Bir adli bilişim raporunun ilk sayfalarında “inceleme X programının Y sürümüyle yapılmıştır” diye bir cümle olur. Program adlarının çoğu İngilizce, bir kısmı birbirine benziyor, bazıları da son yıllarda ad değiştirdi: EnCase'in bugünkü adı OpenText Forensic, Cellebrite'ın UFED ve Physical Analyzer'ı artık Inseyets adıyla satılıyor. Aşağıda programları yaptıkları işe göre ayırdık. Bilgileri üreticilerin kendi sayfalarından aldık ve Kasım 2026'da kontrol ettik.
Telefon ve mobil cihaz programları
| Program | Üretici (ülke) | Ne işe yarar | Ücret |
|---|---|---|---|
| UFED, Physical Analyzer (Inseyets) | Cellebrite (İsrail) | Telefondan veri alma, çözümleme, rapor; ayrıntısı Cellebrite nedir yazısında | Ücretli; raporu açan Reader ücretsiz |
| Magnet Axiom | Magnet Forensics (Kanada) | Telefon, bilgisayar, bulut ve araç verisini tek vakada inceleme | Ücretli |
| GrayKey | Grayshift, bugün Magnet Forensics | Kilitli iPhone ve Android cihazlardan veri alma | Ücretli, yalnızca kolluk |
| Oxygen Forensic Detective | Oxygen Forensics (ABD) | Telefon, bulut ve bilgisayar verisi alma ve analiz | Ücretli; ücretsiz Viewer var |
| XRY, XAMN | MSAB (İsveç) | XRY veriyi alır, XAMN analiz eder | Ücretli; ücretsiz XAMN Viewer var |
| MOBILedit Forensic | Compelson (Çekya) | Telefon, akıllı saat ve bulut verisi alma ve analiz | Ücretli |
| MD-NEXT, MD-RED | HancomWITH (Güney Kore) | MD-NEXT veriyi alır, MD-RED çözümler ve raporlar | Ücretli |
| Belkasoft X | Belkasoft (ABD) | Telefon, bilgisayar, bulut ve RAM incelemesi; UFDR ve E01 okur | Ücretli |
| ALEAPP, iLEAPP | Alexis Brignoni ve katkıcılar | Android ve iPhone edinimlerini HTML ve tablo raporuna döker | Ücretsiz, açık kaynak |
Bu programlar arasında “hangisi en iyi” sorusunun cevabı cihaza göre değişiyor. Her üretici, hangi modelde hangi edinimi yapabildiğini kendi listesinde duyuruyor ve listeler aynı değil. Bir telefonda bir program tam dosya sistemi alabilirken öteki yalnızca mantıksal edinimde kalabiliyor. Telefon incelemesinin adımları telefon incelemesi yazısında.
Bilgisayar ve disk programları
| Program | Üretici (ülke) | Ne işe yarar | Ücret |
|---|---|---|---|
| FTK Imager | Exterro (ABD); 2020'ye kadar AccessData | İmaj alma, hash doğrulama, imajın içine bakma, RAM görüntüsü | Ücretsiz |
| FTK (Forensic Toolkit) | Exterro | Tam disk incelemesi, dizinleme, arama | Ücretli |
| OpenText Forensic (eski adıyla EnCase) | OpenText (Kanada); 2017'ye kadar Guidance Software | Disk incelemesi; E01 biçimi bu programdan çıktı | Ücretli |
| X-Ways Forensics | X-Ways Software Technology AG (Almanya) | Hızlı disk incelemesi; WinHex disk düzenleyicisinin üzerine kurulu | Ücretli |
| Autopsy, The Sleuth Kit | Sleuth Kit Labs, Brian Carrier | Dosya sistemi çözümleme, silinmiş dosya, zaman çizelgesi | Ücretsiz, açık kaynak |
| Arsenal Image Mounter | Arsenal Recon (ABD) | İmajı Windows'ta disk gibi bağlama | Bağlama ücretsiz, ileri işler ücretli |
| KAPE ve Eric Zimmerman araçları | Kroll; Eric Zimmerman | Windows'ta hızlı iz toplama; kayıt defteri, olay günlüğü, MFT çözümleme | KAPE kurum içi kullanımda ücretsiz, üçüncü kişiye hizmette lisanslı |
| OSForensics | PassMark (Avustralya) | Arama, hash eşleme, zaman çizelgesi | Ücretli; OSFMount ücretsiz |
| Paraben E3 | Paraben (ABD) | Telefon, bilgisayar, bulut tek platformda | Ücretli |
| Guymager | Açık kaynak | Linux'ta dd, E01 ya da AFF imaj alma | Ücretsiz |
| UFS Explorer | SysDev Laboratories (Ukrayna) | Veri kurtarma, RAID ve NAS, kamera kayıt cihazı diskleri | Ücretli |
E01 dosyasını bu programlardan hangisiyle, nasıl açacağınızı E01 dosyası nasıl açılır yazısında adım adım anlattık. Bu programların bir kısmı donanımla birlikte çalışıyor: disk, bilgisayara bir yazma engelleyicinin arkasından bağlanır. En bilinen yazma engelleyiciler Tableau markasıyla satılırdı; OpenText bugün bu ürünleri Forensic Bridges adıyla satıyor. Hasarlı disklerden imaj almak için Atola'nın (Kanada) cihazları kullanılıyor.
Bellek, ağ, tarayıcı ve meta veri
Bilgisayar açıkken RAM'de duran veri (açık oturumlar, şifre çözülmüş anahtarlar, çalışan zararlı yazılım) kapatınca kaybolur. RAM görüntüsünü incelemek için en yaygın araç Volatility; 2007'den beri geliştiriliyor ve kâr amacı gütmeyen Volatility Foundation tarafından yürütülüyor. Ağ trafiği kayıtları (pcap) için Wireshark, bu kayıtlardan dosya ve oturum bilgisi çıkarmak için Netresec'in NetworkMiner'ı kullanılıyor. Chrome ve Firefox geçmişini zaman çizelgesine dökmek için Hindsight, fotoğraf ve belgelerin meta verisi için Phil Harvey'in ExifTool'u var. Hepsi ücretsiz. Meta verinin ne anlattığını EXIF verisi nedir yazısında anlattık.
Şifre ve bulut programları
| Program | Üretici | Ne işe yarar |
|---|---|---|
| Elcomsoft iOS Forensic Toolkit | ElcomSoft | iPhone'dan düşük seviyeli edinim, anahtar zinciri ve parolalar |
| Elcomsoft Phone Breaker | ElcomSoft | iCloud verisi indirme, iPhone yedeklerinin şifresini çözme |
| Elcomsoft Explorer for WhatsApp | ElcomSoft | WhatsApp sohbetlerini indirme, çözme ve gösterme |
| Elcomsoft Forensic Disk Decryptor | ElcomSoft | BitLocker, FileVault 2, VeraCrypt gibi şifreli diskleri açma |
| Passware Kit Forensic | Passware (ABD ve Estonya) | 420'den fazla dosya türünde şifreli dosya ve disk tespiti ve çözümü |
| Hashcat | Açık kaynak | Ekran kartıyla parola kırma; 700'den fazla hash türü |
Bu programların hepsi parolayı bilmeden “açmıyor”; çoğu zaman ya bir zafiyetten yararlanıyor ya da olası parolaları tek tek deniyor. Uzun ve rastgele bir parolada deneme yoluyla sonuç almak pratikte mümkün olmayabilir.
Görüntü, ses ve video programları
Kamera görüntüsü incelemesinde adı en çok geçen paket İtalya'nın Trieste kentindeki Amped Software'in ürünleri: netleştirme ve analiz için FIVE, fotoğraf ve videonun değiştirilip değiştirilmediğine bakan Authenticate, kamera kayıtlarını oynatıp temel iyileştirme yapan Replay ve kayıt cihazlarının özel dosyalarını çeviren DVRConv. Kayıt cihazının diskinden doğrudan görüntü çıkarmak için DVR Examiner kullanılıyor; programı yapan DME Forensics 2021'de Magnet Forensics'e katıldı. Axon Investigate (eski adı iNPUT-ACE) kameraların özel biçimlerini oynatıp mahkemeye sunulacak kopyalar hazırlıyor. Ses kayıtlarında gürültü temizleme ve inceleme için Diamond Cut Forensics Audio Laboratory var. Netleştirmenin sınırlarını kamera görüntüsü ve plaka netleştirme yazısında anlattık.
Bağlantı analizi: i2 Analyst's Notebook ve Maltego
HTS kayıtları, banka hareketleri ve telefon rehberleri birleştirilip “kim kiminle, ne zaman” şeması çıkarılacaksa i2 Analyst's Notebook kullanılıyor. Program uzun yıllar IBM'indi; IBM, i2 ürünlerini 2022'de Kanadalı N. Harris Computer Corporation'a sattı ve bugün i2 Group adıyla yürütülüyor. Açık kaynak araştırması ve ilişki grafiği için Maltego yaygın; ücretsiz bir topluluk sürümü var. HTS dökümleri için Türkiye'de BTK biçimini okuyan yerli programlar da bulunuyor; onları HTS analiz programı yazısında ele aldık.
Raporda program adı ne anlatır?
Program adı bir yöntem değil. “Cellebrite ile incelenmiştir” cümlesi, edinimin hangi türde yapıldığını, hangi sürümün kullanıldığını, saat diliminin nasıl ayarlandığını ve bulguların kaynağa nasıl bağlandığını söylemez. İyi bir raporda şunlar olur:
- Programın tam adı ve sürüm numarası. Aynı veri, farklı sürümlerde farklı çözümlenebiliyor.
- Lisans. Lisanssız ya da “kırık” sürüm güncellenemez, üreticinin düzelttiği hatalar onda kalır ve sonucun başkası tarafından aynı programla tekrar üretilmesi tartışmalı hale gelir.
- Önemli bulgularda ikinci bir doğrulama: kaynak dosyaya dönmek ya da başka bir programla aynı sonucu almak.
- Bulgunun hangi dosyadan, hangi kayıttan geldiği.
Türkiye'de geliştirilmiş, yaygın kullanılan bir genel amaçlı adli inceleme programı bulamadık; yerli yazılımlar daha çok HTS analizi gibi belirli işlerde var. Bu listeyi üreticilerin duyurularına göre güncel tutmaya çalışıyoruz; eksik ya da değişmiş bir bilgi görürseniz bize yazın.