Hızlı cevap: Plaso, adli bilişimde süper zaman çizelgesi (super timeline) üreten ücretsiz ve açık kaynak bir araçtır. Bir disk imajındaki yüzlerce farklı kaynaktan (dosya zaman damgaları, kayıt defteri, tarayıcı geçmişi, olay günlükleri, LNK dosyaları, prefetch) tüm zaman bilgisini toplayıp tek bir kronolojik çizelgede birleştirir. İki temel komutu vardır: veriyi toplayan log2timeline.py ve toplanan veriyi filtreleyip okunabilir hale getiren psort.py. Çıktı genelde CSV ya da Elasticsearch'e gider ve Timesketch gibi araçlarla görselleştirilir. En büyük tuzağı veri bolluğudur: filtrelenmemiş bir süper zaman çizelgesi milyonlarca satır olur, işi filtreleme ve daraltma yapar.

Adli bilişimde en zor soru genelde "ne oldu" değil, "ne zaman ve hangi sırayla oldu"dur. Bir saldırgan sisteme girdi, yetki yükseltti, veri kopyaladı ve izini sildi. Bu olayların sırasını çıkarmak, tek tek delilleri bulmaktan daha değerlidir çünkü hikayeyi anlatır. Plaso tam olarak bu hikayeyi kurmak için tasarlandı. Bu yazı, süper zaman çizelgesi kavramını ve Plaso'yu eğitim gözüyle anlatıyor.

Zaman çizelgesi neden bu kadar önemli

Bir dosyanın var olması bir şey söyler, ne zaman oluştuğu, ne zaman açıldığı ve neyle birlikte gerçekleştiği çok daha fazlasını söyler. Modern bir sistemde zaman bilgisi onlarca yerde durur:

  • Dosya sistemi zaman damgaları (oluşturma, değiştirme, erişim, MFT değişimi)
  • Windows olay günlükleri
  • Kayıt defteri anahtarlarının son yazılma zamanı
  • Tarayıcı geçmişi ve indirmeler
  • Prefetch, bir programın ne zaman çalıştırıldığını gösterir
  • LNK kısayol dosyaları, hangi dosyanın açıldığını gösterir
  • Jump list, USB bağlanma kayıtları, atlama listeleri

Bu kaynakların her birini ayrı ayrı incelemek yavaştır ve bağlamı kaçırır.

Zaman kaynağı Ne anlatır
Dosya sistemi zaman damgaları Dosya ne zaman oluştu, değişti, erişildi
Prefetch Bir program ilk ve son ne zaman çalıştırıldı
Olay günlükleri Oturum açma, servis kurulumu, PowerShell etkinliği
Kayıt defteri son yazılma Bir ayarın ya da kalıcılığın kurulma anı
LNK ve jump list Hangi dosya ne zaman açıldı
Tarayıcı geçmişi Hangi adres ne zaman ziyaret edildi

Süper zaman çizelgesi hepsini tek bir sıralı listede birleştirir, böylece "saat 03:14'te ne oldu" sorusuna tek bakışta cevap verirsiniz.

Plaso, log2timeline ve psort

İsimler kafa karıştırır, netleştirelim:

  • Plaso, projenin adıdır (Plaso Langar Að Safna Öllu, "her şeyi toplayan").
  • log2timeline.py, veri toplama motorudur. İmajı ya da dosyayı tarar, tüm ayrıştırıcıları çalıştırır ve sonucu bir depolama dosyasına (.plaso) yazar.
  • psort.py, sonradan işleme aracıdır. .plaso dosyasını alır, filtreler, sıralar ve CSV, JSON ya da başka bir biçime çıkarır.

Tipik akış iki adımdır: önce log2timeline.py ile topla, sonra psort.py ile süz.

log2timeline.py --storage-file olay.plaso disk.e01
psort.py -o l2tcsv -w cizelge.csv olay.plaso "date > '2026-07-14 00:00:00'"

Bir Plaso incelemesinin mantığı

  1. Topla. log2timeline.py ile imajdan tüm zaman verisini çıkarın. Bu adım uzun sürebilir, büyük bir imajda saatler alır. Sabırlı olun, tek seferlik bir maliyettir.
  2. Daralt. Ham .plaso dosyası milyonlarca olay içerebilir. psort.py filtreleriyle olayın zaman penceresine, belirli bir kullanıcıya ya da belirli artefakt türlerine odaklanın.
  3. Görselleştir. CSV'yi doğrudan incelemek yerine Timesketch gibi bir araca aktarın. Timesketch, Plaso çıktısını zaman çizelgesi olarak gösterir, etiketleme ve ekip çalışması sunar.
  4. Yorumla. Ham zaman verisi tek başına anlam taşımaz. "Word açıldı, ardından PowerShell çalıştı, ardından dışarı bağlantı kuruldu" dizisini görmek, saldırı hikayesini kurar.

