Gözetim Zinciri ve Hukuki Geçerlilik

Emanet zinciri, keşfedildiği andan mahkemede sunulmasına veya arşivlenmesine kadar kanıtın toplanmasını, aktarılmasını, depolanmasını ve analizini izleyen kronolojik belgelendirmedir. Şu soruları yanıtlar: kanıtı kim topladı, ne zaman ve nereden topladı, nasıl işlendi, kimlerin erişimi oldu ve nerede saklandı? Kesintisiz bir emanet zinciri, kanıtın toplandıktan sonra kurcalanmadığını veya değiştirilmediğini gösterir; bu da hukuken kabul edilebilir olması için temel öneme sahiptir.

Her kanıt parçası, her aktarımda doldurulan kendine ait bir emanet zinciri formu gerektirir. Zorunlu alanlar şunları içerir: benzersiz kanıt tanımlayıcısı, kanıt öğesinin açıklaması, olay numarası, toplama tarihi ve saati, toplayan kişinin adı ve iletişim bilgileri, kanıtın toplandığı konum, kriptografik özet değerleri, kanıtı teslim alan veya aktaran her kişinin imzası ve güvenli depolama konumu. Formdaki boşluklar veya tutarsızlıklar hukuki davayı zayıflatır.

Doğru işleme, kanıtın kirlenmesini önler. En iyi uygulamalar şunları içerir: fiziksel donanımı işlerken antistatik eldivenler takmak (statik boşalma elektronik bileşenleri ve verileri yok edebilir), elektronik ortamları depolamak için antistatik poşetler kullanmak, kanıtı kurcalandığı belli olan ambalaja yerleştirmek (kanıt bandıyla mühürlenen ve mühür boyunca imzalanan kanıt poşetleri), erişim günlüğü bulunan güvenli ve erişim denetimli bir konumda saklamak ve bir tanık hazır bulunmadan kanıt ambalajını asla açmamak.

Dijital kanıtın hukuki süreçlerde kabul edilmesi için çeşitli ölçütleri karşılaması gerekir. Kanıt özgün olmalıdır — iddia edildiği şey olduğunu kanıtlamak mümkün olmalıdır (özet doğrulaması). Güvenilir olmalıdır — belgelenmiş prosedürler kullanılarak doğrulanmış araçlarla toplanmalıdır. Eksiksiz olmalıdır — yalnızca seçilmiş bölümler değil, tüm bağlam korunmalıdır. İnandırıcı olmalıdır — mahkemenin anlayabileceği bir biçimde sunulmalıdır. Ayrıca emanet zinciri kesintisiz olmalıdır — toplamadan mahkemeye kadar her emanet sahibi belgelenmelidir.

Olaylar suç teşkil eden faaliyetler içerdiğinde kolluk kuvvetleri (FBI, Secret Service, yerel siber birimler) kanıt talep edebilir. Kanıtları aktarmadan önce, mahkeme celplerine ve kanıtların korunmasına ilişkin emirlere uyulduğundan emin olmak için hukuk danışmanına başvurun. Kolluk kuvvetleri, kuruluşlardan kanıtları ortadan kaldırmak yerine olduğu yerde korumalarını talep edebilir; bu, kurtarma işlemini geciktirse bile. Hukuki muhafaza sürecini anlamak ve kolluk kuvvetlerindeki irtibat kişilerle önceden ilişkiler kurmuş olmak, devam eden bir olay sırasında bu koordinasyonu hızlandırır.

Hukuki muhafaza (dava muhafazası), öngörülen veya devam eden davayla ilgili kayıtların normal şekilde imha edilmesini ya da üzerine yazılmasını durduran bir bildirimdir. Bir kuruluş bir ihlalden kaynaklanan bir davayla karşılaştığında veya böyle bir dava beklediğinde, derhal hukuki muhafaza uygulamalıdır; e-postalar, loglar, adli bilişim imajları ve sistem yapılandırmaları dâhil olmak üzere ilgili olabilecek tüm kanıtlar korunmalıdır. Hukuki muhafazanın uygulanmaması ve ardından kanıtların imha edilmesi, kanıtların yok edilmesine ilişkin yaptırımlara yol açabilir; mahkemeler jüri üyelerine olumsuz çıkarımlarda bulunmaları talimatını verebilir.

