 |  |  |  |  | |
Adli Bilişim Analizi için Ulusal Çözüm ve Ekonomiye Etkisi |
Bilgi Teknolojilerindeki ilerleme ve artan bilgisayar sayısına paralel, toplumsal ilişkilerdeki değişim, beraberin de yeni yaşam biçimleri, suç türleri ve düşüncenin temsil biçimlerini yaşamımıza kattı.
Bilişim Suçları konusunda mağdur yada sanık olanlara ait haberler medya da sürekli olarak yer buluyor. Geçen yılki artış oranı %600 olarak gerçekleşmiş.
Şirketine kızan, bilgileri satıyor, ilişkilerinde aldanan mahrem görüntüleri yayınlıyor, evlilikler yıkılıyor. İnternet’ ten bankacılık işlemleri ve alış-veriş yapanlar sanal korsanlar tarafından dolandırılıyor. Kredi kartı ve hesap bilgileri çalınıp, uluslar arası düzeyde satılıyor, ifşa ediliyor.
Tüm bunlar bilgi toplumunun bize sunduğu yeni yaşam biçimleri.
Mevcut hukuki düzenlemeler biraz geriden de gelse, yeni suç çeşitleriyle mücadele ve cezalandırma konusunda bizlere yardımcı olacak düzenlemeler içeriyor.
Tam bu noktada, delillerin korunması, temin edilmesi, olay örgüsünü açıklayacak şekilde hukukçulara sunulması süreci için adli bilimlerin yeni bir alanı olan Adli Bilişim Analizine (Computer Forensic Analysis) ihtiyaç var.
Artan nüfus, reklamlarla şekillenen yeni tüketici talepleri sonucu; her gün dolaşıma giren, bilgiye erişim cihazları (Cep telefonu, cep bilgisayarı, diğer bilgisayar) artan internet erişimi ve hızı sayesinde, şifrelenmemiş ve imzalanmamış veri akışı potansiyel bilişim suçu ve suçluları doğuyor.
Sürekli hızlanan ve artan toplu bilgisayar ortamları ve ele geçirilen güçlü üniversite bilgisayarları sayesinde şifrelerin kırılabilirliği ve mevcut algoritmaların işlevsizleştirilmesi ; karşı karşıya kaldığımız hazin sonuç!
Diyalektik bir gelişme ve çelişki olan bu durum ARGE için tetikleyici olup, daha hızlı işlemciler ve zor şifreler, yeni algoritmalar olarak karşımıza çıkıyor.
Yeni ekonominin internetle ivmelendiği ve e-ticareti merkez aldığı süreçler e-dönüşümü zorunlu hale getiriyor. İnternet üzerinden yapılan işlemlerde elektronik para ve dijital imza, olmazlarımız arasında yerini alıyor. Beraberinde yasal düzenlemelerle, XML tabanlı elektronik fatura ve şirketlerin dijital mali denetimi yeni ihtilaf alanları için bize yol gösterecek.
Kimlik doğrulama, inkar edememe ve insana dair fiziksel özelliklerin bilgisayar için tanımlaması bizleri ; parmak izi, göz tarama, görüntü tanıma gibi bilişim de biyometrik yöntemlerle karşı karşıya bırakacak.
Buraya kadar yaptığım tespit, dünyamız için genel bir durum.
Ancak Türkiye dışında birçok ülke, artan bilişim suçları ve suçlunun tespiti için çoğu açık kaynak kodlu ulusal Adli Bilişim Analizi araçları ve yazılımları geliştiriyor.
A.B.D,( Carnivore – EnCase – Autopsy - The Sleuth Kit)
İtalya, Belçika, (FCCU)
Hollanda yı (www.forensix.org) içerik geliştiren ülkelere örnek verebiliriz.
Maalesef ülkemizin böyle bir çabası yok!
Adli Bilişim Analizi için ulusal standartları belirlemek ve yazılım-donanım geliştirmek, doğal olarak beraberin de bir bilişim eko sistemini doğuracaktır.
Elektronik imzadan, mobil imzaya, şifreleme ve kripto algoritmalarına kadar olan süreç günlük kullanıma geçtiğinde e-devlet projeleri için güven ve tespite dayalı bir standardı beraberinde getirmiş olacaktır.
ADLİ BİLİŞİM KURUMU nun kurulması ve bilişim ekosistemi ile standartları beraberinde getirecek olan bu oluşum, ANSI, NIST, IETF gibi uluslar arası kurumlarla bilgi paylaşımıyla koordineli olarak oluşturulabilir.