Süper zaman çizelgesinin en büyük tuzağı

Yeni başlayanların hatası, filtrelenmemiş dev bir CSV üretip içinde boğulmaktır. Bir imajın tam süper zaman çizelgesi kolayca on milyonlarca satıra ulaşır. Bu haliyle işe yaramaz, hatta zararlıdır çünkü önemli olayı gürültüde kaybedersiniz.

Doğru yaklaşım hedefli filtrelemedir:

  • Önce olayın kabaca zaman penceresini bulun, sonra o pencereye daraltın.
  • Yalnızca ilgili artefakt türlerini seçin. Bir yürütme incelemesinde prefetch ve olay günlüğü yeter, tüm dosya zaman damgaları gürültü yaratır.
  • Bilinen iyi sistem etkinliğini eleyin. Windows güncellemesinin ürettiği milyonlarca olay incelemenizi ilgilendirmez.

Bellek tarafını da unutmayın, disk zaman çizelgesi hikayenin yarısıdır. Bellek analizi için Volatility ile bellek analizi yazımıza bakabilirsiniz.

Zaman damgası tuzakları

Zaman çizelgesi kurarken üç teknik tuzak vardır:

  • Zaman dilimi. Kaynaklar farklı zaman dilimlerinde kayıt tutabilir. Hepsini tek bir referansa (genelde UTC) normalize etmezseniz çizelgeniz kayar. Bu, en sık yapılan sessiz hatadır.
  • Zaman damgası oynatma (timestomp). Saldırganlar dosya zaman damgalarını değiştirebilir. Dosya sistemi zaman damgası şüpheliyse, MFT'nin $STANDARD_INFORMATION ve $FILE_NAME alanlarını karşılaştırın, aralarındaki tutarsızlık oynatma işaretidir. Plaso her ikisini de çıkarır.
  • Yorum farkı. Bir dosyanın "erişim zamanı" işletim sistemi ayarına göre güncellenmemiş olabilir. Her zaman damgasının ne anlama geldiğini bilmek şarttır.

Öğrenme yolu

Aşama 1. Windows artefaktlarını öğrenin: prefetch, LNK, jump list, kayıt defteri, olay günlüğü. Bunları bilmeden Plaso çıktısı anlamsız bir satır yığınıdır. Kayıt defteri tarafı için Windows Registry adli analizi yazımız uygundur.

Aşama 2. Küçük bir eğitim imajında log2timeline.py ve psort.py çalıştırın. Çıktının hangi kaynaktan geldiğini eşleştirin.

Aşama 3. Timesketch kurun ve Plaso çıktısını görselleştirin. Bir olayın hikayesini zaman çizelgesi üzerinde anlatmayı deneyin.

Aşama 4. Filtreleme sanatını çalışın. İyi bir DFIR uzmanını ayıran şey, dev veriden doğru pencereyi çekebilmektir.

Yasal alıştırma imajları için NIST CFReDS, Digital Corpora ve DFRWS kaynakları uygundur. Yapılandırılmış bir program için DSET Akademi içeriklerine bakabilirsiniz.

Sık yapılan hatalar

  • Filtresiz dev CSV üretmek. İşe yaramaz. Önce zaman penceresini daraltın.
  • Zaman dilimini normalize etmemek. Tüm çizelgeyi kaydırır.
  • Yalnızca dosya zaman damgalarına bakmak. Prefetch, olay günlüğü ve kayıt defteri çoğu zaman daha güvenilirdir.
  • Timestomp'u atlamak. Şüpheli zaman damgasını MFT alanlarıyla teyit edin.
  • Belleği göz ardı etmek. Disk zaman çizelgesi hikayenin yarısıdır.
  • Ham veriyi yorumsuz raporlamak. Zaman çizelgesi bir anlatıdır, satır listesi değil.

Sık sorulan sorular

Plaso imaj alır mı? Hayır. Plaso zaman verisi çıkarır ve analiz eder. İmaj için ayrı araçlar gerekir.

log2timeline ne kadar sürer? İmaj boyutuna ve seçilen ayrıştırıcılara bağlıdır, büyük bir imajda saatler alabilir. Tek seferlik bir maliyettir.

Timesketch zorunlu mu? Hayır, ama şiddetle önerilir. Ham CSV'yi elle incelemek çok verimsizdir.

Plaso Windows dışını destekler mi? Evet, Linux ve macOS artefaktlarını da ayrıştırır, ancak en olgun desteği Windows tarafındadır.

Süper zaman çizelgesi tek başına yeterli mi? Değil. Bellek, ağ ve mobil delilleriyle birleştiğinde tam resmi verir.

Zaman damgası değiştirilmişse fark eder miyim? Plaso $STANDARD_INFORMATION ve $FILE_NAME zaman damgalarını ayrı çıkardığı için karşılaştırarak oynatmayı yakalayabilirsiniz.

Kaynaklar

Bir olayın hikayesini zaman çizelgesi üzerinden kurmak, dağınık delilleri anlamlı hale getirir. İnceleme desteği ya da ekibinize DFIR ve zaman çizelgesi analizi eğitimi için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan olay müdahalesi ve adli bilişim hizmeti veriyoruz.