Nasıl çalışmalı?

1. Teori bölümlerini (1–5) sırayla oku. Bunlar sunumdaki 4 evreli süreci anlatıyor: el koyma → koruma/kurtarma → analiz → sunum.
2. Teknik Temel (6) bölümünü mutlaka anla: yazma koruma, imaj/klon farkı, hash, HPA/DCO. Cihazların hepsi bu kavramlar üzerine kurulu.
3. Donanım bölümlerinde (7–13) her cihazın ne işe yaradığını, hangi portları/modları/formatları desteklediğini ve varsayılan değerlerini öğren.
4. Her bölümün sonundaki "Bu konuyu bitirdim" düğmesine bas; soldaki çubuk ilerlemeni gösterir (bu tarayıcıda saklanır).
5. Sonra Bilgi Kartları ve Deneme Sınavı ile kendini test et. Sınavdan önceki gece Son Gece Özeti'ne bak.

Konular

Ek bilgi etiketi, ders notlarında doğrudan yazmayan ama konuyu anlamana yardım edecek genel bilgileri gösterir.

1. Temel Kavramlar & Elektronik Delil

Adli soruşturma nedir, adli bilişim neyi kapsar, elektronik delil hangi özellikleri taşımalıdır?

Sunumun konu başlıkları

Adli Soruşturma Bilimi

• Olaylar sonrasında başlatılan hukuki soruşturma evrelerinden biridir.
• Kim, ne, ne zaman, nerede, neden ve nasıl sorularını cevaplamaya çalışan bilim dalıdır (5N1K).
• Bilgisayar ve bilişim güvenliğiyle yükselen yeni bir disiplindir; sosyal ve hukuka etkileri büyüktür, standartları her geçen gün daha da oturmaktadır.

Adli Soruşturma

• Delillerin toplanması ve analizidir. Bilimsel test ve teknikler kullanılır: suç ile ilgili gerçeği tespit etmek ve yasal sürece uygun sunmak için.

Adli Bilişim (Digital Forensics)

Amaç: suç teşkil ettiği tespit edilen olayların simülasyonunu kolaylaştırmak veya ilerletmek ya da planlanan işlemleri engellemeye yönelik eylemleri tahmin etmeye yardımcı olmak.

Adli bilişimin kapsadığı alanlar

Dijital teknolojideki hızlı gelişmeye bağlı olarak: Bilgisayar, Ağ ve güvenlik duvarları, Veri tabanı, Mobil, Nesnelerin İnterneti, Akıllı Nesneler, Biyolojik veri.

Adli Bilişim Analizi Taksonomisi (10 başlık)

Elektronik Delil

Elektronik delilin özellikleri (7 madde)

1. Yasalarca kabul edilmeli
2. Kişisel veri, parmak izi veya DNA gibi belirli bir kişi veya olayla ilişkilendirilebilmeli
3. Kolayca değiştirilebilir, zarar verilebilir veya yok edilebilir (→ bu yüzden yazma koruma ve hash şart!)
4. Tutarlı ve doğrulanabilir
5. Bütünlüğü olmalıdır (bütün bir örneklemi olmalıdır)
6. Şüphesiz, objektif, sunumu pratik olarak test edilebilir olmalıdır
7. Zamanı belirlenebilir

Siber Suç Türleri

Slaytta 5237 sayılı Türk Ceza Kanunu, madde 243-244-245 referans verilmiştir.

Siber zorbalık istatistikleri (2018)

Ocak 2020 itibarıyla 3,8 milyar insan sosyal medya kullanıcısı. 2018 küresel çapta en yaygın siber zorbalık platformları (TOTAL %):

→ En yaygın platform: sosyal ağlar. Avrupa araştırmasında da sıralama: sosyal ağlar > mobil uygulamalar > anlık mesaj > chat odaları > e-mail ≈ diğer.

Soruşturma türleri

• Kurum içi soruşturmalar — kurumsal disiplin yönetmelikleri temel alınır; ceza soruşturmalarına yol açabilirler.
• Ceza soruşturmaları
• Uluslararası yaşanan soruşturmalara destek verilebilir.

2. Adli Bilişim Soruşturma Süreci

Süreç dört ana evreden oluşur. Her evrenin amacını ve yapılanları bilmek sınavın çekirdeğidir.

Soruşturma basamakları (merdiven)

1. Arama Emri
2. Olay yeri güvenliği
3. Delillerin toplanması
4. Delillerin güvenliği
5. Verinin elde edilmesi
6. Veri analizi
7. Delillerin ve vakanın değerlendirilmesi
8. Sonuç raporun hazırlanması
9. Uzman tanık olarak ifade vermek

Soruşturma modelleri (literatür)

I. Evre — EL KOYMA / ELDE ETME

• Olay mahalli: gerçek dünyada delillerin toplanacağı yer.
• Amaç: olay yerini değiştirmeden olabildiğince çok kanıtı kurtarmaktır.
• Araştırmacılar ve deliller mümkün olduğunca kayıt altına alınmalı ve belgelenmelidir.
• İzlenebilir bir delil ve doküman zinciri oluşturulmalıdır. Ek bilgi Buna delil zinciri / chain of custody denir.