Ulusal güvenliğimiz için tıpkı A.B.D deki gibi NSA benzeri kurumlarında Türkiye de muadili kurulabilir.
Bilişim güvenliği için yapılacak olan ulusal standart düzenlemeleri, pazarımızı bilişim çöplüğü olmaktan koruyup, ulusal bilişim endüstrisi ve en önemlisi de üniversitelerimizde matematik bölümlerinin uluslar arası rekabete açılması ve şifre bilimi kriptoloji için istihdam yaratacaktır.
Adli bilişim analizi yazılımlarının çalışabilmesi için gerekli olan eko sistem çoğunlukla Linux, Unix ve az sayıda Windows platformlarında çalışmaktadır.
Ulusal Linux projemiz TÜBİTAK önderliğinde PARDUS adıyla geliştirilmiş ve hayli başarılı bulunmuştur.
Bu temelden hareketle, yine PARDUS’ la entegre çalışacak ve Adli Bilişim kurumu için bilişim suçlarının analizin de kullanılacak bir yazılım geliştirilmesi, stratejik hedeflerimiz için uygun olur.
Bilişim hukuku ile ilgili tarafların, Adalet Bakanlığı (hakim, savcı, avukat), Emniyet Genel Müdürlüğü (Bilişim Suçları Şube Müd.) ve ADLİ BİLİŞİM KURUMU nun faydalanacağı bu çalışma ; özel sektörden de alınacak danışmanlıkla TÜBİTAK- UEKAE tarafından ivedi olarak hayata geçirilebilir!
Adli Bilişim Analizi işinde 4 yıldır çalışıyorum. Tamamen bireysel çabam ve ön görümle girdiğim bu çalışma alanında; 15 yıllık bilişim sektörü deneyimi ile ihtiyaçları karşılamaya çalışıyorum.
Yurt dışından sürekli yazılım ve kitap temin ederek, makale okuyarak gelişmeleri takip ediyorum. Ülkemizde Adli Bilişim alanın da yazılmış kitap ve makalelerin sınırlı olması ve özgünlük taşımaması nedeniyle, maalesef her konuda olduğumuz gibi bu alanda da yurt dışına bağlı hareket etmek zorunda kalıyorum.
Devletin bu konuda düzenleyici rolünü yerine getirerek, bir an evvel bilişim de suç patlaması yaşanmadan ADLİ BİLİŞİM KURUMU nu kurmasını ve gerekli eko sistemin oluşması için ulusal standartları belirlemesi görevi acil olarak yetkilileri beklemektedir.
Aksi halde, yurt dışına bağımlı ve güvenliği sürekli izlenen ve gözlenen bir ülke olarak, yeni çağın savaş stratejilerine karşı baştan yenik duruma düşeceğiz.
Dünyanın uydulardan gözlendiği, internet’ten her türlü bilginin toplanabildiği, izlenebildiği, istihbaratının yapıldığı, Türk Silahlı Kuvvetleri’nden günlüklerin çalındığı ülkemizde, bilişim güvenliği için gerekli eko sistemi oluşturmak zorundayız.
Elektronik sayısal imza ve mobil kullanıma girmesi konusunda sektörü yönlendirecek ve zincirin bir halkası olacak olan düzenlemeler, Adli Bilişim Analizi için delilden suça ve suçluya giren inkar edilemez bilgileri temin etmek için elimizdeki en önemli dayanak olacaktır.
Yaşanan A.B.D kaynaklı finanssal skandallar beraberin de şirketlerin mali ve bilişim süreçlerinin denetimini getirmiş ve Basel II, Sarbonnes-Oxley, BBDK vb. yeni denetimlerle bizleri tanıştırmıştır.
Tam da bu nokta da pazarımız, daha önce yapmadığımız düzenlemeler nedeniyle yine yabancı şirketlerin bilişim denetimlerinden aslan payını kapmasını sağlamıştır.
COBIT ve ITIL gibi süreçlere yöneltilen şirketler; ISACA organizasyonun dan CISA / CISM vb. yetkinlikleri almış kişilerce gözden geçirilmektedir. Ülke olarak, adını saydığım organizasyonlar ve standartlar konusunda hiç bir düzenleme ve emeğimiz söz konusu değildir.
Diğer yandan EC-Council tarafından standartlaştırılan CEH (Certified Ethical Hacker) eğitimi de tamamen yabancı kaynaklı ve yurt dışına gelir aktaran bir düzenlemedir.
