Bir bilgisayar incelemesinden sonra size verilen kopya genellikle bir harici disk dolusu dosyadır: imaj.E01, imaj.E02, imaj.E03… ve yanında bir metin dosyası. Çift tıklayınca hiçbir şey açılmaz, çünkü Windows bu biçimi tanımaz. Dosyayı açmak için birkaç ücretsiz program var; hangisinin seçileceği, imajla ne yapmak istediğinize bağlı.
E01 dosyası nedir?
E01, Expert Witness Format (EWF) biçiminde alınmış bir adli imaj. Biçim EnCase için geliştirildi; bugün neredeyse bütün adli programlar okuyor. Düz bir disk kopyasından farkı, içinde fazladan bilgi taşıması:
- Veri 32 KB'lık parçalar halinde saklanır ve her parçanın bir sağlama değeri vardır. Parçalar isteğe bağlı olarak sıkıştırılır; boş alanı çok olan bir disk böylece çok daha küçük bir imaja sığar.
- İmaj alınırken hesaplanan MD5 değeri (EnCase 6'dan beri SHA-1 de) dosyanın içinde saklanır.
- İnceleyicinin adı, dava numarası, tarih ve notlar başlık bölümüne yazılır.
- İmaj, belirlenen boyutta parçalara bölünebilir: E01, E02, E03… Hepsi aynı klasörde olmalı.
EnCase 7 ile gelen Ex01 (EWF2) biçimi bzip2 sıkıştırma ve AES-256 şifreleme ekledi; eskiye uyumlu değil, bu yüzden bazı araçlar Ex01 açamıyor. Hash değerinin neden bu kadar önemli olduğunu hash değeri ve adli imaj yazısında anlattık.
Hangi programla açılır?
| Ne yapmak istiyorsunuz | Program | Ücret |
|---|---|---|
| İçine göz atmak, dosya dışa aktarmak, hash doğrulamak | FTK Imager (Exterro) | Ücretsiz |
| İmajı Windows'ta disk gibi bağlayıp Gezgin'de açmak | Arsenal Image Mounter (Arsenal Recon) | Bağlama ücretsiz; sanal makine başlatma gibi işler ücretli sürümde |
| Anahtar kelime araması, zaman çizelgesi, silinmiş dosya | Autopsy (The Sleuth Kit'in arayüzü) | Ücretsiz, açık kaynak |
| Mac ya da Linux'ta açmak | libewf araçları (ewfinfo, ewfverify, ewfmount) | Ücretsiz, açık kaynak |
| Bütün diskin ayrıntılı incelemesi | X-Ways Forensics, OpenText Forensic (EnCase), FTK, Belkasoft X, Magnet Axiom | Ücretli |
FTK Imager ile E01 açmak
- FTK Imager'ı Exterro'nun sitesinden indirip kurun.
- File menüsünden Add Evidence Item'ı seçin, kaynak türü olarak Image File'ı işaretleyin ve E01 dosyasını gösterin. E02 ve sonrakiler aynı klasördeyse ayrıca seçmeniz gerekmez.
- Sol taraftaki Evidence Tree'de imajın bölümleri ve klasörleri açılır. Bir dosyayı sağ tıklayıp Export Files ile dışarı alabilirsiniz.
- Doğrulama için File menüsündeki Verify Drive/Image komutunu çalıştırın. Program imajın hash değerini yeniden hesaplar ve imajın içinde saklanan değerle karşılaştırır. İki değer tutuyorsa imaj alındığı günden beri değişmemiş demektir.
- Image Mounting ile imajı bir sürücü harfine salt okunur olarak da bağlayabilirsiniz.
Büyük imajlarda doğrulama saatler sürebilir; bu normal, çünkü program imajın her baytını yeniden okuyor. Doğrulama sonucunu ve hesaplanan değeri bir yere not edin. Rapordaki ya da tutanaktaki hash değeriyle de karşılaştırın; üçü aynı olmalı.
Arsenal Image Mounter ve Autopsy
Arsenal Image Mounter imajı Windows'ta gerçek bir disk olarak gösterir. Bunun faydası, imajın içindeki dosyalara başka programlarla da erişebilmek: bir Word belgesinin özelliklerine bakmak, bir veritabanını kendi aracınızla açmak gibi. Ücretsiz modda bağlama, BitLocker kilidini (anahtarı biliniyorsa) açma ve Gölge Kopyalara erişim var. Bağlarken salt okunur seçeneğini kullanın.
Autopsy ise bir inceleme programı: imajı bir vakaya ekler, dosya sistemini çözer, silinmiş dosyaları listeler, anahtar kelime araması ve zaman çizelgesi çıkarır. Ücretsiz olduğu için başkasının raporunu kontrol ederken ikinci bir göz olarak iyi iş görür. BTK Akademi'nin adli bilişime giriş eğitiminde de FTK Imager, Autopsy ve Volatility kullanılıyor.
FTK Imager ile imaj alırken
“FTK Imager ile imaj alma” diye aranan adımlar kısa: File menüsünden Create Disk Image, kaynak olarak fiziksel disk, biçim olarak E01, dava bilgileri, hedef klasör. Ama sonucun delil değeri bu adımlardan çok, etraftaki birkaç şeye bağlı:
- Yazma engelleyici. Disk bilgisayara doğrudan takılırsa işletim sistemi diske küçük de olsa yazabilir. Adli incelemede disk bir donanım yazma engelleyicisinin (Tableau, bugünkü adıyla OpenText Forensic Bridges gibi) arkasından bağlanır.
- Bitirdikten sonra doğrulama. FTK Imager'da “Verify images after they are created” kutusu işaretli olsun.
- Kayıt. Diskin seri numarası, imajın başlangıç ve bitiş saati, hash değerleri ve kullanılan programın sürümü bir tutanağa yazılır.
- Hedef disk. İmajı alacağınız disk, kaynak diskten büyük olmalı ve başka bir davanın verisini içermemeli.
Linux'ta aynı işi Guymager yapar: ücretsiz, açık kaynak ve dd, E01 ya da AFF biçiminde imaj alabiliyor. Telefonlarda ise E01 yerine çoğu zaman programın kendi biçimi kullanılır; o tarafı telefon incelemesi yazısında anlattık.