Hızlı cevap: X-Ways Forensics, Alman X-Ways Software firmasının geliştirdiği ticari bir disk adli bilişim aracıdır. FTK ve EnCase'e göre çok daha küçük (tek bir taşınabilir yürütülebilir, kurulum gerektirmez), çok daha hızlı ve önemli ölçüde ucuzdur. Bu üç özellik onu deneyimli uzmanların favorisi yapar. Öğrenme eğrisi diktir çünkü arayüz yoğundur ve elle çok kontrol sunar. Güçlü olduğu yerler: dosya oyma (carving), disk düzeyi ham inceleme, dosya sistemi ayrıntısı ve hızlı işleme. Öğrenmeye başlamadan önce dosya sistemi kavramlarını Autopsy gibi ücretsiz bir araçla oturtmak, X-Ways'in yoğun arayüzünde boğulmamak için en doğru yoldur.

Adli bilişimde araç sohbeti genelde FTK ve EnCase ile başlayıp biter. Oysa saha uzmanlarının önemli bir kısmı asıl işini X-Ways ile yapar. Sebebi basittir: aynı imajı çok daha hızlı işler, bir USB bellekten çalışır ve lisansı diğerlerinin çok altındadır. Bu yazı X-Ways'in ne olduğunu, neden deneyimli uzmanların tercihi olduğunu ve gerçekçi bir öğrenme yolunu anlatıyor.

X-Ways'i farklı kılan üç şey

Taşınabilirlik. X-Ways kurulmaz. Tek bir yürütülebilir dosya olarak USB bellekte taşınır ve incelenecek makinede doğrudan çalışır. Saha çalışmasında bu büyük avantajdır, laboratuvar dışında bir cihazı yerinde önizlemek gerektiğinde kurulum derdi yoktur.

Hız ve düşük kaynak. Aynı donanımda X-Ways, ağır ticari paketlere göre imajı belirgin biçimde hızlı işler ve çok daha az bellek kullanır. Büyük hacimli davalarda bu, günlerle ölçülen bir zaman farkı yaratabilir.

Maliyet. Lisansı EnCase ve FTK'nın belirgin biçimde altındadır. Küçük laboratuvarlar ve bağımsız bilirkişiler için bu, ticari araca erişimin önündeki engeli kaldırır.

Bunların bedeli arayüzdür. X-Ways her şeyi ekrana koyar ve size çok fazla elle kontrol verir. Yeni başlayan biri için bu boğucu gelir, deneyimli uzman için ise tam olarak istediği şeydir.

Neyi iyi yapar

  • Ham disk incelemesi. Bayt düzeyinde gezinme, sektör görüntüleme ve şablonla veri yapısı çözümleme.
  • Dosya oyma (carving). Dosya sistemi kaydı olmayan, yalnızca içerik olarak var olan dosyaları imzalarından bulur. Silinmiş ve biçimlendirilmiş alanlarda güçlüdür.
  • Dosya sistemi ayrıntısı. NTFS, FAT, exFAT, ext ve daha fazlasını derinlemesine ayrıştırır, MFT kayıtlarını ve dosya sistemi meta verisini açık gösterir.
  • Hash ve bilinen dosya filtreleme. Bilinen sistem dosyalarını eleyip inceleme yükünü hızla azaltır.
  • Zaman çizelgesi ve olay analizi. Dosya zaman damgalarını tek bir çizelgede birleştirir.

Gerçekçi öğrenme yolu

X-Ways'e doğrudan başlamak çoğu insan için hüsranla biter, çünkü araç temel kavramları öğretmez, o kavramları bildiğinizi varsayar.

Aşama 1, temeller (ücretsiz). Dosya sistemi mantığı, MFT, slack alan, ayrılmamış alan, dosya imzaları. Bunları Autopsy eğitim rehberi yazımızdaki gibi ücretsiz araçlarla öğrenin. X-Ways bu kavramları çok daha güçlü gösterir ama açıklamaz.

Aşama 2, arayüz haritası. X-Ways'in pencere düzenini öğrenin: Case Data, dizin ağacı, dosya listesi, önizleme, detay sekmeleri. Bu dört alanın nasıl birlikte çalıştığını kavramak öğrenmenin yarısıdır.

Aşama 3, iş akışı. Vaka oluştur, imaj ekle, dosya sistemini ayrıştır (Refine Volume Snapshot), hash ve filtre uygula, oyma çalıştır, bulguları rapora al. Buradaki kritik kavram Volume Snapshot'tır: X-Ways'in imaj hakkında topladığı iç veri modelidir ve ne kadar zenginleştirirseniz o kadar çok şey görürsünüz.

