Ram Analizi ve Adli Bilişimdeki Yeri - Fordefence - Adli Bilişim Laboratuvarı
SSH Kaba Kuvvet Saldırıları
RAM(Random Access Memory), bir bilgisayardaki verilerin geçici olarak tutulduğu hafıza birimidir. Bilgisayarın o anki çalıştırdığı prosesler, dökümanlar, bağlı olduğu network, tarayıcı geçmişine kadar bütün bu bilgiler elde edilebilir. Ram imajı Adli Bilişim incelemelerinde çok önemli bir yere sahip olduğu için, Ram bellek imajı inceleme ile elde edilebilecek veriler olayın aydınlatılmasında oldukça mühimdir.
Bilgisayarlar genellikle anlık olarak üzerinde çalıştıkları işlemler ve programlarla ilgili tüm bilgileri saklarlar. İşlemcinin veri işlemesi sabit disklerin veri yazma-okuma hızından daha yüksektir. Bu iki donanım arasında ki farkı optimize ederek en aza indirmek için RAM bellekler kullanılır. Bu sebeple, bir çok veriye ulaşılabilir. RAM bellek üzerinde ki bazı veriler incelemelere yön verebilmekte veya incelenen diğer hususları destekler nitelikte olabilmektedir.
RAM’in adli kopyasını (imaj) almak ve analiz etmek için kullanılan yazılımlar şöyledir: FTK Imager, Belkasoft Live RAM Capturer, Magnet Forensics IEF, Volatility, X-Ways Capture, MoonSols DumpIT şeklindedir. Bu araçlar adli bilişimde de oldukça önemlidir.
Peki Adli Bilişim açısından Ram Belleklerde neleri elde edebiliriz:
Arka planda çalışan prosesler ve hizmetlere ait veriler
Şifrelenmemiş ham veriler
Sistem bilgileri (Örn:En son kapanma vaktinden bu yana geçen zaman)
Sistemde oturum açan kullanıcılara ait bilgiler
ARP Önbellek Tablosu
Sohbet kayıtları, sosyal medya kalıntıları
Tarayıcı yazılımlara ait izler ve kayıt bilgileri, ziyaret edilen adres bilgileri
Web e-posta üzerinden yapılan en son işlemler
Bulut sistemlerine ait teknik bilgi ve veriler
En son açılan fotoğraflar,
Varsa sistemde çalışan malware yazılımlar
Bu derece önemli bilgilerin içerisinde bulunduğu bir delili incelemek, analiz etmek bilişim suçu araştırmacısı ve/veya adli bilişim uzmanı için çok önemlidir. Çünkü artık bilişim suçu vakasının çözümünde, sadece disk adli kopyasının incelenmesi kesin sonucu bulmak için yeterli olamayabilir. Buda ilerleyen dönemlerde, uçucu delil olarak kabul edilen RAM analizinin yapılması bir zorunluluk halini alabilir. RAM imajını DumpIt adında Ram belleğin adli kopyasını (imaj) alan, Windows üzerinde hem 64 bit hem de 32 bit sistemlerde çalışabilen araç ile alabiliriz. Aşağıdaki ekranda görüntülendiği gibi onay vererek sürece başlayabiliriz.
İmaj işlemi tamamlandıktan sonra analizini yapmak üzere gerekli program belirlenmeli ve ram imajı incelenmeye başlanmalıdır.
Ram imajı analizini Volatility adında ram analizi yapabilen araç ile yapalım. Volatility ile ram imajı incelenirken öncelikle PowerShell ile imaja gidilmeli ve komutlar kullanılarak imaj içerisinde yukarda belirtilen ram imajı ile ulaşılabileceğini bildiğimiz önemli verilere ulaşabiliriz. Bu komutlara ve komutların ram imajı üzerinden neler getirdiklerine bakalım.
Pslist Çalışmakta olan işlemlerin ayrıntılarının listelenmesine yardımcı olan önemli ölçüde kullanılan bir eklentidir. Ofseti, işlem adını, işlem kimliğini (PID), üst işlem kimliğini (PPID), iş parçacığı sayısını, işleç sayısını ve işlemin başladığı ve çıktığı tarih / saati gösterir. Ancak, pslist gizli / sonlandırılmış işlemleri gösteremez.
Dllist Bir işlemin yüklü DLL’lerini görüntülemek için dlllist komutunu kullanırız. Bu, analistin şüpheli bir işlemin yürütülürken bu dosyalara erişip erişmediğini belirlemesini sağlar.
Daha önce sonlanan (etkin olmayan) işlemleri ve bir rootkit tarafından gizlenmiş veya bağlantısı kesilmiş işlemleri bulabilir.
Aldığımız ram imajı içerisinde Shutdown (Son kapanma zamanı) bilgisi elde edilmiştir.Elde edilen bu bilgiye göre son kapanma zamanı 2019-05-27 13:49:39 olarak görülmüştür.
Clipboard –v parametresi kullanılarak incelenen ram üzerinde kullanılan işletim sisteminde işletim sistemi başlatılan tarih ve zamandan ram imajı alınan tarih ve zamana kadar kopyalanan yapıştırılan yazılar listelenmeye çalışılmıştır. Şekilde görüleceği üzere herhangi bir sonuca rastlanılmamıştır.
Ağ yapılarını taramak için kullanılır. TCP bitiş noktalarını, TCP dinleyicilerini, UDP bitiş noktalarını ve UDP dinleyicilerini bulur. IPv4 ile IPv6 arasında ayrım yapar, yerel ve uzak IP’yi (varsa), yerel ve uzak bağlantı noktasını (varsa), soketin bağlandığı zamanı veya bağlantının kurulduğu zamanı ve mevcut durumu (TCP bağlantıları için) yazdırır. Bu bize bir uygulamanın suç esnasında yada şüpheli bir durumda kullanılıp kullanılmadığını veyahut ip ve portların kullanılıp kullanılmadığı ayrıntılı olarak göstermektedir.
Shellbags komutu ile bütün Shellbag kayıtları uygulamaların isimleri ve en son açılan uygulamaların isimleri tarih ve saate göre gösterilmiştir. Belirttiğimiz gibi UTC +0000 zaman kavramı bize komut satırında belirtilen saatten 3 saat sonra olayın gerçekleştirildiğini belirtmektedir.
İşletim sistemi açıldığında otomatik olarak çalışan uygulamaları listeler.
Sisteme Kurulan Programlar
Sisteme Takılmış Harici Flash Bellek ve/veya diskler
İşletim sistemi kurulumundan bu yana şüphelinin bilgisayarına takılan harici flash bellekler ve /veya diskler görüntülenmiştir.
Masaüstü Arkaplan Resim Değişikliği İle İlgili Kayıtlar
Regedit kayıtlarından masaüstü arka plan resminin değişiklik tarihleri gösterilmektedir. Değiştirilen resim ve yerine gelen resim, son değiştirilme tarihleri kırmızı kutucukla gösterilmiştir.