{"id":30357,"date":"2025-09-26T21:32:42","date_gmt":"2025-09-26T18:32:42","guid":{"rendered":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/"},"modified":"2025-09-26T21:32:42","modified_gmt":"2025-09-26T18:32:42","slug":"bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari","status":"publish","type":"post","link":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/","title":{"rendered":"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131"},"content":{"rendered":"<style>\n    \/* \n     * Kullan\u0131c\u0131dan gelen \"Mobil uyumlu HTML \u00fcret (media query \u00f6rnekleri dahil)\" iste\u011fi do\u011frultusunda \n     * normalde <head> etiketinde yer almas\u0131 gereken meta viewport ve style etiketleri \n     * sadece <body> i\u00e7eri\u011fi \u00fcretilmesi talimat\u0131 nedeniyle buraya eklenmi\u015ftir.\n     * Ger\u00e7ek bir web sayfas\u0131nda bu tan\u0131mlar <head> etiketi i\u00e7inde olmal\u0131d\u0131r.\n     *\/\n    \/* <meta name=\"viewport\" content=\"width=device-width, initial-scale=1.0\"> *\/<\/p>\n<p>    body {\n        font-family: 'Segoe UI', 'Helvetica Neue', Arial, sans-serif;\n        line-height: 1.6;\n        color: #333;\n        margin: 20px;\n        background-color: #f9f9f9;\n    }\n    h2 {\n        color: #2c3e50;\n        border-bottom: 2px solid #3498db;\n        padding-bottom: 10px;\n        margin-top: 40px;\n    }\n    h3 {\n        color: #34495e;\n        margin-top: 30px;\n    }\n    p {\n        margin-bottom: 1em;\n    }\n    ul, ol {\n        margin-bottom: 1em;\n        padding-left: 20px;\n    }\n    li {\n        margin-bottom: 0.5em;\n    }\n    pre {\n        background-color: #ecf0f1;\n        border: 1px solid #bdc3c7;\n        padding: 15px;\n        border-radius: 5px;\n        overflow-x: auto;\n        margin-bottom: 1.5em;\n    }\n    code {\n        font-family: 'Consolas', 'Monaco', monospace;\n        color: #c0392b;\n    }\n    pre code {\n        color: #2c3e50;\n    }\n    table {\n        width: 100%;\n        border-collapse: collapse;\n        margin-bottom: 1.5em;\n    }\n    th, td {\n        border: 1px solid #ddd;\n        padding: 8px;\n        text-align: left;\n    }\n    th {\n        background-color: #f2f2f2;\n        color: #333;\n    }\n    .uzman-ipucu {\n        background-color: #e8f6f3;\n        border-left: 5px solid #1abc9c;\n        padding: 15px;\n        margin: 20px 0;\n        font-style: italic;\n        color: #2e8b57;\n    }\n    .faq-item h3 {\n        color: #3498db;\n        margin-top: 20px;\n    }\n    .faq-item p {\n        margin-left: 20px;\n    }<\/p>\n<p>    \/* Mobil uyumluluk i\u00e7in medya sorgular\u0131 *\/\n    @media (max-width: 768px) {\n        body {\n            margin: 15px;\n            font-size: 0.95em;\n        }\n        h2 {\n            font-size: 1.5em;\n        }\n        h3 {\n            font-size: 1.2em;\n        }\n        table, thead, tbody, th, td, tr {\n            display: block;\n        }\n        thead tr {\n            position: absolute;\n            top: -9999px;\n            left: -9999px;\n        }\n        tr { border: 1px solid #ccc; margin-bottom: 10px; }\n        td {\n            border: none;\n            border-bottom: 1px solid #eee;\n            position: relative;\n            padding-left: 50%;\n            text-align: right;\n        }\n        td:before {\n            position: absolute;\n            top: 6px;\n            left: 6px;\n            width: 45%;\n            padding-right: 10px;\n            white-space: nowrap;\n            text-align: left;\n            font-weight: bold;\n        }\n        td:nth-of-type(1):before { content: \"Ba\u015fl\u0131k:\"; }\n        td:nth-of-type(2):before { content: \"A\u00e7\u0131klama:\"; }\n    }\n    @media (max-width: 480px) {\n        body {\n            margin: 10px;\n            font-size: 0.9em;\n        }\n        h2 {\n            font-size: 1.3em;\n        }\n        h3 {\n            font-size: 1.1em;\n        }\n    }\n<\/style>\n<p>G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir dosyaya bula\u015fma veya kal\u0131c\u0131 bir de\u011fi\u015fiklik yapma \u00fczerine kuruluyken, art\u0131k &#8220;diske dokunmayan&#8221; veya &#8220;fileless&#8221; olarak tabir edilen tehditler giderek yayg\u0131nla\u015f\u0131yor. Peki, bu ne anlama geliyor? Basit\u00e7e ifade etmek gerekirse, bu t\u00fcr sald\u0131r\u0131lar sabit diske herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmadan, do\u011frudan sistemin belle\u011finde (RAM) \u00e7al\u0131\u015farak faaliyet g\u00f6sterirler. Bu durum, geleneksel disk tabanl\u0131 adli bili\u015fim tekniklerini ve antivir\u00fcs \u00e7\u00f6z\u00fcmlerini i\u015flevsiz hale getirebilir, \u00e7\u00fcnk\u00fc incelenecek fiziksel bir iz b\u0131rak\u0131lmaz. Siber g\u00fcvenlik uzmanlar\u0131 i\u00e7in bu durum b\u00fcy\u00fck bir zorluk te\u015fkil ederken, bellek adli bili\u015fimi (Memory Forensics) tam da bu noktada devreye girerek, sald\u0131rganlar\u0131n g\u00f6lgelerde kalan s\u0131rlar\u0131n\u0131 ayd\u0131nlatmak i\u00e7in kritik bir ara\u00e7 haline gelmi\u015ftir. Bu makale, bellek adli bili\u015fiminin temel prensiplerinden en ileri tekniklerine kadar uzanan geni\u015f bir yelpazeyi ele alarak, diske dokunmayan tehditlere kar\u015f\u0131 nas\u0131l m\u00fccadele edebilece\u011fimizi ad\u0131m ad\u0131m a\u00e7\u0131klayacakt\u0131r.<\/p>\n<p>Geleneksel siber g\u00fcvenlik ara\u00e7lar\u0131, genellikle sabit diskler \u00fczerindeki dosya imzalar\u0131n\u0131, log kay\u0131tlar\u0131n\u0131 ve di\u011fer kal\u0131c\u0131 verileri inceleyerek tehditleri tespit etmeye \u00e7al\u0131\u015f\u0131r. Ancak, fileless sald\u0131r\u0131lar bu kontrol noktalar\u0131n\u0131 ustaca atlat\u0131r. \u00d6rne\u011fin, PowerShell veya WMI gibi me\u015fru sistem ara\u00e7lar\u0131n\u0131 k\u00f6t\u00fcye kullanarak do\u011frudan bellekte kod \u00e7al\u0131\u015ft\u0131rabilirler. Sald\u0131rganlar bu sayede, a\u011f \u00fczerinden sisteme s\u0131zd\u0131ktan sonra hi\u00e7bir iz b\u0131rakmadan hassas bilgilere eri\u015febilir, yetki y\u00fckseltebilir ve hatta kal\u0131c\u0131l\u0131k sa\u011flayabilirler. Durum b\u00f6yle olunca, bir g\u00fcvenlik ihlali ya\u015fand\u0131\u011f\u0131nda, olay\u0131n nas\u0131l ger\u00e7ekle\u015fti\u011fini, hangi verilere eri\u015fildi\u011fini ve sald\u0131rgan\u0131n ne kadar s\u00fcreyle sistemde kald\u0131\u011f\u0131n\u0131 anlamak neredeyse imkans\u0131z hale gelir. Bu gibi senaryolarda, olay m\u00fcdahale ekiplerinin elindeki en g\u00fc\u00e7l\u00fc silah, sistemin anl\u0131k bellek durumunu yakalay\u0131p analiz etmekten ge\u00e7er. Bellekteki veriler, \u00e7al\u0131\u015fan s\u00fcre\u00e7ler, a\u00e7\u0131k a\u011f ba\u011flant\u0131lar\u0131, \u015fifrelenmi\u015f veriler, komut ge\u00e7mi\u015fi ve hatta klavye girdileri gibi son derece de\u011ferli bilgileri bar\u0131nd\u0131r\u0131r. Bu bilgiler, sald\u0131r\u0131n\u0131n kronolojisini \u00e7\u0131karmak ve sald\u0131rgan\u0131n niyetini anlamak i\u00e7in hayati \u00f6nem ta\u015f\u0131r. Bellek adli bili\u015fimi, bu volatil (ge\u00e7ici) veriyi yakalay\u0131p kal\u0131c\u0131 hale getirerek, diske hi\u00e7bir \u015fey yazmadan faaliyet g\u00f6steren k\u00f6t\u00fc niyetli akt\u00f6rlerin izlerini s\u00fcrmemize olanak tan\u0131r. Dolay\u0131s\u0131yla, bu alan siber g\u00fcvenlik ara\u015ft\u0131rmac\u0131lar\u0131 ve olay m\u00fcdahale uzmanlar\u0131 i\u00e7in vazge\u00e7ilmez bir disiplin haline gelmi\u015ftir.<\/p>\n<h2>Bellek Adli Bili\u015fimi Nedir ve Neden Hayati \u00d6nem Ta\u015f\u0131r?<\/h2>\n<p>Bellek adli bili\u015fimi, bir bilgisayar sisteminin \u00e7al\u0131\u015fma an\u0131ndaki rastgele eri\u015fimli belle\u011finin (RAM) analiz edilmesi s\u00fcrecidir. Bu s\u00fcre\u00e7, sistemin o anki durumunun bir &#8220;foto\u011fraf\u0131n\u0131&#8221; \u00e7ekerek, \u00e7al\u0131\u015fan programlar, a\u011f ba\u011flant\u0131lar\u0131, a\u00e7\u0131k dosyalar, kullan\u0131c\u0131 oturumlar\u0131, \u015fifreler, \u015fifreleme anahtarlar\u0131 ve hatta k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m kodlar\u0131 gibi bir\u00e7ok ge\u00e7ici veriyi yakalamay\u0131 hedefler. Geleneksel adli bili\u015fim genellikle sabit diskler \u00fczerindeki kal\u0131c\u0131 verilerle ilgilenirken, bellek adli bili\u015fimi, sistem kapat\u0131ld\u0131\u011f\u0131nda veya yeniden ba\u015flat\u0131ld\u0131\u011f\u0131nda kaybolan, ge\u00e7ici verilere odaklan\u0131r. Bu ayr\u0131m, \u00f6zellikle g\u00fcn\u00fcm\u00fczde giderek artan &#8220;disk tabanl\u0131 olmayan&#8221; veya &#8220;fileless&#8221; sald\u0131r\u0131lar\u0131n tespiti ve analizi a\u00e7\u0131s\u0131ndan kritik bir \u00f6neme sahiptir.