Practice Lab
Forensic Practice Lab
Digital Evidence Integrity, Cross-Examination Protocols & Actionable Toolkits
Tactical Cross-Examination
Savcı, Hakim veya Adli Bilirkişilere (Expertise) yöneltilecek dijital delil odaklı kritik ve karar bozucu sorular.
"Sayın Bilirkişi ve Sanık; saldırının yapıldığı milisaniyelerde, A firmasının ana router (Cisco/Fortinet) loglarında, harici bir proxy veya dış kaynaklı bir IP taklidi (Spoofing) değil; doğrudan şirketin iç network bloklarından (Örn: 192.168.10.45 nolu IT lokal IP'sinden) rakip firmanın sunucularına doğru saniyede 50.000 paketlik TCP SYN akışı (Flood) çıktığı yasal netflow kayıtlarıyla sabittir. IP Spoofing işlemi dışarıdan gelen paketlerde yapılabilirken, şirket içinden dışarıya giden (Egress) bu adli trafiğin ve saldırı script'inin sizin bilgisayarınızdaki bash_history ile birebir eşleşmesini nasıl açıklıyorsunuz?"
"Sayın IT Çalışanı; göreviniz gereği size tanımlanan erişim yetkisi (Access Privilege), şirketin ticari ve siber güvenliğini koruma amacıyla sınırlıdır. Gece saat 03:00'te, teknik bir arıza kaydı (Ticket) veya operasyonel bir iş emri olmaksızın, arka arkaya 50 farklı VIP müşterinin profilini sorgulamanızın ve bu esnada bilgisayarınızda aktif olan Greenshot / Snipping Tool gibi ekran görüntüsü alma araçlarının tetiklenme zaman damgalarının (Artifact Timestamps) uyuşmasının 'görev tanımı' ile açıklaması nedir? Yetkili olmak, veriyi illegal dışarı çıkarma hakkı verir mi?"
"Sayın Sanık; veritabanında çalıştırdığınız SELECT * FROM... sorgusu neticesinde dönen 500.000 satırlık müşteri ve ciro verisinin, bilgisayarınızın ham RAM belleğine (Volatile Memory) ve tarayıcınızın geçici önbelleğine (Cache/Local Storage) HTML/JSON formatında fiziksel olarak indiği adli tıp raporuyla sabittir. Verinin yerel diske manuel kaydedilmemiş olması, onun sizin kontrolünüzdeki geçici belleğe (RAM) siber olarak transfer edildiği ve 'okunarak/fotoğrafı çekilerek' haksız menfaat sağlandığı gerçeğini değiştirir mi?"
"Sanık, hesabına gelen 450.000 USD'nin suç parası olduğunu bilmediğini beyan etmektedir. Ticari hiçbir bağı olmayan bir şirketten gelen bu devasa meblağın, banka hesabına düştüğü andan itibaren milisaniyeler içinde yerli ve yabancı kripto borsalarındaki (Cold Wallet / P2P) hesaplara bölünerek aktarılması eylemi, küresel siber suç literatüründeki 'Money Laundering' (Para Aklama Katırı) paternleri ile %100 uyuşmaktadır. Hayatın olağan akışına aykırı olan bu anlık dijital fon hızı, sanığın suç kastını net olarak ortaya koymuyor mu?"
"Alıcı İngiliz firmaya giden faturanın sahte bir sunucudan atılmadığı, doğrudan müşteki şirketin resmi e-posta sunucusundan, yasal DKIM-Signature ve ARC (Authenticated Received Chain) kriptografik imzalarıyla çıktığı sabittir. Bu durumda, siber sızıntının ve fatura manipülasyonunun dışarıda değil, tamamen sizin kendi bulut tenant'ınızın içinde gerçekleştiğini, yani siber deliğin sizde olduğunu kabul ediyor musunuz?"
"Sayın Bilirkişi; hazırladığınız raporda sadece yerel bilgisayarda virüs taraması yapmış ve 'temiz' raporu vermişsiniz. Peki, saldırganın Exchange sunucusu üzerinde 'Invoice_Hide_Rule' adıyla gizli bir yönlendirme kuralı tanımlayarak, gelen tüm finans maillerini kullanıcının ruhu duymadan RSS Feeds klasörüne gizlediğini tespit eden 'Get-InboxRule' veya 'MailboxAuditLog' PowerShell adli taramalarını konteyner içinde neden koşturmadınız? Yerel diskin virüssüz olması, bulut hesabının manipüle edilmediğini kesin olarak kanıtlar mı?"
"Müşteki şirket hesabına aynı dakika içerisinde hem İstanbul'dan hem de Lagos/Nijerya'dan başarılı oturum açma (Success Sign-in) isteği gelmiştir. Siber adli tıp literatüründeki 'Impossible Travel' (İmkansız Seyahat) anomalisine göre bir insanın aynı anda iki farklı kıtada bulunması imkansız olduğuna göre; siber güvenlik mimarinizde neden Çift Aşamalı Doğrulama (MFA) veya konumsal IP engelleme politikası aktif edilmemiştir?""
Legal Toolkits & Petitions
Mahkemelerden talep edilecek dijital imaj ve adli kopya dilekçe şablonları.
Geleneksel Metotlarla Hazırlanmış, Bulut ve Canlı Adli Bilişim (Live Forensics) Standartlarını Karşılamayan Yetersiz Bilirkişi Raporuna Teknik İtiraz Dilekçesi.
Usage Instructions: Mahkemeye sunulan bilirkişi raporu geldiğinde avukatın imdadına yetişecek can simididir. Rapordaki siber boşlukları hedef alarak, hakime "Bu rapor eski usul, modern dünyayı temsil etmiyor" mesajını verir ve davanın gidişatını sıfırlayarak yeni bir inceleme kapısı açar.
Bulut Ortamlarında (Microsoft 365, Google Workspace, Azure, AWS) Yetkisiz Erişim ve Audit Log (Denetim Günlüğü) Verilerinin İlgili Sağlayıcıdan Talep Edilmesi Dilekçesi.
Usage Instructions: Özellikle az önce yazdığımız şirket maillerinin hacklenmesi (BEC) veya şirket içi hırsızlık (Insider Threat) vakalarında kullanılır. Hakimler bulut teknolojisini bilmediği için logların silinme riski vardır (genelde bulut sistemleri logları 30 ila 90 gün saklar, sonra siler). Bu dilekçe ile mahkemenin bulut sağlayıcısına anında müzekkere yazması ve siber delilin uçmadan yakalanması sağlanır.
Bilişim Sistemlerinde Orijinal Delil Güvenliği, Adli İmaj (Bit-by-Bit Copy) ve SHA-256/MD5 Hash Değerlerinin Tespit Edilmesi Talepli Dilekçe Şablonu.
Usage Instructions: Bu dilekçe şablonu; siber bir suç operasyonunda bilgisayarlara el konulduğu ilk 24 saat içinde veya mahkeme aşamasında yeni bir dijital delil dosyaya girdiğinde acilen mahkemeye sunulmalıdır. Amaç, kolluğun veya karşı tarafın delilleri inceleme bahanesiyle "yanlışlıkla" değiştirmesini veya manipüle etmesini siber olarak engellemek, delili kriptografik olarak kilitlemektir.