Kali Linux forensics modu, Live imajın açılış menüsünde bulunan ve bilgisayarın iç diskine hiç dokunmadan sistemi başlatan özel bir açılış seçeneğidir. Bu modda varsa swap bölümü kullanılmaz, iç diskler otomatik bağlanmaz ve USB bellek, CD gibi çıkarılabilir ortamlar da kendiliğinden bağlanmaz. Amaç, incelenen ortamda sizin doğrudan bir işleminiz olmadan hiçbir değişiklik olmamasıdır.
Bu yazıda forensics modunun tam olarak neyi değiştirdiğini, ne zaman tercih edilmesi gerektiğini, açıldıktan sonra davranışını nasıl doğrulayacağınızı ve Kali'deki adli bilişim metapackage'larını resmî belgelere dayanarak anlatıyoruz. Kali Linux'un genel yapısını henüz tanımıyorsanız önce Kali Linux nedir rehberine göz atabilirsiniz.
Forensics modu nereden geliyor?
Kali belgelerine göre "forensic mode" ilk olarak Kali'nin öncülü BackTrack Linux'ta sunulan bir özellikti ve Kali Live ile devam ediyor. Belgede bu modun popüler olmasının üç nedeni sayılıyor: Kali kolay erişilebilir ve birçok kullanıcının elinde zaten bir ISO ya da açılabilir USB bellek vardır; adli bir ihtiyaç doğduğunda Kali Live hızlıca işe koşulabilir; Kali en yaygın açık kaynak adli bilişim yazılımlarıyla birlikte gelir.
Kali'nin özellikler sayfası da Live USB açılışının ana işletim sistemine dokunmadan çalıştığını ve bunun adli bilişim çalışmaları için de uygun olduğunu belirtiyor. Forensics modu yalnızca Live imajda bulunan bir açılış seçeneği olduğu için, kurulu (installer ile diske yazılmış) bir Kali'de bu davranışı beklememelisiniz. Doğru imajı seçmek için hangi Kali imajını indirmeli yazısına, USB hazırlamak için canlı USB oluşturma rehberine bakabilirsiniz.
Forensics modunda neler değişir?
Belgeye göre forensics modunda sistemin normal işleyişinde iki çok önemli değişiklik vardır:
| Davranış | Forensics modunda |
|---|---|
| İç disk | Hiç dokunulmaz, hiçbir iç disk otomatik bağlanmaz |
| Swap bölümü | Diskte varsa bile kullanılmaz |
| USB bellek, CD gibi çıkarılabilir ortam | Otomatik bağlama devre dışıdır |
| Herhangi bir ortamda değişiklik | Yalnızca sizin doğrudan işleminizle olur |
Kali ekibi bu davranışı şöyle doğruladığını yazıyor: standart bir sistemin diski çıkarılmış, ticari bir adli yazılımla diskin hash değeri alınmış, disk yeniden takılıp bilgisayar forensics modunda Kali Live ile açılmış ve bir süre kullanılmış, ardından disk tekrar çıkarılıp hash yeniden alınmış. İki hash değerinin eşleştiği, yani diskte hiçbir şeyin değişmediği belirtiliyor.
Belgedeki önemli cümle şudur: forensics modunda hiçbir ortamda sizin doğrudan bir işleminiz olmadan hiçbir şey olmamalıdır ve kullanıcı olarak yaptığınız her şeyin sorumluluğu size aittir. Yani bir diski elle bağlarsanız, okuma-yazma kipinde bağlarsanız veya bir araçla üzerine yazarsanız, mod sizi bundan korumaz.
Ne zaman forensics modunu kullanmalısınız?
Forensics modu, üzerinde çalıştığınız bilgisayarın diskini değiştirmemeniz gereken her durumda mantıklı bir başlangıç noktasıdır. Tipik senaryolar:
- Kendi bilgisayarınızda bir sorun yaşadıktan sonra diski değiştirmeden durumu incelemek istediğinizde.
- Kurum içinde, yetkili olduğunuz ve yazılı görevlendirme aldığınız bir olay müdahalesi sürecinde.
- Adli bilişim eğitimi alıyorsanız, kendi oluşturduğunuz test disklerinde araçların davranışını öğrenirken.
- Diskteki verinin hash değerinin değişmemesi gereken, delil bütünlüğünün önemli olduğu her çalışmada.
Buna karşılık, Kali'yi günlük çalışma ortamı olarak kullanacaksanız ya da diske kurulum yapacaksanız forensics modu uygun değildir; bu durumda normal Live açılış ya da diske kurulum tercih edilir. Live USB'de dosyalarınızın kalıcı olmasını istiyorsanız USB persistence ve şifreleme rehberine bakın.
