Adli Bilişim İhtisas Mülakatı Soruları ve Cevapları (2026)
Jandarma adli bilişim ihtisas mülakatında komisyon; dijital delil ve delil zinciri, CMK 134 ile arama ve el koyma, adli kopya (imaj) ve hash doğrulaması, dosya sistemleri, Windows artefaktları, mobil cihaz ve RAM incelemesi gibi konuları sorar. Ardından “Aramada açık bir bilgisayar buldunuz, ne yaparsınız?” tarzında olay yeri senaryoları gelir.
Bu yazıda adli bilişim ihtisas mülakatında sorulan türden 12 kısa tanım ve bilgi sorusunu ve 3 senaryo sorusunu, mülakatta söyleyebileceğiniz uzunlukta cevaplarıyla derledik. Sorular ve cevaplar Adli Bilişim İhtisas Mülakatı Hazırlık Kitabı içinden seçilmiştir.
- Komisyon önce kısa tanım ve bilgi soruları sorar: “… nedir?”, “… ile … arasındaki fark nedir?”
- Ardından sahadan bir durum verir ve sizden adım adım ne yapacağınızı ister.
- Son olarak kişisel ve motivasyon soruları, Atatürk, tarih ve genel kültür soruları gelebilir.
En çok sorulan konular
- CMK 134 ve arama-el koyma
- Delil zinciri ve ISO/IEC 27037
- İmaj, klon ve hash doğrulaması
- Yazma engelleyici ve uçuculuk sırası
- NTFS, MFT ve silinmiş veri
- Mobil cihaz ve RAM incelemesi
Adli Bilişim mülakatı: kısa tanım ve bilgi soruları
S1Adli bilişim nedir?
Bilişim sistemlerinde ve dijital ortamlarda bulunan verilerin, delil değerini kaybetmeyecek şekilde tespit edilmesi, toplanması, korunması, incelenmesi ve mahkemede sunulabilecek biçimde raporlanması bilimidir. Amaç gerçeği ortaya çıkarmaktır; yalnız suçlayıcı değil, lehe olan delili de ortaya koyar.
S2Canlı (live) edinim ile ölü (dead/statik) edinim arasındaki fark nedir?
Ölü edinim, cihaz kapalıyken disk sökülerek yazma engelleyiciyle imaj alınmasıdır; en güvenilir yöntemdir. Canlı edinim, sistem çalışırken RAM, açık şifreli birimler, ağ bağlantıları gibi kapatınca kaybolacak verilerin alınmasıdır. Canlı edinimde sisteme kaçınılmaz olarak küçük değişiklikler yapılır; bu yüzden her adım tutanağa yazılır.
S3ISO/IEC 27037 nedir?
Dijital delilin tespiti, toplanması, edinimi ve korunmasına ilişkin uluslararası rehber standarttır. İlgili standartlar: 27041 (yöntemin uygunluğu), 27042 (analiz ve yorum), 27043 (olay inceleme süreçleri). Mülakatta “uluslararası standartlara uygun edinim” denildiğinde ilk akla gelendir.
S4MBR ile GPT arasındaki fark nedir?
MBR, diskin ilk sektöründe (512 bayt) bulunan eski bölümleme yapısıdır; en çok 4 birincil bölüm ve 512 baytlık sektörde 2 TiB disk destekler, 55 AA imzasıyla biter. GPT, UEFI ile gelen yeni yapıdır; Windows’ta 128 bölüme kadar destekler, çok büyük diskleri yönetir ve diskin sonunda yedek tablo tutar.
S5ADS (Alternate Data Stream) nedir?
NTFS’de bir dosyaya, ana içerikten ayrı ek veri akışları bağlanabilmesidir. Dosya boyutunda ve Gezgin’de görünmediği için veri gizlemede kullanılabilir. İnternetten indirilen dosyalardaki Zone.Identifier akışı, dosyanın nereden indirildiğini gösterebildiği için ayrıca değerlidir.
S6Windows olay günlüklerinde bilinmesi gereken birkaç olay kimliği söyler misiniz?
Günlükler .evtx uzantılıdır. Security günlüğünde: 4624 başarılı oturum açma, 4625 başarısız oturum açma, 4634 oturum kapatma, 4720 kullanıcı hesabı oluşturuldu, 1102 güvenlik günlüğü temizlendi. Günlüğün temizlenmesi başlı başına iz gizleme şüphesidir.
S7Mobil cihazlarda AFU ve BFU nedir?
BFU (Before First Unlock): cihaz açıldıktan sonra henüz bir kez bile kilidi açılmamış durumdur; verilerin çoğu şifreli kalır. AFU (After First Unlock): açıldıktan sonra en az bir kez kilidi açılmış durumdur; daha fazla veri erişilebilir hâldedir. Bu yüzden açık ele geçirilen telefon kapatılmaz, şarjı korunarak laboratuvara ulaştırılır.
S8EXIF nedir, adli önemi nedir?
Dijital fotoğraflara kamera veya telefon tarafından gömülen üst veridir: çekim tarihi ve saati, cihaz marka ve modeli, bazı ayarlar ve konum servisleri açıksa GPS koordinatları. Fotoğrafın nerede, ne zaman, hangi cihazla çekildiğini gösterebilir. Sosyal medya platformları yüklemede EXIF’i çoğunlukla sildiğinden asıl dosyaya ulaşmak önemlidir; EXIF kolayca değiştirilebileceği için başka delillerle desteklenmelidir.
S9TRIM nedir, adli incelemeyi nasıl etkiler?
İşletim sisteminin, silinen verinin bloklarını SSD’ye “artık kullanılmıyor” diye bildirdiği komuttur. SSD bu blokları çöp toplama (garbage collection) ile arka planda temizler. Sonuçta SSD’de silinen dosya çoğu zaman kısa sürede kurtarılamaz hâle gelir; carving başarısı HDD’ye göre çok düşüktür.
S10Tarayıcı geçmişi nerede tutulur? Gizli sekme iz bırakmaz mı?
Chrome, Edge ve Firefox gibi tarayıcılar geçmiş, indirmeler, çerezler ve form verisini kullanıcı profilindeki SQLite veritabanlarında tutar. Gizli sekme bu veritabanlarına yazmaz; ancak RAM’de, sayfa dosyasında, DNS önbelleğinde, modem veya şirket proxy kayıtlarında ve servis sağlayıcıda iz kalabilir.
S11CMK 134’e göre elkonulan cihazdan alınan kopya kime verilir?
Elkoyma sırasında sistemdeki bütün verilerin yedeği alınır (134/3) ve bu yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir; bu husus tutanağa geçirilip imza altına alınır (134/4). Kopyanın verilmesi şüphelinin savunma hakkının ve “verinin sonradan değiştirilmediğini” denetleyebilmesinin güvencesidir.
S12Arama sırasında soruşturmayla ilgisiz başka bir suçun delili bulunursa ne olur?
CMK 138/1’e göre bu delil (tesadüfi delil) muhafaza altına alınır ve durum derhâl Cumhuriyet savcılığına bildirilir. İnceleme kendiliğinden genişletilmez; yeni suç için ayrı karar beklenir.
Adli Bilişim mülakatı: senaryo soruları
Senaryo sorularında komisyon doğru sırayı ve hukuka uygunluğu ölçer. Akılda tutulacak sıra: Olay yerini koru → belgeleyip fotoğrafla → uçucu veriyi al → adli kopya çıkar → hash ile doğrula → raporla.
Senaryo 1Aramada şüphelinin bilgisayarı açık ve ekranda bir şifreleme programı çalışıyor. Ne yaparsınız?
- Kimsenin bilgisayara dokunmasına izin vermem; şüpheliyi cihazdan uzaklaştırırım. Ekranı ve bağlı cihazları fotoğraflar, gerekirse video kaydı alırım.