Elde etmeden önce sorulacak sorular

• Olayın gerçekten olup olmadığı belirlenir:
  • Ne tür bir dijital sistem araştırılacak?
  • Sistem kapatılabilir mi?
  • Çalışmaya devam etmesi gerekiyor mu?
• Vakanın ele alınmasını, delillere el konulmasını düzenleyen politikalar var mı?
• Yasal izinler gerekli mi?

Olay yeri ekipmanı (slayttaki görseller): antistatik çantalar, delil torbaları, radyo frekansına karşı koruma çantaları (Faraday), sert taşıma çantaları.

Elde etme sırasında

• İlk olarak çok kısa bilgi not edilir:
  • Halen çalışmakta olan işlemler
  • Açık soketler, prizler
  • Belleğin anlık kullanımı ve durumu
  • Depolama birimleri ve veri iletim kanalları
• Delillerin mümkünse bire bir kopyaları (imaj) doğrulanarak alınır. (Slaytta Tableau TD3 ve Ditto arayüzleri gösterilir.)
• Mümkünse orijinal delilin kendisi delil dolaplarında güvenli bir şekilde saklanır.

3. II. Evre — Kurtarma / Koruma

Elde edilen delillerden veriyi çıkarma: dosya sistemi, silinmiş/gizlenmiş veri, steganografi, şifreleme.

Dosya Sistemleri

• Dosyalar ve dizinler alınır → mantıksal kopya.
• Üstveri (Metadata): Kullanıcı kimliği · Zaman damgası (MAC'a ait zaman bilgisi) · Yetki ve izinler …
• Silinmiş dosyalar varsa kurtarılabilir.
• Boş alan taranır.

Slaytta kullanılan araç: PC-3000 Express (Data Extractor) — MFT tarama, bölüm (partition) analizi, raw recovery.

Dosya silme

• Birçok dosya sistemi sadece dizin bilgilerini siler, dosyaya ait veri bloklarını silmez.
• Veri blokları zarar görmedikçe dosyalar yeniden oluşturulup kurtarılabilir:
  • Ne kadar erken yapılırsa başarı oranı o kadar artar.
  • Bölümlendirmeye bağlı olarak yalnızca kısmi bir yapılandırma mümkün olabilir.

Biçimlendirilmemiş Alan

• Ayrılmamış bloklar (unallocated): bloklar ayrılmış olarak işaretlenerek dosya sistemleri atlatılabilir.
• Dosya sınır alanı içerisinde bitmiyorsa, dosyaların sonlarında kullanılmayan alanlar vardır. Ek bilgi Buna slack space denir.
• Dosya sistemi veri yapılarında kullanılmayan alanlar olabilir.
• Slayttaki ekran: "Drive Imaging → Hidden Areas – HPA/DCO" (Max User LBA, Max Native LBA, HPA size, DCO size, Remove HPA / Remove DCO, Detect HPA/DCO).

Steganografi

• Verinin içerisine gizlenmiş veriler.
• Bilgi depolamak için kullanılmayan veya alakasız konumlar kullanılabilir.
• Yaygın olarak görüntü dosyaları kullanılır; ancak çalıştırılabilir dosyalar, üst veriler, dosya sistemlerindeki boşluklar da kullanılabilir.

Şifreli Veriler

• Kullanılan şifreleme yöntemine bağlı olarak bilginin elde edilmesi mümkün olmayabilir.
• Anahtarları bulmak veya tahmin etmeye çalışmak genellikle daha iyi bir yöntemdir.
• Yasalar kullanılarak kullanıcının şifreleri ifşaya zorlanabilir.
• Slaytta: Açık anahtarlı şifreleme (gönderen alıcının açık anahtarıyla şifreler, alıcı kendi özel anahtarıyla çözer) ve Dijital imza (mesajın hash'i H(x) gönderenin özel anahtarıyla imzalanır; alıcı açık anahtarla doğrulayıp hash'leri karşılaştırır).

Kurtarma (gizli/şifreli bilgi)

• Gizlenmiş veya şifrelenmiş bilgileri bulup kurtarmak zordur, bazen mümkün olmayabilir.
• Soruşturmacı diğer ipuçlarını ve araçları da değerlendirmek zorundadır: steganografi yazılımları, şifreleme ve çözme yazılımları, komut geçmişi.

Dosya Kalıntıları

Dosya diskten tamamen silinse de hâlâ iz bırakmış olabilir:

4. III. Evre — Analiz

Soruşturmanın amacına göre uygulanan yöntemler değişebilir.

Analizde cevaplanan 4 soru

Veri kaynakları (8)

Sosyal medya · Çoklu ortam dosyaları · Veri tabanları · Paylaşım verileri · Uygulamalar · Sistem dosyaları · Günlükler (log) · Kullanıcı tanımları

Yasal Olmayan Şeyler

• Belirlenmiş bazı dosyalar doğrudan aranır: yasadışı görüntü dosyaları veri tabanı, telifsiz veya çalıntı şeyler.
• Mevcut dosyaların yasal olup olmadığı sorgulanır: görüntü dosyaları, müzik veya video dosyaları vb.

Ne? Nerede?

• İşletim sistemi ve dosya sistemleri bilgisi gerekir.
• Veriler şifrelenmiş, gizlenmiş veya yanıltılmış olabilir.
• Yanıltma: yanlış dosya uzantısı · yanıltıcı dosya isimleri · normal olmayan konum bilgileri.

Triyaj

• Sistem bilgileri ve harici bilgiler kullanılabilir: kayıt dosyaları (log files), dosya zaman damgaları (file timestamps), güvenlik duvarı / güvenlik yapılandırmaları.
• Olaylar bir zaman çizelgesine oturtulur.
• Sistem/Yönetici kaynakları: IDS/IPS (Sızma Algılama/Engelleme), şifreler, sunucu, ağ yönlendirici, güvenlik duvarı, sanal özel ağlar (VPN), içerik filtreleri, ağ switchleri.
• SIEM (Security Information and Event Management) — örnek: LogPoint. Veri tabanları, uç noktalar, IoT, uygulamalar, güvenlik duvarları, yazıcılardan log toplar → normalizasyon, depolama, analiz.

Zaman Bilgisi Kayıtları

• Zaman bilgisi tutma: aynı zaman aralığında meydana gelen olayların akış sıralaması yapılabilir mi?
• Çoklu sistemler: saatlerdeki kaydırmalar, farklı saat sistemleri (GMT, UTC).
• Elektronik posta başlıkları ve saat dilimleri.
• SIEM işlevleri: log toplama, log analizi, olay korelasyonu, log forensics, IT uyumluluk, gerçek zamanlı uyarı, kullanıcı aktivite izleme, dosya bütünlüğü izleme, log saklama.

Veri Havuzunda Detay Bilgi Aramak

• Dosyaları bulma: depolama kapasitesi terabayt üzerine çıktı; araştırılacak milyonlarca dosya…
• Olayları yeniden oluşturma: saniyede onlarca, yüzlerce olay · sadece en son MAC zamanları mevcuttur · günlüklerin yeterli tutulmaması.
• Çözüm: Yapay Zekâ ⊃ Makine Öğrenmesi ⊃ Derin Öğrenme ⊃ Konvolüsyonel Sinir Ağları. Örnek: şüpheli dosya hash'i için "malicious/benign" oylaması; fidye yazılımı (ransomware) aktivite tespiti.

Güvenliği İhlal Edilen Sistem

• Mümkünse bilinen normal halleriyle karşılaştırma: tetikleyici (başlamasına sebep olan), temiz dosyaların veri tabanı.
• Anormal dosya MAC'leri
• Açık veya dinleme ağ bağlantıları aranır (trojanlar).
• Anormal alanlardaki dosyalar (olmaması gereken yerler).
• Kaynaklar: VirusTotal, AbuseIPDB, IBM X-Force.

Bilinmeyen Çalıştırılabilir Dosyalar

• Kontrollü ve kısıtlanmış bir ortamda çalıştırılabilir: özel sistemler, Sandbox (sanal alanlar), sanal makine.
• Modüllere ayırıp yeniden derlemek gerekebilir → tersine mühendislik; haftalar veya aylar sürebilir.
• Sanallaştırma katmanları: Donanım → Sanallaştırma Yazılımı → (İşletim Sistemi → Uygulama) × n

Sahiplik Analizi

• Dosyayı kimin veya ne tür bir kişinin oluşturduğu belirlenir:
  • Program dosyaları (virüsler, trojanlar, snifferlar/kaydediciler)
  • E-postalar (şantaj, taciz, bilgi sızıntıları)
• Oluşturan gerçek kişi belirlenemiyorsa, bu kişinin beceri düzeyini belirlemek önemli olabilir.

5. IV. Evre — Sunum, Araçlar ve Gelecek

Sunum (IV. Evre)

• Dahili araştırmalar için mahkeme heyetine sunulmak üzere bir rapor veya sunum hazırlamak gerekir.
• Zorluk: hazırlanan rapor ve materyaller jürinin kolay anlayabileceği basit terimlere indirgenmelidir.
• Analizi yapan uzman bazen mahkemede şahitlik yapmak zorunda kalabilir.

Adli Bilişim Donanım ve Yazılımları

Adli Bilişim Uzmanı Profili

• İlgili yasaları anlayabilen ve takip edebilen
• Adli bilirkişilik
• İşletim sistemleri, dosya sistemleri, ağ sistemleri ve uygulamaları bilen: Kali Linux (sızma testleri), neler kayıt defterinde tutuluyor, olası veri gizleme teknikleri, yüklü programlar/kütüphaneler
• Hangi adli bilişim donanım ve yazılım araçları var ve nasıl kullanıldıkları
• Şifreleme (kriptografi) ve veri gizleme (steganografi) bilgisi
• Siber güvenlik (SIEM, SOAR)
• Teknik detayları basit terimlerle açıklayabilme

Gelecekte Adli Bilişim

Yasal altyapı düzenlemesi ve standart tanımlanması

• Kopya edinme prosedürü: adım adım izlenecek talimatlar geliştirilmelidir.
• Sertifikalandırma: uzmanların, kullanılan yazılım/donanım araçlarının ve işletim sistemlerinin sertifikalandırılması.

