Hızlı cevap: EnCase Forensic, OpenText'in ticari adli bilişim inceleme paketidir ve onlarca yıldır kolluk ile kurumsal incelemelerde kullanılır. En bilinen özellikleri kendi imaj formatı E01, betik dili EnScript ve EnCE (EnCase Certified Examiner) sertifikasıdır. Öğrenmek isteyen için gerçekçi yol şudur: önce Autopsy gibi ücretsiz bir araçla dosya sistemi ve delil kavramlarını oturt, sonra EnCase'in vaka yapısını ve koşullandırma mantığını öğren, en sonda EnScript ile tekrar eden işleri otomatikleştir. EnCE sınavı iki aşamalıdır: çoktan seçmeli teorik bölüm ve gerçek bir imaj üzerinde uygulamalı rapor.

Adli bilişimde iki isim herkesin diline yerleşmiştir: FTK ve EnCase. FTK tarafını ayrı bir yazıda ele aldık. Bu yazı EnCase'e ayrılmıştır: ne olduğunu, neden mahkeme dünyasında bu kadar yerleştiğini, nasıl öğrenileceğini ve EnCE sertifikasının gerçekte ne ölçtüğünü anlatıyoruz.

EnCase neden bu kadar yaygın

EnCase'in ayrıcalığı teknik üstünlükten çok kurumsal hafızadan gelir. Uzun yıllar boyunca kolluk birimlerinin standart aracı oldu, mahkemelerde binlerce kez adı geçti, üzerine yerleşmiş bir eğitim ve sertifika ekosistemi kuruldu. Bir bilirkişi raporunda EnCase adı geçtiğinde hakimin ve karşı tarafın aşina olması, pratikte tartışmayı kısaltır.

Bu, "EnCase kullanmayan rapor zayıftır" anlamına gelmez. Belirleyici olan araç değil yöntemdir. Ama sektörde iş arıyorsanız ilan metinlerinde EnCase adını sık göreceğinizi bilmelisiniz.

Ürün ailesinde bilinmesi gerekenler:

  • EnCase Forensic, klasik disk ve dosya sistemi incelemesi.
  • EnCase Endpoint Investigator, ağ üzerinden uzak uç noktalardan kanıt toplama.
  • EnCase Mobile Investigator, mobil cihaz verisi inceleme.
  • Tableau, aynı çatı altındaki donanımsal yazma koruma ve imaj alma cihazları.

E01 formatı: EnCase'in kalıcı mirası

EnCase'in sektöre en kalıcı katkısı Expert Witness Format, yani E01 dosyasıdır. Bugün EnCase kullanmayan araçlar bile E01 okur ve yazar.

E01'i ham (raw) imajdan ayıran şey şudur: sıkıştırma yapabilir, olay bilgisini (dosya numarası, uzman adı, tarih) dosyanın içine gömer ve en önemlisi hash değerini imajın kendi içinde taşır. Yıllar sonra elinizde yalnızca E01 dosyası kalsa bile bütünlük kanıtı onunla birlikte gelir. Ham imajda bu bilgi ayrı bir metin dosyasında durur ve kaybolmaya açıktır.

Segmentli yapısı da pratiktir: büyük bir imaj E01, E02, E03 diye parçalara bölünür, taşınabilir ortamlara sığar.

Öğrenme yolu: nereden başlanır

EnCase lisansı pahalıdır ve öğrenme aşamasında çoğu kişide bulunmaz. Gerçekçi sıralama şudur.

Aşama 1, temel kavramlar (ücretsiz). NTFS ve FAT dosya sistemleri, MFT kayıtları, slack alan, ayrılmamış alan, zaman damgaları, hash. Bu kavramları Autopsy ve The Sleuth Kit ile öğrenin, çünkü hepsi EnCase'de de aynıdır, yalnızca arayüz değişir. Başlangıç için Autopsy eğitim rehberi yazımız uygundur.

Aşama 2, EnCase vaka mantığı. EnCase'de çalışma şu sırayla ilerler: vaka oluştur, delil ekle, kanıtı doğrula, koşullandır ve filtrele, işaretle (bookmark), rapor al. Buradaki asıl beceri filtreleme ve koşullandırmadır. Bir milyon dosyalık imajda önemli olanı bulmak, arayüzü tanımaktan daha zordur.

Aşama 3, EnScript. EnCase'in C benzeri betik dilidir. Tekrar eden işleri otomatikleştirir: belirli kayıt defteri anahtarlarını toplamak, özel bir dosya formatını ayrıştırmak, standart bir rapor üretmek. EnScript yazabilen uzman, EnCase kullanabilen uzmandan farklı bir sınıfta değerlendirilir.

Aşama 4, doğrulama alışkanlığı. Hiçbir aracın çıktısını tek başına kabul etmeyin. Kritik bir bulguyu ikinci bir araçla teyit edin. Bu alışkanlık hem raporunuzu güçlendirir hem de araç hatalarına karşı korur.

EnCE sertifikası gerçekte ne ölçer

EnCE (EnCase Certified Examiner), OpenText'in sertifikasıdır ve sektörde tanınır.

Yapı. İki aşamalıdır. Birinci aşama çoktan seçmeli teorik sınavdır ve dosya sistemleri, delil işleme, hukuki süreç ve araç bilgisini ölçer. İkinci aşama uygulamalıdır: size bir imaj verilir, belirli soruları yanıtlayıp bir rapor yazarsınız.

Ön koşul. Belirli bir mesleki deneyim veya onaylı eğitim saati beklenir. Güncel koşullar zamanla değişebilir, başvurmadan önce OpenText'in resmi sayfasından teyit edin.

Gerçekte ölçtüğü şey. İkinci aşama, sertifikanın değerini belirleyen kısımdır çünkü sadece aracı kullanmayı değil, bulguyu savunulabilir biçimde anlatmayı ölçer. Sektörde en çok eksik görülen beceri de tam olarak budur.

Alternatif ve tamamlayıcı sertifikalar:

Sertifika Veren Odak
EnCE OpenText EnCase ile disk incelemesi
ACE Exterro (AccessData) FTK ile inceleme
GCFE GIAC Windows adli bilişimi
GCFA GIAC İleri seviye, olay müdahalesi
CCE ISFCE Araçtan bağımsız genel yeterlilik

Sertifika tek başına iş vermez, ancak Türkiye'de bilirkişilik ve kurumsal ihalelerde belge istenen durumlarda kapı açar.

EnCase, FTK ve Autopsy karşılaştırması

Ölçüt EnCase FTK Autopsy
Lisans Ticari, yüksek Ticari, yüksek Ücretsiz, açık kaynak
Betik EnScript, güçlü Sınırlı Python ve Java modülleri
İmaj formatı E01'in kaynağı E01, AD1, raw E01, raw okur
Uzak toplama Endpoint Investigator ile güçlü Var Yok
Öğrenme eğrisi Yüksek Orta Düşük
Sertifika EnCE ACE Yok

Kurumların çoğu tek araçla çalışmaz. Yaygın düzen şudur: imaj alma için donanımsal write blocker ve FTK Imager, ana analiz için bütçeye göre EnCase veya FTK, çapraz doğrulama ve hızlı ön inceleme için Autopsy.

Türkiye'de hukuki çerçeve

Ceza Muhakemesi Kanunu'nun 134. maddesi, bilgisayarlarda arama, kopyalama ve el koymayı düzenler. İki nokta pratikte belirleyicidir: işlem kural olarak hakim kararına dayanır ve alınan imajın bir kopyası talep halinde ilgilisine verilir. Bu ikinci madde, E01 gibi doğrulanabilir ve çoğaltılabilir bir formatın neden tercih edildiğini açıklar. Sürecin tamamı için adli bilişim süreci ve delil zinciri yazımıza bakabilirsiniz.

Sık sorulan sorular

EnCase'in ücretsiz sürümü var mı? Hayır, ticari lisanslıdır. Öğrenme aşamasında Autopsy ile aynı kavramları ücretsiz çalışabilirsiniz.

E01 dosyasını EnCase olmadan açabilir miyim? Evet. Autopsy, FTK Imager, X-Ways ve libewf tabanlı birçok araç E01 okur.

EnCE sertifikası olmadan bilirkişilik yapılır mı? Türkiye'de bilirkişilik listelerine kabul, ilgili mevzuat ve komisyon koşullarına bağlıdır. EnCE zorunlu değildir ancak teknik yeterliliği belgeleyen unsurlardan biri olarak değerlendirilir.

EnScript öğrenmek zor mu? C ve Java bilen için hızlı ilerler. Programlama deneyimi yoksa önce temel programlama mantığını öğrenmek gerekir.

EnCase mi FTK mi öğrenmeliyim? Çalışmak istediğiniz kurumun kullandığını öğrenin. Kavramlar ortak olduğu için birini iyi öğrenen diğerine kısa sürede geçer.

Sadece EnCase bilmek yeterli mi? Değil. Bellek, ağ ve mobil ayrı uzmanlık alanlarıdır ve modern dosyaların çoğunda üçü birden gerekir.

Kaynaklar

Ekibiniz için araçtan bağımsız, uygulamalı adli bilişim eğitimi planlamak isterseniz DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızda inceleme, eğitim ve bilirkişi raporu süreçlerini yürütüyoruz.