<\/p>\n<p>Peki, neden bu kadar hayati? Modern siber sald\u0131r\u0131lar, \u00f6zellikle geli\u015fmi\u015f kal\u0131c\u0131 tehditler (APT &#8211; Advanced Persistent Threats), genellikle disk \u00fczerinde kal\u0131c\u0131 izler b\u0131rakmaktan ka\u00e7\u0131n\u0131r. Bunun yerine, i\u015fletim sistemi ara\u00e7lar\u0131 (\u00f6rne\u011fin, PowerShell, WMI) veya me\u015fru uygulamalar\u0131n zafiyetlerini (\u00f6rne\u011fin, Office makrolar\u0131) kullanarak do\u011frudan bellekte \u00e7al\u0131\u015f\u0131r ve k\u00f6t\u00fc ama\u00e7l\u0131 eylemlerini ger\u00e7ekle\u015ftirirler. Bu t\u00fcr sald\u0131r\u0131lar, standart antivir\u00fcs yaz\u0131l\u0131mlar\u0131 veya dosya b\u00fct\u00fcnl\u00fc\u011f\u00fc izleme ara\u00e7lar\u0131 taraf\u0131ndan kolayca tespit edilemeyebilir. Ancak, sistemin belle\u011fi asla yalan s\u00f6ylemez. Bir s\u00fcre\u00e7 \u00e7al\u0131\u015f\u0131yorsa, bir a\u011f ba\u011flant\u0131s\u0131 kurulmu\u015fsa veya bir komut y\u00fcr\u00fct\u00fclm\u00fc\u015fse, bunlar\u0131n hepsi bir \u015fekilde bellekte iz b\u0131rak\u0131r. Bellek adli bili\u015fimi, i\u015fte bu g\u00f6r\u00fcnmez izleri takip ederek, sald\u0131rgan\u0131n kimli\u011fini, ne yapt\u0131\u011f\u0131n\u0131, ne kadar s\u00fcreyle sistemde kald\u0131\u011f\u0131n\u0131 ve hangi verilere eri\u015fti\u011fini ortaya \u00e7\u0131karma potansiyeline sahiptir. \u00d6zellikle zero-day zafiyetlerinin kullan\u0131ld\u0131\u011f\u0131 veya hen\u00fcz imzas\u0131 tan\u0131mlanmam\u0131\u015f k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar\u0131n kullan\u0131ld\u0131\u011f\u0131 durumlarda, bellek analizi, sald\u0131r\u0131n\u0131n do\u011fas\u0131n\u0131 anlaman\u0131n ve gelecekteki sald\u0131r\u0131lara kar\u015f\u0131 savunma mekanizmalar\u0131 geli\u015ftirmenin tek yolu olabilir.<\/p>\n<p>Bellek adli bili\u015fiminin temel ama\u00e7lar\u0131 aras\u0131nda \u015funlar say\u0131labilir:<\/p>\n<ul>\n<li><strong>K\u00f6t\u00fc Ama\u00e7l\u0131 S\u00fcre\u00e7 Tespiti<\/strong>: Gizlenmi\u015f veya enjekte edilmi\u015f k\u00f6t\u00fc ama\u00e7l\u0131 s\u00fcre\u00e7leri bulmak.<\/li>\n<li><strong>A\u011f Ba\u011flant\u0131s\u0131 Analizi<\/strong>: Sistemin hangi d\u0131\u015f adreslerle ileti\u015fim kurdu\u011funu belirlemek.<\/li>\n<li><strong>Kullan\u0131c\u0131 Kimlik Bilgilerini \u00c7\u0131karmak<\/strong>: Bellekte saklanan \u015fifre \u00f6zetlerini (hash) veya d\u00fcz metin \u015fifrelerini ele ge\u00e7irmek (credential dumping).<\/li>\n<li><strong>K\u00f6t\u00fc Ama\u00e7l\u0131 Yaz\u0131l\u0131m Enjeksiyonunu Anlamak<\/strong>: Bir s\u00fcrecin ba\u015fka bir s\u00fcrece nas\u0131l enjekte edildi\u011fini ve hangi ama\u00e7la kullan\u0131ld\u0131\u011f\u0131n\u0131 belirlemek.<\/li>\n<li><strong>Rootkit Tespiti<\/strong>: \u0130\u015fletim sistemi \u00e7ekirde\u011findeki (kernel) gizli de\u011fi\u015fiklikleri ortaya \u00e7\u0131karmak.<\/li>\n<li><strong>Gizli Veri Kurtarma<\/strong>: \u015eifreleme anahtarlar\u0131, hassas belgeler veya komut ge\u00e7mi\u015fi gibi bellekte bulunan gizli verileri kurtarmak.<\/li>\n<\/ul>\n<p>K\u0131sacas\u0131, bellek adli bili\u015fimi, siber g\u00fcvenlik olaylar\u0131na m\u00fcdahalede vazge\u00e7ilmez bir disiplindir. Olay\u0131n kapsam\u0131n\u0131 belirlemede, sald\u0131r\u0131n\u0131n k\u00f6k nedenini anlamada ve gelecekteki sald\u0131r\u0131lar\u0131 \u00f6nlemek i\u00e7in gerekli ad\u0131mlar\u0131 atmada kritik bilgiler sunar. Geleneksel g\u00fcvenlik ara\u00e7lar\u0131n\u0131n yetersiz kald\u0131\u011f\u0131 modern tehditler kar\u015f\u0131s\u0131nda, bellek analizi, bir dedektifin en keskin g\u00f6z\u00fc, en hassas kula\u011f\u0131 gibidir.<\/p>\n<h2>Uygulamal\u0131 Ad\u0131mlar: Bellek D\u00f6k\u00fcm\u00fc Nas\u0131l Al\u0131n\u0131r ve Analiz Edilir?<\/h2>\n<p>Bellek adli bili\u015fimine ba\u015flaman\u0131n ilk ve en kritik ad\u0131m\u0131, analizi yap\u0131lacak sistemin belle\u011finin do\u011fru ve eksiksiz bir \u015fekilde d\u00f6k\u00fcm\u00fcn\u00fc almakt\u0131r. Bu i\u015flem, genellikle &#8220;memory dump&#8221; olarak adland\u0131r\u0131l\u0131r ve sistemin o anki RAM i\u00e7eri\u011finin bir dosyaya kaydedilmesi anlam\u0131na gelir. Bellek, son derece volatil oldu\u011fu i\u00e7in, d\u00f6k\u00fcm alma i\u015flemi m\u00fcmk\u00fcn olan en k\u0131sa s\u00fcrede ve sistemi minimum d\u00fczeyde etkileyecek \u015fekilde yap\u0131lmal\u0131d\u0131r. Aksi takdirde, de\u011ferli kan\u0131tlar silinebilir veya de\u011fi\u015ftirilebilir. Bu b\u00f6l\u00fcmde, Windows ve Linux sistemleri i\u00e7in bellek d\u00f6k\u00fcm\u00fc alma y\u00f6ntemlerini ve ard\u0131ndan bu d\u00f6k\u00fcmleri analiz etmek i\u00e7in yayg\u0131n olarak kullan\u0131lan ara\u00e7lar\u0131 ve temel ad\u0131mlar\u0131 ele alaca\u011f\u0131z.<\/p>\n<h3>Bellek D\u00f6k\u00fcm\u00fc Alma Y\u00f6ntemleri: Windows ve Linux Sistemler \u0130\u00e7in<\/h3>\n<h4>Windows Sistemlerde Bellek D\u00f6k\u00fcm\u00fc:<\/h4>\n<p>Windows ortam\u0131nda bellek d\u00f6k\u00fcm\u00fc almak i\u00e7in \u00e7e\u015fitli ara\u00e7lar mevcuttur. En pop\u00fcler ve g\u00fcvenilir y\u00f6ntemlerden biri, \u00fccretsiz olarak sunulan FTK Imager Lite yaz\u0131l\u0131m\u0131n\u0131 kullanmakt\u0131r. Di\u011fer bir se\u00e7enek ise Belge \u0130mha Ara\u00e7lar\u0131 (Sysinternals) paketinden <code>livekd.exe<\/code> arac\u0131n\u0131 kullanmakt\u0131r, ancak bu, \u00e7ekirdek hata ay\u0131klay\u0131c\u0131 (kernel debugger) kurulmas\u0131n\u0131 gerektirebilir.<\/p>\n<ol>\n<li><strong>FTK Imager Lite ile D\u00f6k\u00fcm Alma:<\/strong>\n<ul>\n<li>FTK Imager Lite&#8217;\u0131 bir USB belle\u011fe indirin ve \u015f\u00fcpheli sisteme tak\u0131n. Uygulamay\u0131 do\u011frudan USB bellekten \u00e7al\u0131\u015ft\u0131rarak disk \u00fczerinde yeni bir iz b\u0131rakmaktan ka\u00e7\u0131n\u0131n.<\/li>\n<li>Uygulamay\u0131 a\u00e7t\u0131ktan sonra, &#8220;File&#8221; men\u00fcs\u00fcnden &#8220;Create Memory Dump&#8230;&#8221; se\u00e7ene\u011fini se\u00e7in.<\/li>\n<li>D\u00f6k\u00fcm dosyas\u0131n\u0131n kaydedilece\u011fi konumu (tercihen harici bir disk veya a\u011f payla\u015f\u0131m\u0131) ve dosya ad\u0131n\u0131 belirtin. Disk \u00fczerindeki yeni yazma i\u015flemlerini minimize etmek i\u00e7in yerel disk yerine harici bir hedef se\u00e7mek \u00f6nemlidir.<\/li>\n<li>&#8220;Acquire Memory&#8221; butonuna t\u0131klayarak d\u00f6k\u00fcm alma i\u015flemini ba\u015flat\u0131n. \u0130\u015flem, belle\u011fin boyutuna g\u00f6re biraz zaman alabilir.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Di\u011fer Alternatifler:<\/strong> Microsoft&#8217;un <code>DumpIt.exe<\/code> gibi basit ara\u00e7lar\u0131 da tek t\u0131kla bellek d\u00f6k\u00fcm\u00fc almay\u0131 sa\u011flar. Enterprise ortamlar i\u00e7in, Mandiant Intelligent Response (MIR) gibi \u00e7\u00f6z\u00fcmler uzaktan bellek d\u00f6k\u00fcm\u00fc alabilme yetene\u011fine sahiptir.<\/li>\n<\/ol>\n<p>\u00d6rnek FTK Imager komut sat\u0131r\u0131 (CLI) kullan\u0131m\u0131 (e\u011fer varsa, \u00e7o\u011fu GUI kullan\u0131r):<\/p>\n<pre><code>\nftk_imager_cli.exe --memory --output \"D:\\memory_dump.mem\"\n<\/pre>\n<p><\/code><\/p>\n<h4>Linux Sistemlerde Bellek D\u00f6k\u00fcm\u00fc:<\/h4>\n<p>Linux sistemlerde bellek d\u00f6k\u00fcm\u00fc almak i\u00e7in genellikle LiME (Linux Memory Extractor) veya fmem gibi \u00e7ekirdek mod\u00fclleri kullan\u0131l\u0131r. LiME, bu alanda olduk\u00e7a pop\u00fclerdir ve farkl\u0131 Linux \u00e7ekirdek s\u00fcr\u00fcmleri i\u00e7in uyarlanabilir.<\/p>\n<ol>\n<li><strong>LiME ile D\u00f6k\u00fcm Alma:<\/strong>\n<ul>\n<li>Hedef sistemin \u00e7ekirdek s\u00fcr\u00fcm\u00fcne uygun LiME mod\u00fcl\u00fcn\u00fc derlemeniz veya haz\u0131r bir mod\u00fcl bulman\u0131z gerekir. Genellikle kaynak kodunu indirip derlemek daha g\u00fcvenilir bir y\u00f6ntemdir.<\/li>\n<li>Kaynak kodu indirdikten sonra:\n<pre><code>\ngit clone https:\/\/github.com\/halp\/linux_memory_extractor.git\ncd linux_memory_extractor\/src\nmake\n                <\/pre>\n<p><\/code>\n            <\/li>\n<li>Derleme ba\u015far\u0131l\u0131 olursa, <code>lime.ko<\/code> ad\u0131nda bir \u00e7ekirdek mod\u00fcl\u00fc olu\u015facakt\u0131r.