Hızlı cevap: E-posta adli analizi, bir e-postanın gerçekten kimden geldiğini, ne zaman ve hangi yoldan iletildiğini ve içeriğinin değiştirilip değiştirilmediğini teknik olarak incelemektir. Gözüken "Kimden" adresi hiçbir şey kanıtlamaz; e-posta protokolü sahteciliğe açıktır ve bir saldırgan gönderen adresini kolayca uydurabilir (spoofing). Asıl kanıt, e-postanın tam başlığındadır (full header): mesajın geçtiği her sunucuyu gösteren Received satırları, kimlik doğrulama sonuçları (SPF, DKIM, DMARC) ve benzersiz Message-ID. Adli incelemede ekran görüntüsü zayıf bir delildir; e-postanın ham hali (.eml) ve başlığı, hash ile bütünlüğü kayıt altına alınarak toplanmalıdır. Doğru okunmuş bir başlık, çoğu zaman sahte bir e-postanın gerçek kaynağını ele verir.

Bir dolandırıcılık, bir tehdit ya da bir veri sızıntısı incelemesinde en sık karşılaşılan delil e-postadır. Ama en sık yapılan hata da e-postayı yüzeyden değerlendirmektir: gönderen adresine bakıp "bu kişi göndermiş" demek. Oysa gönderen adresi bir zarfın üstüne el yazısıyla yazılmış bir isim kadar güvenilirdir. Gerçek bilgi mektubun damgalarında, yani e-posta başlığındadır. Bu yazı, e-posta adli analizinin nasıl yapıldığını anlatıyor.

Neden gönderen adresi kanıt değildir

E-posta protokolü (SMTP) 1980'lerde, kimsenin sahtecilik düşünmediği bir dönemde tasarlandı. Bu yüzden gönderen adresini doğrulayan yerleşik bir mekanizma yoktur. Bir saldırgan, bir e-postanın "Kimden" alanına istediği adresi yazabilir; tıpkı bir zarfın üstüne başkasının adını yazabileceği gibi. Buna e-posta sahteciliği (spoofing) denir.

Bu yüzden bir e-postayı incelerken görünen adrese değil, mesajın nasıl iletildiğine bakılır. Sahtecilikle mücadele için sonradan üç mekanizma eklendi (SPF, DKIM, DMARC) ve bunların sonuçları başlıkta kayıtlıdır. Bu mekanizmaların kurumsal kurulumu için SPF, DKIM ve DMARC ile e-posta güvenliği yazımıza bakabilirsiniz.

E-posta başlığı: asıl delil

Her e-posta, kullanıcının normalde görmediği ayrıntılı bir başlık taşır. Adli incelemenin kalbi burasıdır.

Başlık alanı Ne anlatır
Received Mesajın geçtiği her sunucu, alttan üste doğru okunur. Gerçek kaynağı gösterir
From Görünen gönderen. Sahte olabilir, tek başına kanıt değildir
Return-Path Teslim edilemeyen iletilerin döneceği adres, gerçek gönderene daha yakındır
Message-ID Mesajın benzersiz kimliği, gönderen sunucudan gelir
Authentication-Results SPF, DKIM, DMARC doğrulama sonuçları
DKIM-Signature Mesajın kriptografik imzası, içerik değişmediğini kanıtlayabilir
Date Gönderim zamanı, Received satırlarındaki zamanlarla tutarlı olmalı

Received satırlarını okumak

En değerli bölüm Received satırlarıdır. Her sunucu, mesajı aldığında en üste bir Received satırı ekler. Bu yüzden satırlar alttan üste doğru okunur: en alttaki, mesajın ilk çıktığı sunucudur.

İncelerken şunlara bakılır: en alttaki sunucu gerçekten iddia edilen gönderene mi ait? Zaman damgaları tutarlı ilerliyor mu, yoksa bir yerde geriye mi gidiyor (sahtecilik işareti)? IP adresleri beklenen coğrafyada mı? Bir saldırgan üstteki satırları uydurabilir ama mesajı gerçekten ileten sunucuların eklediği alttaki satırları kontrol edemez.

SPF, DKIM ve DMARC sonuçları

Başlıktaki Authentication-Results, mesajın kimlik doğrulamasından geçip geçmediğini söyler:

  • SPF (pass/fail). Gönderen IP, o alan adının izin verdiği sunuculardan biri mi?
  • DKIM (pass/fail). Mesaj, alan adının özel anahtarıyla imzalanmış mı ve imza geçerli mi? DKIM geçerse içeriğin yolda değişmediği de kanıtlanır.
  • DMARC (pass/fail). SPF ve DKIM sonuçları, görünen From adresiyle hizalı mı?

