Adli Bilişimde EnCase ve AccessData FTK

Adli Bilişimde EnCase ve AccessData FTK

Adli bilişim incelemelerinde en yaygın ve en kurumsal kabul gören iki araç EnCase Forensic (Guidance Software / OpenText) ve AccessData FTK (Forensic Toolkit) yazılımlarıdır. Her iki araç da sektör standardıdır ancak mimari olarak birbirinden çok farklı şekilde çalışırlar. Bu nedenle delil toplama, indeksleme, hash çıkarma, dosya sistemi tarama, RAM analizi, email incelemesi, anahtar kelime arama gibi işlemlerde performans ve yöntem farklılıkları bulunur. Her iki proğramın eğitimini de, Amerika Birleşik Devletlerinde aldım. Dünyanın farklı ülkelerinden uzmanlarla beraber değerlendik. Sizleri yormayacak şekilde Aşağıda iki aracın tarihçesi, mimari yapısı, kullanım alanları, avantaj–dezavantaj analizleri, adli raporlama yetenekleri, dosya sistemi destekleri ve adli prosedürlerle uyumlulukları detaylı biçimde açıklayacağım.

1. EnCase Forensic – Derin İnceleme

1.1. Tarihçe ve Genel Yapı

EnCase, 1997’de Guidance Software tarafından geliştirilmiş, daha sonra OpenText bünyesine katılmıştır.

Dünya çapında:

1. Emniyet birimleri
2. Askerî kurumlar
3. İstihbarat servisleri
4. Büyük bankalar
5. Devlet kurumları

tarafından standart adli inceleme yazılımı olarak kullanılmaktadır.

EnCase’in temel gücü:

1. Kendi özel imaj formatı E01
2. Veri bütünlüğünü garanti eden hash delil zinciri yaklaşımı
3. Sektörde çok güçlü kabul gören mahkeme uyumluluğu üzerine kuruludur.

1.2. EnCase Forensic Mimarisi

1.2.1. E01 İmaj Formatı

EnCase, delil imajını E01 formatında alır. Bu format:

1. Sıkıştırma içerir
2. MD5 ve SHA-1 hash’leri gömülü olarak barındırır
3. Her blok için doğrulama bilgisi bulundurur
4. Write blocker uyumludur
5. Hukuksal olarak en kabul gören formatlardan biridir

EnCase kendi imaj formatı sayesinde delilin bütünlüğünü her adımda doğrular.

1.2.2. EnScript (Otomasyon Dili)

EnCase’in en büyük gücü kendi programlama dili olan EnScript’tir.

EnScript ile:

1. Otomatik arama
2. Mass keyword scanning
3. Metadata çıkarma
4. Registry analizleri
5. Özel rapor oluşturma
6. Kötü amaçlı yazılım tespiti
7. Zincirleme veri incelemesi

gibi işlemler yapılabilir.

1.2.3. File Signature ve File Structure Analizi

EnCase sadece dosya uzantısına bakmaz, dosya başlıklarını (header) ve sonlarını (footer) analiz ederek file carving yapar.

Örneğin:

1. JPEG → FF D8 FF
2. PDF → 25 50 44 46
3. ZIP → 50 4B 03 04

Bu teknik özellikle silinmiş dosyaların kurtarılmasında önemlidir.

1.2.4. EnCase Hash Database

EnCase içinde NSRL hash database ve kurum içi hash setleri kullanılabilir.

Bu sayede:

1. Zararsız dosyalar otomatik filtrelenir
2. Kötü amaçlı yazılım tespiti hızlanır
3. Bilinen illegal içerikler tanınır

1.2.5. Dosya Sistemi Desteği

EnCase geniş dosya sistemi desteğine sahiptir:

Ayrıca RAID yapılarını otomatik algılayabilir.

1.3. Avantajları

1. Mahkemelerde en çok kabul gören araçtır
2. E01 formatı çok güçlüdür
3. EnScript ile otomasyon
4. Çok güçlü iş mantığı
5. Büyük kurumsal uyumluluk
6. RAID, BitLocker, FileVault, LUKS desteği
7. Derin registry analizi

1.4. Dezavantajları

1. Çok pahalıdır
2. Öğrenmesi zordur
3. Sistem kaynaklarını yoğun kullanır
4. Arayüz bazı kullanıcılara eski gelebilir

2. AccessData FTK (Forensic Toolkit) – Derin İnceleme

2.1. Genel Yapı ve Tarihçe

FTK, AccessData tarafından geliştirilmiştir ve EnCase’in en büyük rakibidir.

