AXIOM Process programı ile analiz ettiğimiz imaj veya dosya sistemlerini inceleyebildiğimiz ve raporlama işlemlerini gerçekleştirdiğimiz programdır.
AXIOM Process programı vasıtasıyla başlattığımız analiz işleminden sonra otomatik olarak Examine programı açılmaktadır ve analiz edilen imajımız veya dosya sistemimiz inceleme için hazır halde karşımıza gelmektedir. Process programında bir işlem yapmadan Examine programını açarsak ise karşımıza aşağıdaki gibi ekran gelmektedir.
Magnet Examiner programı ilk açıldığında aşağıdaki ekran görüntüleri karşımıza gelmektedir.
Magnet Examiner programı ilk açıldığında ilk yapılması gereken işlem saat zaman dilimini kontrol etmek ve yapılandırmaktır. Program üzerinde varsayılan zaman diliminin UTC + 0 şeklindedir. Yapılan erişim kayıtlarının veya oluşturulan verilerin gerçek zaman tespiti için mutlaka ülkemize ait saat diliminin ayarlanması gerekmektedir.
Dava Panosu: Kanıtları analiz ederken hangi türde, ne şekilde görüntülemek istiyorsak ana ekrandaki sol üstte belirleyebiliriz.
- Dava Panosu Case içeriklerini gözden geçirip, kanıtları incelemeye başlamak için görüntüleme yapılan sekmedir.
- Bağlantılar Bilgisayar, mobil ve bulut kaynakları da dahil olmak üzere davanızdaki tüm kanıtlar arasındaki bağlantıları hızlı bir şekilde bularak case parçalarını detaylandıran sekmedir.
- Dosya Sistemi Dosya sistemi ağacını detaylandırmanıza izin verir. Unallocated Space ve Volume Slack gibi ek içeriği görüntülemenizi sağlar.
- Kayıt Defteri Windows Kayıt Defteri, Sistem donanımı, yüklü programlar ve ayarlar ve kullanıcı profilleri hakkında önemli bilgileri depolar.
- Yapılar Yaptığınız soruşturmanın türüne bağlı olarak, spesifik bir içerik inceleyebilirsiniz. Örneğin, Dolandırıcılık durumunda, e-posta ve web ile ilgili sekmelere odaklanmak isteyebilirsiniz.
- Zaman Çizelgesi Zaman damgalı olarak kanıtları kronolojik sırayla incelemenizi sağlar.
- Yapılar: Yapı ayrıntılarında seçmiş olduğumuz tüm process içeriklerine göre sonuç bilgilerinin yer aldığı sekmedir. Analiz işlemleri neticesinde elde edilen verilerin program tarafından otomatik hazırlanmış imza taramaları, uzantı eşleştirmeleri yapılmış bir biçimde sekmeler halinde incelemeciye sunduğu bir ekrandır.
Ekranın sol kısmında elde edilen verileri, hangi kategoriden ne kadar veri geldiği gibi bilgileri görebilirsiniz. Buradan üzerine tıklayarak istediğimiz kategorinin içerisindeki verileri görüp inceleyebiliyoruz.
Ekranın ortasında yer alan sütunlara bölünmüş alanda ve sağ kısımda özet bilgisi olarak toplanmış verileri ve detaylarını görüntüleyebilirsiniz.
Filtreler: Ekranın en üst kısmında “FİLTRELER” bölümü bulunmaktadır. Yapılan Process işlemleri sonucunda binlerce, hatta milyonlarca veri içeriği olabilir. Bu sonuçlara göz atmak zaman alıcı bir görev gibi görünebilir, ancak filtreler uygulayarak kanıtları çok daha yönetilebilir hale getirebilirsiniz. Filtre çubuğu, araştırmak istediğiniz sonuçlar için belirli koşullar oluşturmanıza olanak tanır. Birden fazla Filtre de oluşturabilirsiniz, böylece uyguladığınız her ek filtre görüntülenen sonuçları azaltıp iyileştirebilir.
Kanıt: İmaja göre kanıtları gösterir. Örneğin, hem bilgisayar hem de iOS imajları varsa, bilgisayardan, ios'tan veya her iki imaj kaynağından kanıtları görüntüleyebilirsiniz.
Yapılar: Artifact türleri ya da artifact gruplarını kanıt içerisinde gösterir.
