Adli Bilişim İncelemelerinde Veri Kurtarma. Semih DOKURER

Ebat: px

Şu sayfadan göstermeyi başlat:

Download "Adli Bilişim İncelemelerinde Veri Kurtarma. Semih DOKURER"

Nuray Hazan Izzet
6 yıl önce
İzleme sayısı:

1 Adli Bilişim İncelemelerinde Veri Kurtarma Semih DOKURER

2 Dijital Delil Defter Kağıt Adres Telefon Rehberi Cep Telefonu PDA Bilgisayar Klasik Mektup Elektronik Posta Firmaların Dosyaları Dijital Veri Bankaları Bu bir delildir

3 Dijital Delil

4 8 bit = 1 bayt 512 bayt = 1 sektör 1 terabayt lık bir diskte toplam bit sayısı 8 x 1024 x 1024 x 1024 x (8 trilyon) 1 ve 0

5 Veri Kurtarma Fiziksel hata Elektronik devre arızası Mekanik arıza Mantıksal hata Disk bölümleri Dosya sistemi Dosya Özellikleri Tersine mühendislik

6 Fiziksel Hatalar Elektronik arıza Mekanik arıza

9 Diskin İçerisi

10 Mekanik ve NAND Diskler

11 SMART ID HEX Özellik adı (İngilizce) Özellik adı (Türkçe) Açıklama 1 1 Read Error Rate Okuma Hata Sayısı Disk yüzeyinden okuma yapılacağı zaman alınan fiziksel okuma hatası sayısı SMART (Self-Monitoring, Analysis, and Reporting Technology) 2 2 Throughput Performance Veri aktarım performansı Sabit diskin veri aktarım performansı 3 3 Spin-Up Time Devir alma zamanı Sabit diskin motorunun geçek devirine ulaşması için gereken süre 4 4 Start/Stop Count Başlama/Kapanma Sayısı Disk motorun kapanıp çalışma sayısı 5 5 Reallocated Sectors Count Tekrar ilişkilendirilmiş Sektör sayusı Tekrardan ilişkilendirilmiş hatalı sektör sayısı 7 7 Seek Error Rate Arama hatası sayısı Okuma/yazma kafası konumlandırma hata sayısı 8 8 Seek Time Performance Arama zamanı performansı Okuma/yazma kafası konumlandırma performansı Smartmontool 9 9 Power-On Hours (POH) Açık kalma süresi Diskin açık durduğu zaman 10 0A Spin Retry Count Devir tekrarı sayısı Motorun normal çalışma devir hızına ulaşması için gerçekleşen tekrar sayısı 12 0C Power Cycle Count Güç kesilme sayısı Sabit diskin tamamen kapanıp açılma sayısı 13 0D Soft Read Error Rate Yazılımsal okuma hatası sayısı İşletim sistemine rapor edilen doğru olmayan hatalar 193 C1 Load Cycle Count Başlangıç konumuna gelme sayısı Okuma/yazma kafasının kullanılmadığı durumlarda başlangıç konumuna geri dönme sayısı 194 C2 Temperature Isı Sabit disk ısısı 196 C4 Reallocation Event Count Tekrar ilişkilendirme işlem sayısı Hatalı olarak ayrılan sektörlerden sağlam sektöre başarılı yada başarısız aktarım sayısı 197 C5 Current Pending Sector Count Hatalı olmayan fakat hatalı olarak işaretlenmeyi bekleyen sektör sayısı 198 C6 Uncorrectable Sector Count Doğrulanamayan sektör sayısı Doğrulama yapılamayan sektör sayısı 199 C7 UltraDMA CRC Error Count UltraDMA CRC hata sayısı Sabit disk ara kablosu üzerindeki veri transfer hata sayısı 200 C8 Write Error Rate Yazma hatası sayısı Sektöre yazma işlemi yapılırken oluşan hata sayısı 206 CE Flying Height Uçuş yüksekliği Okuma/yazma kafasının disc yüzeyinden yüksekliği 221 DD G-Sense Error Rate G-Algılama hata sayısı Algılanan sarsıntı sayısı 240 F0 Head Flying Hours Kafa uçuş saati Okuma/yazma kafasının disk yüzeyinde dolaşma süresi

12 HPA (Hidden Protected Area) Diskin belirlenen sektör aralıklarının işletim sistemine gösterilmesi İlk olarak ATA-4 komutları ile birlikte gelen bir özellik 1 Terabayt = bayt / 512 = sektör 900 Gigabayt = bayt / 512 = sektör HPA sektör

13 Mantıksal Hatalar Silinen Disk Bölümlerin Kurtarılması Bölümlendirilmemiş Alan (Unpartitioned Space) MBR VBR C: / D:/ VBR 1 Terabayt = bayt / 512 = sektör

14 Mantıksal Hatalar Formatlanmış diskin kurtarılması MBR VBR Dosya Sistemi Dosya 1 Dosya 2 Tahsis Edilmemiş Alan (Unallocated Clusters) Dosya 3

15 Veri Kazıma (Data Carving) Dosya Sistemleri bağımsız, bir dosyanın karakteristik yapılarından dosyanın tahmin edilerek geri toplanması ile veri kurtarma işlemi Dosya karakteristik özellikleri Başlığı (Header) Soneki (Footer) Dosyanın veri yapısı

17 Mantıksal Hatalar Dosya sistemi Kullanıcı İşletim Sistemi (MacOS, Windows, Linux vs.) Dosya Sistemi (FAT, NTFS, Ext2, Ext3 vs.) Dosya Medya

18 Dosya Sistemi Küme (Cluster) : Küme; bir veya birden çok fiziksel sektörün bir araya gelmesi ile oluşan mantıksal veri alanıdır.

Dosya Atığı (File Slack) Küme 1 : Küme 2 : Küme 3 : Küme 4 : S1 S2 3000 S3 Bayt S4 S5 S6 S7 S8 4 S1 B S2 S3 11.

19 Dosya Atığı (File Slack) Küme 1 : Küme 2 : Küme 3 : Küme 4 : S1 S S3 Bayt S4 S5 S6 S7 S8 4 S1 B S2 S S4 Bayt S5 S6 S7 S8 S1 S2 S3 S4 S5 S6 S7 S8 S1 S2 S3 S4 S5 S6 S7 S8 512 x 8 = 4096 B 512 x 8 = 4096 B 512 x 8 = 4096 B 512 x 8 = 4096 B Dosya Sistemi Dosya Xosya 1.txt Küme1 Dosya 2.txt Küme1 Dosya 3.txt Küme2

20 Tersine Mühendislik Genelde güvenlik kamerası kayıt sistemlerinden veri kurtarması amacıyla yapılır Dosya sistemi ve dosya yapısı belirsizdir

Veri Süpürme (Data Wiping) Veri Süpürme Standartları Tarih Üzerine yazma sayısı Medya içerisindeki her bir sektörün içerisinin şablon bitleri ile doldurulması işlemi U.S. Navy Staff Office Publication NAVSO P-5239-26 1993 3 U.

S. National Industrial Security Program Operating Manual (DoD 5220.

21 Veri Süpürme (Data Wiping) Veri Süpürme Standartları Tarih Üzerine yazma sayısı Medya içerisindeki her bir sektörün içerisinin şablon bitleri ile doldurulması işlemi U.S. Navy Staff Office Publication NAVSO P U.S. Air Force System Security Instruction Peter Gutmann's Algorithm Bruce Schneier's Algorithm U.S. DoD Unclassified Computer Hard Drive Disposition German Federal Office for Information Security Communications Security Establishment Canada ITSG NIST SP U.S. National Industrial Security Program Operating Manual (DoD M) 2006 NSA/CSS Storage Device Declassification Manual (SDDM) 2007 Australian Government ICT Security Manual New Zealand Government Communications Security Bureau NZSIT British HMG Infosec Standard 5, Baseline Standard? 1 British HMG Infosec Standard 5, Enhanced Standard? 3

22 Süpürülen Verinin Kurtarılması ,6 +10,8 +9,5-10,6-10,1-11,2-10,6-10,1 +10,2-10,2-11,2-9,2-10,1-10,9-11,5-11,

23 Sonuç Bilgisayar veya diski manyetik alanlara yaklaştırmak Uygun taşıma kutuları kullanmamak Bilgisayarın açma düğmesine basmak İşin uzmanına devretmemek Uygun olmayan yazılım kullanmak Yazma korumalı sistem kullanmamak İmaj üzerinden işlem yapmamak Hash değerini kontrol etmemek

24 Teşekkürler

Benzer belgeler

United Security. Hard Disk Yönetimi

United Security. Hard Disk Yönetimi Hard Disk Yönetimi Bu bölümde, cihazınıza takılacak olan Hard Disklerin ayarları ile ilgili bilgiler bulunmaktadır. Ancak Hard Disk ile ilgili tüm işlemlerin, sadece cihazı satın almış olduğunuz yetkili