FTK’nin en önemli özelliği:

➡ İnceleme başlamadan önce tüm veriyi indekslemesidir.

➡ Bu nedenle arama işlemleri EnCase’e göre çok daha hızlıdır.

FTK, indeksleme motoru sayesinde:

1. E-posta analizinde
2. Büyük veri yığınlarında
3. Anahtar kelime aramalarında çok yüksek performans gösterir.

2.2. FTK Mimari Özellikleri

2.2.1. FTK Imager

FTK’nin kendi imaj alma aracı olan FTK Imager:

1. EnCase E01
2. RAW (dd)
3. AFF
4. AD1

formatlarında imaj alabilir. FTK Imager mahkeme süreçlerinde en yaygın imaj alma aracıdır.

2.2.2. Veritabanı Yapısı (Oracle–PostgreSQL)

FTK diğer araçlardan farklı olarak Oracle / PostgreSQL veri tabanı kullanır.

Bu sayede:

1. Çok büyük verilerde (10–50 TB) hızlı çalışma
2. Aynı anda ekip çalışması
3. Verilerin indekslenmiş saklanması mümkündür.

2.2.3. Email ve PST/OST Analizi

FTK, Microsoft Outlook dosyalarında en başarılı analiz motoruna sahiptir.

1. PST
2. OST
3. EML
4. MSG
5. MBOX

gibi e-posta formatlarını tamamen parse eder. E-posta analizi gerekliyse FTK genellikle EnCase’e göre daha üstündür.

2.2.4. File Carving (diğer adı data carving yani veri madenciliği)

FTK dosya içi yapıları inceleyerek carving yapabilir, ancak:

➡ Büyük veri üzerinde carving → FTK daha hızlı

➡ Çok bozuk veri üzerinde carving → EnCase daha doğru olarak kabul edilir.

2.2.5. RAM Analizi

FTK:

1. Pagefile.sys
2. Hiberfil.sys
3. Volatil bellek dökümleri üzerinde analiz yapabilir ve entegre Volatility desteği sunar. Ram analizi yapan diğer proğramlardan veri kurtarma makalemde ayrıntılı bahsedeceğim.

2.3. Avantajları

1. Dünyadaki en hızlı indeksleme motoru
2. Büyük dosya arşivlerinde en başarılı araçlardan biri
3. FTK Imager ücretsizdir
4. Çok güçlü email analiz motoru
5. Modern arayüz
6. Ekip ile ortak çalışma modeli destekler
7. Daha uygun maliyetli

2.4. Dezavantajları

1. Veri tabanı kaynak tüketimi yüksektir
2. Bazı dosya sistemlerinde EnCase kadar derin değildir
3. Çok bozuk disklerde EnCase kadar stabil olmayabilir

3. EnCase ve FTK Karşılaştırma Tablosu

4. Hangi Araç Ne Zaman Kullanılmalı?

EnCase önerilir:

1. Mahkeme odaklı işlemlerde
2. Bozulmuş disk analizlerinde
3. Karmaşık dosya sistemlerinde
4. Derin registry incelemesi gerekiyorsa
5. Script yazılması isteniyorsa
6. RAID yapıları çözülüyorsa

FTK önerilir:

1. Çok büyük veri kümelerinde
2. Hızlı anahtar kelime aramaları gerekiyorsa
3. E-posta kutusu inceleniyorsa
4. Ekip olarak ortak çalışma yapılıyorsa
5. Kısa sürede sonuç alınması gerekiyorsa

5. Sonuç

“EnCase, adli doğrulanabilirlik, delil zinciri güvenilirliği ve script tabanlı otomasyon açısından sektör standardı hâline gelmişken; FTK yüksek hız, gelişmiş indeksleme ve e-posta analiz yetenekleriyle büyük veri incelemelerinde optimal performans sunmaktadır. Bu nedenle modern bir adli bilişim laboratuvarı, her iki aracın birlikte kullanılmasıyla maksimum verimlilik elde eder.”

Hasan UZUN

Bilişim Uzmanı /Yazar/Adli Belge İnceleme Uzmanı