ISO/IEC 27037 Dijital Delil 4 Aşaması: Identification, Collection, Acquisition, Preservation (SVG İnfografik)

Hızlı Cevap

• ISO/IEC 27037:2012 dijital delil yaşam döngüsünü 4 aşamada tanımlar: Identification, Collection, Acquisition ve Preservation.
• Identification aşamasında olası dijital delil kaynakları (disk, RAM, log, mobil cihaz, bulut) belirlenir ve önceliklendirilir.
• Collection ve Acquisition aşamalarında write blocker zorunludur, bit bazlı imaj alınır ve SHA-256 hash ile bütünlük mühürlenir.
• Preservation aşamasında chain of custody (delil zinciri) belgesi tutulur, her el değiştirme tarih, kişi ve hash ile kayıt altına alınır.
• Türkiye'de CMK 134 ile uyumludur; hash zinciri, write blocker kullanımı ve delil zinciri belgesi mahkemede kabul edilebilirlik için zorunludur.

Dijital delilin mahkeme önünde ayakta kalması, laboratuvarın hangi cihazları kullandığından çok, delili eline ne zaman aldığını, nasıl etiketlediğini ve nereye sakladığını belgeleyebilmesine bağlı. Bu belge zinciri için dünyanın referans aldığı temel standart, ISO/IEC 27037 "Guidelines for identification, collection, acquisition and preservation of digital evidence" başlıklı uluslararası kılavuz. Türkiye'de adli bilişim bilirkişileri, KVKK incelemeleri, kurumsal soruşturmalar ve siber olay müdahaleleri bu standardın dört temel aşamasına göre çalışmak zorunda. Bu yazıda DSET olarak Hacettepe Teknokent laboratuvarımızda günlük olarak uyguladığımız akışı, standardın orijinal başlıkları altında açıklıyoruz.

ISO/IEC 27037 Nedir, Neden Var

ISO/IEC 27037, 2012 yılında International Organization for Standardization tarafından yayımlanan ve dijital delilin olay yerinden laboratuvara taşınmasına kadar olan ilk safhayı kapsayan rehberdir. Standardın hedefi, farklı ülkelerin, farklı kolluk birimlerinin ve farklı özel laboratuvarların aynı dijital delili aldığında karşılıklı tanınabilir, tekrar edilebilir ve mahkemeye sunulabilir bir sonuç üretmesidir. Standart, analiz aşamasını değil; analiz öncesindeki kritik dört adımı tanımlar. Analiz tarafı için tamamlayıcı standart ISO/IEC 27042 "Guidelines for the analysis and interpretation of digital evidence" ayrı bir doküman olarak yayımlanmıştır.

Türkiye'de bu standardın doğrudan bir karşılığı yoktur, fakat CMK 134-135 maddeleri ve HMK 187. madde, "delilin elde ediliş şekli ve bütünlüğü" üzerinde durur. Yargıtay kararlarının önemli bir kısmı, dijital delilin bütünlüğünü sorgularken fiilen ISO/IEC 27037 ilkelerini referans alır. Detaylı süreç haritası için Adli Bilişim Süreci 2026: KVKK, Delil Zinciri ve Mahkeme yazımız temel kaynaktır.

Standardın belirlediği dört aşama şunlardır: Identification, Collection, Acquisition, Preservation. Aşağıdaki inline SVG iş akışı, bu dört aşamanın laboratuvar gerçeğindeki sıralamasını gösteriyor.

Dört Aşamalı İş Akışı (SVG Infografik)

1. Identification (Tespit)

Identification aşaması, dijital delil olabilecek her şeyin fiziksel ve mantıksal olarak haritalanması demektir. Bu aşamada henüz hiçbir cihaza dokunulmaz; cihazlar listelenir, fotoğraflanır ve önceliklendirilir. Standart, bu aşamada görevli kişiyi DEFR (Digital Evidence First Responder) olarak adlandırır.

