Hızlı cevap: Write blocker (yazma engelleyici), bir depolama aygıtına (disk, USB, hafıza kartı) yalnızca okuma erişimi sağlayan, her türlü yazma komutunu engelleyen bir donanım ya da yazılımdır. Adli bilişimde ve veri kurtarmada vazgeçilmezdir çünkü bir diski normal biçimde bir bilgisayara taktığınızda, işletim sistemi siz istemeseniz bile diske yazar: zaman damgalarını günceller, geri dönüşüm kutusu oluşturur, indeksleme yapar. Bu yazmalar delili değiştirir ve incelemenin bütünlüğünü bozar. Yazma engelleyici, kaynağa hiç dokunulmadığını garanti eder, böylece alınan imajın orijinalle birebir aynı olduğu kanıtlanabilir. Kural şudur: adli bir kopya her zaman yazma koruması altında alınır; donanımsal engelleyici, yazılımsala göre daha güvenilirdir.

Adli bilişimin en temel kuralı, delili değiştirmemektir. Ama modern bir işletim sistemi, bir diski gördüğü anda ona yazar; bu, bir suç mahalline girip farkında olmadan izleri bozmak gibidir. Yazma engelleyici, bu sessiz kirlenmeyi önleyen basit ama kritik bir cihazdır. Bu yazı, write blocker'ın ne olduğunu, neden şart olduğunu ve türlerini anlatıyor.

Neden gerekli: işletim sistemi diske yazar

Yaygın bir yanılgı, "ben dosyaya dokunmazsam disk değişmez" düşüncesidir. Gerçek şudur: bir diski takar takmaz, işletim sistemi siz hiçbir şey yapmadan ona yazmaya başlar:

  • Zaman damgaları güncellenir. Sistem, dosyaların son erişim zamanını değiştirebilir. Bu, adli açıdan kritik bir bilgiyi bozar.
  • Sistem dosyaları oluşturulur. Windows, taktığınız diske bir geri dönüşüm kutusu klasörü, indeksleme dosyaları ve sistem izleri ekler.
  • Otomatik montaj ve tarama. İşletim sistemi diski otomatik bağlar, bazen dosya sistemini onarmaya bile kalkar.
  • Otomatik yürütme ve önizleme. Bazı sistemler, taktığınız medyayı tarar, küçük resim önizlemesi üretir.

Bu yazmaların her biri delili değiştirir. Mahkemede karşı taraf "bu diske müdahale ettiniz, delil güvenilir değil" diyebilir ve haklı olur. Yazma engelleyici, bu itirazı en baştan imkansız kılar.

Yazma engelleyici nasıl çalışır

Write blocker, bilgisayar ile disk arasına girer ve tek yönlü bir kapı gibi davranır: okuma komutlarını geçirir, yazma komutlarını engeller ya da sessizce yutar. Disk, bilgisayara bağlıdır ve içeriği okunabilir, ama üzerine hiçbir şey yazılamaz.

Bu, adli sürecin temelini kurar: kaynağa hiç yazılmadığı için, alınan imajın kaynakla birebir aynı olduğu hash ile kanıtlanabilir. İmaj alma ve hash doğrulama süreci için FTK Imager ile imaj alma yazımıza bakabilirsiniz.

Donanımsal ve yazılımsal engelleyici

İki tür yazma engelleyici vardır ve aralarındaki fark güven düzeyini belirler.

Yön Donanımsal Yazılımsal
Nasıl çalışır Fiziksel bir cihaz, disk ile bilgisayar arasına girer İşletim sistemi ayarı ya da yazılım katmanı
Güvenilirlik Yüksek, işletim sisteminden bağımsız Yapılandırmaya bağlı, hata payı var
Bağımsızlık İşletim sistemi ne yaparsa yapsın yazma geçmez İşletim sisteminin kurala uymasına güvenir
Adli tercih Mahkeme bağlamında tercih edilen Doğrulanması gereken, riskli
Maliyet Cihaz maliyeti var Ücretsiz olabilir

Donanımsal write blocker, disk ile bilgisayar arasına fiziksel olarak takılan bir cihazdır. İşletim sistemi ne isterse istesin, yazma komutu fiziksel olarak diske ulaşamaz. Bu yüzden adli bağlamda en güvenilir yöntemdir.