Araştırma

• Daha anlamlı denetim verilerinin oluşturulması; bütünlüğü ve kullanılabilirliği
• Gizlilik ve adli bilişim — Blockchain
• Yeni algılama ve anlamlandırma yöntemleri
• Otonom (Makine Öğrenmesi / Yapay Zekâ) — örn. CNN ile silah/bıçak tespiti
• Manuel işlemlerin otomasyon sistemleri üzerinden yürütülmesi
• Anti-Adli Bilişim — Şifreleme

Dokümantasyon

• Dosya sistemleri: yüzden fazla farklı dosya türü; birçoğu açık değil.
• Zararlı yazılım: imza kodları ve listesi güncel tutulup sürekli takip edilmeli.
• Temiz bir sistemin durumu: erişilebilir veri tabanları; her işletim sistemi için versiyon, yamalanma durumu…
• Antiforensic — Encryption

Değerlendirme (sunumun sonuç slaytı)

1. KVKK, adli bilişim ve siber güvenlik eğitim ve farkındalık çalışmalarının arttırılması
2. AR-GE ile geliştirilen yeni teknolojik yöntemlerin alana uygulanması
3. İnsanların dijital ekosistemde mümkün olduğunca az kişisel iz bırakmaları
4. Dijitalleşmede yerli ve milli teknolojiler ile güvenlik kontrolleri ve yasal altyapı desteği

6. Teknik Temel: Yazma Koruma, İmaj, Hash, HPA/DCO

Tüm donanımların ortak dili. Bunları anlamadan cihazları ezberlemek zor.

Yazma Koruma (Write Block)

• Köprü (bridge) / write-blocker: kaynak diski bilgisayara yazma korumalı bağlar → canlı inceleme veya yazılımla imaj alma (Tableau T6u/T8u/T35u, CRU UltraDock, CRU USB WriteBlocker).
• İmaj alma cihazı (duplicator / imager): bilgisayarsız, kendi başına kaynak → hedef kopyalama (AKAD, Ditto, TD3).
• Tableau köprüleri "mahkemelerce güvenilir kabul edilen (standarda uygun)" donanımlardır.

Kopya Türleri

İmaj Formatları

Hash (Veri Özeti / "Parmak İzi")

• Verinin içeriğinden hesaplanan sabit uzunluklu özet. Tek bir bit değişse bile tamamen farklı bir değer çıkar.
• Doğrulama mantığı: kaynak diskin hash'i hesaplanır → imaj alınır → imajın hash'i hesaplanır → iki değer aynıysa kopya orijinalin bire bir aynısıdır, değişiklik yoktur.
• TD3 kılavuzu hash'i "parmak izi" olarak da adlandırır.

HPA ve DCO — Diskteki Gizli Alanlar

• Adli açıdan HPA/DCO'nun kullanımda olup olmadığını bilmek değerlidir: uzman, gizli bölgelerdeki veriyi alıp almayacağına bilinçli karar verir.
• HPA, sürücüye kalıcı değişiklik yapmadan (geçici olarak) devre dışı bırakılabilir → TD3 kaynak diskte otomatik kaldırır.
• DCO'yu kalıcı değişiklik yapmadan devre dışı bırakmak mümkün değildir → TD3 DCO'yu otomatik kaldırmaz, kullanıcıya sorar.
• HPA kaldırılmadan DCO kaldırılamaz.
• TD3 hedef diskteki HPA/DCO'ya asla otomatik dokunmaz.
• HPA/DCO tespit eden cihazlar: TD3, CRU UltraDock (tespit + geçici/kalıcı açma), Drive eRazer Ultra (unhide/erase, amber LED).

Güvenli Silme Standartları

7. AKAD — Güvenli Veri Kopyalama Donanımı

Dijital depolama cihazlarının hızlı, güvenli, uluslararası standartlara uygun, doğrulanabilir kopyasını, güvenli silme işlemini ve birebir kopyasını tek bir donanımla gerçekleştirir.

Portlar

5 Ana İşlev

1) İmaj Alma

Bir diskin (sabit disk, USB bellek, harici disk vb.) tamamı veya sadece bir bölümünün (partition) içindeki tüm dosyalarla birlikte uluslararası imaj formatlarında, doğrulanabilir bir imaj dosyası oluşturur.

1. Kaynak ve hedef disk seçimi — kaynak yazma korumalı bağlanacağından bağlantı portuna dikkat! (Gerekirse daha sonra hash karşılaştırılabilir.) NTFS disk otomatik mount edilemezse manuel mount simgesi ile yazma korumalı mount edilebilir.
2. İmaj türü ve hash türü seçilir. Desteklenen imaj türleri: EWF (RAW), SMART, ENCASE-6, FTK.
3. Vaka bilgileri: inceleyici ismi, imaj dosyası ismi, geçerli tarih, notlar.
4. Kaynak/hedef bilgileri gösterilir → "Hash doğrulaması yapmak istiyorum" seçilip Başlat.

2) Birebir Kopya

Bir dijital diskin bit-to-bit kopyasıdır. Sabit sürücünün adli görüntüsü, fiziksel başlangıç adresinden sonuna kadar her şeyi yakalar. Diskler görünmüyorsa "diskleri yenile" butonu kullanılır.