DEFR olay yerine girdiğinde önce sahnenin geneline ait fotoğraf çeker, sonra her cihazın açma kapama durumunu, ağ bağlantısını, ekran üzerindeki içeriği ve fiziksel hasarını kayda alır. Bilgisayar açıksa fişten çekme kararı otomatik değildir; uçucu bellek (RAM) içerikleri kaybolacağı için canlı analiz gerekip gerekmediği değerlendirilir. Canlı RAM yakalaması gerekiyorsa, sonrasında Volatility Framework ile RAM Dump Memory Forensics yazımızda anlattığımız akış devreye girer.

Identification çıktısı tipik olarak şunları içerir: cihaz envanter listesi, fotoğraf seti, lokasyon krokisi, tanık beyanı, açık olan cihazların ekran kaydı, ağ topolojisi notu ve risk önceliği. Risk önceliği önemlidir; çünkü 10 cihazlı bir ofiste hangisinin önce imajlanacağı kararı bu önceliğe bağlıdır. ISO/IEC 27037 madde 5.4.2'de "volatility ordering" yani uçuculuk sırası açıkça tanımlanmıştır. RAM, ağ bağlantı tablosu, çalışan süreçler, disk üzerindeki swap, sonra disk içeriği şeklinde sıralanır.

Türkiye gerçeğinde Identification adımı genellikle savcılık ekibi veya kolluğun olay yeri inceleme birimi tarafından yapılır, fakat bilirkişi olarak çağrıldığımız vakalarda biz de aynı tutanak disiplinini uyguluyoruz. KVKK denetimlerinde ise veri sorumlusunun BT yöneticisi DEFR konumuna geçer, ancak kayıt kalitesi sıklıkla yetersiz kalır; bu yüzden Ankara Adli Bilişim Bilirkişisi Uzman Mütalaası hizmetimizin ilk talep edildiği nokta tam burasıdır.

2. Collection (Toplama)

Collection, tespit edilen cihazların fiziksel olarak laboratuvara taşınması için paketlenmesi sürecidir. Bu aşamada cihazın çalışır halde mi yoksa kapalı mı taşınacağı, bağlantı kablolarının nasıl etiketleneceği, mühürün hangi noktaya konulacağı ve kim tarafından imzalanacağı belirlenir.

Collection sırasında uyduğumuz başlıca pratikler:

• Faraday torbası: Cep telefonu ve tablet gibi kablosuz cihazlar uzaktan silinmesin diye sinyal kesici torbaya konur. SWGDE pratik kılavuzları (swgde.org) bu noktada Faraday kullanımını best practice olarak listeler.
• Etiketleme: Her cihaza, her kabloya ve her belleğe benzersiz bir delil numarası verilir. Bu numara fotoğrafla birlikte tutanağa yazılır.
• Mühür: Cihazın kapağı veya torbanın ağzı, üzerinde tarih, saat ve imza bulunan kırılgan etiketle mühürlenir. Mühürün bozulması, sonraki aşamada bütünlük şüphesi doğurur.
• Chain of Custody tutanağı: Cihazı kim, hangi saatte, kimden teslim aldığını gösteren zincir formu. CMK 134 incelemelerinde mahkeme bu formu ister.
• Taşıma: Antistatik koruyucu içinde, darbe ve manyetik alandan uzak, klimalı araçla nakil.

NIST'in SP 800-86 "Guide to Integrating Forensic Techniques into Incident Response" dokümanı, collection aşamasında veri kaybı riskini minimize eden adımları detaylandırır ve özellikle uçucu verinin disk imajından önce alınması gerektiğini vurgular.

Collection aşaması sonunda tüm cihazlar mühürlü, etiketli ve tutanaklı şekilde laboratuvara getirilir. WhatsApp gibi anlık mesajlaşma içeriklerinde collection aşaması daha karmaşıktır; çünkü hem fiziksel cihaz hem bulut yedeği hem ekran görüntüsü ayrı ayrı toplanmak zorundadır. Bu özel akışı WhatsApp Delil Olur mu, Yasal Süreç ve Adli Bilişim yazısında detaylandırdık.

