DIGITAL FORENSIC ANALYSIS FOR VOIP - AL_SADAAWI, HUSSEIN (Fırat Üniveristesi, 2017)
Günümüzde çeşitli ağlar sayesinde sağlanan iletişimler, günlük hayatımızı nasıl yürüttüğümüz konusunda önemli bir araç olarak değerlendirilmektedir. Bu iletişim, ses, görüntü, video ve veri gerektiren iletişim uygulamalarının birlikte kullanımı ile gerçekleştirilir. VoIP teknolojisi, bireylerin ve kuruluşların gereksinimlerini karşılayan uygun iletişim servislerinden biri olarak kabul edilmektedir. Elektronik cihazların ve VoIP uygulamalarının büyümesi, özel bir dijital soruşturmanın gereksinimini artırmıştır. Genellikle, dijital soruşturma, karşı karşıya kalınması gereken zorlu konular oluşturuyor. Dijital soruşturma sürecine yardımcı olmak için birçok gelişmiş dijital adli bilişim aracı geliştirilmiştir. Adli bilişim analiz araçlarının kapsamı ve sınırlamaları hakkında bilgi sahibi olmak araştırmacılar için çok önemlidir. Bunun nedeni, rastgele bir adli bilişim aracı seçmenin zaman kaybı olabileceği ve yanıltıcı sonuçlar doğurabileceği gerçeğidir. Esasen bir araç, adli bilişim uygulamalarının gereksinimleri ile baş edemez; ve bütün mevcut araçlar ile VoIP uygulamaları için en uygun aracı seçmek zordur. Popüler VoIP uygulamalarının verilerinin RAM'den analiz edilmesi ve kurtarılması mümkündür. Bununla birlikte, bilinmeyen VoIP uygulamalarından gelen dijital delillerin körü körüne araştırılması bıktırıcı ve zaman alıcı olabilir. Bu araştırmada, popüler RAM erişimi ve adli bilişim araçlarının sınıflandırılması yapılmıştır. Burada nihai amaç, araştırmacılara VoIP için geçerli olan doğru RAM erişimi ve adli bilişim analiz araçlarını doğru bir şekilde seçmelerinde yardımcı olmaktır. Ayrıca, bu çalışma sınıflandırma işlemi sırasında bilinmeyen VoIP uygulamalarının kullanılmasını da dikkate almıştır. Deneysel çalışma, bir istemci sunucu bilinmeyen VoIP iletişiminin simüle edilmesinin yanı sıra uygun dijital izi oluşturmak için popüler VoIP uygulamalarının kullanılması ile gerçekleştirilmiştir. Soruşturma süreci sadece uçucu hafıza analizine dayanmaktadır. Bu araştırmada boyutları 4 GB ve 8 GB olan iki RAM kullanılmıştır. Burada, RAM artıkları FTK Imager v3.1, Magnet Capture V1.0, RAM capture.exe ve DumpIt araçları tarafından yakalanır. Oluşturulan yakalama dosyaları Forensic Explorer, FTK v6.0, X-Way Forensics, Belkasoft ve Magnet IEF 6.8 araçlarıyla analiz edilir. Elde edilen sonuçlar, araçların analiz süresine, arayüz türüne ve kolaylığına, araç lisansına, olguları sunma yeteneğine, olası dosya biçimine ve çıktı dosyasının boyutuna dayalı olarak sınıflandırmak için kullanılır. Elde edilen sonuçlar, kullanılan araca ve RAM boyutuna göre değişir ancak optimal seçim her zaman duruma bağlı olacaktır. Bu sebeple araçların bir kombinasyonu her zaman yararlı bir seçenek olabilir.

Today, communications through various networks are considered as an important indicator for how we conduct our daily lives. This is realized by the massive use of communication applications that require voice, image, video, and data. VoIP technology is regarded as one of the convenient communication services that meet the requirements of individuals and organizations. The growth of electronic devices and VoIP applications have increased the need for a specialized digital investigation. Generally, the digital investigation is creating challenging issues that need to be confronted. Many advanced digital forensic tools have been developed to assist the digital investigation process. Being familiar with the application scope and the limitations of forensic analysis tools is very important for the investigator. This is due to the fact that choosing a random forensic tool might be a waste of time and it may generate misleading results. Essentially, one tool cannot cope with the requirements of digital forensic applications; and with all the available tools, it is difficult to choose the most suitable tool for VoIP applications. It is possible to analyze and recover popular VoIP applications data from the RAM. However, the blind investigation of the digital evidence from unknown VoIP applications can be tedious and time-consuming. In this research, a classification for popular RAM acquisition and digital forensic tools is conducted. The ultimate aim is to help the investigators to properly choose the right RAM acquisition and forensic analysis tools applicable to VoIP. In addition, the research considered the use of unknown VoIP applications during the classification process. The experimental work was achieved by simulating a client-server unknown VoIP communication as well as the use of popular VoIP applications to create the relevant digital trace. The investigation process is made based only on volatile memory analysis. Two RAM sizes are used in this research, namely 4 and 8 GB. Here, RAM artefacts are captured by FTK Imager v3.1, Magnet Capture V1.0, RAM capture.exe, and DumpIt tools. The generated capture files are analyzed by Forensic Explorer, FTK v6.0, X-Way Forensics, Belkasoft, and Magnet IEF 6.8 tools. The obtained results are used for classifying the tools based on analysis duration, interface type and convenience, tool licensing, the ability to present the artefacts, the possible file formats, and the size of output file. The obtained results vary based on the used tool and RAM size, yet the optimal choice will be always case-dependent. Thus, a combination of tools can always be a useful option for VoIP forensic.
Voıp için dijital adli analiz
Keywords: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol