Hızlı cevap: Tarayıcı adli analizi (browser forensics), bir kullanıcının internette ne yaptığını web tarayıcısının bıraktığı izlerden ortaya çıkarmaktır: ziyaret edilen adresler, arama sorguları, indirilen dosyalar, kaydedilmiş oturumlar ve çerezler. Bu izler, bir kişinin niyetini ve eylemlerini gösteren en zengin delil kaynaklarından biridir çünkü insanlar çoğu şeyi tarayıcı üzerinden yapar. Chrome, Edge, Firefox ve Safari verilerini çoğunlukla SQLite veri tabanlarında tutar, bu yüzden analiz için SQLite bilgisi temeldir. Kritik nokta şudur: "gizli sekme" (incognito) sanıldığı kadar iz bırakmaz değildir; disk önbelleği, bellek ve DNS kayıtları hâlâ kanıt taşıyabilir. Silinen tarayıcı geçmişi de veri tabanının serbest listesinden kısmen kurtarılabilir.

Bir soruşturmada en sık sorulan sorulardan biri şudur: bu kişi neye baktı, ne aradı, nereye gitti? Cevap neredeyse her zaman tarayıcıdadır. Modern hayatın büyük bölümü bir web tarayıcısından geçer ve tarayıcı, kullanıcının davranışının şaşırtıcı derecede ayrıntılı bir kaydını tutar. Bu yazı, tarayıcı adli analizinin nerede hangi izi bulduğunu ve nasıl incelendiğini anlatıyor.

Tarayıcı hangi izleri tutar

Bir web tarayıcısı, kullanıcının bilmediği çok sayıda kayıt tutar. Adli açıdan en değerlileri:

Artefakt Ne anlatır
Geçmiş (history) Ziyaret edilen adresler, ziyaret zamanı ve sayısı
Arama sorguları Kullanıcının ne aradığı, çoğu zaman niyetin en açık kanıtı
İndirmeler Hangi dosya nereden, ne zaman indirildi
Çerezler Hangi sitelerde oturum açıldı, kimlik izleri
Önbellek (cache) Ziyaret edilen sayfaların yerel kopyaları, silinen içerik burada kalabilir
Kayıtlı oturumlar Açık kalmış oturumlar, kimlik doğrulama izleri
Yer imleri ve otomatik doldurma İlgi alanları, girilen adres ve form verileri
Sekme geçmişi Kapatılan sekmeler, oturum kurtarma verisi

Bu izlerin çoğu, kullanıcının o an ekranda gördüğünden çok daha fazlasını anlatır: bir sayfayı kaç kez ziyaret ettiği, ne zaman, hangi sırayla.

Veri nerede durur: SQLite

Modern tarayıcılar verilerini büyük ölçüde SQLite veri tabanlarında tutar. Chrome ve Edge (aynı Chromium tabanı) geçmişi, çerezleri ve indirmeleri ayrı SQLite dosyalarında saklar; Firefox da benzer biçimde SQLite kullanır. Bu yüzden tarayıcı adli analizinin dili SQLite'tir: bir veri tabanını açıp tablolarını okuyabilmek, bu alanın temel becerisidir.

Kritik bir ayrıntı: SQLite'ta bir kayıt silindiğinde çoğu zaman hemen yok olmaz. Silinen geçmiş, veri tabanının serbest listesinde (freelist) ya da WAL (write ahead log) dosyasında kalıntı olarak kalabilir. Bu yüzden "geçmişi temizledim" demek, izlerin tamamen silindiği anlamına gelmez. Aynı SQLite kurtarma mantığı mobil incelemede de geçerlidir; ayrıntı için mobil adli bilişim yazımıza bakabilirsiniz.

Gizli sekme (incognito) gerçeği

Yaygın bir yanılgı, gizli sekmenin hiç iz bırakmadığıdır. Gizli mod, tarayıcının geçmişi ve çerezleri kalıcı olarak kaydetmemesini sağlar, ama iz bırakmamak başka bir şeydir. Şu kaynaklar hâlâ kanıt taşıyabilir:

  • Disk önbelleği ve takas alanı. İşletim sistemi, tarayıcı verisini geçici olarak diske yazmış olabilir.
  • Bellek (RAM). Oturum aktifken ziyaret edilen sayfalar bellekte bulunur. Bellek analizi için Volatility ile bellek analizi yazımıza bakabilirsiniz.
  • DNS kayıtları. Cihazın ya da ağın DNS önbelleği, ziyaret edilen alan adlarını gösterebilir.
  • Ağ kayıtları. Kurumsal proxy ve DNS günlükleri, gizli sekmeyi de görür.

Yani gizli sekme, tarayıcının kaydını azaltır ama sistemin ve ağın kaydını değiştirmez.

Bir tarayıcı incelemesinin akışı

  1. İmaj al. İnceleme, doğrudan canlı cihazda değil, alınan bir imaj üzerinde yapılır. Yöntem için FTK Imager ile imaj alma yazımıza bakın.
  2. Veri tabanlarını çıkar. İlgili tarayıcının profil klasöründen geçmiş, çerez, indirme ve önbellek dosyalarını alın.
  3. Ayrıştır. SQLite tablolarını okuyun. Otomatik tarayıcı adli araçları bu tabloları okunabilir bir zaman çizelgesine döker.
  4. Silineni kurtar. Serbest liste ve WAL dosyasından silinmiş kayıtları çıkarmayı deneyin.
  5. Zaman çizelgesine bağla. Tarayıcı etkinliğini diğer artefaktlarla (dosya, kayıt defteri, e-posta) birleştirin. Kapsamlı bir süper zaman çizelgesi için Plaso ile zaman çizelgesi yazımıza bakabilirsiniz.
  6. Doğrula ve raporla. Kritik bulguyu ikinci bir kaynakla teyit edin ve delil zinciriyle kayıt altına alın.

Kayıt defteri de tarayıcı ile ilgili izler taşır (varsayılan tarayıcı, açık kalan URL izleri); ayrıntı için Windows Registry adli analizi yazımıza bakabilirsiniz.

Zaman damgaları ve tuzaklar

  • Zaman dilimi. Tarayıcı zaman damgaları farklı biçimlerde ve zaman dilimlerinde tutulabilir. Doğru normalize edilmezse tüm çizelge kayar.
  • Ziyaret sayısı ve türü. Bir adres kaç kez ve nasıl ziyaret edildi (elle yazıldı mı, tıklandı mı) bilgisi niyeti ayırt etmede önemlidir.
  • Senkronizasyon. Modern tarayıcılar veriyi buluta eşitler. Cihazda görünen geçmiş, başka cihazlardan gelen etkinliği de içerebilir; bu, yorumu değiştirir.
  • Birden çok profil. Bir tarayıcıda birden çok kullanıcı profili olabilir; hangi profilin incelendiği net olmalıdır.

Sık yapılan hatalar

  • Gizli sekme iz bırakmaz sanmak. Disk, bellek ve ağ hâlâ kanıt taşır.
  • Silinen geçmiş gitti sanmak. Serbest liste ve WAL kalıntı barındırabilir.
  • Canlı cihazda çalışmak. İnceleme imaj üzerinde yapılmalı, orijinal korunmalı.
  • Zaman dilimini normalize etmemek. Çizelgeyi kaydırır.
  • Bulut senkronizasyonunu göz ardı etmek. Geçmiş başka cihazlardan gelmiş olabilir.
  • Tek kaynağa güvenmek. Tarayıcı bulgusu, kayıt defteri ve ağ kayıtlarıyla teyit edilmelidir.

Sık sorulan sorular

Silinen tarayıcı geçmişi kurtarılır mı? Kısmen. Veri tabanının serbest listesinde ya da WAL dosyasında kalıntı bulunabilir. Ayrıca önbellek, bellek ve DNS kayıtları ek iz taşır.

Gizli sekmede yaptıklarım tamamen gizli mi? Hayır. Gizli mod tarayıcının kaydını azaltır ama disk önbelleği, bellek, DNS ve ağ kayıtları hâlâ kanıt taşıyabilir.

Tarayıcı verisi nerede durur? Çoğunlukla tarayıcının profil klasöründeki SQLite veri tabanlarında: geçmiş, çerez, indirme ve önbellek ayrı dosyalarda.

Hangi tarayıcılar incelenebilir? Chrome, Edge, Firefox, Safari ve Chromium tabanlı tüm tarayıcılar. Yapıları benzer olduğu için yöntem büyük ölçüde ortaktır.

Bulut senkronizasyonu incelemeyi nasıl etkiler? Cihazda görünen geçmiş, kullanıcının başka cihazlarındaki etkinliği de içerebilir. Bu, bir eylemin hangi cihazda yapıldığı sorusunu karmaşıklaştırır.

Tarayıcı analizi mahkemede kullanılır mı? Usulüne uygun toplandığı, imaj üzerinde incelendiği ve bütünlüğü hash ile kayıt altına alındığı sürece evet.

Kaynaklar

Bir kullanıcının internet etkinliğini adli olarak incelemeniz gerekiyorsa DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan tarayıcı adli analizi, olay müdahalesi ve bilirkişi raporu hizmeti veriyoruz.