Korumalı mod mimarisinin sayfalama tekniğinden yararlanılarak Linux'ta ram image alma

Forensic biliminde, siber kaynaklardan delil toplamak çok kritik ve önemli bir çalışmadır. Bu delil toplama yöntemlerinden bir tanesi de, dijital cihazlarda bulunan RAM (Random Access Memory)'den delil toplamaktır. RAM'de veriler geçici olarak depolandığı için, sabit disk için uygulanan acquisition gibi delil toplama yöntemleri yeterli olmayabilmektedir. Bundan dolayı RAM image alma teknikleri sıklıkla kullanılmaktadır. Bu çalışmada Linux işletim sistemli bilgisayardan RAM imajı alınmıştır. İşletim sistemleri user space ve kernel space olmak üzere ikiye ayrılmaktadır ve user space'ten kernel space'e ulaşım belirli kısıtlamalara tabidir. Bu kısıtlamayı aşmak için kernel space'te geliştirme yapılmıştır. Araştırmada, Linux işletim sistemindeki korumalı mod mimarisi incelenmiş ve mimarinin sayfalama tekniğinden yararlanılmıştır. Bu tekniği kullanarak RAM'in addreslerine ulaşan ve onları bir dosya olarak diske kaydeden bir kernel sürücüsü geliştirilmiş ve bu kernel sürücüsü, kernel 2.6 ve 5.18 versiyon aralığında test edilmiş ve başarılı bir şekilde RAM kopyalaması yapılmıştır. İşletim sistemindeki sayfalama tekniğinde kullanılan tablolar ve erişim yöntemleri ise ayrıntılı açıklanmıştır. Araştırma süresince Linux'un en yaygın kullanılan dağıtımlarından olan Ubuntu 20.04 versiyonlu işletim sistemi tercih edilmiştir.