Olay müdahalesi kapsamında windows işletim sistemine sahip cihazlardan triyaj kayıtlarının elde edilmesi

Günümüzde, siber saldırganlar ele geçirdiği makineler üzerinde hızlı yayılım gösterebilmektedir. DFIR ekipleri, saldırının izlerini tespit etmek ve takip etmek için güvenlik ihlaline maruz kalan makinelere ait disklerin fiziksel veya mantıksal disk imajları almaktadırlar. Olay müdahale ve adli bilişim süreçlerinde vakaya ait dijital delillerin toplanması önem arz etmektedir. Herhangi bir vakada enfekte olmuş makinelerden disk imajı alıp analizini sağlamak uzun uğraşlar gerekmektedir. Adli bilişim uzmanları, saldırının takibi sürdürebilmesi için bazı makinelerden hızlı veriler toplayıp analiz etmelidir. Enfekte olmuş cihazlardan saldırının kaynağının ve yayılımın tespiti için Windows işletim sistemine sahip sistemlerden birkaç dosya sistem kaydı veya log dosyalarının toplanması ile sağlanmaktadır. Adli bilişim uzmanının, vakanın hızlı analizi için canlı bir sistemden veya adli bir imaj içerisinden önemli işletim sistemi dosyalarını toplaması yeterli olacaktır. Bu tez çalışmasında, programların çalıştırılma, silinen veya bilinmeyen dosya, kullanıcı aktivite kayıtları ele alınmıştır. Windows işletim sistemlerine sahip local veya remote makineler üzerinde önemli kayıtların triyaj yöntemleri ile toplanmasından söz edilmiştir. Bu tez çalışması kapsamında, Windows aktif dizini üzerinde yer alan cihazlara uzaktan bağlanarak cihazlar üzerinden dosya sistem ve uygulama kayıtlarının toplanmasını sağlayan ve Powershell betiğinde geliştirilen PS-TRIAGE isimli yazılım kodlanmıştır. PS-TRIAGE yazılımı ayrıca, makine üzerinden toplanan triyaj kayıtlarında ön analiz sağlayarak ve olay müdahale analistine çıktı olarak vermektedir.