Ne zaman gerekir?
Bir çalışanın şirketten ayrılmadan önce hangi dosyaları kopyaladığı, bir belgenin gerçekten iddia edilen tarihte oluşturulup oluşturulmadığı, bir bilgisayarda yasa dışı içerik bulunup bulunmadığı gibi soruların cevabı diskte kalan izlerdedir.
Nasıl çalışıyoruz?
İncelemeye asla orijinal disk üzerinde başlanmaz. Disk, yazma engelleyici (write-blocker) donanım üzerinden bağlanır ve bit düzeyinde birebir kopyası (imaj) alınır. Orijinal ve kopyanın SHA-256 özetleri karşılaştırılır; eşleşmeyen bir kopya üzerinde çalışılmaz. Bütün analiz bu kopya üzerinde yapılır, orijinal disk mühürlü olarak saklanır ya da iade edilir.
Analizde baktığımız başlıca alanlar:
- Dosya sistemi zaman damgaları (oluşturma, değiştirme, erişim)
- USB bağlantı geçmişi ve harici cihaz kayıtları
- Tarayıcı geçmişi, indirilen dosyalar, bulut senkronizasyon kayıtları
- Son açılan belgeler, kısayol (LNK) dosyaları, Windows olay günlükleri
- Silinmiş dosyalar ve boş alandan dosya oyma (carving)
Önemli bir not
Zaman damgaları değiştirilebilir. Bu yüzden tek bir tarih bilgisine dayanarak sonuç yazmayız; birbirinden bağımsız birden fazla kaynaktaki izleri karşılaştırır, çelişkileri raporda gösteririz.
Teslimde ne alırsınız?
- İmaj alma tutanağı ve hash değerleri
- Bulguların zaman çizelgesiyle desteklendiği teknik rapor
- Talep halinde imajın şifreli bir kopyası
Bu hizmetle ilgili sorular
Diski formatlattık, veri kurtarılabilir mi?
Hızlı biçimlendirmede verinin büyük kısmı çoğunlukla diskte durur. SSD disklerde TRIM özelliği nedeniyle durum daha zordur. Diski kullanmayı hemen bırakmanız şansı artırır.
Şirket bilgisayarını incelemek için çalışanın izni gerekir mi?
Şirkete ait cihazlarda bile kişisel verilerin korunması ve çalışanın özel hayatı açısından hukuki değerlendirme gerekir. İncelemeye başlamadan önce avukatınızla birlikte kapsamı netleştirmenizi öneririz.