Adli Bilişim Bilirkişi Raporu: Delil Zinciri ve İnceleme Kontrolü
Dijital delile dayanan davalarda bilirkişi raporu; cihaz incelemesi, mesajlaşma kayıtları, log analizi veya yazılım karşılaştırması gibi teknik konuları kapsar. Bu alanda raporların güvenilirliği büyük ölçüde delil zinciri ve doğrulama prosedürlerine bağlıdır.
Adli bilişim raporunun kapsamı
Adli bilişim bilirkişisi genellikle aşağıdaki sorulardan birini ele alır:
- İncelenen cihazda hangi veriler bulunmakta ve bunlar özgün müdür?
- Mesajlaşma veya e-posta kayıtlarının kaynağı ve bütünlüğü doğrulanabilir mi?
- İki yazılım arasında telif hakkı ihlali sayılacak ölçüde benzerlik var mı?
- Sistem logları belirli bir olayı doğrular ya da çelişir nitelikte mi?
- Siber güvenlik olayının teknik kaynağı ve kapsamı nedir?
Dijital delil, fiziksel delilden farklı olarak kolayca kopyalanabilir, değiştirilebilir ve silinebilir. Bu nedenle inceleme sürecinin standart prosedürlere uygunluğu, sonucun güvenilirliği kadar önem taşır.
Tipik rapor hataları
Delil zinciri belgelenmemiş
Dijital delilin orijinalden incelemeye taşınan her adımının kayıt altına alınması gerekir. Delil zincirinin (chain of custody) tutanağa yansıtılmaması, delilin bütünlüğünü sorgulatabilir.
Hash doğrulaması yapılmamış
Disk imajı veya dosyanın kriptografik hash değerinin (MD5/SHA-256) inceleme öncesinde ve sonrasında alınmaması, verinin değişmemiş olduğunu kanıtlamayı imkânsız kılar.
İmaj alınmadan canlı sistemde inceleme
Adli kopyalama yapılmadan doğrudan orijinal sistemde gerçekleştirilen inceleme, verinin değişmesine ve itirazlara zemin hazırlar. Standart adli bilişim pratiği, çalışmanın imaj üzerinden yürütülmesini gerektirir.
WhatsApp/log bütünlüğü sorgulanmamış
Mesajlaşma uygulaması kayıtlarının hangi kaynaktan (cihaz, bulut yedek, üçüncü taraf araç) elde edildiği ve bütünlüğünün nasıl doğrulandığı açıklanmadan sunulan çıktılar teknik açıdan tartışmaya açıktır.
Kaynak kod karşılaştırmasında yöntem belirtilmemiş
İki yazılım arasındaki benzerlik tespitinde hangi araç veya metodolojinin kullanıldığı, eşik değerlerin nasıl belirlendiği açıklanmadan varılan sonuç bağımsız doğrulamaya kapalı kalır.
Teknik kontrol noktaları
Raporu okurken şu soruları sırayla yanıtlamaya çalışın:
- Delil nasıl elde edildi? Orijinal cihazdan mı, bulut yedeğinden mi, yoksa başka bir kaynaktan mı? Kaynak belirtilmiş mi?
- Adli kopya alındı mı? Orijinal cihaz yerine imaj üzerinde mi çalışıldı? İmaj alma işlemi kayıt altına alındı mı?
- Hash değerleri var mı? İnceleme öncesinde ve sonrasında alınan hash değerleri raporda gösteriliyor mu, eşleşiyor mu?
- Kullanılan araç belirtilmiş mi? Analiz hangi yazılımla yapıldı? Araç, bağımsız olarak doğrulanabilir bir sonuç üretiyor mu?
- Sonuç ile bulgu arasındaki bağlantı açıklanmış mı? Teknik bulgudan hukuki sonuca giden gerekçe adım adım kurulmuş mu, yoksa doğrudan sonuca mı atlanmış?
Genel itiraz rehberi için bilirkişi raporuna itiraz sayfasına, teknik görüş desteği için uzman mütalaası rehberine bakabilirsiniz.
Sık sorulanlar
Adli bilişim raporunda delil zinciri neden önemlidir?
Dijital delil, orijinalden mahkemeye ulaşana kadar geçen her el değişiminin ve her işlemin belgelenmesini gerektiren bir zincire dayanır. Zincirdeki bir halkanın eksik olması, delilin orijinalliğine ve değiştirilmemiş olduğuna dair kuşku doğurur. Bu durum, raporun delil değerini zayıflatabilir.
Hash değeri neden doğrulanmalıdır?
Hash, bir dosya veya disk imajının parmak izidir. İnceleme öncesinde ve sonrasında aynı hash değerinin elde edilmesi, inceleme boyunca verinin değişmediğini matematiksel olarak kanıtlar. Hash doğrulaması yapılmamış bir raporda, incelenen verinin orijinalle özdeş olduğunu söylemek mümkün değildir.
WhatsApp mesajları delil olarak nasıl sunulmalıdır?
Mesajlaşma kayıtlarının adli açıdan güvenilir olması için kaynağın (cihaz depolama, bulut yedek veya üçüncü taraf araç) belirtilmesi, alınan kopyaların hash değerleriyle doğrulanması ve ekran görüntüsü yerine ham veri üzerinden analiz yapılması beklenir. Yalnızca ekran görüntüsüne dayanan raporlar teknik açıdan sınırlı bir değer taşır.
Yazılım inceleme raporuna nasıl itiraz edilir?
Kaynak kod benzerlik tespitinde kullanılan araç ve metodolojinin belirtilmediği durumlarda, bu eksikliği somut biçimde göstererek itiraz edilebilir. Aynı kodu farklı bir araçla analiz eden uzman mütalaası, alternatiif bir teknik sonuç ortaya koyarak mahkemenin ek rapor talep etmesini kolaylaştırabilir.
Adli bilişim bilirkişisi hangi araçları kullanmalıdır?
Yaygın kabul gören adli bilişim araçları arasında FTK (Forensic Toolkit), EnCase, Cellebrite ve Autopsy sayılabilir. Kullanılan aracın raporda belirtilmesi ve açık kaynaklı araçlar söz konusuysa sürüm bilgisinin de eklenmesi, bağımsız doğrulama imkânı tanır. Araç belirtilmemiş bir rapor, yöntem denetimini zorlaştırır.
İlgili sayfalar
Dijital delil raporunuzu inceletelim
Delil zinciri, hash doğrulaması veya yöntem eksikliği hakkında sorularınızı kısaca yazın. İlk aşamada belge yüklemeniz gerekmiyor.
Rapor denetimi talebi oluştur