Email Artifact Analizi: OST/PST ve Header Üzerinden Derinlemesine İnceleme

Bu yazıda, Email forensic analizi kapsamında OST/PST dosyaları ve email header incelemesi üzerine önemli bilgileri bulacaksınız. Siber güvenlik alanında kritik analizin nasıl yapıldığını keşfedin.

Giriş ve Konumlandırma

Email Artifact Tanımı

Email artifact analizi, dijital forensik süreçlerin bir dalı olarak, e-posta içerikleri, başlık verileri, ek dosyalar ve istemci veritabanları aracılığıyla iletişim geçmişini sorgulama ve araştırma sürecidir. OST (Offline Storage Table) ve PST (Personal Storage Table) dosyaları, Microsoft Outlook kullanıcıları tarafından e-posta verilerini depolamak için kullanılan dosya formatlarıdır. Bu dosyalar, kurumsal siber güvenlik analizlerinde önemli birer kaynak olarak işlev görmektedir. E-posta iletileri üzerinden yapılan derinlemesine analiz, siber tehditlerin tespitinde kritik bir rol oynamaktadır.

Neden Önemli?

Günümüzde e-posta, hem kişisel hem de kurumsal iletişimde yaygın olarak kullanılırken, bu platformlar aynı zamanda kötü niyetli aktörler tarafından hedef alınan bir alan haline gelmiştir. Phishing (kimlik avı) saldırıları, zararlı yazılım dağıtımı ve diğer sosyal mühendislik yöntemleri ile e-posta sistemleri sıkça istismar edilmektedir. Bu nedenle, e-posta iletişimlerini analiz etmek, tehditleri tespit etmek, saldırı vektörlerini anlamak ve siber olaylara müdahale etmek için kaçınılmaz bir gereklilik haline gelmiştir.

Email artifact analizi, saldırı zincirinin temel bileşenlerini anlamak için gereken verileri sağlamaktadır. Özellikle, başlık bilgileri ve e-posta içeriklerinin analizi, kullanıcılar arasında meydana gelen etkileşimleri ve şüpheli aktiviteleri gün yüzüne çıkartarak, olayların zamanlamasını ve bağlamını netleştirmeyi mümkün kılar.

Siber Güvenlik Bağlamında Email Artifact Analizi

Pentest (penetrasyon testi) ve siber güvenlik savunması açısından, e-posta artifact analizinin sağladığı veriler, siber tehditlerin daha iyi anlaşılmasına olanak tanır. Örneğin, e-posta başlıkları üzerinde gerçekleştireceğiniz bir analiz, gönderici rotasını, SPF (Sender Policy Framework) ve DKIM (DomainKeys Identified Mail) gibi doğrulama yöntemlerini içeren bilgileri açığa çıkarır. Bu bilgiler, özellikle spoofed (sahte) başlıklar ile karşılaşılması durumunda, saldırının kaynağını ve doğasını belirlemede kritik bir öneme sahiptir.

Örnek E-posta Başlığı Analizi:
From: example@example.com
To: user@example.org
Subject: Important Notice
Received: from smtp.example.com (smtp.example.com [192.0.2.1])
    by mail.example.org (Postfix) with ESMTP id 123456

Bu tür veriler, iletişimin nereden geldiğini anlamak ve olası bir saldırganın takibini yapmak için değerlidir. Ayrıca, iletişimdeki anormallikler (şüpheli başlıklar ve bilinmeyen IP adresleri gibi) hızlıca tespit edilip analiz edilebilir.

Teknik İçeriğe Hazırlık

Email artifact analizi, bütüncül bir bakış açısıyla ele alınmalıdır. Bu süreç, sadece bir e-posta mesajının içeriğine odaklanmakla kalmaz, aynı zamanda başlık verileri, ek dosyalar ve kullanıcı davranışlarını da incelemeyi gerektirir. Analiz süreci, şunları içerebilir:

OST/PST Dosyalarının Belirlenmesi: Kullanıcı profilinde kayıtlı dosyaların yerlerini bulmak ve analiz için uygun hale getirmek.
Temel Email Artifact Türlerinin Bilgisi: Farklı veri türlerini tanımak ve bunları analiz sürecine dahil etmek.
Header Analizi: Gönderim rotası ve meta verinin detaylı incelemesini gerçekleştirmek.
Email Analiz Süreci: Kullanıcı iletişimlerinin zaman çizelgesini oluşturmak ve anomali tespit etmek.

Bu aşamaların her biri, sistem yöneticileri ve siber güvenlik profesyonellerinin siber saldırılara karşı koruma stratejilerini geliştirmeleri için hayati bir öneme sahiptir.

E-posta artifactlerinin analizi, yalnızca tehditlerin tespitinde değil, aynı zamanda olayların daha derinlemesine anlaşılmasında da önem taşır. Böylece, siber güvenlik analistlerinin, siber olaylara daha etkin bir şekilde müdahale etmeleri mümkün hale gelir. Bu bağlamda, e-posta iletişimlerinin derinlemesine analizi, modern siber güvenlik ekosisteminin ayrılmaz bir parçasıdır.