<\/li>\n<li>Bu mod\u00fcl\u00fc y\u00fckleyin ve bellek d\u00f6k\u00fcm\u00fcn\u00fc al\u0131n:\n<pre><code>\nsudo insmod lime.ko \"path=\/mnt\/external\/memdump.lime format=lime\"\n                <\/pre>\n<p><\/code><br \/>\n                Bu komut, <code>memdump.lime<\/code> dosyas\u0131n\u0131 <code>\/mnt\/external<\/code> dizinine kaydeder. D\u00f6k\u00fcm\u00fc, yine harici bir diske veya a\u011f payla\u015f\u0131m\u0131na kaydetmek \u00f6nemlidir.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Bellek D\u00f6k\u00fcmlerinin Analizi: Volatility Framework<\/h3>\n<p>Bellek d\u00f6k\u00fcm\u00fc al\u0131nd\u0131ktan sonra, bu devasa veri y\u0131\u011f\u0131n\u0131n\u0131 anlaml\u0131 bilgilere d\u00f6n\u00fc\u015ft\u00fcrmek i\u00e7in g\u00fc\u00e7l\u00fc bir analiz arac\u0131na ihtiya\u00e7 duyar\u0131z. Volatility Framework, bellek adli bili\u015fimi i\u00e7in end\u00fcstri standard\u0131 haline gelmi\u015f, a\u00e7\u0131k kaynakl\u0131 ve Python tabanl\u0131 bir ara\u00e7t\u0131r. \u00c7e\u015fitli i\u015fletim sistemleri (Windows, Linux, macOS) i\u00e7in geni\u015f bir eklenti yelpazesi sunar.<\/p>\n<h4>Volatility ile Temel Analiz Ad\u0131mlar\u0131:<\/h4>\n<ol>\n<li><strong>Profil Belirleme:<\/strong> Volatility'nin ilk ad\u0131m\u0131, analiz edilecek bellek d\u00f6k\u00fcm\u00fcn\u00fcn hangi i\u015fletim sistemi ve servis paketi s\u00fcr\u00fcm\u00fcne ait oldu\u011funu belirlemektir. Bu, Volatility'nin do\u011fru \"profil\"i kullanmas\u0131n\u0131 sa\u011flar.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem imageinfo\n        <\/pre>\n<p><\/code><br \/>\n        Bu komut, potansiyel profillerin bir listesini d\u00f6necektir. \u00d6rne\u011fin, <code>Win7SP1x64<\/code>, <code>Linux_x64<\/code> gibi.<\/li>\n<li><strong>\u00c7al\u0131\u015fan S\u00fcre\u00e7leri Listeleme (<code>pslist<\/code>):<\/strong> Bir sistemdeki t\u00fcm \u00e7al\u0131\u015fan s\u00fcre\u00e7leri ve PID'lerini (Process ID) g\u00f6rmek, k\u00f6t\u00fc ama\u00e7l\u0131 bir yaz\u0131l\u0131m\u0131n tespitinde ilk ad\u0131md\u0131r.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 pslist\n        <\/pre>\n<p><\/code><br \/>\n        Bu komut, normalde olmayan veya \u015f\u00fcpheli g\u00f6r\u00fcnen s\u00fcre\u00e7leri h\u0131zla belirlemenize yard\u0131mc\u0131 olur.<\/li>\n<li><strong>A\u011f Ba\u011flant\u0131lar\u0131n\u0131 Kontrol Etme (<code>netscan<\/code> veya <code>connscan<\/code>):<\/strong> Sistemden yap\u0131lan veya sisteme gelen t\u00fcm a\u011f ba\u011flant\u0131lar\u0131n\u0131 g\u00f6sterir. Bu, k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n komuta-kontrol (C2) sunucusuyla ileti\u015fim kurup kurmad\u0131\u011f\u0131n\u0131 anlamak i\u00e7in kritik bir bilgidir.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 netscan\n        <\/pre>\n<p><\/code><br \/>\n        veya eski Windows s\u00fcr\u00fcmleri i\u00e7in:<\/p>\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 connscan\n        <\/pre>\n<p><\/code>\n    <\/li>\n<li><strong>\u015eifre \u00d6zeti \u00c7ekme (<code>hashdump<\/code>):<\/strong> Windows sistemlerinde, oturum a\u00e7m\u0131\u015f kullan\u0131c\u0131lar\u0131n NTLM ve LAN Manager (LM) \u015fifre \u00f6zetlerini (hashlerini) bellekteki LSASS.exe s\u00fcrecinden \u00e7\u0131kar\u0131r. Bu, sald\u0131rganlar\u0131n genellikle yetki y\u00fckseltmek i\u00e7in kulland\u0131\u011f\u0131 bir bilgidir (pass-the-hash sald\u0131r\u0131lar\u0131).\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 hashdump\n        <\/pre>\n<p><\/code><br \/>\n        \u00c7\u0131kar\u0131lan hashler, \u00e7evrimd\u0131\u015f\u0131 olarak k\u0131r\u0131lmaya \u00e7al\u0131\u015f\u0131labilir.<\/li>\n<li><strong>Komut Ge\u00e7mi\u015fi (<code>cmdscan<\/code>):<\/strong> E\u011fer bir komut istemcisi (cmd.exe) veya PowerShell oturumu bellekte mevcutsa, bu oturumda \u00e7al\u0131\u015ft\u0131r\u0131lan komutlar\u0131 kurtarabilir. Bu, sald\u0131rgan\u0131n sistemde ne gibi eylemler ger\u00e7ekle\u015ftirdi\u011fini anlamak i\u00e7in \u00e7ok de\u011ferli bir kaynakt\u0131r.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 cmdscan\n        <\/pre>\n<p><\/code>\n    <\/li>\n<\/ol>\n<div class=\"uzman-ipucu\">Uzman \u0130pucu: Bellek d\u00f6k\u00fcm\u00fc al\u0131rken, sistemi yeniden ba\u015flatmaktan kesinlikle ka\u00e7\u0131n\u0131n. Yeniden ba\u015flatma, bellekteki t\u00fcm ge\u00e7ici veriyi siler ve kan\u0131tlar\u0131 kaybetmenize neden olur. Ayr\u0131ca, d\u00f6k\u00fcm\u00fc al\u0131rken sistemin fiziksel diski yerine harici bir medya kullanmak, diske yazma izlerini en aza indirir.<\/div>\n<p>Bu temel ad\u0131mlar, bir bellek d\u00f6k\u00fcm\u00fcn\u00fc ilk kez incelemek i\u00e7in iyi bir ba\u015flang\u0131\u00e7 noktas\u0131 sunar. Ancak, bellek adli bili\u015fimi \u00e7ok daha derinlemesine analizler yapma imkan\u0131 sunar ve sonraki b\u00f6l\u00fcmde bu ileri tekniklerden bahsedece\u011fiz.<\/p>\n<h2>Gizli Verileri Ortaya \u00c7\u0131karmak: S\u00fcre\u00e7ler, A\u011f Ba\u011flant\u0131lar\u0131 ve K\u00f6t\u00fc Ama\u00e7l\u0131 Yaz\u0131l\u0131mlar<\/h2>\n<p>Bellek d\u00f6k\u00fcm\u00fcn\u00fcn al\u0131nmas\u0131 ve temel analiz ad\u0131mlar\u0131 tamamland\u0131ktan sonra, \u015fimdi s\u0131ra daha derinlere inerek sald\u0131rgan\u0131n gizli operasyonlar\u0131n\u0131 ve sistemdeki k\u00f6t\u00fc ama\u00e7l\u0131 faaliyetlerini a\u00e7\u0131\u011fa \u00e7\u0131karmaya geliyor. Bu a\u015fama, siber g\u00fcvenlik olaylar\u0131na m\u00fcdahalede en kritik rol\u00fc oynar, \u00e7\u00fcnk\u00fc sald\u0131r\u0131n\u0131n ger\u00e7ek boyutunu ve etkilerini anlamam\u0131z\u0131 sa\u011flar. Bellek adli bili\u015fiminin g\u00fcc\u00fc, \u00f6zellikle diske hi\u00e7bir iz b\u0131rakmayan veya mevcut g\u00fcvenlik \u00e7\u00f6z\u00fcmlerini atlatmak i\u00e7in tasarlanm\u0131\u015f sofistike tehditlerin tespiti ve analizi konusunda kendini g\u00f6sterir. Bu b\u00f6l\u00fcmde, s\u00fcre\u00e7 enjeksiyonu, rootkit tespiti, gizli a\u011f ba\u011flant\u0131lar\u0131 ve bellekteki hassas verilerin kurtar\u0131lmas\u0131 gibi konulara odaklanaca\u011f\u0131z.<\/p>\n<h3>S\u00fcre\u00e7 Enjeksiyonu ve Gizli S\u00fcre\u00e7lerin Tespiti<\/h3>\n<p>K\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar genellikle kendilerini gizlemek i\u00e7in me\u015fru sistem s\u00fcre\u00e7lerinin i\u00e7ine enjekte ederler. Bu teknik, \"s\u00fcre\u00e7 enjeksiyonu\" olarak adland\u0131r\u0131l\u0131r ve k\u00f6t\u00fc ama\u00e7l\u0131 kodun, normalde g\u00fcvenilir g\u00f6r\u00fcnen bir s\u00fcrecin ba\u011flam\u0131nda \u00e7al\u0131\u015fmas\u0131na olanak tan\u0131r. Volatility, bu t\u00fcr gizlenmi\u015f s\u00fcre\u00e7leri ve enjekte edilmi\u015f kodlar\u0131 tespit etmek i\u00e7in g\u00fc\u00e7l\u00fc eklentiler sunar.<\/p>\n<ul>\n<li><strong><code>dlllist<\/code> ve <code>dlldump<\/code>:<\/strong> Bir s\u00fcrecin y\u00fckledi\u011fi DLL'leri (Dynamic Link Library) listelemek ve \u015f\u00fcpheli DLL'leri diskten kurtarmak i\u00e7in kullan\u0131l\u0131r. \u00d6zellikle beklenmedik bir s\u00fcre\u00e7 taraf\u0131ndan y\u00fcklenen yabanc\u0131 DLL'ler, enjeksiyon belirtisi olabilir.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 dlllist -p [PID]\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 dlldump -p [PID] -D \/output\/directory\n        <\/pre>\n<p><\/code>\n    <\/li>\n<li><strong><code>malfind<\/code>:<\/strong> Bu eklenti, bellekteki s\u00fcre\u00e7lerde potansiyel olarak k\u00f6t\u00fc ama\u00e7l\u0131 kodlar\u0131 veya enjekte edilmi\u015f kabuk kodlar\u0131n\u0131 (shellcode) otomatik olarak tarar. API kancalar\u0131 (API hooks) veya \u015f\u00fcpheli bellek b\u00f6lgeleri gibi belirtileri arar.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 malfind\n        <\/pre>\n<p><\/code><br \/>\n        Bu, genellikle k\u00f6t\u00fc ama\u00e7l\u0131 bir s\u00fcrecin enjekte edildi\u011fi bellek b\u00f6lgelerini veya kendisi do\u011frudan k\u00f6t\u00fc ama\u00e7l\u0131 olan s\u00fcre\u00e7leri h\u0131zl\u0131ca tespit etmenin etkili bir yoludur.<\/li>\n<li><strong><code>ldrmodules<\/code>:<\/strong> Bir s\u00fcrecin mod\u00fcllerini listeler ve mod\u00fcl listesinden gizlenmi\u015f (unlinked) mod\u00fclleri bulmaya \u00e7al\u0131\u015f\u0131r. Rootkit'ler genellikle bu listeyi manip\u00fcle ederek kendilerini gizlerler.