Hızlı cevap: Dijital delil, bir olayı kanıtlayan elektronik veridir ve dört ana türe ayrılır: 1) Uçucu delil (bellek/RAM) en kısa ömürlüdür; çalışan süreçler, ağ oturumları ve şifreleme anahtarları burada yaşar, cihaz kapanınca kaybolur. 2) Ağ delili oturum kayıtları, bağlantılar ve DNS sorgularıdır. 3) Disk/dosya delili disk imajı, silinmiş dosyalar ve dosya sistemi artefaktlarıdır. 4) Bulut/log delili sunucu logları, SaaS kayıtları ve yedeklerdir. Toplama sırası uçuculuk sırasına göre yapılır (RFC 3227): önce en uçucu olan (bellek), en sonda en kalıcı olan (log/yedek). Her delil yaz korumalı, bit bit imaj olarak alınır, hash (SHA-256) ile mühürlenir ve delil zinciri (chain of custody) ile belgelenir. Bir delilin adli değeri üç şeye bağlıdır: özgünlük, bütünlük ve kesintisiz delil zinciri. Zincir kırılırsa delil mahkemede reddedilebilir; bu yüzden toplama yöntemi, sonucun kendisi kadar önemlidir.

Dijital adli bilişimde her şey delille başlar ve delille biter. Ama "delil" tek bir şey değildir; her türün ömrü, toplanma yöntemi ve adli değeri farklıdır. Yanlış sırada ya da yanlış yöntemle toplanan bir delil, teknik olarak doğru olsa bile mahkemede işe yaramayabilir. Bu rehber, dijital delil türlerini kaynaktan adli değere kadar tek bir referans matrisinde, dünya standardında netlikle toplar.

Dijital delil türleri ve uçuculuk sırası

DİJİTAL DELİL TÜRLERİ · UÇUCULUK SIRASI Önce en uçucu olanı topla (RFC 3227) 1 · BELLEK (RAM)Süreç, ağ oturumu, anahtar 2 · AĞ TRAFİĞİOturum, bağlantı, DNS 3 · DİSK / DOSYAİmaj, silinmiş, artefakt 4 · BULUT / LOGSunucu log, SaaS, yedek Her delil, imaj + hash (SHA-256) + delil zinciri (chain of custody) ile toplanır TOPLAYaz-korumalı, bit-bit imaj DOĞRULAHash eşleşmesi, tekrar-üretilebilir ANALİZ ETZaman çizelgesi, artefakt RAPORLAUzman mütalaası, delil zinciri Adli değer = özgünlük + bütünlük + kesintisiz delil zinciri Zincir kırılırsa delil mahkemede reddedilebilir.

Anahtar ilke uçuculuktur: bir delil ne kadar hızlı kaybolursa, o kadar önce toplanmalıdır. Bellekteki bir şifreleme anahtarı cihaz kapanınca yok olur; bir disk imajı ise günler sonra da alınabilir. Bu yüzden ilk müdahale sırası hayatidir.

Dijital delil türleri referans matrisi

Delil türü Kaynak Örnek bulgu Ömür Toplama
Bellek (RAM) Çalışan cihaz Süreç, oturum, anahtar, kötü amaçlı kod Saniye/dakika Canlı bellek imajı
Ağ trafiği Anahtar, güvenlik duvarı Oturum, C2 bağlantısı, DNS, sızan veri Dakika/saat Pasif yakalama, log
Disk / dosya Sabit disk, SSD Dosya, silinmiş veri, kayıt defteri, artefakt Kalıcı Yaz korumalı bit bit imaj
Mobil Telefon, tablet Mesaj, konum, uygulama verisi, çağrı Kalıcı Mantıksal/fiziksel çıkarım
Bulut / SaaS Sunucu, servis Erişim logu, e posta, yedek, denetim izi Sağlayıcıya bağlı API, yasal talep, log
Log / SIEM Sistem, uygulama Giriş, hata, işlem, uyarı Saklama süresi kadar Merkezi log toplama

Delil toplamanın dört kuralı

  1. Uçuculuk sırasına uyun. Önce bellek ve ağ, sonra disk ve log. Bellek analizi çoğu olayda ilk adımdır.
  2. Bit bit imaj alın, orijinale dokunmayın. Yaz koruma şart; analiz her zaman kopya üzerinde yapılır.
  3. Hash ile mühürleyin. Toplama anında SHA 256 alın; her aşamada eşleşmeyi doğrulayın. Detay için delil bütünlüğü ve hash yazımıza bakın.
  4. Delil zincirini belgeleyin. Kim, ne zaman, neyi, nasıl aldı ve teslim etti; zincir kesilmemeli.

Bu dört kural, adli bilişim süreci boyunca her delil türü için geçerlidir. Yöntem bozulursa, sonucun teknik doğruluğu delili kurtarmaz.

Sık sorulan sorular

En değerli dijital delil hangisidir? Tek bir "en değerli" tür yoktur; olaya göre değişir. Ancak en uçucu olan (bellek) en kolay kaybolduğu için önceliklidir. Adli değer türden çok, doğru toplanmış olmasına bağlıdır.

Silinmiş dosyalar delil olabilir mi? Evet. Silinen dosyalar çoğu zaman diskte iz bırakır ve adli araçlarla kurtarılabilir. Silme, veriyi anında yok etmez; bu yüzden disk delili güçlüdür.

Delil zinciri (chain of custody) neden bu kadar önemli? Çünkü delilin mahkemede kabul edilmesi, kimseyle oynanmadığının kanıtlanmasına bağlıdır. Zincirde bir boşluk, delilin özgünlüğüne şüphe düşürür ve reddine yol açabilir.

Bulut verisi nasıl delil olarak toplanır? Sağlayıcının API'si, denetim logları ve yasal talep yoluyla. Bulut delilinde saklama süresi ve yargı yetkisi kritik olduğundan, hızlı ve usulüne uygun hareket gerekir.

Kaynaklar

Dijital delil toplama, imaj alma, delil zinciri ve teknik uzman mütalaası için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan mahkemeye uygun adli bilişim ve veri kurtarma hizmeti veriyoruz.