Bilişim güvenliği ve alt süreçleri konusunda bir an evvel standartları oluşturmalı ve bilişim sanayicilerimizin üretebileceği günlük hayatta kullanabileceğimiz ürünler, e-imza, PKI anahtarı vb. nesnelerin ülkemizde üretilmesini özendirmeliyiz.
İnternet bankacılığı ve e-ticaret konusunda her geçen gün artan kimlik bilgilerinin kopyalanması, takip edilmesi ve çalınması olaylarına karşı, sektörü yönlendirecek olan düzenlemeler yapılarak elektronik kimlik doğrulama (PKI-Akıllı Anahtar) e-sayısal imzayı kullanımı ve sunucu-istenci kayıtlarının (loglar) geriye dönük olarak saklanmasının zorunlu hale getirmesi; olası suçlar için tespit ve caydırıcılık oluşturacaktır.
Ayrıca artan e-ticaret hacmi ve bilgisayarlı muhasebe sistemlerinin kullanımının her geçen gün farklılaşarak artmasının bir sonucu olarak, şirketlerin dijital mali denetimi ve elektronik fatura ihtilafların oluşması Maliye Bakanlığı nı bekleyen yeni sorunlar olacaktır.
Özetle, ulusal bilişim endüstrimizin gelişmesi için oluşturacağız standartlar ve ekosistem beraberinde, ADLİ BİLİŞİM KURUMU nu destekleyecektir.
Kriptoloji için yapacağımız teşvikler ve üniversite destekli ARGE faaliyetleri ülkemizdeki özel ve kamu sektörü için kritik önem taşımaktadır. Sürekli yükselen bir pazar olan bilgi güvenliği, internet kullanımına paralel artan bir ihtiyaç olarak karşımıza çıkmaktadır.
SSL, SET, e-imza X.509 sertifikaları, şifre algoritmaları (Diffie Hellman, El Gamal muadili), PKI anahtarlar v.b. nesnelerin üretilmesi için yerli üreticilerin oluşmasını sağlamak ve teşvik etmek ; bilişim çağında ülkemiz için entelektüel emeğin istihdamı ve nitelikli iş gücümüzün değerlendirilmesi için kritik önem taşımaktadır.
Bilişim konusunda yaptığımız her satın alma faaliyeti nihaiyi olarak ithalata dayanmaktadır.
İhraç edilebilir ürünlerin arasında bilişim güvenliği ürünlerinin payını artırmak, yeni ekonomide bizi öne geçirecek, üniversitelerimizde pozitif bilimler için harcadığımız kaynakların ülke ekonomisine geri dönmesini sağlayacaktır.
Kaynakça:
[1] H. Carvey, Windows Forensic and Incident Recovery, Addison Wesley, 2005
[2] B. Carrier, File SystemForensic Analysis, Addison Wesley, 2005
[3] J. K. Jones, R. Bejtlich, C. Rose, Real Digital Forensics, Addison Wesley, 2006
[4] S. Bunting, W. Wei, EnCase Certified Examiner Study Guide, Sybex-Wiley, 2006
[5] E. Casey, Digital Evidence and Computer Crime, Elsevier Academic Press, 2004
[6] L. K. Berber, Adli Bilişim, Yetkin Yayınları, 2004
[7] L. K. Berber, M. Lostar, Bilişimde Biyometrik Yöntemler, Yetkin Yayınları, 2006
[8] L. K. Berber, İnternet Üzerinden Yapılan İşlemlerde Elektronik Para ve Dijital İmza, Yetkin Yayınları, 2002
[9] L. K. Berber, Elektronik Fatura ve Şirketlerin Dijital Mali Denetimi, Yetkin Yayınları, 2006
[10] C. O. Dirican, Teori ve Uygulamalar ile TCP/IP ve Ağ Güvenliği, Açık Akademi Yayınları, 2005
[11] A. Lockhart, Windows, Linux, BSD için Ağ Güvenliği İpuçları, Açık Akademi Yayınları, 2006
[12] W. R. Stanek, XML Cep Danışmanı, Microsoft-Arkadaş Yayınları, 2003
[13] V. Nabiyev, Teoriden Uygulamalara Algoritmalar, Seçkin Yayınları, 2007
[14] K. D. Mitnick, L. W. Simon, Aldatma Sanatı, ODTÜ Yayıncılık, 2006
[15] C. Çimen, S. Akleylek, E. Akyıldız, Şifrelerin Matematiği: Kriptografi, ODTÜ Yayıncılık, 2007