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 ldrmodules -p [PID]\n        <\/pre>\n<p><\/code>\n    <\/li>\n<\/ul>\n<h3>Gizli A\u011f Ba\u011flant\u0131lar\u0131n\u0131n ve \u0130leti\u015fim Kanallar\u0131n\u0131n Analizi<\/h3>\n<p>Sald\u0131rganlar, ele ge\u00e7irdikleri sistemlerle genellikle komuta-kontrol (C2) sunucular\u0131 arac\u0131l\u0131\u011f\u0131yla ileti\u015fim kururlar. Bu ba\u011flant\u0131lar, tespiti zorla\u015ft\u0131rmak i\u00e7in genellikle \u015fifrelenir veya standart portlar \u00fczerinden yap\u0131l\u0131r. <code>netscan<\/code> eklentisi daha \u00f6nce bahsetti\u011fimiz gibi y\u00fczeysel bir bak\u0131\u015f sunarken, daha derinlemesine analizler i\u00e7in ba\u011flant\u0131lar\u0131n detaylar\u0131 incelenmelidir.<\/p>\n<ul>\n<li><strong>\u015e\u00fcpheli Portlar ve Protokoller<\/strong>: Bilinmeyen veya nadiren kullan\u0131lan portlar \u00fczerindeki ba\u011flant\u0131lar her zaman dikkat \u00e7ekicidir. Ayr\u0131ca, beklenmedik bir s\u00fcre\u00e7ten kaynaklanan d\u0131\u015far\u0131ya do\u011fru \u015fifreli (\u00f6rne\u011fin, HTTPS) bir ba\u011flant\u0131 da \u015f\u00fcpheli olabilir.<\/li>\n<li><strong>DNS Kay\u0131tlar\u0131<\/strong>: Bellekteki DNS \u00f6nbelle\u011fini kontrol etmek (<code>dnscache<\/code>), k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n hangi alan adlar\u0131na eri\u015fmeye \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 ortaya \u00e7\u0131karabilir.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 dnscache\n        <\/pre>\n<p><\/code>\n    <\/li>\n<\/ul>\n<h3>K\u00f6t\u00fc Ama\u00e7l\u0131 Yaz\u0131l\u0131m ve Konfig\u00fcrasyon Verilerinin \u00c7\u0131kar\u0131lmas\u0131<\/h3>\n<p>Bellek, sadece k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n kodunu de\u011fil, ayn\u0131 zamanda \u00e7al\u0131\u015fma zaman\u0131 konfig\u00fcrasyonlar\u0131n\u0131, \u015fifreleme anahtarlar\u0131n\u0131, log dosyalar\u0131n\u0131 ve hatta ekran g\u00f6r\u00fcnt\u00fclerini de bar\u0131nd\u0131rabilir. Bu verileri kurtarmak, sald\u0131rgan\u0131n niyetini ve yeteneklerini anlamak i\u00e7in paha bi\u00e7ilmezdir.<\/p>\n<ul>\n<li><strong>S\u00fcre\u00e7 Bellek Alan\u0131n\u0131 D\u00f6kme (<code>procdump<\/code>):<\/strong> \u015e\u00fcpheli bir s\u00fcrecin t\u00fcm bellek alan\u0131n\u0131 veya belirli bir b\u00f6l\u00fcm\u00fcn\u00fc diske kaydederek daha sonra statik analiz yap\u0131lmas\u0131na olanak tan\u0131r. Bu, k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n ikili dosyas\u0131n\u0131 (binary) diskten bulamad\u0131\u011f\u0131n\u0131z durumlarda \u00e7ok faydal\u0131d\u0131r.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 procdump -p [PID] -D \/output\/directory\n        <\/pre>\n<p><\/code>\n    <\/li>\n<li><strong>\u015eifre ve Kimlik Bilgisi Kurtarma (<code>mimikatz<\/code>, <code>hashdump<\/code>):<\/strong> Windows sistemlerinde <code>LSASS.exe<\/code> s\u00fcrecinden kimlik bilgilerini (NTLM hashleri, Kerberos anahtarlar\u0131, d\u00fcz metin \u015fifreleri) \u00e7ekmek i\u00e7in kullan\u0131l\u0131r. Volatility'nin <code>mimikatz<\/code> (veya daha basiti <code>hashdump<\/code>) eklentileri bu i\u015flevi yerine getirir.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 mimikatz\n        <\/pre>\n<p><\/code><br \/>\n        Bu bilgiler, \"Pass-the-Hash\" veya \"Golden Ticket\" gibi sald\u0131r\u0131lar\u0131 anlamak i\u00e7in kritiktir.<\/li>\n<li><strong>Klavye Girdileri ve Ekran G\u00f6r\u00fcnt\u00fcleri:<\/strong> Baz\u0131 \u00f6zel durumlarda, bellekte klavye tamponlar\u0131 veya ekran g\u00f6r\u00fcnt\u00fcs\u00fc verileri bulunabilir. Bu t\u00fcr veriler, sald\u0131rgan\u0131n ele ge\u00e7irdi\u011fi bir sistemde hangi tu\u015flara bast\u0131\u011f\u0131n\u0131 veya hangi ekranlar\u0131 g\u00f6rd\u00fc\u011f\u00fcn\u00fc ortaya \u00e7\u0131karabilir. Bu ileri d\u00fczey teknikler genellikle \u00f6zel ara\u00e7lar veya manuel bellek taramalar\u0131 gerektirir.<\/li>\n<\/ul>\n<div class=\"uzman-ipucu\">Uzman \u0130pucu: K\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar genellikle anti-adli bili\u015fim teknikleri kullanarak kendilerini gizlemeye \u00e7al\u0131\u015f\u0131r. Bu nedenle, sadece bilinen k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m imzalar\u0131na g\u00fcvenmek yerine, anormallikleri (beklenmeyen s\u00fcre\u00e7ler, \u015f\u00fcpheli a\u011f ba\u011flant\u0131lar\u0131, kernel de\u011fi\u015fiklikleri) aramaya odaklan\u0131n.<\/div>\n<p>Bellek adli bili\u015fiminin bu derinlemesine analiz yetenekleri, olay m\u00fcdahale ekiplerine, sald\u0131r\u0131n\u0131n her a\u015famas\u0131n\u0131 anlamak, sald\u0131rgan\u0131n hedeflerini belirlemek ve gelecekteki sald\u0131r\u0131lara kar\u015f\u0131 daha diren\u00e7li sistemler kurmak i\u00e7in gerekli bilgileri sa\u011flar. Bir sonraki b\u00f6l\u00fcmde, bu teknikleri daha da ileriye ta\u015f\u0131yan geli\u015fmi\u015f yakla\u015f\u0131mlara ve anti-adli bili\u015fim y\u00f6ntemlerini nas\u0131l a\u015fabilece\u011fimize odaklanaca\u011f\u0131z.<\/p>\n<h2>Geli\u015fmi\u015f Teknikler: Anti-Adli Bili\u015fim Y\u00f6ntemlerini Nas\u0131l Atlat\u0131r\u0131z?<\/h2>\n<p>Siber g\u00fcvenlik alan\u0131nda \"kedi-fare\" oyununun do\u011fas\u0131 gere\u011fi, adli bili\u015fim teknikleri geli\u015ftik\u00e7e, sald\u0131rganlar da tespit edilmekten ka\u00e7\u0131nmak i\u00e7in anti-adli bili\u015fim y\u00f6ntemleri geli\u015ftirmektedir. Bu y\u00f6ntemler, genellikle bellek analizi ara\u00e7lar\u0131n\u0131 yan\u0131ltmay\u0131 veya kan\u0131tlar\u0131 silmeyi hedefler. Geli\u015fmi\u015f bellek adli bili\u015fimi uzmanlar\u0131, bu t\u00fcr engelleri a\u015fmak i\u00e7in daha sofistike teknikler ve derinlemesine sistem bilgisi kullan\u0131r. Bu b\u00f6l\u00fcmde, sald\u0131rganlar\u0131n s\u0131kl\u0131kla kulland\u0131\u011f\u0131 anti-adli bili\u015fim stratejilerini ve bunlara kar\u015f\u0131 koymak i\u00e7in kullanabilece\u011fimiz ileri d\u00fczey analiz y\u00f6ntemlerini inceleyece\u011fiz.<\/p>\n<h3>Bellek Obf\u00fcskasyonu ve \u015eifreleme<\/h3>\n<p>Sald\u0131rganlar, k\u00f6t\u00fc ama\u00e7l\u0131 kodlar\u0131n\u0131 veya hassas verilerini bellekte \u015fifreleyerek veya obf\u00fcske ederek (kar\u0131\u015ft\u0131rarak) analiz edilmelerini zorla\u015ft\u0131rabilirler. Bu, \u00f6zellikle bellek d\u00f6k\u00fcm\u00fcn\u00fc ald\u0131ktan sonra, k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n okunabilir kodunu veya yap\u0131land\u0131rma verilerini bulmaya \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131zda bir sorun te\u015fkil eder.<\/p>\n<ul>\n<li><strong>String (Dizi) Analizi ve Anlamsal \u00c7\u00f6z\u00fcmleme<\/strong>: K\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar genellikle komuta-kontrol sunucular\u0131n\u0131n URL'leri, \u015fifreleme anahtarlar\u0131 veya di\u011fer kritik metinleri i\u00e7eren dizeleri bellekte saklar. Obf\u00fcskasyon nedeniyle bunlar do\u011frudan okunmayabilir. Ancak, \u015f\u00fcpheli bellek b\u00f6lgelerini belirledikten sonra, \u00e7e\u015fitli kod analizi ara\u00e7lar\u0131 (IDA Pro, Ghidra) veya \u00f6zel de-obf\u00fcskasyon betikleri kullanarak bu dizelerin ger\u00e7ek de\u011ferlerini ortaya \u00e7\u0131karmak m\u00fcmk\u00fcnd\u00fcr. Ayr\u0131ca, bu dizelerin genellikle \u00e7evresindeki kodla birlikte bir anlam ifade etti\u011fini unutmay\u0131n.<\/li>\n<li><strong>Bellek B\u00f6lgesi \u0130\u00e7i Heuristic Analizler<\/strong>: Volatility'nin <code>malfind<\/code> eklentisi gibi ara\u00e7lar, y\u00fcr\u00fct\u00fclebilir bellek b\u00f6lgelerindeki bilinen k\u00f6t\u00fc ama\u00e7l\u0131 \u00f6zelliklere veya API \u00e7a\u011fr\u0131lar\u0131na dayal\u0131 olarak heuristik (sezgisel) analizler yapar. Bir bellek b\u00f6lgesinin y\u00fcr\u00fct\u00fclebilir olup olmad\u0131\u011f\u0131, yaz\u0131labilir olup olmad\u0131\u011f\u0131 ve hangi s\u00fcrecin sahip oldu\u011fu gibi \u00f6zellikler, obf\u00fcske edilmi\u015f kodun varl\u0131\u011f\u0131na i\u015faret edebilir.<\/li>\n<\/ul>\n<h3>K\u00f6k D\u00fczeyi Gizlenme (Rootkit Tespiti)<\/h3>\n<p>Rootkitler, i\u015fletim sisteminin \u00e7ekirdek d\u00fczeyinde (kernel-level) kendilerini gizleyerek s\u00fcre\u00e7leri, dosyalar\u0131, a\u011f ba\u011flant\u0131lar\u0131n\u0131 ve kay\u0131t defteri giri\u015flerini gizleyebilirler. Bu, standart i\u015fletim sistemi API'lerini kullanan bellek adli bili\u015fim ara\u00e7lar\u0131n\u0131 yan\u0131ltabilir. Geli\u015fmi\u015f analizler, bu t\u00fcr gizlenmeleri ortaya \u00e7\u0131karmak i\u00e7in do\u011frudan kernel veri yap\u0131lar\u0131n\u0131 incelemeyi gerektirir.