3. Acquisition (Elde Etme)

Acquisition, dijital delilin bit düzeyinde kopyasının alınması aşamasıdır. Bu, standardın en teknik adımıdır ve adli bilişim laboratuvarının asıl beceri alanıdır. Hatalı yapılan acquisition, sonraki tüm bulguları geçersiz kılar.

3.1 Write Blocker Zorunluluğu

Kaynak diske yazma yapılmaması için donanım veya yazılım tabanlı yazma engelleyici (write blocker) kullanılır. Tableau, WiebeTech veya CRU markaları endüstri standardıdır. Write blocker, diskin SATA, SAS, USB, NVMe gibi her arayüzü için ayrı modelde olabilir. Standart, write blocker kullanımının tutanağa yazılmasını ve cihazın seri numarasının kayda geçmesini şart koşar.

3.2 Bit-Bit Imaj Alma

Disk imajı mantıksal kopya değildir; sektör sektör, kullanılmayan alanlar dahil tüm yüzeyin kopyasıdır. Slack space ve silinmiş dosya artıkları bu sayede korunur. Yaygın araçlar: FTK Imager, Guymager, EnCase, dc3dd, X-Ways.

3.3 Hash Doğrulaması

Standart, en az bir kriptografik özet algoritması (hash) ile kaynak ve hedef imajın eşliğinin gösterilmesini ister. Pratik olarak SHA-256 kullanıyoruz, MD5 artık tek başına yeterli kabul edilmiyor. Hash değeri tutanağa yazılır, daha sonra herhangi bir bilirkişi aynı diski imajladığında aynı hash'i üretmek zorundadır. Aksi halde delil bütünlüğü tartışmalı hale gelir.

3.4 Imaj Formatı

ISO/IEC 27037, format dayatmaz, fakat formatın açık ve doğrulanabilir olmasını ister. DSET laboratuvarında üç format kullanılır: ham dd (ekstra metadata yok, en taşınabilir), E01 (Expert Witness, sıkıştırma ve hash içerir), AFF4 (modern açık format, çoklu hash ve metadata destekler). Hangi formatın seçildiği rapor başlığında belirtilir; çünkü farklı analiz araçları farklı formatları okur.

3.5 Canlı Sistem Acquisition

Eğer cihaz kapatılamıyorsa (örneğin üretim sunucusu), canlı acquisition yapılır. RAM önce yakalanır, ardından disk imajı canlı olarak alınır. Bu durumda imajın "kaynağa dokunulmadan alınamadığı" tutanakta açıkça yazılır. Standart bunu kabul eder, çünkü gerçek dünya her zaman "ideal kapalı cihaz" senaryosuna uymaz.

4. Preservation (Muhafaza)

Preservation aşaması, alınan imajların ve fiziksel delilin soruşturma bitene ve gerekirse temyiz süresi dolana kadar değişmeden saklanması demektir. Bu aşama çoğu zaman küçümsenir, ancak Yargıtay'ın teknik uzman mütalaalarını ret ettiği vakaların büyük kısmında "muhafaza zincirinde kopukluk" gerekçe olarak yer alır. Bu örüntüyü Yargıtay Adli Bilişim Teknik Uzman Mütalaası Ret Örüntü Analizi yazımızda dosya kararlarıyla işledik.