Teknik Analiz ve Uygulama

Email Artifact Tanımı

Email artifact analizi, e-posta sistemleri içinde yer alan ve e-posta iletişim geçmişini ortaya koyan veri yapılarının araştırılması sürecidir. Bu yapıların başında OST (Offline Storage Table) ve PST (Personal Storage Table) dosyaları yer alır; aynı zamanda e-posta başlık verileri de önemli bir bileşendir. Microsoft Outlook gibi istemciler, bu dosyaları kullanarak kullanıcının e-posta iletişim tutanaklarını saklar. E-posta içeriği, başlık verileri ve ekler, email forensic analizinin temel unsurlarını oluşturur.

OST/PST Dosya Konumu

Microsoft Outlook kullanıcı profili, e-posta iletilerini saklamak için belirli bir dizinde OST ve PST dosyaları oluşturur. Bu dosyaların genellikle tutulduğu dizin yolu şu şekildedir:

C:\Users\%USERNAME%\Documents\Outlook Files

Burada %USERNAME% kısmı, sistemdeki oturum açmış kullanıcının ismiyle değiştirilecektir. OST dosyası, çevrimdışı bir kopya sağlayarak kullanıcıların çevrimdışı çalışmasını mümkün kılarken, PST dosyası daha çok arşivleme ve yedekleme amacı taşır.

Temel Email Artifact Türleri

Email forensic analizi, çeşitli türde verilere dayanır. Bunların başında:

E-posta İçerikleri: Mesajların içeriği ve bu içeriklerdeki bağlantılar.
E-posta Bağlantılı Ekler: Kullanıcıların gönderdiği veya aldığı dosya ekleri.
Başlık Verileri: E-postanın gönderim rotası ve kaynak bilgileri.

Başlıkların analizi, e-posta truğunun izini sürerek şüpheli aktiviteleri tespit etmede kritik öneme sahiptir.

Header Analysis

E-posta başlıkları, gönderim rotası ve metadata bilgilerini içerir. Header analizi yaparken, SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) ve relay zincirleri gibi parametreler incelenir. Bir e-posta başlığı analiz etmek için, örneğin şu şekilde bir yaklaşım sergileyebilirsiniz:

Received: from mail.example.com (mail.example.com [192.0.2.1]) 
         by mail.anotherexample.com (Postfix) 
         with ESMTP id 12345678 for <user@anotherexample.com>; 
         Tue, 1 Mar 2022 12:34:56 +0000 (UTC)

Bu örnek başlık, e-postanın hangi sunucudan yollandığını, hangi IP adresi üzerinden geçtiğini ve e-posta zaman damgasını gösterir. Bu bilgiler, e-posta iletisinin güvenilirliğini değerlendirmek için kritik öneme sahiptir.

Email Analiz Süreci

E-posta analizi genellikle üç temel aşamayı içerir:

Veri Toplama: OST/PST dosyalarının ve başlık verilerinin toplanması.
Veri Analizi: Toplanan verinin incelenmesi ve içindeki şüpheli unsurların tespit edilmesi.
Raporlama: Elde edilen bulguların düzenlenerek bir rapor haline getirilmesi.

Kodlu bir örnek üzerinden ilerlersek, aşağıdaki Python kodu, belirli bir e-posta başlığını analiz etmek için kullanılabilir:

from email import message_from_string

raw_email = '''(E-postanın raw hali burada)'''
email_message = message_from_string(raw_email)

print("Kime:", email_message['To'])
print("Kimden:", email_message['From'])
print("Konu:", email_message['Subject'])

Bu kod, ham e-posta verisini alarak ilgili başlık bazlı bilgileri çıkartmak için kullanılabilir.

Email Forensic Avantajları

Email forensic analizi, siber tehditlerin izini sürme konusunda oldukça etkili bir yöntemdir. Gereksinim duyulduğunda analiz sonuçları, hukuki süreçlerde ve olay müdahale süreçlerinde delil ihdas etmek için kullanılabilir. Ayrıca:

Phishing Detection: E-posta başlıklarının ve içeriğinin incelenmesi, kimlik avı saldırılarının tespitinde yardımcı olur.
Malware Delivery Tracking: Dosya eklerinin analizi, zararlı yazılım dağıtımını izleyebilir.

Timeline Reconstruction

Email artifactleri, iletişim ve tehdit zincirini bir zaman çizelgesine dönüştürmek için kullanılabilir. Bu süreç, bir olayın zamanlamasını ve çatışma anlarını belirlemek için kritik önem taşır.

Örneğin, şüpheli e-posta mesajlarının zaman damgaları sıralandığında, bir saldırı ile ilgili belirli bir zaman diliminde gerçekleşen aktiviteler daha iyi anlaşılabilir.

