FTK Imager yazılımı kullanılarak image almak

-== GİRİŞ ==-
Image Almak Ne demektir ?

Image ingilizcede resim anlamına gelmektedir.
Ancak adli bilişim penceresinden bakarsak bunun faklı bir anlamı vardır.
Kelime bu anlamı ilk anlamından ötürü kazanmış olabilir.
Adli Bilişim Dijital Delillerin incelenmesini ve korunmasını konu alan yeni bir disiplindir.

Filmlerde olay yeri inceleme ekiplerinin olay mahaline vardıklarında kurban'nın ve olay yerinin detaylı fotoğraflarını çektiklerini görmüşüzdür.
Bunu olay yerini yada kurbanı daha sonra bozulmadan inceleme fırsatı bulabilmek için yaparlar.
Çünkü kendileri olay mahâlinden ayrıldıktan sonra bir takım deliller zamana bağlı olarak zarar görebileceği gibi birileri tarafındanda karartılabilir.

Aynı olasılıklar dijital deliller içinde geçerlidir.
Bu nedenle olay mahaline varıldığında kurbanın yada failin,(fotoğrafını çektiğiniz sırada bunu bilemeyebilirsiniz)
(her iki durumda da zanlının(aslında zanlıya ait olan depolama aygıtının))
fotoğrafını çekmeniz gerekir.
Bu fotoğraf çekme işlemine Image almak denilir.

-== Dökümanın Amacı ==-
Bu Döküman FTK Imager yazılımı kullanılarak image alma işleminin nasıl yapılacağına ışık tutmayı hedeflemektedir.
Ayrıca FTK Imager kullanarak silinmiş ve üzerine tekrar veri yazılmamış bir dosyanın nasıl bellek alnından geri getirileceği açıklanacaktır.

-== FTK Imager Kullanarak Image almak ==-
Image almanın ne demek olduğunu anladığımıza göre şimdi nasıl image alacağımıza geçebiliriz.
Öncelikle FTK Imager Yazılımını Bilgisayarımıza Yüklemeliyiz.

NOT: (http://marketing.accessdata.com/ftkimager4.2.0)
Bağlantıyı kullanarak mail adres bilgilerinizi yazılım dağıtıcısına bildirmeniz doğrultusunda
sizin yazılımı indirebilmeniz için yeni bir bağlantı oluşturularak mail adresinize gönderilecektir.
Mail adresinize gönderilen bağlantıyı kullanarak yazılımı bilgisayarınıza yükleyebilirsiniz.

Yazılımı bilgisayarınıza sorunsuz bir şekilde yüklediğinizi varsayarak anlatıma devam ediyorum.
Yazılım kurulumu tamamlandığında masaüstünüzde FTK Imager yazılımını başlatmanız için bir kısayol oluşturulmuş olur.
Bu kısayolu kullanarak yazılımı başlatın.
Blgisayarınıza USB portu üzerinden bir çıkarılabilir disk bağlayın.(Tercihen 8 GB Alana sahip bir disk olabilir.)
(Diskin boyutu Image alma işleminin alacağı zaman ile doğru orantılıdır.)
Diski bağladıysanız şimdi "File" menüsünden "Create Disk Image..." seçeneğini seçin.
Açılan pencerede sizden Delil türünü belirlemeniz istenilecektir.
Burada Eğer Bir USB Bellek bağladıysanız "Physical Drive" seçeneğini seçerek "Next" Ediniz.
Bir sonraki aşamada sizeden bağladığınız diski seçmeniz istenilecektir.
Bağladığınız Disk'i seçerek "Finish" ediniz.

Yeni bir pencere açılacaktır.
Burada bizden alacağımız image'ın çıktı formatını belirlememizi istiyor.
"Add" butonuna tıklayıp "Raw(dd)" seçeneğinin işaretli olduğundan emin olarak "Next" edelim.
Delil ile ilgili bilgilerin karışmasını önlemek amacıyla bizden delil bilgilerini istiyor.
Bu alanları dolduralım. ve next diyelim.
Image çıktısını kaydetmek için bir dosya konumu girmemizi istiyor.
Burada Bilgisayarımızın masa üstüne "Delil1" adında bir klasör oluşturup seçelim.
"Image Filename" alanınada "Delil1" yazalım.
"Image Fragment Size" alanına bağladığımız cihazın hafıza alanını (MB) türüne çevirerek yazalım.
"Finish" dediğimizde Create Image Penceresine geri döneceğiz.

"Start" butonuna tıklayarak Image alma işlemini başlatalım.
Bu işlem donanımınıza bağlı olarak biraz zaman alabilir.

İşlem tamamlandıktan sonra açılan son pencere size iki adet MD5 ve iki adet SHA1 görüntülenir.
Bu iki MD5(32 karakter uzunluğunda hash) Birbirinin Aynısı olmalıdır.
Birinci MD5 Computed MD5 (Hesaplanan MD5)
ikincisi ise Report MD5 (Stored yani zaten image alma işlemi yapılırken hesaplanan MD5)
Eğer Bu iki hash birbirinin aynısı değilse iki durum söz konusudur:
1 - Image dosyasında değişiklik yapıldı.
2 - Delil kabul edilen aygıtta tutulan veride değişiklik yapıldı.

Bu andan sonra artık image alma işlemini tamamladınız.
Aldığınız image dosyasını güvenli bir ortamda muhafaza ettiğinizden emin olunuz.
Ayrıca Bilgisayarınıza bağlı donanım ile image hashlerini tekrar hesaplayıp delilin sağlamlığını denetlemek için
daha sonradan File Menüsünden "Verify Drive/Image..." buttonuna tıklayabilirsiniz.

-== FTK Imager Kullanarak Silinen Dosyaları Kurtarmak ==-
Silinen dosyaları kurtarmak istediğiniz diskin imajını alınız.
Bu işlem zaten yukarıda anlatıldı.
imaj aldıktan sonra "File" Menüsünden "Add Evidence Item..." tıklayarak açılan pencereden "image file" seçeneğini seçerek image dosyanızı işaret ediniz.
daha sonra "Finish" ediniz.

Şimdi ekranın sol tarafında Evidence Tree alanında sildiğiniz ve geri getirmek istediğiniz dosyanın bulunduğu alana gidin.
Eger disk üzerinde o dosyanın adresine başka bir veri kayıt edilmemişse dosyanızı burada bulabilirsiniz.
Geri getirmek istediğiniz dosyaya sağ tıklayıp "Export Files" yapınız dosyayı bilgisayarınızda herhangi bir dizine çıkarabilirsiniz.