Aşama 4, doğrulama alışkanlığı. Kritik bir bulguyu ikinci bir araçla teyit edin. Bu, X-Ways için de geçerli evrensel adli bilişim kuralıdır.

X-Ways, FTK, EnCase ve Autopsy karşılaştırması

Ölçüt X-Ways FTK EnCase Autopsy
Lisans Ticari, orta Ticari, yüksek Ticari, yüksek Ücretsiz
Kurulum Gerekmez, taşınabilir Kurulum gerekir Kurulum gerekir Kurulum gerekir
Hız Çok hızlı Orta Orta Değişken
Kaynak kullanımı Düşük Yüksek Yüksek Orta
Öğrenme eğrisi Dik Orta Yüksek Düşük
Güçlü yön Ham inceleme, oyma, hız İndeksleme, e-posta EnScript, kolluk Ücretsiz, başlangıç

Buradaki mesaj "X-Ways en iyisi" değildir. Her aracın güçlü olduğu yer farklıdır. Deneyimli bir laboratuvar genelde imaj alma için ayrı bir araç, hızlı derin inceleme için X-Ways, kapsamlı indeksleme için FTK ve çapraz doğrulama için Autopsy kullanır. Belirleyici olan araç değil, yöntemin belgeli ve tekrarlanabilir olmasıdır. Süreç için adli bilişim süreci ve delil zinciri yazımıza bakabilirsiniz.

X-Ways Imager ve WinHex

X-Ways ekosisteminde iki isim daha bilinmelidir. WinHex, aynı firmanın çok daha eski hex düzenleyicisidir ve X-Ways Forensics onun üzerine kuruludur. X-Ways Imager, yalnızca imaj alma ve doğrulama için sadeleştirilmiş bir sürümdür. İmaj alma tarafını genel olarak FTK Imager ile imaj alma ve hash doğrulama yazımızda ele aldık.

Sık yapılan hatalar

  • Temel kavramları atlayıp doğrudan X-Ways'e başlamak. Araç öğretmez, varsayar. Önce dosya sistemi bilgisi şart.
  • Volume Snapshot'ı yeterince zenginleştirmemek. İlk taramada görünmeyen dosyalar, snapshot derinleştirilince ortaya çıkar.
  • Oyma sonuçlarını doğrulamadan raporlamak. Oyma bazen yanlış pozitif üretir, çıkan dosyanın gerçekten geçerli olduğunu teyit edin.
  • Hash almadan çalışmak. İmajın ve bulguların bütünlüğü hash ile kayda geçmelidir.
  • Klavye kısayollarını öğrenmemek. X-Ways'in hızı büyük ölçüde kısayollardan gelir, fareyle kullanmak potansiyelini boşa çıkarır.

Sık sorulan sorular

X-Ways yeni başlayanlar için uygun mu? Doğrudan değil. Önce ücretsiz bir araçla temel kavramları öğrenmek, sonra X-Ways'e geçmek en sağlıklı yoldur.

X-Ways imaj alır mı? Evet, X-Ways Forensics ve X-Ways Imager imaj alabilir ve doğrular. Yine de birçok laboratuvar imaj alma için ayrı bir araç kullanır.

Neden EnCase yerine X-Ways? Hız, taşınabilirlik ve maliyet. EnCase'in avantajı ise kolluk dünyasındaki yaygın tanınırlığı ve EnScript ekosistemidir.

X-Ways Linux'ta çalışır mı? Windows uygulamasıdır, uyumluluk katmanları üzerinden çalıştırılabilse de resmi ve sorunsuz ortam Windows'tur.

X-Ways sertifikası var mı? X-Forensics eğitimleri ve sınavı mevcuttur. Sertifika zorunlu değildir ancak yapılandırılmış öğrenme için yararlıdır.

Mahkeme X-Ways raporunu kabul eder mi? Kabul araca değil yönteme bağlıdır. Yöntem belgeli ve tekrarlanabilir olduğu sürece sorun çıkmaz.

Kaynaklar

Ekibiniz için araçtan bağımsız, uygulamalı adli bilişim eğitimi planlamak ya da bir dosyada uzman desteği almak isterseniz DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızda inceleme, eğitim ve bilirkişi raporu süreçlerini yürütüyoruz.