[16] D.Wells, Matematiğin Gizli Dünyası, Doruk Yayıncılık, 2006
[17] M. Guillen, Dünyayı Değiştiren Beş Denklem, Tübitak Yayınları, 2006
[18] Y.M. Öner, Proderminizm Yaşar-Kalma Olasılığı ve Zamanın Doğası, Belge Yayınları, 2000
[19] D. R. Headrick, Enformasyon Çağı-Akıl ve Devrim Çağında Bilgi Teknolojileri 1700-1850. Kitap Yayınevi, 2002
[20] J. P. King, Matematik Sanatı, Tübitak Yayınları, 2006
[21] R. Burk, UNIX Herkes İçin. SAMS-Alfa Yayınları, 2000
[22] A. Karagülmez, Bilişim Suçları ve Soruşturma Kovuşturma Evreleri, Seçkin Yayınları, 2005
[23] A.Arifoğlu, e-dönüşüm, SASYayınları, 2006
[24] Ü.Şen, “BDDK Bilgi Sistemleri Denetimleri”, Beyaz Şapka Dergisi, pp. 14-17, Mayıs 2007
[25] C. Ceylan, “Sanal Dünyadan Gerçek Felaket Hikayeleri”, Beyaz Şapka Dergisi, pp. 22-23, Mayıs 2007
Açıklamalar;
ANSI, ( Amerikan National Standards Institute) Amerikan Ulusal Standartlar Enstitüsü.
Autopsy - The Sleuth Kit, Brian Carrier tarafından geliştirilen açık kaynak kodlu, çoğunlukla Linuxta kullanılan Adli Bilişim Analizi programı.
Basel II, Finansal kurumlar için Avrupa merkezli Basel denetimi.
Carnivore, A.B.D tarafından geliştirilen ve çok gizli tutulan Adli Bilişim Analizi için inkar edilemez delillerin temininde kullanılan program.
CEH, (Official Certified Ethical Hacker), EC-Council tarafından bilişim sektörü sağlayıcılarının katılımıyla içeriği belirlenen harkerlara karşı şirketleri savunması için Serfikalı İyi Huylu-Ahlaklı Saldırgan Eğitimi.
CISA, (Certified Information Systems Auditor) Sertifikalı Bilgi Sistemleri Denetçisi
CISM, (Certified Information Security Manager) Sertifikalı Bilgi Güvenliği Yöneticisi
Computer Forensic, Adli Bilişim
COBIT, (Control Objectives for Information and related Technology ) Bilgi Teknolojileri için Hedeflerin Kontrol Edilmesi.
EC-Council (International Council of Electronic Commerce Consultants) Uluslar arası elektronik ticaret danışmanları topluluğu
EnCase, A.B.D merkezli Guidance yazılım şirketi tarafından Adli Bilişim Analizi için yapılan ünlü delil bulma programı.
.
FCCU, Belçika Polis teşkilatı tarafından bilişim suçlarının Adli Analizi için açık kaynak kodlu yazılımlardan oluşan CD’den çalışan program.
www.forensix.org Hollanda merkezli olup , Adli Bilişim Analizi konusunda bir ekosistem gelişmesi gerekli tüm programların ve kitapların tanıtıldığı web sitesi
IETF, (The Internet Engineering Task Force) İnternet Mühendisliğiyle Görevli Kuvvetler,
ITIL, (Information Technologies Infrastructure Library) Bilgi Teknolojileri Yapısal Kütüphanesi
ISACA, ( Information Systems Audit and Control Association) Bilgi Sistemleri Denetim ve Kontrol Birliği
NIST, (National Institute of Standart and Technology) Amerikan Ulusal Standartlar ve Teknoloji Enstitüsü
NSA, (National Security Agency) Amerikan Ulusal Güvenlik Ajansı
TÜBİTAK- UEKAE, Türkiye Bilimsel ve Teknik Araştırmalar Kurumu, Ulusal Elektronik Kriptoloji Araştırma Enstitüsü
Sarbonnes-Oxley, A.B.D kökenli Enron finanssal skandalı sonrası getirilen denetim standardı.
PARDUS, Ulusal Açık Kaynaklı Linux İşletim Sistemi Projesi
PKI, (Public Key Infrastructure) Sertifikaların ve anahtar ikililerinin yönetimini sağlayan yazılımsal ve yordamsal bütünlüğüne denir.
Cenk Ceylan
Bağımsız Bilgi Güvenliği Danışmanı
Adli Bilişim Uzmanı
Turkish Forensic