3) Güvenli Silme

• Dosyaları kurtarılması imkânsız hale getirecek şekilde siler. Silinecek disk hedef disk girişine takılır.
• Silme formatı (desen) seçilir — desenler farklı veriyi farklı sayılarda yazmasıyla ayrılır; "Desen girmek istiyorum" ile kendi deseninizi oluşturabilirsiniz.
• Silme sonucunda dosya sistemi de silineceği için dosya sistemi seçilerek disk direkt kullanıma hazır hale getirilebilir veya sonra biçimlendirilir.
• Wipe işlemi verileri geri dönüşü olmayacak şekilde yok eder.

4) Hash Hesaplama

Disk seçilir → seçenekler kısmında hash türü seçilir → hesaplama başlatılır. Desteklenen algoritmalar: MD5, SHA-1 ve SHA-256.

5) İmaj Hash Doğrulama

Kaynak diskin hash'i hesaplanır → imaj alınır → imajın hash'i hesaplanır → iki değer karşılaştırılır; böylece imajın orijinal medyanın bire bir kopyası olduğu ve değişiklik olmadığı ispatlanır.

Tarayıcı Arayüzü ve Kullanıcılar

• Cihaza lokal IP'den bağlanmak için cihazın IP'si değiştirilir (kılavuz örneği: 192.168.1.10).
• Ethernet kablosunun bir ucu cihaza, diğer ucu bilgisayara takılır.
• Bilgisayarın IP adresi cihazla aynı IP aralığında olacak şekilde ayarlanır (Windows: ağ bağdaştırıcı seçenekleri).
• Kullanıcı Ekleme: yönetici, kullanıcıya imaj alma, birebir kopya, güvenli silme ve hash yetkilerini verebilir veya kısıtlayabilir.
• Kullanıcı Görüntüleme: tüm kullanıcılar listelenir, silinebilir; Yetkiler kısmında yetkiler görüntülenip değiştirilebilir.

8. CRU Ditto Forensic FieldStation

Sahada (field) kullanılan, ön panel LCD'si veya web tarayıcı arayüzü ile yönetilen adli kopyalama/imaj alma istasyonu.

Özellikler (Features)

Bağlantı Uçları ve Butonlar

Üst panel: güç LED'leri, LCD ekran, kaynak LED'leri, hedef LED'leri, menü için yön tuşları. Kit: 3× SAS-to-eSATA+Mini-Fit kablo, IDE kablo, 12V güç kaynağı, Ethernet kablosu, 2 eSATA kablo, önceden takılı SD kart, 6 Velcro…

Tarayıcı Arayüzüne Erişim

Tarayıcı sembolleri: ? kısa tanım penceresi · yenile (alanı güncelle) · varsayılana döndür · yeşil artı kullanıcı tanımlı alan ekle · sil kullanıcı tanımlı alanı sil.

Kullanıcı Hesapları ve Yetkiler

• İstenildiği kadar kullanıcı tanımlanabilir; kullanıcılar şifreleriyle ayarlarını kişiselleştirir.
• Admin kullanıcısı veya yetki verilen yönetici hesabı ile kullanıcı eklenip silinebilir.
• İki kalıcı hesap: "admin" (Yönetici — yalnızca Full Name ve şifre değiştirilebilir) ve "panel" (Ön Panel hesabı — ön panelden erişilebilecek işlevlerin yetkileri).
• Yetki seviyeleri: FULL (tam erişim), AUTH (işlem için şifre ile kimlik doğrulama gerekir), "-" (erişim yok).

Ana Ekran — "Action to Perform" eylemleri

Gelişmiş Özellikler

Diğer menüler: Configure, Admin (kullanıcılar), Logs, Utilities (firmware), ön panelden Standalone kullanım. Ayarlarda: Read Error Retries, "Wipe Sectors on Read Error (EnCase benzeri davranış)", Verify Mirror vb.

9. Tableau TD3 Forensic Imaging Kit

Modüler, kolay kullanılan, kullanıcı arayüzü olarak dokunmatik ekran kullanan imaj alma sistemi. Genel disk çoğaltmanın yanında adli bilişime özel işlevler sunar. (Guidance Software / EnCase ailesi.)

Özellikler

• SHA1 ve MD5 hash oluştururken dakikada 7,2 GB'a kadar veri işleme.
• Üzerindeki USB 3.0, FireWire ve SATA girişleriyle bu disklerden kaynak olarak okuma.
• Genişletme modülleriyle SAS ve IDE disk desteği.
• Ağ depolama: CIFS ve iSCSI desteği.
• Depolama aygıtlarına salt okunur (yazma korumalı) bağlanabilir.
• İşlem kayıtlarını (log) detaylı şekilde hafıza kartına kaydeder.
• Kaynak ve hedef diskler için otomatik boşluk (blank) taraması.
• HPA ve DCO tespiti ve desteği.
• Web tabanlı arayüz ile uzaktan erişim.

TD3 yalın haliyle: SATA, USB 3.0 ve FireWire kaynak, bir SATA hedef ve ağ paylaşımları. Genişletme modülü ve TDS1/TDS2 SATA Depolama Modülü ile genişletilir.

