AccessData FTK IMAGER KULLANIM KILAVUZU

Transkript

1 AccessData FTK IMAGER KULLANIM KILAVUZU

2 İÇİNDEKİLER 1.Giriş FTK IMAGER NEDİR FTK Imager Kurulumu Taşınabilir Cihaza Kurulumu Yazılım Bölümleri FTK Imager Kullanıcı Arayüz Sekmeleri FTK Imager İle İmaj Alma FTK Imager ile RAM imajı alma FTK Imager ile Mount işlemi FTK Imager yazılımı ile imaj inceleme süreci... 17

3 1.Giriş Hazırlamış olduğum FTK Imager Kullanım Kılavuzu çalışmasında yazılımda elde etmiş olduğum bilgileri dikkatinize sunmaktayım. FTK Imager yazılımı, Adli Bilişim alanında önemli sayılan yazılımlar arasında yer alan lisanslı bir yazılımın içinde olup bu alandaki ihtiyaçların birçoğunu karşılar. Bu amaçla detaylıca incelediğim bu çalışmamda FTK Imager yazılımının Adli Bilişim e sağladığı kolaylıklara ve kullanımının nasıl olduğuna yer vermekteyim. 2.FTK IMAGER NEDİR FTK İmager, Access Data firması tarafından üretilmiş olan fiziksel depolama cihazlarının adli kopyalarının alınmasını sağlayan, RAM imajının alınmasını sağlayan şifreli disklerin açılmasına olanak sağlayan, loglama yapabilen, disk şifreleyebilen bir dijital delil analiz programıdır. Delil incelemede ve delilleri raporlamada başarılı olan bu program, başta emniyet birimlerimiz olmak üzere tüm dünyada yoğun olarak kullanılmaktadır. Program oldukça verimli ve işlevsel olmasının yanı sıra bütün mahkemeler tarafından, bu program aracılığı ile mahkemeye sunulan rapor ve verilerin delil niteliğinde olduğu kabul edilmektedir.ftk Imager diskte bulunan tüm verileri başka bir forensic aracına ihtiyaç duymadan analizine olanak sağlar. Bu araç, tüm fiziksel disklerin, fiziksel disklerde bölümlenmiş olan mantıksal alanların USB ve hafıza kartlarının, CD/DVD gibi veri depolanan disklerin imajını rahatlıkla alabilir. Bunun yanından FTK Imager, dijital delillerin bulunduğu depolama aygıtlarının imajını almadan görüntülenmesine de olanak tanımaktadır.ftk Imager diğer bir özelliği de, disk imajı bulunan(raw,e01 vs.) adli kopyaların temel bir biçimde incelenmesine de olanak sağlar.aynı zamanda elimideki imaj dosyalarını Read-only olarak mount ederek, bu imajların bir sabit disk sürücüsüymüş gibi görünmesine izin verir ve imaj dosyalarından dosya dizinleri kopyalayabilmemizi sağlar. Silinmiş olan dosyaları geri getirme özelliği olmasa da silin dosyaların isimlerini görünmesini ve eğerki üzerine veri yazılmamışsa geri getirilmesini sağlayabiliyor. 3.FTK Imager Kurulumu FTK Imager yazılımını AccesData nın web sitesi üzerinden ücretsiz olarak indirebilirsiniz.

4 FTK Imager yazılımını indirdikten sonra aşağıdaki adımları takip ederek kurulumu yapın. Açılan pencerede Next butonuna tıklayın. Sözleşmeyi kabul edin ve Next butonuna tıklayın.

5 FTK Imager programının kurulacağı dizini seçin ve next butonuna tıklayın. İnstall butonuna tıklayın.

6 Kurulum bittikten sonra Finish butonuna basın. Kurulum tamamlandıktan sonra masaüstünüzde kısayolu oluşan FTK Imager a tıklayıp

7 çalıştırabilirsiniz. 3.1.Taşınabilir Cihaza Kurulumu Taşınabilir cihaza kurulum için taşınabilir cihazda görüntüleyiciyi kullanmanın iki yolu vardır. Bunlar; FTK Imager Lite dosyalarını doğrudan yerel bir bilgisayara yüklemeden önce cihaza kopyalayın. İndirilen dosyaları taşınabilir sürücüye ayıklayın ve dosyayı oradan çalıştırın. FTK Imager Lite programında daha az dosya vardır (yalnızca temel bilgileri içerir) ve ayrı bir yükleme gerektirmez ancak, indirdiğiniz dosyanın içeriğini, kullanmadan önce bir klasöre ayıklamak için dosyayı zipden çıkartmanız gerekir. Yüklemeyi yerel bir bilgisayarda çalıştırın, ardından FTK Görüntüleyici klasörünü [Driver]: \ Program Files \ AccessData \ FTK Imager taşınabilir aygıta kopyalayın. FTK Imager program dosyaları taşınabilir ortama kaydedildiğinde, bu ortam bir Windows OS çalıştıran herhangi bir bilgisayara bağlanabilir ve burada çalıştırılabilir. FTK Imager.exe taşınabilir medya aygıtından yürütülebilir. Her iki yöntemle de, görüntü verilerinin kaydedilmesi için bir hedef sürücü sağlamanız gerekir ve güvenilir bir yazma engelleyici(write-blocked) kullanılmalıdır. 4.Yazılım Bölümleri FTK Imager yazılımı dört bölümden oluşur. Bunlar Evidence Tree, File List, Hex Value Interpreter, Costum Content Sources dir.

8 Evidence Tree(1), Eklenen imajın dizin ağaç yapısını gösterir. File List(2), seçilen dizin içerisinde yer alan dosyaları gösterir. Costum Content Sources(3), özel içerik alanlarını gösterir. Aynı zamanda seçilen alanda imaj alma, düzenleme gibi işlemleri gerçekleştirir. Hex Value(4) ise seçilen dosya veya klasörlerin hexadecimal karşılıklarını gösterir. 5.FTK Imager Kullanıcı Arayüz Sekmeleri Menüler incelendiğinde aşağıdaki gibi görünecektir. File: Dosya menüsü araç çubuğunda kullanabileceğiniz tüm özelliklere erişim sağlar.

9 View: FTK Imager bölümlerinin görünümünü özelleştirmek için izin verir.

10 Mode: Mod menüsü görüntüleyici önizleme modunu seçmenizi sağlar.

11 6.FTK Imager İle İmaj Alma Aşağıdaki adımları takip ederek imaj işlemini gerçekleştirebiliriz. Adım 1: File menüsünden Create Disk İmage seçeneğini tıklayın. Adım 2:Açılan sekmeden sizin için uygun olan seçeneği işaretleyin.

12 Pyscial Drive: Seçilen diski olduğu gibi imajını alıp aktarır. Logicial Drive: Diskin belirli bir bölümünün imajını alır.(örn:c,d,e sürüleri gibi) Image File: Bir imaj dosyasının imajını alır. Content of Folder: Silinen tanımlanmaşım vs bölümlerin imajını alır. Fernico Device: çoğaltılabilir CD DVD tarzı disklerin imajını alır. Adım 3: Image File seçip işlemlerimize devam ediyorum. Adım 4:Karşımıza imaj sıkıştırma formatını seçmemiz için bir pencere çıkmakta bu pencereden add butonuna tıklayıp imaj formatımızı seçiyoruz. DD: Imaj alma işlemi esnasında herhangi bir sıkıştırma uygulanmaz, elde edilecek imaj dosyası kaynak ile aynı boyuttadır. Ayrıca imaj dosyası içerisinde yalnızca ham veri bulunur, herhangi bir metadata verisi yer almaz. SMART: Linux işletim sistemi için geliştirilmiş SMART uygulamasının, ham verinin yanında metadata ve doğrulama değerlerini de içeren dosya formatıdır. E01: EnCase imaj formatıdır, veri dosyaya yazılırken bloklara bölünür ve her bloğa ait hesaplanan checksum değeri verinin arkasına yazılır. Dolayısıyla imaj dosyası yalnızca veriyi değil, metadata ve doğrulama kodlarını da içerir. AFF: Gelişmiş Dosya Formatıdır(Advanced File Format), veri ile metadata bilgileri birleştirilerek aynı dosya içerisinde saklanır Adım 5:E01 seçeneğini seçerek ileri diyoruz.