<\/p>\n<ul>\n<li><strong>Kernel Veri Yap\u0131s\u0131 Analizi (<code>modscan<\/code>, <code>ssdt<\/code>, <code>idt<\/code>, <code>gdt<\/code>):<\/strong> Volatility, kernel mod\u00fcllerini (<code>modscan<\/code>), sistem hizmeti tan\u0131mlay\u0131c\u0131 tablosunu (SSDT - System Service Descriptor Table), kesme tan\u0131mlay\u0131c\u0131 tablosunu (IDT - Interrupt Descriptor Table) ve genel tan\u0131mlay\u0131c\u0131 tablosunu (GDT - Global Descriptor Table) analiz ederek rootkitlerin yapt\u0131\u011f\u0131 de\u011fi\u015fiklikleri tespit edebilir. Rootkitler genellikle bu tablolara m\u00fcdahale ederek kendi k\u00f6t\u00fc ama\u00e7l\u0131 i\u015flevlerini araya sokarlar.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 modscan\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 ssdt\n        <\/pre>\n<p><\/code><br \/>\n        Normalde olmayan veya de\u011fi\u015ftirilmi\u015f giri\u015fler, rootkit varl\u0131\u011f\u0131na g\u00fc\u00e7l\u00fc bir i\u015faret olabilir.<\/li>\n<li><strong>Process Listing Anomalileri (<code>psxview<\/code>):<\/strong> <code>psxview<\/code> eklentisi, farkl\u0131 kernel API'leri (\u00f6rne\u011fin, <code>_EPROCESS<\/code> listesi, <code>CSRSS<\/code> listesi) taraf\u0131ndan g\u00f6r\u00fclen s\u00fcre\u00e7 listelerini kar\u015f\u0131la\u015ft\u0131r\u0131r. E\u011fer bir s\u00fcre\u00e7 bir listede g\u00f6r\u00fcn\u00fcp di\u011ferinde g\u00f6r\u00fcnm\u00fcyorsa, bu gizli bir s\u00fcrecin veya rootkit'in varl\u0131\u011f\u0131na i\u015faret eder.\n<pre><code>\npython vol.py -f \/path\/to\/memdump.mem --profile=Win7SP1x64 psxview\n        <\/pre>\n<p><\/code>\n    <\/li>\n<\/ul>\n<h3>Bellek Temizleme ve Antiforensik Ara\u00e7lar<\/h3>\n<p>Baz\u0131 sald\u0131rganlar, bellek d\u00f6k\u00fcm\u00fc al\u0131nmadan hemen \u00f6nce bellek temizleme (memory wiping) teknikleri veya adli bili\u015fim ara\u00e7lar\u0131n\u0131 hedef alan k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar kullanabilirler. Bu durumda, d\u00f6k\u00fcm ya eksik olur ya da kritik bilgiler silinmi\u015f olur.<\/p>\n<ul>\n<li><strong>H\u0131zl\u0131 ve Otomatik D\u00f6k\u00fcm Alma Mekanizmalar\u0131<\/strong>: Bu t\u00fcr tehditlere kar\u015f\u0131 en iyi savunma, olay tespit edildi\u011finde bellek d\u00f6k\u00fcm\u00fcn\u00fc olabildi\u011fince h\u0131zl\u0131 ve otomatik bir \u015fekilde almakt\u0131r. Endpoint Detection and Response (EDR) \u00e7\u00f6z\u00fcmleri, bu t\u00fcr durumlarda uzaktan ve otomatik olarak bellek d\u00f6k\u00fcm\u00fc alabilir.<\/li>\n<li><strong>Kalan Verinin De\u011ferlendirilmesi<\/strong>: Bellek temizleme tam olarak ba\u015far\u0131l\u0131 olmasa bile, k\u0131smi d\u00f6k\u00fcmler veya temizlenmi\u015f b\u00f6lgelerdeki meta veriler hala de\u011ferli bilgiler i\u00e7erebilir. Kalan bellek b\u00f6lgelerindeki dize aramalar\u0131 veya dosya sistemi kal\u0131nt\u0131lar\u0131 gibi tekniklerle umutsuz durumlarda bile kan\u0131t bulunabilir.<\/li>\n<\/ul>\n<div class=\"uzman-ipucu\">Uzman \u0130pucu: Her zaman birden fazla kaynaktan (sistem loglar\u0131, a\u011f trafi\u011fi kay\u0131tlar\u0131, disk g\u00f6r\u00fcnt\u00fcs\u00fc) toplanan verileri bellek d\u00f6k\u00fcm\u00fc analiz sonu\u00e7lar\u0131n\u0131zla ili\u015fkilendirin. Bu, sald\u0131r\u0131n\u0131n tam resmini olu\u015fturmak ve bellek analizi s\u0131ras\u0131nda kar\u015f\u0131la\u015ft\u0131\u011f\u0131n\u0131z anormalliklerin ger\u00e7ek bir tehdit olup olmad\u0131\u011f\u0131n\u0131 do\u011frulamak i\u00e7in kritik \u00f6neme sahiptir.<\/div>\n<p>Geli\u015fmi\u015f bellek adli bili\u015fimi, adeta bir puzzle \u00e7\u00f6zmeye benzer; her k\u00fc\u00e7\u00fck bilgi par\u00e7as\u0131, b\u00fcy\u00fck resmin ortaya \u00e7\u0131kmas\u0131na yard\u0131mc\u0131 olur. Anti-adli bili\u015fim y\u00f6ntemleriyle m\u00fccadele etmek, s\u00fcrekli \u00f6\u011frenmeyi, ara\u00e7lar\u0131 derinlemesine anlamay\u0131 ve yarat\u0131c\u0131 d\u00fc\u015f\u00fcnmeyi gerektirir. Bu alandaki uzmanlar, sadece ara\u00e7lar\u0131 kullanmakla kalmaz, ayn\u0131 zamanda i\u015fletim sistemlerinin i\u00e7 i\u015fleyi\u015fini de \u00e7ok iyi bilmelidirler ki sald\u0131rgan\u0131n kernel d\u00fczeyindeki hilelerini de\u015fifre edebilsinler.<\/p>\n<h2>Ger\u00e7ek D\u00fcnya Senaryosu: APT Sald\u0131r\u0131s\u0131nda Bellek Analizi Nas\u0131l Kullan\u0131ld\u0131?<\/h2>\n<p>Bellek adli bili\u015fiminin teorik yeteneklerini anlamak \u00f6nemli olsa da, bu yeteneklerin ger\u00e7ek bir siber sald\u0131r\u0131 senaryosunda nas\u0131l hayat kurtar\u0131c\u0131 oldu\u011funu g\u00f6rmek, konunun pratik \u00f6nemini daha iyi kavramam\u0131z\u0131 sa\u011flar. Bu b\u00f6l\u00fcmde, hayali ancak olduk\u00e7a ger\u00e7ek\u00e7i bir Geli\u015fmi\u015f Kal\u0131c\u0131 Tehdit (APT - Advanced Persistent Threat) sald\u0131r\u0131s\u0131 \u00fczerinden bellek analizinin kritik rol\u00fcn\u00fc g\u00f6steren bir vaka analizini ele alaca\u011f\u0131z. Bu senaryo, diske hi\u00e7bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmayan ve geleneksel g\u00fcvenlik \u00e7\u00f6z\u00fcmlerini ustaca atlayan karma\u015f\u0131k bir sald\u0131r\u0131y\u0131 i\u00e7ermektedir.<\/p>\n<h3>Vaka Analizi: \"G\u00f6lge Operasyonu\"<\/h3>\n<p>Bir finans kurulu\u015fu olan \"GlobalCapital Inc.\", bir sabah a\u011flar\u0131nda al\u0131\u015f\u0131lmad\u0131k bir yava\u015fl\u0131k ve baz\u0131 hassas veri sunucular\u0131nda anormal eri\u015fim giri\u015fimleri fark etti. \u0130lk olarak standart olay m\u00fcdahale s\u00fcre\u00e7leri i\u015fletildi: a\u011f loglar\u0131, g\u00fcvenlik duvar\u0131 kay\u0131tlar\u0131 ve disk tabanl\u0131 antivir\u00fcs taramalar\u0131 yap\u0131ld\u0131. Ancak, hi\u00e7bir k\u00f6t\u00fc ama\u00e7l\u0131 dosya, bilinen imza veya belirgin bir ihlal g\u00f6stergesi bulunamad\u0131. Sald\u0131r\u0131n\u0131n diske dokunmadan ger\u00e7ekle\u015fti\u011fi \u015f\u00fcphesi uyand\u0131 ve olay m\u00fcdahale ekibi, bellek adli bili\u015fimi uzmanlar\u0131n\u0131 devreye soktu.<\/p>\n<h4>A\u015fama 1: Bellek D\u00f6k\u00fcm\u00fc ve \u0130lk \u0130nceleme<\/h4>\n<p>Uzman ekip, etkilenen kritik sunucular\u0131n ve birka\u00e7 \u015f\u00fcpheli i\u015f istasyonunun anl\u0131k bellek d\u00f6k\u00fcmlerini h\u0131zl\u0131ca ald\u0131. FTK Imager Lite ve LiME (i\u015fletim sistemine g\u00f6re) kullan\u0131larak al\u0131nan d\u00f6k\u00fcmler, g\u00fcvenli bir ortama aktar\u0131ld\u0131. \u0130lk analiz i\u00e7in Volatility Framework kullan\u0131ld\u0131.<\/p>\n<pre><code>\n# Kritik sunucunun bellek d\u00f6k\u00fcm\u00fcnden profil belirleme\npython vol.py -f server_memdump.mem imageinfo\n\n# Belirlenen profile g\u00f6re s\u00fcre\u00e7 listeleme\npython vol.py -f server_memdump.mem --profile=WinServer2016x64 pslist\n<\/pre>\n<p><\/code><\/p>\n<p><code>pslist<\/code> komutu \u00e7\u0131kt\u0131s\u0131 incelendi\u011finde, baz\u0131 <code>wsmprovhost.exe<\/code> (Windows Uzaktan Y\u00f6netim) ve <code>powershell.exe<\/code> s\u00fcre\u00e7lerinin normalden daha uzun s\u00fcredir \u00e7al\u0131\u015ft\u0131\u011f\u0131 ve beklenenden daha fazla bellek t\u00fcketti\u011fi fark edildi. Bu durum, \u00f6zellikle bu s\u00fcre\u00e7lerin normalde bu kadar aktif olmamas\u0131 gerekti\u011fi bir ortamda, ilk \u015f\u00fcpheleri uyand\u0131rd\u0131.<\/p>\n<h4>A\u015fama 2: \u015e\u00fcpheli S\u00fcre\u00e7lerin Derinlemesine Analizi<\/h4>\n<p>Uzmanlar, \u015f\u00fcpheli <code>powershell.exe<\/code> s\u00fcre\u00e7lerinin PID'lerini not alarak daha derinlemesine incelemeye ba\u015flad\u0131lar. <code>malfind<\/code> eklentisi kullan\u0131larak bu s\u00fcre\u00e7lerin bellek alanlar\u0131 tarand\u0131.<\/p>\n<pre><code>\n# \u015e\u00fcpheli PowerShell s\u00fcre\u00e7lerinde k\u00f6t\u00fc ama\u00e7l\u0131 kod arama\npython vol.py -f server_memdump.mem --profile=WinServer2016x64 malfind -p 1234,5678\n<\/pre>\n<p><\/code><\/p>\n<p>Sonu\u00e7lar \u015fok ediciydi: <code>malfind<\/code>, bu <code>powershell.exe<\/code> s\u00fcre\u00e7lerinin belle\u011finde \"MZ\" ba\u015fl\u0131\u011f\u0131na sahip, ancak disk \u00fczerinde kar\u015f\u0131l\u0131\u011f\u0131 olmayan enjekte edilmi\u015f kod bloklar\u0131 tespit etti. Bu, sald\u0131rganlar\u0131n bir fileless PowerShell sald\u0131r\u0131s\u0131 kullanarak me\u015fru bir s\u00fcrecin belle\u011fine kendi k\u00f6t\u00fc ama\u00e7l\u0131 kodlar\u0131n\u0131 enjekte etti\u011finin a\u00e7\u0131k bir g\u00f6stergesiydi.<\/p>\n<div class=\"uzman-ipucu\">Uzman \u0130pucu: <code>malfind<\/code> taraf\u0131ndan tespit edilen \"MZ\" ba\u015fl\u0131\u011f\u0131, genellikle bir PE (Portable Executable) dosyas\u0131n\u0131n ba\u015flang\u0131c\u0131d\u0131r. Bellekte \"MZ\" ba\u015fl\u0131\u011f\u0131yla ba\u015flayan ve disk \u00fczerinde kar\u015f\u0131l\u0131\u011f\u0131 olmayan bir kod blo\u011fu g\u00f6rmek, s\u00fcre\u00e7 enjeksiyonu veya reflektif DLL y\u00fcklemesi gibi fileless sald\u0131r\u0131 tekniklerinin g\u00fc\u00e7l\u00fc bir i\u015faretidir.<\/div>\n<h4>A\u015fama 3: Kimlik Bilgileri ve A\u011f Ba\u011flant\u0131lar\u0131<\/h4>\n<p>Sald\u0131rgan\u0131n yetki y\u00fckseltip y\u00fckseltmedi\u011fini anlamak i\u00e7in, <code>LSASS.exe<\/code> s\u00fcrecinden kimlik bilgileri \u00e7ekilmeye \u00e7al\u0131\u015f\u0131ld\u0131.<\/p>\n<pre><code>\n# LSASS s\u00fcrecinden kimlik bilgisi (hash) d\u00f6k\u00fcm\u00fc\npython vol.py -f server_memdump.mem --profile=WinServer2016x64 hashdump\n<\/pre>\n<p><\/code><\/p>\n<p><code>hashdump<\/code> \u00e7\u0131kt\u0131s\u0131, y\u00fcksek yetkili bir etki alan\u0131 y\u00f6neticisinin (domain administrator) NTLM hashini i\u00e7eriyordu. Bu, sald\u0131rgan\u0131n muhtemelen \"Pass-the-Hash\" sald\u0131r\u0131s\u0131 i\u00e7in bu hash'i bellekte saklad\u0131\u011f\u0131 anlam\u0131na geliyordu.<\/p>\n<p>A\u011f ba\u011flant\u0131lar\u0131n\u0131 kontrol etmek i\u00e7in <code>netscan<\/code> kullan\u0131ld\u0131:<\/p>\n<pre><code>\n# A\u011f ba\u011flant\u0131lar\u0131n\u0131 listeleme\npython vol.py -f server_memdump.mem --profile=WinServer2016x64 netscan\n<\/pre>\n<p><\/code><\/p>\n<p><code>netscan<\/code> \u00e7\u0131kt\u0131s\u0131nda, \u015f\u00fcpheli <code>powershell.exe<\/code> s\u00fcre\u00e7lerinden birinin, GlobalCapital Inc.'in a\u011f\u0131nda bilinmeyen bir d\u0131\u015f IP adresine (\u00f6rne\u011fin, 192.168.1.100 - bu bir i\u00e7 IP adresi olurdu, d\u0131\u015f bir IP adresi \u00f6rne\u011fi d\u00fc\u015f\u00fcnelim: <code>203.0.113.42<\/code>) HTTPS (port 443) \u00fczerinden s\u00fcrekli ba\u011flant\u0131 kurdu\u011fu tespit edildi. Bu, sald\u0131rgan\u0131n komuta-kontrol (C2) sunucusuyla ileti\u015fim kurdu\u011funu ve hassas verileri d\u0131\u015far\u0131 s\u0131zd\u0131rd\u0131\u011f\u0131n\u0131 (exfiltration) g\u00f6steriyordu.<\/p>\n<h4>A\u015fama 4: Sald\u0131r\u0131n\u0131n Kronolojisi ve Etkisi<\/h4>\n<p><code>cmdscan<\/code> ve <code>console<\/code> eklentileri kullan\u0131larak \u015f\u00fcpheli s\u00fcre\u00e7lerin komut ge\u00e7mi\u015fleri incelendi. Sald\u0131rgan\u0131n, PowerView ve BloodHound gibi ke\u015fif ara\u00e7lar\u0131n\u0131 kullanarak Active Directory \u00fczerinde bilgi toplad\u0131\u011f\u0131, ard\u0131ndan <code>invoke-mimikatz<\/code> gibi PowerShell betikleriyle kimlik bilgilerini \u00e7ald\u0131\u011f\u0131 ve son olarak bu kimlik bilgileriyle hassas veri sunucular\u0131na eri\u015ferek verileri \u015fifreli bir t\u00fcnel \u00fczerinden C2 sunucusuna aktard\u0131\u011f\u0131 anla\u015f\u0131ld\u0131.<\/p>\n<pre><code>\n# Konsol ge\u00e7mi\u015fini inceleme (varsa)\npython vol.py -f server_memdump.mem --profile=WinServer2016x64 cmdscan\npython vol.py -f server_memdump.mem --profile=WinServer2016x64 console\n<\/pre>\n<p><\/code><\/p>\n<p><strong>Sonu\u00e7:<\/strong> Bellek adli bili\u015fimi sayesinde, GlobalCapital Inc. sald\u0131r\u0131n\u0131n diske dokunmadan ger\u00e7ekle\u015fti\u011fini, hangi tekniklerin kullan\u0131ld\u0131\u011f\u0131n\u0131, hangi kimlik bilgilerinin \u00e7al\u0131nd\u0131\u011f\u0131n\u0131 ve hangi verilerin s\u0131zd\u0131r\u0131ld\u0131\u011f\u0131n\u0131 kesin olarak belirleyebildi. Geleneksel g\u00fcvenlik ara\u00e7lar\u0131n\u0131n hi\u00e7bir iz bulamad\u0131\u011f\u0131 bu karma\u015f\u0131k APT sald\u0131r\u0131s\u0131, bellek analizinin derinlemesine yetenekleri sayesinde tamamen \u00e7\u00f6z\u00fcld\u00fc. Bu, kurumun, sald\u0131rgan\u0131n a\u011fdaki kal\u0131c\u0131l\u0131\u011f\u0131n\u0131 sonland\u0131rmas\u0131na, etkilenen sistemleri temizlemesine ve gelecekteki benzer sald\u0131r\u0131lara kar\u015f\u0131 savunmas\u0131n\u0131 g\u00fc\u00e7lendirmesine olanak tan\u0131d\u0131.<\/p>\n<p>Bu senaryo, bellek adli bili\u015fiminin modern siber tehditlerle m\u00fccadeledeki vazge\u00e7ilmez rol\u00fcn\u00fc net bir \u015fekilde ortaya koymaktad\u0131r. Diske yaz\u0131lmayan s\u0131rlar\u0131 ortaya \u00e7\u0131karmak i\u00e7in, g\u00fcvenlik uzmanlar\u0131n\u0131n bu alandaki bilgi ve becerilerini s\u00fcrekli geli\u015ftirmeleri b\u00fcy\u00fck \u00f6nem ta\u015f\u0131maktad\u0131r.<\/p>\n<h2>Sonu\u00e7: Bellek Adli Bili\u015fimi Neden Siber G\u00fcvenli\u011fin Gelece\u011fi?<\/h2>\n<p>Siber sald\u0131rganlar\u0131n taktikleri s\u00fcrekli evriliyor ve geleneksel g\u00fcvenlik \u00f6nlemlerini a\u015fmak i\u00e7in yeni yollar buluyorlar. \"Diske dokunmayan\" veya \"fileless\" sald\u0131r\u0131lar, bu evrimin en belirgin \u00f6rneklerinden biridir ve siber g\u00fcvenlik profesyonelleri i\u00e7in \u00f6nemli bir meydan okuma olu\u015fturmaktad\u0131r. Bu makalede ele ald\u0131\u011f\u0131m\u0131z gibi, bu t\u00fcr sald\u0131r\u0131lar sabit disk \u00fczerinde neredeyse hi\u00e7bir iz b\u0131rakmayarak tespit edilmeyi zorla\u015ft\u0131r\u0131rken, bellek adli bili\u015fimi, tam da bu bo\u015flu\u011fu dolduran kritik bir disiplin olarak \u00f6ne \u00e7\u0131kmaktad\u0131r.<\/p>\n<p>Bellek adli bili\u015fimi, bir sistemin \u00e7al\u0131\u015fma an\u0131ndaki ger\u00e7ek durumunu yans\u0131tan ge\u00e7ici verileri analiz etme yetene\u011fi sayesinde, sald\u0131rganlar\u0131n bellek \u00fczerindeki gizli operasyonlar\u0131n\u0131, enjekte ettikleri kodlar\u0131, kulland\u0131klar\u0131 kimlik bilgilerini ve ileti\u015fim kurduklar\u0131 komuta-kontrol sunucular\u0131n\u0131 g\u00fcn y\u00fcz\u00fcne \u00e7\u0131karmam\u0131z\u0131 sa\u011flar. Volatility Framework gibi g\u00fc\u00e7l\u00fc ara\u00e7lar ve geli\u015fmi\u015f analiz teknikleri sayesinde, g\u00f6r\u00fcnmez olan\u0131 g\u00f6r\u00fcn\u00fcr k\u0131labilir, sald\u0131r\u0131n\u0131n her a\u015famas\u0131n\u0131 detayl\u0131 bir \u015fekilde anlayabilir ve gelecekteki benzer tehditlere kar\u015f\u0131 daha sa\u011flam savunma stratejileri geli\u015ftirebiliriz. Ger\u00e7ek d\u00fcnya senaryolar\u0131nda da g\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere, bellek analizi, geleneksel y\u00f6ntemlerle tespit edilemeyen karma\u015f\u0131k APT sald\u0131r\u0131lar\u0131n\u0131n \u00e7\u00f6z\u00fclmesinde hayati bir rol oynam\u0131\u015ft\u0131r.<\/p>\n<p>Siber g\u00fcvenlik art\u0131k sadece diski korumakla ilgili de\u011fil; ayn\u0131 zamanda belle\u011fi anlamak, izlemek ve gerekti\u011finde analiz etmekle de ilgilidir. \u015eirketler ve kurumlar, g\u00fcvenlik olaylar\u0131na m\u00fcdahale yeteneklerini geli\u015ftirmek i\u00e7in bellek adli bili\u015fimi e\u011fitimlerine ve ara\u00e7lar\u0131na yat\u0131r\u0131m yapmal\u0131d\u0131r. Bu alan, siber g\u00fcvenlik d\u00fcnyas\u0131nda giderek daha fazla \u00f6nem kazanacak ve sald\u0131rganlar\u0131n gizli s\u0131rlar\u0131n\u0131 ortaya \u00e7\u0131kararak dijital d\u00fcnyam\u0131z\u0131 daha g\u00fcvenli hale getirmede anahtar bir rol oynayacakt\u0131r. Gelecekte, yapay zeka ve makine \u00f6\u011frenimi tabanl\u0131 \u00e7\u00f6z\u00fcmlerle birle\u015ferek bellek adli bili\u015fimi, tehdit avc\u0131l\u0131\u011f\u0131 ve olay m\u00fcdahalesinde \u00e7ok daha proaktif ve otomatik hale gelecektir.<\/p>\n<h3>S\u0131k\u00e7a Sorulan Sorular<\/h3>\n<div class=\"faq-item\">\n<h3>Bellek d\u00f6k\u00fcm\u00fc almak sistemi yava\u015flat\u0131r m\u0131?<\/h3>\n<p>Evet, bellek d\u00f6k\u00fcm\u00fc alma i\u015flemi s\u0131ras\u0131nda sistem performans\u0131 ge\u00e7ici olarak d\u00fc\u015febilir, \u00e7\u00fcnk\u00fc t\u00fcm RAM i\u00e7eri\u011fi okunup bir dosyaya yaz\u0131lmaktad\u0131r. Ancak, bu performans d\u00fc\u015f\u00fc\u015f\u00fc genellikle kabul edilebilir d\u00fczeydedir ve kritik kan\u0131tlar\u0131n yakalanmas\u0131 i\u00e7in vazge\u00e7ilmezdir. M\u00fcmk\u00fcn olan en k\u0131sa s\u00fcrede ve hedef sisteme ek y\u00fck bindirmeden bu i\u015flemin yap\u0131lmas\u0131 \u00f6nerilir.<\/p>\n<\/div>\n<div class=\"faq-item\">\n<h3>Bellek adli bili\u015fimi sadece Windows sistemler i\u00e7in mi ge\u00e7erlidir?<\/h3>\n<p>Hay\u0131r, bellek adli bili\u015fimi hem Windows hem de Linux, macOS ve hatta mobil i\u015fletim sistemleri gibi farkl\u0131 platformlar i\u00e7in de uygulanabilir. Volatility Framework gibi ara\u00e7lar, birden fazla i\u015fletim sistemi profilini destekler ve her platforma \u00f6zg\u00fc analiz yetenekleri sunar. Her platformun kendine \u00f6zg\u00fc bellek yap\u0131lar\u0131 ve d\u00f6k\u00fcm alma y\u00f6ntemleri bulunmaktad\u0131r.<\/p>\n<\/div>\n<div class=\"faq-item\">\n<h3>Bellekteki t\u00fcm veriler analiz edilebilir mi?