Adli bilişim inceleme süreci: md9'da bir inceleme nasıl yürür?

Bir inceleme hangi adımlarla yürür?

Her inceleme aynı sırayla ilerler. Adımların hiçbiri atlanmaz; küçük işlerde bazıları birkaç e-postaya sığar.

1. İlk e-posta. Dosyanın türünü, cevaplanmasını istediğiniz teknik soruyu, materyalin türünü ve yaklaşık hacmini, varsa süreyi yazarsınız. Orijinal delil ve kişisel veri bu aşamada gönderilmez; neyin yazılacağı iletişim sayfasında anlatılıyor.
2. Ön değerlendirme. Sorunun teknik olarak cevaplanabilir olup olmadığını ve elinizdeki materyalin buna yetip yetmediğini söyleriz. Yetmiyorsa hangi kaydın eksik olduğunu ve neden gerektiğini yazarız.
3. Çıkar çatışması kontrolü. Tarafların adını bu aşamada isteriz. Kontrol bitmeden materyal istemeyiz.
4. Yazılı kapsam. Cevaplanacak sorular, materyal listesi, teslim yolu, süre, ücret ve iş bitince materyalin iade mi imha mı edileceği yazılı olarak netleşir.
5. Materyal teslimi. Materyal güvenli bir yolla gelir; teslimde özet değeri (hash) hesaplanır ve bir teslim kaydı açılır.
6. İnceleme. Çalışma, doğrulanmış bir kopya üzerinde yapılır. Kullanılan araç, sürümü ve her adım not edilir. Kayıt türüne göre değişmeyen teknik sıra (materyal, bütünlük, inceleme, korelasyon, rapor) adli bilişim incelemeleri sayfasında adım adım anlatılıyor.
7. Rapor ve sonrası. İmzalı rapor ekleriyle birlikte teslim edilir. Ek sorular, gerekirse uzmanın duruşmada dinlenmesi ve materyalin iadesi ya da imhası bu aşamadadır.

Bağımsızlık: bulguyu kim belirler?

Bulguyu incelenen veri belirler, işi veren taraf değil. Bunu bir iddia olarak bırakmıyoruz, çünkü uzman görüşünün yapısı gereği işi taraflardan biri verir: HMK m.293/1 ve CMK m.67/6, bilimsel mütalaayı tarafların kendi uzmanından alabileceği bir görüş olarak düzenler. Bu yapıda bağımsızlığı koruyan şey açık kurallardır:

• Ücret raporun sonucuna bağlı değildir. "Lehte çıkarsa" ödenen bir prim ya da ek ücret yoktur.
• Kayıtlar beklediğiniz şeyi göstermiyorsa bunu rapordan önce, ön değerlendirmede ya da inceleme sırasında söyleriz. Raporu dosyaya sunup sunmamak sizin ve avukatınızın kararıdır; raporun içeriğini ise bulguyu değiştirecek biçimde düzenlemeyiz.
• Taslakta düzeltilebilecek şey maddi hatadır: yanlış yazılmış bir dosya adı, hatalı aktarılmış bir tarih, eksik yazılmış bir soru.
• Bir kaydın başka açıklamaları varsa raporda yer alır. Aynı IP adresini aynı anda paylaşan başka aboneler, aynı hücreye bağlanabilecek başka bölgeler, elle değiştirilebilen bir cihaz saati, talep eden tarafın aleyhine olsa da yazılır.

Örnek: Bir taraf, karşı tarafın telefonunun belirli bir gece belirli bir mahallede olduğunu göstermek istiyor. HTS'de o saatlere ait satırlar, mahalleyi de kapsayan ama onun çok ötesine uzanan bir hücreye bağlanmış. Raporda "telefon o mahalledeydi" yazmaz. "Telefonun bağlandığı hücrenin kapsama alanı o mahalleyi de içerir; bu kayıt, telefonun mahallede bulunduğunu tek başına göstermez" yazar.

Çıkar çatışması nasıl kontrol edilir?