Email Anti-Forensics Riskleri

Analiz sürecinin en önemli risklerinden biri, e-posta başlıklarının manipülasyonu olmaktadır. Spoofed headers yani başlık manipülasyonu, saldırganların sahte e-posta kaynakları yaratmasını sağlayarak tespit edilme olasılığını azaltabilir. Bu nedenle, bir e-posta analizi sırasında her zaman başlık bilgilerine dikkat edilmesi gerektiği unutulmamalıdır.

SOC L2 Email Artifact Operasyonu

SOC analistleri, email artifactlerini inceleyerek şüpheli iletişimleri ve phishing saldırılarını tespit eder. Aynı zamanda, e-posta içerik ve başlık analizi yaparak ağ içindeki olası zararlı aktiviteleri saptamak için sistematik bir yaklaşım izlerler. SOC L2 süreci, potansiyel tüm tehditleri analiz etme ve bu tehditlere karşı önlemler geliştirme açısından kritik bir adım niteliğindedir.

Risk, Yorumlama ve Savunma

Risk Değerlendirmesi

Email forensik analizinin risk değerlendirmesi, daha fazla bilgi edinmek ve potansiyel tehlikeleri anlamak adına kritik bir adımdır. OST ve PST dosyalarının yanı sıra başlık analizi bu süreçte büyük önem taşımaktadır. Bu dosyalar, bireysel e-posta hesaplarının verilerini içerirken, başlık verileri de iletişimin rotasını ve içerdiği metadata bilgilerini sunar.

Özellikle, e-posta başlıkları SPF, DKIM gibi e-posta doğrulama mekanizmalarının analizi için hayati bir rol oynamaktadır. Yanlış yapılandırma veya zafiyet tespit edildiğinde, bir email üzerinden gerçekleşen saldırılara karşı açık bir kapı bırakabilir. Örneğin, bir göndericinin adresinin sahte olması ya da e-posta doğrulamasının başarısız olması gibi durumlar, potansiyel kimlik avı ve zararlı yazılım dağıtımı gibi tehditlere davetiye çıkaracaktır.

Yorumlama

Elde edilen bulguların güvenlik anlayışına olan katkısını yorumlamak, kapsamlı bir analiz gerektirir. E-posta iletişiminde yer alan göndericiler ve alıcılar arasındaki ilişkiler, potansiyel tehditlerin ve saldırı vektörlerinin belirlenmesine olanak tanır. Böylece, iletişim içeriği ve başlık bilgileri bir araya getirildiğinde, saldırının arka planına dair daha net bir resim çizilebilir.

Örneğin, bir başlık analizi sonucunda aşağıdaki gibi bir bilgi elde edilebilir:

From: example@example.com
To: victim@example.com
Date: Wed, 1 Jan 2023 12:00:00 +0000
Subject: Important Update
Received: from mail.server.com (mail.server.com. [123.456.789.012])

Bu bilgiler, e-postanın gerçek göndericisini, zaman damgasını ve iletişim sürecini içerir. Sahte veya spoofed bir e-posta tespit edildiğinde, bunun doğurduğu riskler çok yüksek olabilir. Phishing saldırıları, bu tür açılardan yararlanarak, kullanıcıyı dolandırabilir.

Savunma

Elde edilen bulgular üzerinden kurulabilecek savunma mekanizmaları, organizasyonların güvenliğini artırmak adına hayati öneme sahiptir. Öncelikle, e-posta sisteminde kullanılan güvenlik bileşenlerinin güncellenmesi ve sıkı bir yapılandırma ile yanlış yapılandırmaların önüne geçilmesi gerekmektedir. Bunun yanı sıra, kullanıcı eğitimleri vererek, şüpheli e-posta aktivitelerine karşı duyarlılığı artırmak önemlidir.

Hardening önerileri arasında aşağıdakiler yer alabilir:

E-posta Doğrulama Protokolleri: SPF, DKIM ve DMARC gibi e-posta doğrulama mekanizmalarının kullanımı, sahte e-postaların önlenmesi için kritik öneme sahiptir.
Gelişmiş Filtreleme: İletişim güvenliğini artırmak için gelişmiş spam filtreleme sistemlerinin kurulması önerilir. Bu, zararlı e-posta içeriklerini erkenden yakalamaya yardımcı olur.
E-posta İzleme ve Denetleme: Sürekli bir e-posta izleme ve denetleme süreci, olağan dışı aktiviteleri erkenden tespit etmeyi kolaylaştırır.

Sonuç

E-posta artifact analizi, siber güvenlik alanında önemli bir yer tutmaktadır. OST/PST dosyalarının ve başlık analizinin derinlemesine incelenmesi, potansiyel tehditleri tanımlamak ve bunlara karşı savunma mekanizmaları geliştirmek açısından kritik bir rol üstlenir. Yanlış yapılandırmaların ve zafiyetlerin tespiti, siber saldırılara karşı önlem almak için ilk adımdır. Dolayısıyla, organizasyonların e-posta güvenliğini artırmak için sürekli olarak bu süreçleri gözden geçirmesi ve güncellemesi şarttır. Bu tür önlemler alınmadığında, sızıntıya uğrayan veriler, kullanıcılar ve kuruluşlar için kalıcı zararlar verebilir.