- Bilgisayarı kapatmam, fişini çekmem: açık şifreli birimin anahtarı RAM’dedir, kapatırsam veri kalıcı olarak erişilemez hâle gelebilir.
- Ekran koruyucu veya kilit devreye girmesin diye gerekirse fareyi hafifçe oynatır, bunu tutanağa yazarım.
- Cumhuriyet savcısını arar, CMK 134 kapsamında karar (gecikmesinde sakınca varsa savcı kararı) alırım.
- Kendi temiz USB’mden RAM imajını alırım, ardından açık durumdaki şifreli birimin mantıksal imajını harici diske alır, hash’lerini hesaplarım.
- Sonra cihazın kapatılmasına karar verir; diske elkoyar, mühürler, delil zinciri formunu başlatırım. Her adımı saatiyle tutanağa geçiririm.
Senaryo 2Şüphelinin kolunda akıllı saat var. Ne yaparsınız?
Akıllı saat; nabız ve adım gibi sağlık verileri, konum, bildirimler ve eşleştiği telefonun mesajlarını içerebilir. Saati bağlantıdan kesmek için Faraday ortamına alırım, açıksa kapatmam. Eşleştiği telefonla birlikte elkoyar, ikisinin ilişkisini tutanağa yazarım. Verinin önemli kısmı telefonda ve bulut hesabında da bulunduğundan inceleme talebinde bunu belirtirim.
Senaryo 3Olay yerinde imaj almanız gerekiyor ama yanınızda yazma engelleyici yok. Ne yaparsınız?
Mümkünse imajı laboratuvara erteler, cihazı elkoyup mühürlerim. Zorunluysa delil diskini otomatik bağlamayan, salt okunur bağlama yapan adli bir canlı işletim sistemiyle (önyüklenebilir adli dağıtım) veya yazılımsal yazma engelleme ile edinim yaparım. Seçtiğim yöntemi, nedenini ve yazma engellemenin test edildiğini tutanağa ve rapora yazarım; hash ile bütünlüğü belgelerim.
Kitaptaki 14 konu
- Adli Bilişimin Tanımı, Gelişimi ve Temel İlkeleri
- Adli Bilişimin Hukuki Çerçevesi: Arama, El Koyma ve CMK 134
- Dijital Delil, Bütünlük ve Delil Zinciri
- Olay Yerinde İlk Müdahale ve Delillerin Muhafazası
- Depolama Birimleri, Arabirimler ve Donanım Bilgisi
- Dosya Sistemleri ve Silinmiş Verinin Kurtarılması
- Adli Kopya (İmaj) Alma ve Hash Doğrulaması
- Bilgisayar İncelemesi ve Windows Artefaktları
- Mobil Cihaz İncelemesi
- Bellek (RAM) Analizi ve Uçucu Veriler
- Ağ Trafiği ve Log Analizi
- E-posta, Bulut, Sosyal Medya ve Üst Veri (Metadata) İncelemesi
- Şifreleme, Anti-Adli Bilişim Yöntemleri ve Steganografi
- İnceleme Raporu, Tutanaklar ve Bilirkişilik
Mülakata çalışırken
- Her konuda önce kanun numarasını ve maddeyi, sonra tanımı, en son uygulamayı tekrar edin; komisyon çoğu zaman bu sırayla sorar.
- Cevaplarınızı “Komutanım, …” diye başlayan, bir iki cümlelik net ifadelerle sesli olarak çalışın.
- Senaryo sorularında “hemen müdahale ederim” yerine adım adım ve hukuka uygun sırayı anlatın.
- Mevzuat ve rakamlar değişebilir; mülakattan önce güncel resmî kaynakları kontrol edin.
JSPS'ye deneme çözerek hazırlan
Gerçek sınav formatındaki Türkiye geneli JSPS deneme sınavlarını çöz, sıralamanı anında gör. Konu anlatımı, sesli anlatım ve binlerce soru için JSPS Pratik uygulamasını indir.