<\/h3>\n<p>Bellek d\u00f6k\u00fcm\u00fc, sistemin o anki RAM i\u00e7eri\u011finin bir kopyas\u0131d\u0131r. Bu d\u00f6k\u00fcmdeki her bit veri analiz edilebilir teorik olarak. Ancak, pratikte, \u015fifreli bellek b\u00f6lgeleri, bozuk veriler veya h\u0131zl\u0131ca \u00fczerine yaz\u0131lan ge\u00e7ici veriler gibi baz\u0131 k\u0131s\u0131tlamalar olabilir. Yeterli ara\u00e7 ve uzmanl\u0131kla, bir\u00e7ok gizli bilgi yine de ortaya \u00e7\u0131kar\u0131labilir.<\/p>\n<\/div>\n<div class=\"faq-item\">\n<h3>Bellek adli bili\u015fimi ne kadar g\u00fcncel tehditleri tespit edebilir?<\/h3>\n<p>Bellek adli bili\u015fimi, imzaya dayal\u0131 tespit y\u00f6ntemlerinden farkl\u0131 olarak, k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n davran\u0131\u015fsal izlerini ve sistem \u00fczerindeki etkilerini analiz etti\u011fi i\u00e7in, s\u0131f\u0131r g\u00fcn (zero-day) sald\u0131r\u0131lar\u0131n\u0131 ve bilinen bir imzas\u0131 olmayan yeni tehditleri tespit etme konusunda olduk\u00e7a etkilidir. \u00c7\u00fcnk\u00fc sald\u0131rgan ne kadar yeni bir tehdit geli\u015ftirirse geli\u015ftirsin, \u00e7al\u0131\u015fmak i\u00e7in sistem belle\u011fini kullanmak zorundad\u0131r ve bu kullan\u0131m\u0131n izleri genellikle Volatility gibi ara\u00e7larla yakalanabilir.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir&hellip;","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1],"tags":[],"class_list":{"0":"post-30357","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-genel","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v20.5 (Yoast SEO v25.3.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131<\/title>\n<meta name=\"description\" content=\"G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir dosyaya bula\u015fma veya kal\u0131c\u0131 bir de\u011fi\u015fiklik yapma \u00fczerine kuruluyken, art\u0131k &quot;diske dokunmayan&quot; veya &quot;fileless&quot; olarak tabir edilen tehditler giderek yayg\u0131nla\u015f\u0131yor. Peki, bu ne anlama geliyor? Basit\u00e7e ifade etmek gerekirse, bu t\u00fcr sald\u0131r\u0131lar sabit diske herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmadan, do\u011frudan sistemin belle\u011finde (RAM) \u00e7al\u0131\u015farak faaliyet g\u00f6sterirler. Bu durum, geleneksel disk tabanl\u0131 adli bili\u015fim tekniklerini ve antivir\u00fcs \u00e7\u00f6z\u00fcmlerini i\u015flevsiz hale getirebilir, \u00e7\u00fcnk\u00fc incelenecek fiziksel bir iz b\u0131rak\u0131lmaz. Siber g\u00fcvenlik uzmanlar\u0131 i\u00e7in bu durum b\u00fcy\u00fck bir zorluk te\u015fkil ederken, bellek adli bili\u015fimi (Memory Forensics) tam da bu noktada devreye girerek, sald\u0131rganlar\u0131n g\u00f6lgelerde kalan s\u0131rlar\u0131n\u0131 ayd\u0131nlatmak i\u00e7in kritik bir ara\u00e7 haline gelmi\u015ftir. Bu makale, bellek adli bili\u015fiminin temel prensiplerinden en ileri tekniklerine kadar uzanan geni\u015f bir yelpazeyi ele alarak, diske dokunmayan tehditlere kar\u015f\u0131 nas\u0131l m\u00fccadele edebilece\u011fimizi ad\u0131m ad\u0131m a\u00e7\u0131klayacakt\u0131r.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/\" \/>\n<meta property=\"og:locale\" content=\"tr_TR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131\" \/>\n<meta property=\"og:description\" content=\"G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir dosyaya bula\u015fma veya kal\u0131c\u0131 bir de\u011fi\u015fiklik yapma \u00fczerine kuruluyken, art\u0131k &quot;diske dokunmayan&quot; veya &quot;fileless&quot; olarak tabir edilen tehditler giderek yayg\u0131nla\u015f\u0131yor. Peki, bu ne anlama geliyor? Basit\u00e7e ifade etmek gerekirse, bu t\u00fcr sald\u0131r\u0131lar sabit diske herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmadan, do\u011frudan sistemin belle\u011finde (RAM) \u00e7al\u0131\u015farak faaliyet g\u00f6sterirler. Bu durum, geleneksel disk tabanl\u0131 adli bili\u015fim tekniklerini ve antivir\u00fcs \u00e7\u00f6z\u00fcmlerini i\u015flevsiz hale getirebilir, \u00e7\u00fcnk\u00fc incelenecek fiziksel bir iz b\u0131rak\u0131lmaz. Siber g\u00fcvenlik uzmanlar\u0131 i\u00e7in bu durum b\u00fcy\u00fck bir zorluk te\u015fkil ederken, bellek adli bili\u015fimi (Memory Forensics) tam da bu noktada devreye girerek, sald\u0131rganlar\u0131n g\u00f6lgelerde kalan s\u0131rlar\u0131n\u0131 ayd\u0131nlatmak i\u00e7in kritik bir ara\u00e7 haline gelmi\u015ftir. Bu makale, bellek adli bili\u015fiminin temel prensiplerinden en ileri tekniklerine kadar uzanan geni\u015f bir yelpazeyi ele alarak, diske dokunmayan tehditlere kar\u015f\u0131 nas\u0131l m\u00fccadele edebilece\u011fimizi ad\u0131m ad\u0131m a\u00e7\u0131klayacakt\u0131r.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/\" \/>\n<meta property=\"og:site_name\" content=\"Kodlar\u0131n Gizemli D\u00fcnyas\u0131\" \/>\n<meta property=\"article:published_time\" content=\"2025-09-26T18:32:42+00:00\" \/>\n<meta name=\"author\" content=\"Fatih Soysal\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Yazan:\" \/>\n\t<meta name=\"twitter:data1\" content=\"Fatih Soysal\" \/>\n\t<meta name=\"twitter:label2\" content=\"Tahmini okuma s\u00fcresi\" \/>\n\t<meta name=\"twitter:data2\" content=\"29 dakika\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/\"},\"author\":{\"name\":\"Fatih Soysal\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\"},\"headline\":\"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131\",\"datePublished\":\"2025-09-26T18:32:42+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/\"},\"wordCount\":5294,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\"},\"inLanguage\":\"tr\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#respond\"]}],\"copyrightYear\":\"2025\",\"copyrightHolder\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#organization\"}},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/\",\"name\":\"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131\",\"isPartOf\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#website\"},\"datePublished\":\"2025-09-26T18:32:42+00:00\",\"description\":\"G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir dosyaya bula\u015fma veya kal\u0131c\u0131 bir de\u011fi\u015fiklik yapma \u00fczerine kuruluyken, art\u0131k \\\"diske dokunmayan\\\" veya \\\"fileless\\\" olarak tabir edilen tehditler giderek yayg\u0131nla\u015f\u0131yor. Peki, bu ne anlama geliyor? Basit\u00e7e ifade etmek gerekirse, bu t\u00fcr sald\u0131r\u0131lar sabit diske herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmadan, do\u011frudan sistemin belle\u011finde (RAM) \u00e7al\u0131\u015farak faaliyet g\u00f6sterirler. Bu durum, geleneksel disk tabanl\u0131 adli bili\u015fim tekniklerini ve antivir\u00fcs \u00e7\u00f6z\u00fcmlerini i\u015flevsiz hale getirebilir, \u00e7\u00fcnk\u00fc incelenecek fiziksel bir iz b\u0131rak\u0131lmaz. Siber g\u00fcvenlik uzmanlar\u0131 i\u00e7in bu durum b\u00fcy\u00fck bir zorluk te\u015fkil ederken, bellek adli bili\u015fimi (Memory Forensics) tam da bu noktada devreye girerek, sald\u0131rganlar\u0131n g\u00f6lgelerde kalan s\u0131rlar\u0131n\u0131 ayd\u0131nlatmak i\u00e7in kritik bir ara\u00e7 haline gelmi\u015ftir. Bu makale, bellek adli bili\u015fiminin temel prensiplerinden en ileri tekniklerine kadar uzanan geni\u015f bir yelpazeyi ele alarak, diske dokunmayan tehditlere kar\u015f\u0131 nas\u0131l m\u00fccadele edebilece\u011fimizi ad\u0131m ad\u0131m a\u00e7\u0131klayacakt\u0131r.\",\"breadcrumb\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#breadcrumb\"},\"inLanguage\":\"tr\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Anasayfa\",\"item\":\"https:\/\/fatihsoysal.com\/blog\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#website\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/\",\"name\":\"Fatihsoysal.com\",\"description\":\"Blog - Yaz\u0131l\u0131m D\u00fcnyas\u0131 Tecr\u00fcbelerim\",\"publisher\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/fatihsoysal.com\/blog\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"tr\"},{\"@type\":[\"Person\",\"Organization\"],\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1\",\"name\":\"Fatih Soysal\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"tr\",\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png\",\"contentUrl\":\"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png\",\"width\":512,\"height\":512,\"caption\":\"Fatih Soysal\"},\"logo\":{\"@id\":\"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/\"},\"description\":\"Kullan\u0131m ve kodlama m\u00fckemmeliyetini odak alan uygulamalar olu\u015fturma deneyimine sahip, profesyonel olarak 15+ y\u0131l \u00fczeri deneyime sahip bir yaz\u0131l\u0131m m\u00fchendisi.