Kit İçeriği

Genişletme Modülleri

Modüller TD3'ün sol tarafındaki genişleme portuna takılır; ayrı güç kaynağı gerekmez. Standart kit TDPX5 + TDPX8-RW ile gelir.

Ana Menü (kayan simge listesi — 9 öğe)

Ekranın üstünde: seçili profil, kilitli/açık durumu, ekran başlığı, saat. Alfanümerik giriş için dokunmatik klavye veya USB klavye (sağ taraftaki USB port).

LED'ler ve Sesler

• Açık/Kapalı LED (üstte) · DC In LED (arkada, güç kaynağı takılı) · Ağ arabirimi LED'leri (RJ-45'te iki LED).
• İşlem sonunda iki sesten biri: başarılı veya başarısız. Sesler Sistem Ayarları'ndan kapatılabilir.

Başlangıç ve Bağlantı

• İlk açılışta ~20 saniye başlatma ekranı → yönetici şifresi oluşturma → ilk profil yüklenir → cihazlar algılanır → Ana Menü.
• Kaynak sürücüler ekranın solunda, hedef sürücüler sağında gösterilir. Seçili sürücü yeşil ok ile belirtilir.
• Kaynak disk bilgisi ekranında "View SMART Report" düğmesi.
• IDE bağlarken: kablonun mavi ucu TD3'e, siyah ucu sabit diske. Başka kablo kullanılırsa renkli şerit Pin #1 ile hizalanmalı.
• Dizüstü/ZIF diskler: sadece kısa TC6-2 (2") kablo — uzun kablo güvenilmez iletişime yol açar.
• Firmware arkadaki SD karttan yüklenir; güncelleme Windows TFU (Tableau Firmware Update) ile.

Web Arayüzü

1. Ethernet girişinden ağ bağlantısı yapılır.
2. Ağda DHCP sunucusu yoksa IP yapılandırması LCD ekrandan yapılır.
3. Kullanıcı profili oluşturulur (şifre verilmesi gerekir).
4. Settings → System Settings → Web UI Access: ON.
5. TD3'ün IP adresi tarayıcıya girilir, profil kullanıcı adı ve şifresiyle girilir. (İsteğe bağlı: Web UI SSL Setup.)

Ayarlar

System Settings

Start Screen (Main Menu / Duplicate / Hash / Verify / Wipe) · Network · Sounds · 24-Hour Time · Web UI Access · Web UI SSL Setup · Date & Time · Brightness · Factory Reset

Network

• Interface: ayarlanacak Ethernet. Use DHCP: açıksa otomatik; değilse IP, Netmask, Gateway girilir.
• MTU: varsayılan 1500; 68 – 9000 arası verilebilir. Değiştirmeden önce ağ yöneticisine danışılmalı; switchler destekliyorsa büyük MTU performansı artırır.
• Yanlış değerler hem TD3'ü hem ağdaki diğer kullanıcıları etkileyebilir. Apply Settings ile uygulanır.

iSCSI ve CIFS

• iSCSI: kaynak veya hedef olarak kullanılabilir (varsayılan: Source Drive). Discover New Targets → IP + (isteğe bağlı) kullanıcı/şifre → Discover → hedef seç → Target Enable: ON. Bookmark, Quick Connect, Nickname, Logout All.
• Export Source/Destination Drive: TD3'e takılı diskleri salt okunur iSCSI hedefi olarak dışa aktarır.
• CIFS (Windows File Share): yalnızca HEDEF olarak desteklenir. CIFS'e disk-to-disk yapılamaz; CIFS hedefken Wipe, Blank Check, Format kullanılamaz; Duplicate (disk-to-file) ve Verify kullanılabilir.

Duplication Settings (çoğaltma ayarları) — varsayılanlar önemli

Profile Management

• Fabrika varsayılan profili Profile1, şifresi password.
• Lock/Unlock: değişiklikten önce kilit açılmalı. Lock Timeout: 15 dk, 30 dk, 1 saat.
• Admin Settings: Change Default Profile, Delete Profile, Add Profile, Change Profile Password, Change Admin Password.

Duplicator Info

F/W Version (yazılım SD karta yüklü) · Build ID · Seri No · Ethernet IP/MAC · TDPXE Ethernet 1/2 IP/MAC · iSCSI Initiator (IQN) · NAND Hash (dahili NAND flash'ın MD5 değeri, guidancesoftware.com/tableau'dan doğrulanır) · Uboot Version · View Licenses

İşlemler

Duplicate (Çoğaltma)

• İmaj alma (disk-to-file): kaynak disk hedef diskte bir dizi dosyaya kopyalanır. e01, ex01, RAW/DD; e01 ve ex01'de sıkıştırma var → küçük hedefe sığabilir (garanti değil). RAW/DD küçük hedefe sığmaz.
• Klonlama (disk-to-disk): sektör sektör kopya. Hedef boş değilse TD3 üzerine yazma onayı ister.
• Oluşan dosyalar: (kök)/[dizin adı]/[dosya].E01 … .E99 + yyyy-mm-dd hh-mm-ss_nnnnn_TTTTT.LOG. DD'de segmentler .001, .002… (isteğe bağlı .DMG uzantısı — Apple).