İçerik Türleri: Belirli bir içerik türüne (örneğin, resimler, video ve ses) dayalı kanıt gösterir. Kullanıcılar tarafından erişilemeyen (silinen dosyalar) veya erişilebilen dosyalara göre filtreleme yapılabilir.
Tarih ve Saat: Kanıtları tarih ve saate göre gösterir. Mutlak tarih/saat (belirli bir tarih ve saat aralığı) veya göreceli tarih/saat (belirli bir tarihin yaklaşık saati) ile arama yapabilirsiniz.
Etiket ve Yorumlar: İstenilen kanıta etiket eklemek için ayarlar yapabilir ve herhangi bir veya birden fazla etikete sahip verileri filtreleme yaparak görüntüleyebilirsiniz.
Profiller: Kullanıcı adları, e-posta adresleri, telefon numaraları gibi belirli bir kişiyle ilişkilendirmek için profiller kullanılır.
Kısmı Sonuçlar: Kanıttan elde edilen veriler tam veya kısmi olup olmadığına bağlı olarak gösterilir. hem unallocated hem de silinmiş alanı aradığından, kurtarılan veriler tam ve kısmi sonuçların bir karışımı olabilir. Kısmi sonuçlar değerlidir, ancak genellikle altta yatan verilerin manuel olarak incelenmesini gerektirir.
Anahtar Kelime Listesi: Anahtar kelimelere veya anahtar kelime listelerine dayalı kanıtları veya bulguları göster.
Ten Rengi: Medya dosyalarındaki tüm farklı cilt renkleri için cilt tonunun toplam yüzdesine dayalı kanıtları gösterin.
Benzer Resimler: Benzer resimleri bulduktan sonra, bu filtre görünür.
Zaman Çizelgesi: Yapı ayrıntılarında seçmiş olduğumuz tüm process içeriklerine göre tüm verilerin zaman damgasını oluşturduğu sekmedir. Oluşturulan verilerin veya erişimlerin zaman çizelgesi olarak sınıflandırılan ve zaman dilimine göre analiz yapmayı sağlayan sekmedir.
Kanıt Defteri: İşletim sistemine ait Regedit kayıtları, sistem kayıtları, Windows olay görüntüleyici kayıtları, Oturum kayıtları, Kullanıcı işlemleri ve yazılım kayıtlarının görsel bir şekilde analizinin yapıldığı ve görüntülediği sekmedir.
PORTABLE CASE VE RAPOR/EXPORT OLUŞTURMA
Sol kısımdaki başlıklardan “TÜM KANITLAR” sekmesinde sağ tıkladığımız zaman karşımıza aşağıdaki ekranda görüldüğü gibi iki seçenek gelmektedir. Deliller üzerinde de sağ tıkladığımızda seçenek gelmektedir. “Dışarı aktarma / rapor oluştur” seçeneği ile tüm verileri export ederek raporlama işlemi yapabiliriz. “Mobil vaka oluştur” seçeneği ile inceleme yaptığımız içerikleri soruşturmacı birimler örneğin; savcılık veya adına inceleme yaptığımız diğer şubeler tarafından da bizim inceleyebildiğimiz şekliyle dongle’a ihtiyaç duymadan incelenebilmesi için oluşturduğumuz bir taşınabilir case dosyası oluşturabiliriz. Bu işlemleri sadece seçtiğimiz başlıklar altında da yapabilir, sadece belirli verilerin exportunu ya da taşınabilir case dosyasını oluşturabiliriz.
Oluşturmak istediğiniz dışa aktarma / rapor türünü seçebilirsiniz. Farklı formatlarda (Excel, XML, HTML, PST, PDF vb.) rapor biçiminde oluşturabilirsiniz. Mobil Vaka sekmesi seçilmesi durumunda export edilen veriler Magnet Axiom üzerinden görüntülediğimiz şekilde açılacaktır.
Dışa aktarma / raporunuza dahil etmek istediğiniz öğeleri seçebilirsiniz.
Şablon kullanmayı seçebilirsiniz. Bir şablon kullandığınızda, Dışa Aktarım / rapor ayarlarını yönet seçenekleri şablonunuzdaki ayarlara göre otomatik olarak yapılandırılır; böylece raporunuzu oluşturmaya devam edebilir veya iş akışının geri kalanında varsayılan ayarları değiştirebilirsiniz.
Yazar: Ögt. Göv. Dr. Baki NAKKAŞ (Adli Bilişim Uzmanı)