Üçünün de fail olduğu bir e-posta, güçlü bir sahtecilik işaretidir. Ama dikkat: SPF ya da DMARC'ın kurulu olmaması, e-postanın kesin sahte olduğunu değil, doğrulanamadığını gösterir. Adli sonuç, tüm başlığın birlikte değerlendirilmesiyle çıkar.

Delil olarak nasıl toplanır

E-postayı ekran görüntüsüyle sunmak zayıf bir delildir; ekran görüntüsü kolayca düzenlenebilir. Doğru toplama:

  1. Ham hali al. E-postayı .eml ya da .msg olarak, tüm başlık ve ekleriyle dışa aktarın. Bu, mesajın orijinal halidir.
  2. Hash hesapla. Toplanan dosyanın hash'ini alın ve kayda geçirin. Bu, bütünlüğün kanıtıdır.
  3. Kaynağı belgele. Hangi hesaptan, ne zaman, nasıl alındığı tutanağa yazılmalıdır. Delil zinciri için adli bilişim süreci ve delil zinciri yazımıza bakabilirsiniz.
  4. Sunucu kayıtlarını iste. Mümkünse gönderen ya da alıcı e-posta sunucusunun günlükleri, başlık analizini bağımsız olarak destekler.

Kurumsal bir dolandırıcılık, özellikle iş e-postası ele geçirme (BEC) olaylarında bu süreç kritiktir; ayrıntı için iş e-postası ele geçirme ve sahte havale yazımıza bakabilirsiniz.

Nelere dikkat edilir

  • Zaman tutarlılığı. Received satırlarındaki saatler mantıklı ilerlemelidir. Geriye giden ya da imkansız atlayan zaman, sahtecilik işaretidir.
  • Görünen ad ile gerçek adres farkı. "Ali Veli [email protected]" gibi, görünen ad gerçek adresi gizleyebilir.
  • Benzer alan adı. ornekbanka.com yerine ornekbanka.co gibi göz yanıltan alan adları.
  • Ek ve bağlantılar. Ekteki dosyanın gerçek türü (uzantı değil imza) ve bağlantıların gerçek hedefi ayrıca incelenir.
  • DKIM imzası. Geçerli bir DKIM imzası, mesajın belirli bir alan adından geldiğini ve değişmediğini güçlü biçimde kanıtlar.

Sık yapılan hatalar

  • Gönderen adresine güvenmek. From alanı kolayca uydurulur, tek başına kanıt değildir.
  • Ekran görüntüsüyle yetinmek. Ham .eml dosyası ve başlık olmadan delil zayıftır.
  • Received satırlarını yukarıdan okumak. Doğru yön alttan üstedir.
  • Hash almamak. E-posta da delildir, bütünlüğü kayıt altına alınmalıdır.
  • DMARC yok diye kesin sahte demek. Doğrulanamaması ile sahte olması farklıdır.
  • Sunucu kayıtlarını istememek. Başlık analizini bağımsız kanıtla desteklemek raporu güçlendirir.

Sık sorulan sorular

Gönderen adresi sahteyse gerçek göndereni bulabilir miyim? Çoğu zaman evet. Received satırlarındaki gerçek sunucu ve IP bilgisi, saldırganın uyduramadığı kısımdır ve kaynağa götürür.

E-posta başlığını nasıl görürüm? Çoğu e-posta programında "kaynağı görüntüle", "orijinali göster" ya da ".eml olarak indir" seçeneği vardır.

Silinen bir e-posta kurtarılabilir mi? Duruma bağlıdır. Sunucu yedeği, cihazdaki .pst/.ost dosyası ya da yerel kalıntılardan kurtarılabilir. Bozuk .pst kurtarma için Outlook pst ost dosyası kurtarma yazımıza bakabilirsiniz.

DKIM geçmesi e-postanın güvenli olduğunu kanıtlar mı? DKIM, mesajın o alan adından geldiğini ve değişmediğini kanıtlar. Ama bir saldırgan kendi alan adından DKIM geçen bir e-posta da gönderebilir; kanıt, tüm bağlamla değerlendirilir.

Ekran görüntüsü hiç mi işe yaramaz? Destekleyici olabilir ama tek başına zayıftır. Ham dosya, başlık ve hash olmadan mahkemede kolayca itiraz edilir.

E-posta adli analizi mahkemede kullanılır mı? Usulüne uygun toplandığı, başlığı analiz edildiği ve bütünlüğü hash ile kayıt altına alındığı sürece evet.

Kaynaklar

Bir e-postanın gerçek kaynağını tespit etmeniz ya da bir dolandırıcılık incelemesi yapmanız gerekiyorsa DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan e-posta adli analizi, olay müdahalesi ve bilirkişi raporu hizmeti veriyoruz.