Yazılımsal write blocker, işletim sisteminin yazmayı reddetmesini sağlayan bir ayar ya da katmandır. Ücretsiz ve pratik olabilir, ama işletim sisteminin kurala uymasına güvenir; yanlış yapılandırma ya da bir hata, sessizce yazmaya izin verebilir. Kullanılıyorsa, gerçekten yazmayı engellediği test edilerek doğrulanmalıdır.

Kural: mümkün olduğunda donanımsal engelleyici tercih edilir. Yazılımsal kullanılıyorsa, güvenilirliği önceden kanıtlanmalıdır.

Adli süreçteki yeri

Write blocker, delil zincirinin fiziksel bir halkasıdır. Doğru süreç şöyle işler:

  1. Kaynağı yazma engelleyiciye bağla. Disk, doğrudan analiz bilgisayarına değil, engelleyici üzerinden bağlanır.
  2. İmajı al. Yazma koruması altında, doğrulamalı biçimde adli kopya alınır.
  3. Hash doğrula. Kaynağın ve imajın hash'i alınır ve eşleştiği kayda geçirilir. Bu, kaynağın değişmediğinin kanıtıdır.
  4. İmaj üzerinde çalış. Tüm analiz, orijinal değil, imajın kopyası üzerinde yapılır.
  5. Belgele. Hangi engelleyicinin kullanıldığı, hash değerleri ve süreç tutanağa geçirilir. Delil zinciri için adli bilişim süreci ve delil zinciri yazımıza bakabilirsiniz.

Bu, yalnızca adli bilişimin değil, veri kurtarmanın da temelidir: arızalı bir diskten imaj alırken de kaynağa yazmamak, hem delil hem veri güvenliği açısından şarttır. Arızalı disk imajı için ddrescue ile imaj alma yazımıza bakabilirsiniz.

Sık yapılan hatalar

  • Diski doğrudan takmak. Yazma engelleyici olmadan takılan disk, işletim sistemi tarafından anında değiştirilir.
  • Yazılımsal engelleyiciye kör güvenmek. Gerçekten yazmayı engellediği test edilmeden kullanılmamalı.
  • Hash almamak. Yazma koruması olsa bile, imajın kaynakla aynı olduğu hash ile kanıtlanmalı.
  • Orijinal üzerinde çalışmak. İmaj alındıktan sonra tüm işlem kopyada yapılır.
  • Engelleyiciyi test etmemek. Cihazın gerçekten yazmayı engellediği düzenli doğrulanmalıdır.
  • Belgelememek. Hangi engelleyicinin kullanıldığı ve hash değerleri raporda yer almalı.

Sık sorulan sorular

Write blocker olmadan disk incelenebilir mi? Teknik olarak evet ama adli bağlamda hayır. Yazma koruması olmadan alınan delil, mahkemede müdahale edildiği gerekçesiyle tartışmaya açılır.

Yazılımsal write blocker yeterli mi? Olabilir, ama işletim sistemine güvenir ve hata payı taşır. Kritik ya da adli işlerde donanımsal engelleyici tercih edilir ve yazılımsal kullanılıyorsa test edilerek doğrulanır.

Write blocker imaj alır mı? Hayır, yalnızca yazmayı engeller. İmaj alma işi ayrı bir araçla (FTK Imager, ddrescue, dd) yapılır; engelleyici kaynağı korur.

Sadece dosya kopyalayacaksam da gerekli mi? Adli bir bağlamda evet. Dosyaya dokunmasanız bile işletim sistemi diske yazar; delil bütünlüğü için yazma koruması şarttır.

Veri kurtarmada da gerekli mi? Evet. Arızalı bir diske yazmak veriyi kaybettirebilir; yazma koruması hem veri hem delil güvenliği sağlar.

Hangi aygıtlarda kullanılır? Sabit disk, SSD, USB bellek, hafıza kartı ve çeşitli arayüzler için farklı yazma engelleyiciler vardır.

Kaynaklar

Adli bir inceleme ya da arızalı diskten veri kurtarma sürecinde delil bütünlüğünü korumak isterseniz DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan adli bilişim, veri kurtarma ve bilirkişi raporu hizmeti veriyoruz.