Önkoşul denetimleri (çoğaltmadan önce)

Hash · Verify · HPA/DCO Disable

• Hash: kopya almadan kaynak disk için MD5 ve SHA-1. HPA varsa önce otomatik devre dışı bırakır. Sonuç: "View Log".
• Verify: mevcut bir imaj dosyasının bütünlüğünü doğrular (Verify → Settings → kaynak ve yol).
• HPA/DCO Disable: kaynak diskte HPA ve DCO'yu kalıcı kaldırır. HPA kaldırılmadan DCO kaldırılamaz.

Blank Check (Boşluk Taraması)

Sektör, yalnızca aynı yinelenen iki baytlık desen içeriyorsa boş sayılır. Hızlı/Akıllı tam kontrol değildir; boş görünen kaynak diske dikkatle yaklaşılmalı.

Format

• Disk-to-file için hedef, TD3'ün tanıdığı dosya sistemiyle biçimlendirilmeli: ext2, ext4, exFAT. ext4 → en iyi performans; exFAT → Windows'ta kolay erişim. USB (sağdaki R/W port) için ayrıca FAT32.
• Windows çıkarılabilir sürücüyü yalnızca bölüm tablosu varsa kullanabilir.
• Windows'ta ext2/3/4 okumak için Ext2Fsd (ücretsiz, açık kaynak) — disk yazma koruyucuyla bağlanır; Windows "biçimlendir" derse Hayır. FAT32'de dosya sınırı 2 GB.

Wipe (Hedef Medya Silme) — 3 seçenek

1. Tek geçişli silme
2. Çok geçişli silme
3. Güvenli silme (Secure Erase) — sadece SSD (genelde <10 sn; HDD'de desteklenmez)

Logs (Günlükler)

• Her adli işlem için günlük girişi; dahili flash bellekte saklanır. En yeni en üstte.
• Save All: sağdaki USB porttaki depolamaya ASCII metin olarak. Print: ham ASCII destekli USB yazıcıya.
• Delete Old (Eski Sil): kılavuza göre 20 günlük kaydını toplu siler; tek kayıt "Delete" ile silinir.

10. Tableau Bilişim Suçu Köprü Donanımları

Köprü donanımları yazma korumalı aktif bağlantı sunar: kaynak disk bir bilgisayara bağlanır, ama bilgisayar diske yazamaz.

Karşılaştırma tablosu kısaltmaları: A = 1394A / FireWire 400 · B = 1394B / FireWire 800 · C = USB 2.0/1.1 · D = USB 3.0 · E = eSATA. (T3iu: 2.5"/3.5" SATA için disk yuvası, soğutucu ve yazma koruyucu.)

Tableau T6u — SAS Köprüsü

Bağlantı adımları

1. T6u'nun kapalı (OFF) olduğundan emin ol.
2. SAS sürücü bağlantısı: TC4-8-R2 SATA/SAS işaret ve güç kablolarıyla SAS sürücüyü T6u'ya bağla.
3. Ana bilgisayar bağlantısı: TC-USB3 kablosuyla.
4. Güç: TP2 veya TP5 güç kaynağını DC IN'e tak; güç düğmesine bas.

Bağlantıyı bitirme (sökme sırası)

1. Önce ana bilgisayardan incelenen aygıtı kaldır (unmount).
2. Güç düğmesine basarak gücü kapat.
3. LED sönünce DC IN kablosunu çek ve SAS sürücüyü çıkar.
4. Kesmeden önce "Device Detect", "Host Detect" ve "Write-Block" ışıklarının kapalı olduğundan emin ol.

LCD menüsü (Menu → sonraki ana menü, Enter → bilgi ekranları)

1. Device Info — bağlı SAS cihazının üretici, model, seri no ve yazılım sürümü
2. Select LUN (Logical Unit Number) — birden çok mantıksal ünite varsa birini seçip yükleme
3. Bridge Info — T6u yazılım sürümü, seri no ve DIP (Dual In-line Package) switch konfigürasyonu
4. Show Status — mevcut anlık durum

Tableau T8u — Forensic USB 3.0 Bridge

• Büyük depolama ve büyük veri miktarıyla karşılaşan uzmanlar için.
• T8-R2'ye benzer görünür ama USB write-blocker eklenerek farklı bir ürün olmuştur.
• Çok TB'lık büyük diskleri ve USB 3.0 flash sürücüleri kopyalayabilir.
• İmaj alma hızını 10 kat arttırır; kullanımı kolay ve güvenilir.
• TD3 kitine dahil değildir, ayrı satılır.

Tableau T35u — Forensic SATA/IDE Bridge

• SATA/IDE üzerinden yazma korumalı; SSD disklerin imajını alma imkânı.
• Sonra iletişim hızı arttırılarak T35es serisi üretilmiştir.
• TD3 kitine dahil değildir, ayrı satılır. USB, SATA kabloları mevcuttur; ZIF SSD adaptörleri TD3 kitinde.
• Taşınabilir laboratuvar ortamına uygun; ana bilgisayara USB 3.0 ile bağlanır.
• Read/write modu dahili DIP switch ile ayarlanır; Tableau yazılım (firmware) güncellemesi yapılabilir.

