Volatility 3 ile Bellek Adli Bilişimi: İlk Analiz Adımları 10-16-2026, 08:19 AM (Son Düzenleme: 10-16-2026, 05:02 PM, Düzenleyen: Tonyukuk.)
Volatility 3 ile Bellek Adli Bilişimine Giriş
Selamlar,
Disk imajı her şeyi anlatmaz; bellek (RAM) çalışan süreçleri, ağ bağlantılarını ve bazen şifre çözülmüş verileri taşır. Volatility 3'ün v2.28.2 sürümü (Eylül 2026) ile kendi lab bellek dökümünüzü nasıl analiz edeceğinizi özetliyoruz.
Konuda Anlatılacaklar
- Kurulum
- Lab bellek dökümü alma
- İlk eklentiler: pslist, netstat, cmdline
- Şüpheli süreç avı
- Kaynakça
1) Kurulum
Kod:
python3 -m venv volenv && source volenv/bin/activate
pip install volatility3==2.28.2
vol -h
# veya: python3 -m volatility3 -h2) Lab Dökümü
Kendi VM'inizde (örnek):
- Linux: /proc/kcore veya LiME gibi lab araçları (dokümantasyonuna uyun)
- Windows lab: WinPmem / DumpIt gibi araçlarla ham bellek
3) İlk Komutlar
Kod:
# Windows bellek dökümü örneği
vol -f lab.raw windows.info
vol -f lab.raw windows.pslist
vol -f lab.raw windows.pstree
vol -f lab.raw windows.netstat
vol -f lab.raw windows.cmdline
# Linux dökümü örneği
vol -f lab.raw linux.pslist
vol -f lab.raw linux.bash4) Nelere Dikkat?
- Ebeveyni olmayan veya garip yoldan çalışan süreçler
- powershell/cmd üzerinden şüpheli uzun komut satırları
- Dinleyen ama meşru olmayan portlar
- pslist'te görünüp pstree'de kopuk kalan süreçler
5) Zincir
Kod:
vol -f lab.raw windows.pslist --output-file pslist.csv --output csv
# Sonra cmdline ve netstat çıktılarıyla korelasyonKaynakça
Görsel: TurkTeam özgün kapak görseli.
Alıntı:Yasal Uyarı: Bellek dökümü ve adli analiz yalnızca yetkili olduğunuz sistemlerde yapılmalıdır. İzinsiz erişim ve veri kopyalama TCK 243-245 kapsamında suçtur.