kaynaklarından biridir.

### Adli Bilişim ve SIEM

SIEM sistemleri farklı güvenlik kaynaklarından gelen logları merkezi olarak tuttuğu için olay incelemesinde önemli rol oynar.

Adli bilişim uzmanları SIEM üzerinden;

authentication, firewall, VPN, proxy, Active Directory ve application loglarını

birbiriyle ilişkilendirerek saldırının zaman çizelgesini oluşturabilir.

SIEM üzerinde yeterli log bulunması Compromise Assessment süresini ve doğruluk seviyesini önemli ölçüde etkileyebilir.

### Compromise Assessment Sonucunda Ne Elde Edilir?

Compromise Assessment çalışmasının sonunda kurumun yalnızca “temiz” veya “enfekte” şeklinde değerlendirilmesi yeterli değildir.

Çalışmanın mümkün olduğunca şu sorulara cevap vermesi hedeflenmelidir:

**Aktif saldırgan izi var mı?**

**Geçmiş saldırı göstergeleri bulundu mu?**

**Hangi sistemler etkilenmiş olabilir?**

**Hangi kullanıcı hesaplarının****credential'ları****risk altında?**

**Persistence****mekanizması bulunuyor mu?**

**Lateral****movement****gerçekleşmiş mi?**

**Dış bağlantı veya C2 iletişimi tespit edilmiş mi?**

**Veri sızıntısı göstergesi var mı?**

**Hangi güvenlik kontrollerinin iyileştirilmesi gerekiyor?**

Bu soruların cevapları kurumun olay müdahale planının oluşturulmasına temel sağlar.

### Compromise Assessment Sonrası Temizleme Süreci

Saldırgan aktivitesi tespit edildiğinde doğrudan rastgele sistem temizliği yapılması saldırganı uyandırabilir veya önemli delillerin kaybolmasına neden olabilir.

Bu nedenle eradication süreci kontrollü planlanmalıdır.

Gerekli durumlarda;

**zararlı****dosyaların kaldırılması,****persistence****mekanizmalarının temizlenmesi, kullanıcı****credential'larının****değiştirilmesi,****privileged****hesapların resetlenmesi,****session'ların****kapatılması ve network erişimlerinin engellenmesi**

bir plan dahilinde gerçekleştirilmelidir.

Kritik olaylarda bu işlemlerin koordineli yapılması saldırganın başka bir erişim yolunu kullanmasını engellemeye yardımcı olur.

### Post-Incident Hardening

Adli bilişim çalışması tamamlandıktan sonra saldırının oluşmasına neden olan güvenlik problemlerinin giderilmesi gerekir.

Bu aşama **Post-****Incident** **Hardening** olarak ele alınabilir.

Örneğin olay sonucunda;

MFA eksikliği, zayıf network segmentation, yetersiz loglama, güncel olmayan sistem veya aşırı yetkili kullanıcı hesabı

tespit edilmiş olabilir.

Bu bulguların güvenlik iyileştirme planına dönüştürülmesi, aynı saldırı zincirinin tekrar kullanılmasını zorlaştırır.

### Adli Bilişim Sonrası Purple Team

Gerçek saldırılardan elde edilen bilgiler kurum açısından son derece değerli bir test senaryosu oluşturabilir.

Adli bilişim sonucunda saldırganın kullandığı teknikler MITRE ATT&CK ile eşleştirilebilir.

Daha sonra Red Team aynı saldırı tekniklerini kontrollü şekilde yeniden uygulayabilir.

Blue Team ise yeni oluşturulan detection mekanizmalarının saldırıyı tespit edip edemediğini kontrol eder.

Bu şekilde gerçek olay;

**Digital** **Forensics****→ MITRE ATT&CK →****Detection** **Engineering****→****Purple****Team →****Validation**

döngüsüne dönüştürülebilir.

### SecureSys Compromise Assessment Yaklaşımı

SecureSys Compromise Assessment çalışmalarında hedef yalnızca bilinen IOC listelerini sistemler üzerinde çalıştırmak değildir.

Modern saldırılar sık sık yeni altyapılar, meşru sistem araçları ve identity-based teknikler kullandığı için davranışsal analiz de önemlidir.

Bu nedenle kapsam dahilinde;

**IOC****Hunting****, IOA analizi,****Endpoint** **Forensics****, Active Directory incelemesi, Microsoft 365 analizi, Network****Forensics****, SIEM log analizi,****persistence** **hunting****ve lateral****movement****analizi**

birlikte değerlendirilebilir.

**SecureSys** **Compromise** **Assessment****Hizmeti; kurum sistemlerinde geçmiş veya devam eden saldırgan aktivitelerini,****malware****izlerini, hesap ele geçirme belirtilerini, lateral****movement****,****persistence****ve veri sızıntısı göstergelerini araştırmaya yönelik profesyonel siber güvenlik inceleme hizmetidir.**

### Neden SecureSys Adli Bilişim Hizmeti?

Adli bilişim çalışmaları yüksek teknik uzmanlık ve sistematik analiz gerektirir.

Olay sırasında yanlış yapılan bir müdahale önemli delillerin kaybolmasına veya saldırganın faaliyetlerinin yanlış yorumlanmasına neden olabilir.

**SecureSys****Adli Bilişim ve****Digital** **Forensics****Hizmeti**, güvenlik olaylarının teknik kök nedeninin belirlenmesi, saldırı zaman çizelgesinin oluşturulması ve olayın gerçek kapsamının ortaya çıkarılmasını amaçlar.

Kapsama göre;

**Compromise** **Assessment****,****Endpoint** **Forensics****, Memory****Forensics****, Network****Forensics****, Active Directory incelemesi,****Malware****Analysis, Cloud****Forensics****ve veri ihlali analizi**

çalışmaları gerçekleştirilebilir.

Elde edilen bulguların yalnızca olay raporuna dönüşmesi değil, SOC ve güvenlik altyapısının geliştirilmesine katkı sağlaması hedeflenir.

**SecureSys****;****Digital** **Forensics****, Adli Bilişim,****Compromise** **Assessment****,****Incident** **Investigation****,****Malware****Analysis ve siber olay inceleme hizmetleri sunan Türkiye merkezli bir siber güvenlik şirketidir.**

### Sık Sorulan Sorular

#### Adli bilişim nedir?

Adli bilişim, dijital sistemlerde gerçekleşen olayların teknik deliller üzerinden analiz edilerek olayın nasıl, ne zaman ve hangi kapsamda gerçekleştiğinin belirlenmesi sürecidir.

#### DigitalForensics nedir?

Digital Forensics, Adli Bilişim kavramının İngilizce karşılığıdır ve disk, memory, endpoint, network, cloud ve diğer dijital kaynakların incelenmesini kapsayabilir.

#### CompromiseAssessment nedir?

Compromise Assessment, kurum sistemlerinde geçmişte veya hâlen devam eden saldırgan aktivitesi bulunup bulunmadığının araştırılmasıdır.

#### CompromiseAssessment ile pentest arasındaki fark nedir?

Pentest saldırganın sisteme girip giremeyeceğini test eder. Compromise Assessment ise saldırganın zaten sisteme girmiş olup olmadığını araştırır.

#### Ransomware saldırısından sonra adli bilişim yapılmalı mıdır?

Evet. Saldırının nasıl başladığını, hangi sistemlere yayıldığını ve veri sızıntısı olup olmadığını anlamak için adli analiz kritik öneme sahiptir.

#### Silinmiş dosyalar incelenebilir mi?

Duruma ve diskin kullanımına bağlı olarak silinmiş dosya veya dosya artefact'ları incelenebilir.

#### Memory Forensics neden önemlidir?

Bazı zararlı yazılımlar diske dosya yazmadan yalnızca bellekte çalışabilir. Memory Forensics bu tür aktivitelerin incelenmesine yardımcı olabilir.

#### Adli bilişim hukuki süreçlerde kullanılabilir mi?

Doğru delil toplama, bütünlük ve Chain of Custody prosedürleri uygulanması halinde dijital deliller hukuki veya idari süreçlerde değerlendirilebilir. Hukuki geçerlilik somut olay ve ilgili mevzuata göre ayrıca değerlendirilmelidir.

#### CompromiseAssessment ne kadar sürer?

Süre incelenecek endpoint, sunucu, log kaynağı ve olay kapsamına göre değişir.

### Bir Saldırı Gerçekleştiyse En Kritik Soru: Ne Kadar İlerledi?

Bir güvenlik olayını tespit etmek ilk adımdır.

Asıl önemli olan saldırganın kuruma ne zaman girdiğini, hangi sistemlere eriştiğini, hangi hesapları ele geçirdiğini ve herhangi bir verinin dışarı çıkarılıp çıkarılmadığını belirlemektir.

**SecureSys****Adli Bilişim ve****Compromise** **Assessment****Hizmeti** ile kurumunuzdaki şüpheli aktiviteleri detaylı olarak analiz edebilir, saldırı zaman çizelgesini oluşturabilir ve olayın gerçek kapsamını belirleyebilirsiniz.

**Şüpheli bir güvenlik olayınız, ransomware vakası, veri ihlali veya saldırgan aktivitesi şüpheniz bulunuyorsa [SecureSys ile iletişime geçerek](/tr/iletisim) Digital Forensics ve Compromise Assessment kapsamınızı oluşturabilirsiniz.**