Dijital kanıtların kanıt kurallarını karşılaması gerekir. Kimlik doğrulama, kanıtın sunan kişinin iddia ettiği şey olduğunu göstermeyi gerektirir; karma doğrulaması ve kanıtların teslim zincirine ilişkin belgeler bu amaca hizmet eder. Bilgisayar tarafından oluşturulan kayıtlar (loglar, otomatik raporlar) söylenti itirazlarıyla karşılaşabilir, ancak söylenti kurallarına ilişkin istisnalar kapsamında çoğu zaman ticari kayıt olarak kabul edilebilir. Uzman tanıklar (adli bilişim analistleri), kanıtların nasıl toplandığı ve analiz edildiği hakkında tanıklık eder; yöntemlerinin ABD mahkemelerinde Daubert standartları uyarınca çapraz sorgulamaya dayanması gerekir.

Kanıtlar, hukuki sürecin süresi boyunca güvenli biçimde saklanmalıdır; bu süre ilk olaydan sonra yıllarca devam edebilir. Fiziksel kanıtlar için şunlar gereklidir: erişim loglarının tutulduğu kilitli ve iklim kontrollü bir depolama alanı, kanıta her erişildiğinde belgelenerek yenilenen kurcalama belli eden mühürler ve çevresel tehlikelere (nem, ısı, manyetik alanlar) karşı koruma. Dijital kanıtlar (disk imajları, PCAP dosyaları), depolama ortamındaki bozulmayı tespit etmek amacıyla sağlama toplamları periyodik olarak doğrulanarak bir kez yazılabilen ortamlarda saklanmalıdır.

Ceza kovuşturmalarında veya hukuk davalarında adli bilişim analistleri, yöntemlerini ve bulgularını hâkime ya da jüriye açıklamak üzere uzman tanık olarak çağrılabilir. Uzman tanıkların nitelikli olması; dijital adli bilişim alanındaki eğitimlerini, öğretimlerini ve deneyimlerini göstermeleri gerekir. Yöntemlerinin bilimsel açıdan geçerli olması ve tutarlı biçimde uygulanması gerekir. Adli bilişim raporları nesnel, tekrarlanabilir ve teknik olmayan karar vericilerin anlayabileceği bir dille yazılmalıdır. Savunma avukatı, çapraz sorgulama sırasında yönteme, aracın geçerliliğine ve teslim zincirine itiraz edecektir.

İç kurumsal soruşturmalar ile ceza kovuşturmalarında kanıt standartları farklıdır. İç soruşturmalar, iş hukuku ve kurum politikası çerçevesinde yürütülür; ölçüt, bir İK işlemini desteklemeye yetecek düzeyde kanıt bulunmasıdır. Ceza soruşturmaları ise makul şüphenin ötesinde kanıt standardı da dâhil olmak üzere kovuşturma için gereken daha yüksek kanıt standartlarını gerektirir. Özel soruşturmacılar tarafından (kolluk yetkisi olmadan) toplanan kanıtlar mahkemede kabul edilebilir; ancak hukuka uygun biçimde toplanmış olmaları gerekir. Çalışanlara izleneceği bildirilen kurumsal sistemlerde çalışanların genellikle mahremiyet beklentisi yoktur.

Saldırganlar trafiği birden fazla ülkedeki sunucular üzerinden yönlendirdiği için dijital soruşturmalar çoğu zaman uluslararası sınırları aşar. Bu durum çeşitli sorunlar oluşturur: yabancı sunuculardan kanıt elde etmek ülkeler arasında Karşılıklı Adli Yardım Antlaşmaları (MLAT'ler) gerektirir, bulut sağlayıcılarının yerel mahkeme kararları olmadan verileri açıklaması hukuken yasak olabilir ve GDPR kişisel verilerin EU dışına aktarılmasını kısıtlar. Olaylar sınır ötesi faaliyet içerdiğinde kuruluşlar, uluslararası siber hukuk konusunda deneyimli hukuk danışmanlarıyla birlikte çalışmalıdır.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: teslim zinciri belgeleri, toplama işleminden mahkemede sunuma kadar her emanetçiyi ve aktarımı izler, dava öngörüldüğünde kanıtların yok edilmesine ilişkin yaptırımları önlemek için hukuki muhafaza derhal uygulanmalıdır ve dijital kanıtların hukuken kabul edilebilir olması için gerçek, güvenilir ve eksiksiz olması; kriptografik karmalarla doğrulanması gerekir. Sırada Registry, olay logları ve Prefetch dosyaları dâhil olmak üzere Windows adli bilişim kalıntılarını inceleyeceğiz.