Açıldıktan sonra davranışı doğrulama
Forensics modunda açtıktan sonra iç disklerin bağlanmadığını ve swap kullanılmadığını kendi gözünüzle kontrol etmek iyi bir alışkanlıktır. Kali belgelerinde blok aygıtlarını listelemek için kullanılan komut şudur:
lsblkÇıktıdaki MOUNTPOINTS sütununda iç diskinize ait bölümlerin karşısı boş olmalıdır. Bellek ve swap kullanımını görmek için:
free -hSwap satırında toplam ve kullanılan değerin sıfır görünmesi, swap bölümünün devreye alınmadığını gösterir. Bir USB bellek taktığınızda masaüstünde otomatik bir pencere açılmaması da beklenen davranıştır; aygıt lsblk çıktısında görünür ama bağlanmaz.
Adli bilişim metapackage'ları
Kali, araçları "metapackage" adı verilen gruplar hâlinde sunar. Metapackage kavramını ayrıntılı öğrenmek için Kali metapackage nedir yazısına bakabilirsiniz. Adli bilişimle ilgili güncel ve tarihî metapackage adları şunlardır:
kali-tools-forensics: Kali belgelerinde "Forensic tools - Live & Offline" olarak tanımlanır. Skill kaynağındaki paket dökümünde 101 doğrudan bağımlılığı vardır.kali-tools-respond: Menüdeki "respond" kategorisi; bağımlılıkları arasındakali-tools-forensicsmetapackage'ı da bulunur.kali-tools-recover: "recover" menüsü; kurtarma araçlarını içerir.kali-tools-detect,kali-tools-protect,kali-tools-identify: Menüdeki tespit, koruma ve tanımlama kategorileri.kali-linux-forensics: 2019 tarihli "Major Metapackage Makeover" yazısına göre eski ad; yerinikali-tools-forensicsaldı.kali-linux-forensic: 2014 tarihli metapackage yazısında geçen daha eski ad. O yazıda kurulum boyutu 3.1 GB olarak verilmişti; bu değer güncel değildir.
Güncel metapackage'ı kurmak için Kali belgelerindeki kalıp kullanılır:
sudo apt update
sudo apt install -y kali-tools-forensicskali-tools-forensics içinde yer alan araçlardan birkaçı, paket açıklamalarıyla birlikte şöyledir: autopsy (SleuthKit için grafik arayüz), sleuthkit (birim ve dosya sistemi verisi için adli analiz araçları), guymager (Qt tabanlı adli imaj alma aracı), dc3dd (adli özellikler eklenmiş GNU dd), ewf-tools (EWF dosyalarını okuma ve yazma), hashdeep (özyinelemeli hash hesaplama), chkrootkit ve rkhunter (rootkit denetimi), yara (kötü amaçlı yazılım araştırmacıları için desen eşleştirme). Skill kaynağındaki varsayılan kurulum listesine göre autopsy, guymager ve sleuthkit varsayılan kurulumda da gelir.
Sık yapılan hatalar
- Kurulu bir Kali'de forensics modunu aramak: bu seçenek Live imajın açılış menüsündedir.
- Diski elle okuma-yazma kipinde bağlamak: mod yalnızca otomatik işlemleri engeller, sizin komutlarınızı engellemez.
- Araçları doğrulamadan gerçek bir incelemede kullanmak: belge, her aracın önceden test edilmesini önerir.
- Eski blog yazılarındaki metapackage adlarını kullanmak:
kali-linux-forensicvekali-linux-forensicsyerine bugünkali-tools-forensicskullanılır.
Kali ekibi, sevdiğiniz bir açık kaynak adli aracı eksik görürseniz Kali hata izleyicisi üzerinden bildirmenizi istiyor.
Sık Sorulan Sorular
Forensics modu diske hiç yazmaz mı?
Belgeye göre mod iç diske dokunmaz, swap kullanmaz ve hiçbir diski otomatik bağlamaz. Ancak siz bir diski elle bağlar ve üzerine yazarsanız değişiklik olur; sorumluluk kullanıcıdadır.
Forensics modunda USB bellek neden açılmıyor?
Çünkü bu modda çıkarılabilir ortamların otomatik bağlanması bilinçli olarak devre dışıdır. Aygıt sistemde görünür, ancak siz bağlamadan erişilmez.
Adli araçlar için ayrı bir Kali kurmam gerekir mi?
Gerekmez. Live imaj en yaygın adli araçlarla gelir; eksik olanları kali-tools-forensics metapackage'ı ile kurabilirsiniz.
Forensics modu delil bütünlüğünü garanti eder mi?
Kali ekibi kendi testinde hash değerlerinin değişmediğini yazıyor, ama gerçek çalışmalarda araçları kendinizin doğrulamasını öneriyor. Hukuki süreçlerde hangi yöntemin kabul edileceği konusunda uzman ve avukat görüşü alınmalıdır.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Kali Linux nedir · Hangi imaj indirilmeli · Canlı USB oluşturma · Metapackage nedir · Yetkili sızma testi yasal çerçeve · Linux loglarını okuma