DSET laboratuvarında preservation kontrolleri:

• Air-gapped saklama: Delil imajlarının bulunduğu depolama, internete açık ağdan tamamen ayrıdır. Aktarım sadece elle, kontrollü medya ile yapılır.
• Erişim logu: Hangi uzmanın hangi tarihte hangi imaja dokunduğu, log sunucusuna yazılır. Log sunucusu da ayrı bir cihazdır.
• Periyodik hash kontrolü: Saklanan imajların hash'i 30 günde bir tekrar hesaplanır ve ilk hash ile karşılaştırılır. Disk bozulması erken yakalanır.
• Encryption at rest: Imaj diskleri LUKS veya BitLocker ile şifreli tutulur. Şifre anahtarı ayrı bir donanım modülünde saklanır.
• Yedekleme: En az iki kopya, biri ayrı fiziksel mekanda. Tek noktada yangın veya su baskını riskine karşı.
• İmha tutanağı: Saklama süresi dolan delil, savcılık iadesi yapıldıktan sonra imha edilir ve tutanak tutulur.

ISO/IEC 27037 ek olarak, uzun süreli saklamada medya türünün değişebileceğini öngörür. Bir LTO-7 teyp 15 yıl sonra okunamayabilir; bu nedenle medya yenileme planı da preservation politikasının parçasıdır.

ISO/IEC 27042 ile İlişki: Analiz Aşaması

ISO/IEC 27037, analiz değildir. Standart açıkça preservation aşamasında biter. Imaj alındıktan sonra timeline çıkarma, dosya tarama, malware reverse, log korelasyonu gibi adımlar ISO/IEC 27042 kapsamına girer. Ayrıca ISO/IEC 27035 olay yönetimi ve ISO/IEC 27050 e-discovery zinciri tamamlar. İyi bir laboratuvar bu dört standardı birbirine bağlı çalıştırır.

Teknik uzman mütalaasınun her bir bölümünde hangi standardın hangi adımına atıf yapılacağını Adli Bilişim Teknik Uzman Mütalaası Yapısı: Format ve Bölümler yazısında detaylı işledik.

SWGDE'nin Pratik Eklemeleri

Scientific Working Group on Digital Evidence, ABD merkezli ama uluslararası kabul gören bir çalışma grubudur ve ISO/IEC 27037'yi tamamlayıcı pratik kılavuzlar yayımlar. Özellikle "Best Practices for Computer Forensic Acquisitions" ve "Best Practices for Mobile Device Evidence Preservation" dokümanları, standardın soyut maddelerini somut adımlara çevirir. DSET laboratuvarında bu iki doküman kontrol listesi olarak kullanılıyor.

Türkiye Mevzuat Uyumu: CMK 134-135, HMK 187

Türkiye'de dijital delil iki ana hukuk dalında kullanılır: ceza ve hukuk. CMK 134, "bilgisayarlarda, bilgisayar programlarında ve kütüklerinde arama, kopyalama ve elkoyma" başlığı altında, delilin alınması sırasında imaj alınmadan elkoyma yapılamayacağını söyler. Bu madde fiilen acquisition aşamasının zorunluluğudur. CMK 135 ise iletişimin tespiti, dinlenmesi ve kayda alınmasına dair usulü düzenler.

HMK 187, hukuk yargılamasında "ispat hakkı" çerçevesinde delilin sunum şeklini belirler. Dijital delilin bütünlüğü taraflarca tartışılırsa, hakim ISO/IEC 27037 ilkelerine paralel bir tutanak ve hash karşılaştırması bekler. Bu beklenti yazılı bir maddede değildir, fakat Yargıtay içtihatlarında defaten görülür.

Yargıtay'ın Standart Referansı

Türkiye'de Yargıtay, ISO/IEC 27037 ismini kararlarında doğrudan zikretmese de "delilin elde ediliş şekli", "bütünlüğün sağlanıp sağlanmadığı", "hash değerinin tutulup tutulmadığı", "mühür ve tutanak silsilesi" gibi kavramları sıklıkla denetler. Yerel mahkeme teknik uzman mütalaalarında bu adımlar belgelenmediğinde, Yargıtay raporu yetersiz bularak bozma kararı verebilmektedir. Bu durumun istatistiksel örüntüsünü inceleyen analizimiz mevcut.