Bir işi kabul etmeden önce üç şeye bakarız: aynı uyuşmazlıkta karşı taraf için çalışıp çalışmadığımız, ona bu konuda görüş verip vermediğimiz ve taraflardan biriyle bağımsızlığımızı gölgeleyecek bir ilişkimiz olup olmadığı. Sonuncusu yazılım işlerimizi de kapsar: taraflardan biri için yazılım geliştirmişsek ya da incelenecek kaydı bizim yazdığımız bir yazılım üretmişse, bunu ön değerlendirmede söyleriz.

Kontrol için tarafların (kişi ya da şirket) adını ve dosyanın hangi aşamada olduğunu ön değerlendirmeden sonra isteriz; ilk mesajda bu ayrıntıları sormamamızın nedeni de budur. Karşı taraf bize daha önce yazmış olabilir. O durumda onun dosyasına dair bilgiyi de sizinkine dair bilgiyi de aynı gizlilikle tutmamız gerekir. Bir çatışma varsa işi almayız ve nedenini ayrıntılandırmayız, çünkü kimin bize başvurduğunu söylemek o kişinin gizliliğini ihlal etmek olur.

Dijital delil nasıl teslim edilir, bütünlüğü nasıl korunur?

Orijinal delil üzerinde çalışmayız: materyali teslim alırken özet değerini (hash) kaydeder, incelemeyi bu değerle doğrulanmış bir kopya üzerinde yaparız. Teslim şu adımlarla yürür:

1. Teslim yolu birlikte seçilir. Birkaç belge ya da dışa aktarılmış bir kayıt, parolalı ve şifreli bir arşivle gelebilir; parola, dosyanın gönderildiği kanaldan değil, ayrı bir kanaldan iletilir. Büyük imajlar şifreli bir diskle ya da şifreli bir aktarım bağlantısıyla, fiziksel cihazlar teslim tutanağıyla gelir.
2. Göndermeden önce özet değeri alınır. Gönderen taraf her dosyanın SHA-256 değerini hesaplar ve bize yazılı olarak bildirir. Bunu dosyayı hiçbir yere yüklemeden, tarayıcıda çalışan hash hesaplama aracıyla yapabilirsiniz. Teslim aldığımızda aynı değeri hesaplarız; iki değer aynıysa dosya yolda değişmemiştir.
3. Teslim kaydı açılır. Kayıtta materyalin tanımı (dosya adı ve boyutu; cihazsa marka, model, seri numarası ve fiziksel durumu), kimden, ne zaman ve hangi yolla alındığı ve özet değerleri bulunur. Materyal her el değiştirdiğinde aynı kayda işlenir. Delilin elde edilmesinden sunulmasına kadar bütünlüğünün bu şekilde belgelenmesine delil zinciri (chain of custody) denir.
4. Çalışma kopyası oluşturulur. Teslim alınan kopya salt okunur biçimde saklanır; inceleme, özet değeri kayıtlı bir çalışma kopyası üzerinde yapılır. Bir diskin ya da cihazın imajı alınacaksa yazma engelleyici (write blocker) kullanılır. NIST SP 800-86'nın tarif ettiği doğrulamada orijinalin özeti edinimden önce, kopyanınki edinimden sonra alınır ve ikisi karşılaştırılır.
5. Analiz sırasında da iz bırakmamaya dikkat edilir. Bir dosyayı açmak onu değiştirebilir. WAL kipindeki bir SQLite veri tabanını doğrudan açıp kapatmak buna iyi bir örnektir: son bağlantı kapanırken SQLite bir checkpoint yapar, WAL dosyasındaki işlemleri ana dosyaya aktarır ve -wal ile -shm dosyalarını siler. Değişmiş ya da silinmiş kayıtların izi tam da o WAL dosyasında olabilir. Bu yüzden veri tabanı -wal ve -shm dosyalarıyla birlikte kopyalanır, çalışma kopya üzerinde yapılır.

Özet değeri için SHA-256 kullanırız. Tutanakta ya da karşı tarafın raporunda MD5 veya SHA-1 değeri varsa onu da hesaplayıp karşılaştırırız. MD5 ve SHA-1'e karşı çakışma saldırıları bilindiği için güncel tercih SHA-256'dır; bu, eski bir algoritmayla kaydedilmiş değerin kendiliğinden geçersiz olduğu anlamına gelmez. Ayrıntısı: hash değeri ve delil bütünlüğü.