11. CRU Yazma Koruma Cihazları

CRU Forensic UltraDock FUDv6

"Adli bilişim prensipleri gereği orijinal delile asla zarar verilmemelidir." UltraDock profesyonel düzeyde yazma koruması sağlayarak orijinal delili korur.

• SATA ve IDE (PATA) diskler için yazma koruma → adli kopya alma veya canlı inceleme.
• Bir bilgisayara takılarak kullanılır; soruşturmacılar, BT yöneticileri ve teknisyenlerin vazgeçilmez aracı. Küçük, taşınabilir.
• Her türlü adli kopya (imaj) ve inceleme yazılımıyla uyumlu.
• USB-C konektörüyle bilgisayara bağlanır.
• LED'lerle çalışma durumu, disk aktivitesi, gizli alan tespiti, hata, güç giriş/çıkış bilgisi.
• LCD ekran ve 4 yön tuşu: disk bilgisi okuma, konfigürasyon, komut.
• Diskteki gizli alanları (HPA veya DCO) tespit eder; geçici olarak veya tamamen açabilir.

CRU USB 3.0 WriteBlocker

Adli kopya alma sürecinde orijinal veriyi koruyarak delile zarar verilmesini engelleyen USB yazma koruma cihazı.

• Küçük boyutuna göre yüksek hız ve performans; adli bilişim incelemecisi ve siber olay müdahale ekiplerinin vazgeçilmez aracı.
• Windows'ta USB 3.0 ile orijinal delile ulaşıp zarar vermeden canlı inceleme.
• Aynı anda 2 hard diski yazma koruma modunda bağlama.
• Durum LED'i ile sürücü takibi.

12. CRU WiebeTech Drive eRazer Ultra

Bağlı bir sabit diskteki tüm veriyi silen, bilgisayar gerektirmeyen (standalone) disk silme cihazı.

Özellikler

• Bir düzineden fazla hazır silme yöntemi veya kendi yönteminizi oluşturma.
• İşletim sisteminin göremediği HPA veya DCO alanlarını açabilir (unhide) veya silebilir.
• SATA ve IDE/PATA disklere doğrudan; diğerlerine adaptörle.
• LCD menü + 4 tuş (Yukarı/Aşağı kaydırma, Sağ = seç, Sol = geri); kalan süreyi gösterir.
• USB 3.0 bağlantısıyla silmeden önce diski önizleme veya sonra silmeyi teyit etme.
• İsteğe bağlı ZPL II destekli etiket yazıcısı (DB9 seri port) — 4"×1" veya 4"×6" etiket; diske veya DriveBox'a yapıştırılır.
• Hız: modern disklerde dakikada ~7 GB veya daha fazla.

LED'ler

Kurulum

1. (İsteğe bağlı) 3.5" diske koruyucu metal plaka tak (elektronik koruma + ısı dağıtımı).
2. IDE/PATA disk ise jumper'ı Master konumuna ayarla.
3. Güç anahtarının OFF (0) olduğundan emin ol.
4. IDE şerit kablo veya SATA veri/güç kablosuyla diski bağla (adaptör varsa ona).
5. Güç kablosunu ve AC adaptörü tak, gücü aç → LCD ana menü.

Silme Modları

Review Settings menüsü

• Erase Type — yukarıdaki modlar; seçim varsayılan yapılabilir ("MAKE DEFAULT?").
• HPA/DCO Handling — Unlock All / Unlock HPA Only / Ignore All (Quick, Custom, Random, Secure N/E modlarında).
• Validation — Minimal (fabrika varsayılanı), Medium, High. Bazı standartlar ayrı bir doğrulama aracı önerir.
• Printer Output — etiket yazıcısı (kopya sayısı, hata durumunda yazdır).
• Reset to Factory.

Diğer ekranlar: View Drive Info (HPA/DCO boyutu, Secure Erase süreleri, S.M.A.R.T.), View Dock Info, hata mesajları (HPA RESET, DCO RESET ERROR/FAILED …).

13. Cihaz Karşılaştırma Tablosu

Hangi cihaz ne yapar? Sınavda "aşağıdakilerden hangisi … cihazının özelliği değildir" tipi sorular için.

Hangi işlem hangi cihazda?

14. Şema Çizimleri

Sınavda çizim istenirse diye: cihazların bağlantı şemaları ve ders slaytlarındaki diyagramlar, kâğıda kolay geçirilecek sadelikte. Her şemanın altında "nasıl çizilir" adımları var.

🧰 Cihaz şemaları

📊 Ders slaytı şemaları

🃏 Bilgi Kartları

Karta tıkla → cevabı gör. Konuya göre filtrele, karıştır, kendini sına.

📝 Deneme Sınavı

Her soruda bir şık seç; doğru cevap ve açıklama hemen görünür. Şıklar her başlatmada karıştırılır.

⚡ Son Gece Özeti

Sınavdan önce 10 dakikada göz gezdir. Sayılar, varsayılanlar ve "tuzak" noktalar.