DSET Lab Uygulaması

Hacettepe Teknokent Ankara'daki DSET laboratuvarımız, ISO/IEC 27037'nin dört aşamasını günlük iş akışına oturtmuş durumda. Identification için saha ekipmanımızda dijital fotoğraf makinesi, kroki tableti ve uçucu veri yakalama kiti bulunur. Collection için Faraday torbaları, antistatik paketleme, kırılgan mühür etiketleri ve Chain of Custody formları standarttır. Acquisition tarafında Tableau write blocker'lar, FTK Imager, Guymager ve dc3dd kullanılır; her imaj SHA-256 ile doğrulanır. Preservation tarafında ayrı bir air-gapped saklama odası, log sunucusu ve LUKS şifreli depolama mevcuttur. Laboratuvar görselleri için Hacettepe Teknokent Veri Kurtarma Laboratuvar Mikroskop Galeri yazımıza bakabilirsiniz.

Sık Sorulan Sorular

1. ISO/IEC 27037 zorunlu bir standart mı? Yasal anlamda Türkiye'de zorunlu değildir, fakat teknik uzman mütalaalarının mahkemede kabul görmesi için fiilen uyulması beklenir. Yargıtay denetimi de bu yönde işler.

2. Imaj almadan delil incelenebilir mi? Hayır. ISO/IEC 27037 ve CMK 134 birlikte, orijinal medyaya doğrudan müdahaleyi yasaklar. Önce write blocker ile imaj alınır, analiz imaj üzerinde yapılır.

3. MD5 hash hala geçerli mi? Tek başına önerilmiyor. Çarpışma saldırılarına açık olduğu için en az SHA-256 kullanılmalı, mümkünse MD5 ve SHA-256 birlikte kayda alınmalı.

4. Telefon canlı imajlanabilir mi? Cihazın kilitli veya açık olmasına bağlı. Modern iOS ve Android cihazlarda full physical imaj her zaman mümkün değildir; logical imaj veya advanced logical alınır. Bu durum tutanağa yazılır.

5. Bulut hizmetlerindeki veriler nasıl alınır? Bulut veri için collection aşaması farklılaşır; servis sağlayıcıdan yasal yolla istenir, ekran kaydı yapılır ve hash ile mühürlenir. Standardın 2012 sürümü bu konuyu kısmen kapsar, sonradan eklenen rehberler genişletir.

6. Şifreli diski standart nasıl ele alır? Şifre çözme yapılmaz, imaj şifreli haliyle alınır, hash bu haliyle hesaplanır. Şifre sonradan elde edilirse, analiz bu imaj üzerinde yapılır.

7. Mühür koparsa ne olur? Mühür koptuysa, kopuş anının fotoğrafı ve tutanağı zorunludur. Aksi halde Chain of Custody zinciri kırılır ve delil itiraza açık hale gelir.

8. Preservation süresi ne kadardır? Genelde dava kesinleşene kadar, hatta temyiz yolu kapanana kadar saklanır. Ceza dosyalarında zamanaşımı süresi belirleyici olur. KVKK incelemelerinde ise ayrı saklama politikası uygulanır.

Sonuç ve Çağrı

ISO/IEC 27037'nin dört aşaması bir formalite değil; dijital delilin mahkemede ayakta kalmasının ön şartıdır. Identification eksik kalırsa delil bulunamaz, Collection özensiz olursa delil tartışılır, Acquisition hatalı yapılırsa delil geçersiz olur, Preservation ihmal edilirse delil çürür.

DSET Adli Bilişim Laboratuvarı, Hacettepe Teknokent Ankara'da ISO/IEC 27037, ISO/IEC 27042, NIST SP 800-86 ve SWGDE kılavuzlarına paralel iş akışıyla çalışır. CMK 134-135, HMK 187 ve Yargıtay içtihatlarına uygun teknik uzman mütalaası üretir. Bütünlüğü tartışılmayan dijital delil için bizimle iletişime geçin: +90 536 662 38 09.