Materyal nerede, ne kadar süre tutulur?

Materyal şifreli depolama ortamlarında ve yalnızca iş süresince tutulur; iş bitince kararlaştırıldığı gibi iade edilir ya da silinir. O iş dışında kullanılmaz, üçüncü kişilerle paylaşılmaz, erişim işi yürüten kişiyle sınırlıdır. Bir kısmı için dışarıdan destek gerekirse (örneğin fiziksel olarak hasar görmüş bir diskin onarımı), bunu önceden yazılı olarak sorarız.

Materyal çoğu zaman üçüncü kişilere ait kişisel veri, bazen de sağlık bilgisi gibi özel nitelikli kişisel veri içerir (KVKK m.6; hangi hukuki sebeple işlendiği gizlilik metninde). Raporda, sorunun cevabı için gereken kadarını gösteririz. İlgisiz yazışmaları ve fotoğrafları rapora koymaz, gerektiğinde numaraları ve adları maskeleriz.

İade mi imha mı, işin başında yazılı kapsamda seçilir. Tercih belirtilmemişse iş bitince size sorarız; cevabınız gelmeden imha etmeyiz.

Yöntem: başka bir uzman aynı sonuca ulaşabilmeli

Bir bulgu, aynı materyali alan başka bir uzmanın aynı adımlarla aynı sonuca ulaşabildiği ölçüde güvenilirdir. Bu yüzden raporda kullanılan yazılımın adını ve sürümünü, uygulanan ayarları (ör. hangi saat diliminin esas alındığını), çalıştırılan sorguyu ya da filtreyi ve her bulgunun kaynağını (dosya yolu, satır numarası, kayıt kimliği) yazarız. İki araç aynı kayıt için farklı sonuç veriyorsa ham veriye inip elle doğrularız ve farkı raporda belirtiriz.

Yöntemimizi dayandırdığımız başlıca belgeler:

Bu belgelere atıf yapmak bir sertifika ya da akreditasyon iddiası değildir; yöntemimizin hangi ilkelere dayandığını gösterir. ISO standartlarının metni ücretli olduğu için raporda dayanılan adımı açıkça yazarız. Okur, standardı satın almadan da ne yapıldığını izleyebilmelidir.

Rapor hangi bölümlerden oluşur?

Raporlarımız altı bölümden oluşur: kapsam, materyal, yöntem, bulgular, sınırlılıklar ve sonuç. Tablodaki örnek satırlar kurgusaldır ve tek bir örnek soruyu izler.

Eklerde özet değeri listesi, teslim kaydı ve gerektiğinde ham kayıt çıktıları bulunur. Raporu hazırlayan kişinin kimliği ve imzası raporda yer alır; mahkeme, uzmanın duruşmada dinlenmesine karar verebilir (HMK m.293/2; CMK m.68/3). Rapor şablonunun ayrıntısı teknik rapor sayfasında.

Sınırlılıkları neden ayrı bir bölümde yazıyoruz?

Çünkü bir raporun en kolay yanlış okunan yeri, söylemediği şeydir. Sınırlılık, bulgunun değersiz olduğu anlamına gelmez; hangi soruya cevap verdiğini doğru çizer ve çoğu zaman hangi ek kaydın istenmesi gerektiğini de söyler. Sık rastlanan sınırlar:

• Baz istasyonu kaydı telefonun bağlandığı hücreyi gösterir, adresi göstermez. Yargıtay da baz sinyalini tek başına yeterli görmediği kararlar vermiştir (2. Ceza Dairesi, E.2019/14274, K.2020/2085). Ayrıntı: baz istasyonu kaydı konumu ne kadar gösterir?
• IP adresi bağlantıyı ve aboneyi gösterir, bilgisayarın başındaki kişiyi göstermez. CGNAT arkasında kaynak port ve saniye hassasiyetli zaman olmadan aboneye bile inilemeyebilir. Yargıtay 17. Ceza Dairesi, suç tarihine ait CGNAT verileri getirtilmeden kurulan mahkûmiyeti bozmuştur (E.2018/5732, K.2019/7785).
• Ekran görüntüsü kolayca düzenlenebilir ve kaydın kendisine ait üst veriyi taşımaz. Mümkünse orijinal kayıt ya da platformdan dışa aktarılmış veri istenir.
• SSD'de silinen dosya, mekanik diske göre çok daha düşük bir olasılıkla geri getirilebilir. Windows'ta NTFS birimlerinde TRIM, yönetici kapatmadıkça açıktır; diskin kendi çöp toplama işlemi de silinen blokları temizler. Yazma engelleyici bu iç işlemleri durdurmaz. Bu yüzden silinmiş verinin bulunamaması, hiç var olmadığını göstermez.
• Saat bilgisi kaynak dosyada çoğu zaman saat dilimi belirtilmeden gelir. Türkiye 2016'dan beri sürekli UTC+3'tür; daha eski kayıtlarda yaz saati uygulaması hesaba katılmalıdır. Ayrıntı: zaman damgaları ve saat dilimi.

Ne yapmıyoruz?

Dört şeyi yapmayız: hukuki nitelendirme, sonuç vaadi, hukuka aykırı yoldan veri elde etme ve görevli bilirkişiyle temas.

Hukuki nitelendirme

Kanun, bilirkişinin hukuki nitelendirme yapmasını yasaklar (6754 sayılı Bilirkişilik Kanunu m.3/2; HMK m.279/4; CMK m.67/3). Taraflar için hazırladığımız görüş bir bilirkişi raporu değildir, ama raporlarımızda aynı kurala uyarız: bulgunun hukuki anlamını değerlendirmek avukatın ve mahkemenin işidir. Aşağıdaki satırlar kurgusal örneklerdir.

Sonuç vaadi

İncelemeden önce ne çıkacağını, incelemeden sonra da mahkemenin raporu nasıl değerlendireceğini söyleyemeyiz. Uzman görüşü hâkimi bağlamaz ve diğer delillerle birlikte değerlendirilir; Yargıtay 9. Hukuk Dairesi onu tarafın belgeye dayanan beyanı olarak nitelemiştir (E.2022/2237, K.2022/3385).

Hukuka aykırı veri elde etme

Başkasının cihazına, hesabına ya da sistemine hukuka aykırı olarak girmek (TCK m.243) ya da oradaki verileri bozmak, yok etmek, değiştirmek (TCK m.244) suçtur. Bu yolla elde edilen veri de delil olarak kullanılamaz (HMK m.189/2; CMK m.206/2-a). Bu tür talepleri kabul etmeyiz. HTS kaydını da biz temin etmeyiz: bu kayıt mahkeme ya da savcılık eliyle alınır (ceza yargılamasında CMK m.135/6). Biz dosyaya girmiş ya da size usulüne uygun verilmiş kaydı inceleriz.

Görevli bilirkişiyle temas

Bir dosyada görevlendirilmiş bilirkişiyle temas kurmaz, ona bilgi ya da belge iletmeyiz; görülmekte olan bir davada bilirkişiyi hukuka aykırı olarak etkilemeye teşebbüs, TCK m.277'de ayrıca suç olarak düzenlenmiştir. Teknik değerlendirmemiz mahkemeye yalnızca dosyaya sunulan rapor aracılığıyla ulaşır.

Süre ve ücret nasıl belirlenir?

Süre ve ücret, ön değerlendirmeden sonra materyalin türüne, hacmine ve cevaplanacak soruların kapsamına göre yazılı olarak bildirilir. Materyali görmeden rakam vermeyiz, çünkü aynı adı taşıyan iki iş arasında büyük fark olabilir. Belirleyici etkenler:

Teklif yazılıdır: sorular, ücret ve teslim tarihi aynı belgede yer alır. Kapsam iş sırasında genişlerse, örneğin incelemeye yeni bir cihaz eklenirse, devam etmeden önce yeniden yazılı olarak bildiririz.