\",\"url\":\"https:\/\/fatihsoysal.com\/blog\/author\/fatihsoysal\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131","description":"G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir dosyaya bula\u015fma veya kal\u0131c\u0131 bir de\u011fi\u015fiklik yapma \u00fczerine kuruluyken, art\u0131k \"diske dokunmayan\" veya \"fileless\" olarak tabir edilen tehditler giderek yayg\u0131nla\u015f\u0131yor. Peki, bu ne anlama geliyor? Basit\u00e7e ifade etmek gerekirse, bu t\u00fcr sald\u0131r\u0131lar sabit diske herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmadan, do\u011frudan sistemin belle\u011finde (RAM) \u00e7al\u0131\u015farak faaliyet g\u00f6sterirler. Bu durum, geleneksel disk tabanl\u0131 adli bili\u015fim tekniklerini ve antivir\u00fcs \u00e7\u00f6z\u00fcmlerini i\u015flevsiz hale getirebilir, \u00e7\u00fcnk\u00fc incelenecek fiziksel bir iz b\u0131rak\u0131lmaz. Siber g\u00fcvenlik uzmanlar\u0131 i\u00e7in bu durum b\u00fcy\u00fck bir zorluk te\u015fkil ederken, bellek adli bili\u015fimi (Memory Forensics) tam da bu noktada devreye girerek, sald\u0131rganlar\u0131n g\u00f6lgelerde kalan s\u0131rlar\u0131n\u0131 ayd\u0131nlatmak i\u00e7in kritik bir ara\u00e7 haline gelmi\u015ftir. Bu makale, bellek adli bili\u015fiminin temel prensiplerinden en ileri tekniklerine kadar uzanan geni\u015f bir yelpazeyi ele alarak, diske dokunmayan tehditlere kar\u015f\u0131 nas\u0131l m\u00fccadele edebilece\u011fimizi ad\u0131m ad\u0131m a\u00e7\u0131klayacakt\u0131r.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/","og_locale":"tr_TR","og_type":"article","og_title":"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131","og_description":"G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir dosyaya bula\u015fma veya kal\u0131c\u0131 bir de\u011fi\u015fiklik yapma \u00fczerine kuruluyken, art\u0131k \"diske dokunmayan\" veya \"fileless\" olarak tabir edilen tehditler giderek yayg\u0131nla\u015f\u0131yor. Peki, bu ne anlama geliyor? Basit\u00e7e ifade etmek gerekirse, bu t\u00fcr sald\u0131r\u0131lar sabit diske herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmadan, do\u011frudan sistemin belle\u011finde (RAM) \u00e7al\u0131\u015farak faaliyet g\u00f6sterirler. Bu durum, geleneksel disk tabanl\u0131 adli bili\u015fim tekniklerini ve antivir\u00fcs \u00e7\u00f6z\u00fcmlerini i\u015flevsiz hale getirebilir, \u00e7\u00fcnk\u00fc incelenecek fiziksel bir iz b\u0131rak\u0131lmaz. Siber g\u00fcvenlik uzmanlar\u0131 i\u00e7in bu durum b\u00fcy\u00fck bir zorluk te\u015fkil ederken, bellek adli bili\u015fimi (Memory Forensics) tam da bu noktada devreye girerek, sald\u0131rganlar\u0131n g\u00f6lgelerde kalan s\u0131rlar\u0131n\u0131 ayd\u0131nlatmak i\u00e7in kritik bir ara\u00e7 haline gelmi\u015ftir. Bu makale, bellek adli bili\u015fiminin temel prensiplerinden en ileri tekniklerine kadar uzanan geni\u015f bir yelpazeyi ele alarak, diske dokunmayan tehditlere kar\u015f\u0131 nas\u0131l m\u00fccadele edebilece\u011fimizi ad\u0131m ad\u0131m a\u00e7\u0131klayacakt\u0131r.","og_url":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/","og_site_name":"Kodlar\u0131n Gizemli D\u00fcnyas\u0131","article_published_time":"2025-09-26T18:32:42+00:00","author":"Fatih Soysal","twitter_card":"summary_large_image","twitter_misc":{"Yazan:":"Fatih Soysal","Tahmini okuma s\u00fcresi":"29 dakika"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#article","isPartOf":{"@id":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/"},"author":{"name":"Fatih Soysal","@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1"},"headline":"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131","datePublished":"2025-09-26T18:32:42+00:00","mainEntityOfPage":{"@id":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/"},"wordCount":5294,"commentCount":0,"publisher":{"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1"},"inLanguage":"tr","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#respond"]}],"copyrightYear":"2025","copyrightHolder":{"@id":"https:\/\/fatihsoysal.com\/blog\/#organization"}},{"@type":"WebPage","@id":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/","url":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/","name":"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131","isPartOf":{"@id":"https:\/\/fatihsoysal.com\/blog\/#website"},"datePublished":"2025-09-26T18:32:42+00:00","description":"G\u00fcn\u00fcm\u00fcz\u00fcn karma\u015f\u0131k siber g\u00fcvenlik ortam\u0131nda, sald\u0131rganlar her ge\u00e7en g\u00fcn daha sofistike y\u00f6ntemler geli\u015ftirmekte. Eskiden sald\u0131r\u0131lar\u0131n \u00e7o\u011fu, sistemdeki bir dosyaya bula\u015fma veya kal\u0131c\u0131 bir de\u011fi\u015fiklik yapma \u00fczerine kuruluyken, art\u0131k \"diske dokunmayan\" veya \"fileless\" olarak tabir edilen tehditler giderek yayg\u0131nla\u015f\u0131yor. Peki, bu ne anlama geliyor? Basit\u00e7e ifade etmek gerekirse, bu t\u00fcr sald\u0131r\u0131lar sabit diske herhangi bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m b\u0131rakmadan, do\u011frudan sistemin belle\u011finde (RAM) \u00e7al\u0131\u015farak faaliyet g\u00f6sterirler. Bu durum, geleneksel disk tabanl\u0131 adli bili\u015fim tekniklerini ve antivir\u00fcs \u00e7\u00f6z\u00fcmlerini i\u015flevsiz hale getirebilir, \u00e7\u00fcnk\u00fc incelenecek fiziksel bir iz b\u0131rak\u0131lmaz. Siber g\u00fcvenlik uzmanlar\u0131 i\u00e7in bu durum b\u00fcy\u00fck bir zorluk te\u015fkil ederken, bellek adli bili\u015fimi (Memory Forensics) tam da bu noktada devreye girerek, sald\u0131rganlar\u0131n g\u00f6lgelerde kalan s\u0131rlar\u0131n\u0131 ayd\u0131nlatmak i\u00e7in kritik bir ara\u00e7 haline gelmi\u015ftir. Bu makale, bellek adli bili\u015fiminin temel prensiplerinden en ileri tekniklerine kadar uzanan geni\u015f bir yelpazeyi ele alarak, diske dokunmayan tehditlere kar\u015f\u0131 nas\u0131l m\u00fccadele edebilece\u011fimizi ad\u0131m ad\u0131m a\u00e7\u0131klayacakt\u0131r.","breadcrumb":{"@id":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#breadcrumb"},"inLanguage":"tr","potentialAction":[{"@type":"ReadAction","target":["https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/fatihsoysal.com\/blog\/bellek-adli-bilisimi-diske-dokunmayan-saldirilarin-sirlari\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Anasayfa","item":"https:\/\/fatihsoysal.com\/blog\/"},{"@type":"ListItem","position":2,"name":"Bellek Adli Bili\u015fimi: Diske Dokunmayan Sald\u0131r\u0131lar\u0131n S\u0131rlar\u0131"}]},{"@type":"WebSite","@id":"https:\/\/fatihsoysal.com\/blog\/#website","url":"https:\/\/fatihsoysal.com\/blog\/","name":"Fatihsoysal.com","description":"Blog - Yaz\u0131l\u0131m D\u00fcnyas\u0131 Tecr\u00fcbelerim","publisher":{"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/fatihsoysal.com\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"tr"},{"@type":["Person","Organization"],"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/002a254750921dcfd568a99e48240dd1","name":"Fatih Soysal","image":{"@type":"ImageObject","inLanguage":"tr","@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png","contentUrl":"https:\/\/fatihsoysal.com\/blog\/wp-content\/uploads\/2024\/04\/cropped-replicate-prediction-3kgg1hgjn5rgp0cf0p5tr0jw7w-1.png","width":512,"height":512,"caption":"Fatih Soysal"},"logo":{"@id":"https:\/\/fatihsoysal.com\/blog\/#\/schema\/person\/image\/"},"description":"Kullan\u0131m ve kodlama m\u00fckemmeliyetini odak alan uygulamalar olu\u015fturma deneyimine sahip, profesyonel olarak 15+ y\u0131l \u00fczeri deneyime sahip bir yaz\u0131l\u0131m m\u00fchendisi.","url":"https:\/\/fatihsoysal.com\/blog\/author\/fatihsoysal\/"}]}},"yoast_meta":{"yoast_wpseo_title":"","yoast_wpseo_metadesc":"","yoast_wpseo_canonical":""},"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/posts\/30357","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/comments?post=30357"}],"version-history":[{"count":0,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/posts\/30357\/revisions"}],"wp:attachment":[{"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/media?parent=30357"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/categories?post=30357"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fatihsoysal.com\/blog\/wp-json\/wp\/v2\/tags?post=30357"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}