13 Adım 6:Buradaki bilgileri doldurduktan sonra ileri diyoruz açılan pencereden oluşacak olan imaj dosyasını nereye kaydedileceğini seçiyoruz ve ardından start butonuna basarak imaj alma işlemine başlıyoruz. Image Fragment Size: Imaj dosyasını kaç MB lık parçalar şeklinde tutmak istediğinizi belirliyorsunuz. Compression: 0-9 arasındaki sayılarla sıkıştırma ölçüsünü belirliyosunuz. Sayı arttıkça sıkıştırmada artacağından imaj alma süresi de uzayacaktır. Use AD Encryption: İmajı şifreli olarak almak için kullanırız. Verify: Imaj sonrası imaj ile orjinal disk arasında doğrulama yapmak içindir. Imaj bitiminde ekranda hash değerleri, sektör sayısı ve hatalı sektör sayısı gibi bilgiler gösterilir.

14 7.FTK Imager ile RAM imajı alma Açık olan bilgisayarın o anki ram imajını almak için kullanırız. İşlemlerimiz sırasıyla şöyledir; Adım 1:File menüsünden Capture Memory e tıklanır. Adım 2:Açılan pencerede imajın kaydedileceği yer seçilir ve Capture Memory butonuna tıklanır.

15 Adım 3:İmaj alma işlemi başlar Adım 4: İşlem bitince dosyalar belirlediğimiz hedefe kaydolur.

16 8.FTK Imager ile Mount işlemi Mount işlemi imaj dosyasını bir sürücüymüş gibi görünmesini sağlamaktadır. Aşağıdaki yapılmaktadır; Adım 1: File menüsünden Image Mounting seçeneğine tıklanır. Adım 2:Çıkan açılır pencereden image yolu seçilip MOUNT butonuna tıklanır.

17 Adım 3:Mount tıkladıktan sonra Drive alanına yeni sürücü olarak imaj dosyamız eklenecektir. Adım 4:Mount İşlemi yapıldıktan sonra imaj sanki fiziksel bir diskmiş gibi eklenir. 9.FTK Imager yazılımı ile imaj inceleme süreci Medyalar içerisinde bulunan verilerin ön izlemesi yapılabilir. Birebir kopyası alınmış olan medyaların kopyalarının ön izlemesi yapılabilir. Alınmış olan birebir kopyalar sadece okuma modunda (read-only) görüntülenebilir. Kopyalar içerisinden veriler dışarı Windows ortamına aktarabilir. Silinmiş ve çöp kutusuna atılmış olan dosyalar görüntülenebilir. MD5 ve SHA-1 algoritmalarını kullanarak hash değeri üretilebilir. Birebir kopyalar ile normal dosyalar için hash raporları üretilebilir. Elimizdeki verilerin kaynağı direk olarak elimizdeki donanım veya önceden alınmış bir image dosyası olabilir. Bunların dışında dosyalarında özel olarak FTK Imager aracılığıyla dosyaları inceleyebiliriz. Tüm bu işlemlerde eğer inceleyeceğimiz dizinlerde gizli dosya bulunuyor ise onu FTK Imager aracılığıyla görüntülememizde mümkün olabilir. Unutulmamalıdır ki FTK Imager ın tüm görüntülemeleri salt okunur moda olmaktadır. Okuma yaparken çoğu formatı çözümler veya bizim isteğimize bağlı olarak text yada hexadecimal formatta verileri görüntüler. Tüm bunların dosyayı görüntülemede başarısız olması halinde dosyayı istediğimiz dizine export ederek başka bir yazılım kullanarak görüntülemeyi de deneyebiliriz. Bu Kullanım Kılavuzu Serpil Kılıç tarafından hazırlanmıştır. Tarafımdan izin alınmadan Dijital Ortamda kısmen veya tamamen alıntı yapılamaz. Hazırlayanın Serpil Kılıç olduğu belirtilerek kullanılabilir.