İnternet saldırganların/zorbalarının tespiti hususunda IP adresi tek başına yeterli mi?

İnternet Protokolü adresi (IP adresi), iletişim için İnternet Protokolü’nü kullanan bilgisayar ağına bağlanan her aygıta verilen sayısal bir etikettir. Bir IP adresi, iki ana işlev sunar: Ana bilgisayar veya ağ arabirimi tanımlama ve konum adresleme. 

IP adresleri temelde iki türde, Statik ve Dinamik IP olarak adlandırılır. 
• Statik IP, internet servis sağlayıcısı tarafından tahsis edilen ve değişmeyen IP adresidir (Genelde Sunucu IP adresleri statiktir). 
• Dinamik IP, internet servis sağlayıcısı tarafından tahsis edilen ve rezervasyon süresi, bağlantının kopması, gücün kesilmesi vb. durumlarda değişkenlik gösteren IP türüdür. 
Bugün yaygın olarak kullanılan IP adres türü IPv4’tür. 

Ülkemize tahsis edilen IPv4 sayısı 17 milyona yakındır. Ülkemiz güncel nüfusunun yaklaşık 85 milyon, internet kullanıcı sayısının ise yaklaşık 70 milyon olduğunu göz önünde bulundurursak, Türkiye’ye tahsis edilen IP adresi sayısının internet kullanıcısına oranının yaklaşık dörtte bir olduğu kendiliğinden ortaya çıkar. 

Aynı IP adresini kullanan kişiler Port numarasından ayırt edilebilir
Bu yüzden yeni kullanıcılara IP adresi tanımlanabilmesi için NAT/CGNAT yöntemi geliştirilmiştir. Bu yöntem, bir IP adresinin birden fazla kullanıcıya paylaştırılmasıyla oluşur. Ülkemizde faaliyet gösteren bütün internet servis sağlayıcıları bu yöntemi kullanmaktadır. Aynı IP adresinin birden fazla kullanıcıya tahsis edilmesiyle oluşan yapıda her kullanıcı birbirinden port numaralarıyla ayrışır. Port, bu noktada veri alışverişinin gerçekleşmesini sağlayan sanal bir köprüye benzetilebilir. 

IP adresi nasıl öğrenilir?
Bilgisayar, cep telefonu, tablet vb. cihazlar internet ortamına IP adresi aldıktan sonra dahil olurlar. Bir başka cihaza veya cihazlara da IP adresiyle ulaşılmaktadır. Servis sağlayıcı tarafından tarafımıza tahsis edilen bu IP adresini açık kaynak uygulamalarından “What is my IP? (IP adresim ne?)” sorusuyla öğrenmek mümkündür. 

Suç olgusundaki değişim
İnternet ve bilişim teknolojilerindeki gelişmeler, insanın davranış biçimlerinde de değişikliklere sebep olmuştur. Örneğin, sosyal ağlar üzerinden dünyanın herhangi bir noktasında bulunan bir kişiyle anlık olarak iletişime geçme, düşüncelerini kimliğini gizleme yoluyla ifade etme gibi herhangi bir sınırlamayla karşılaşmadan ifade imkânı oluşmuştur. Bu imkân, kötü niyetli kişilerin de araç olarak kullandığı bir yöntem haline gelmiştir. Aynı doğrultuda bilişim vasıtalarının araç olarak kullanılmasıyla suç olgusu değişikliğe uğramıştır. 

Bilişim suçlarında en bilinen tür, bir başkasının bilgisayarına veya ağına izinsiz olarak girilmesidir. Bu durum kanunlarımızda ‘suç’ olarak tanımlanmıştır. Bu nitelikte bir olayın aydınlatılması sürecinde; saldırıya uğrayan bilgisayar ve ağ sisteminde hadisenin nasıl fark edildiğine ilişkin olay özetinin çıkarılması, atak vektörlerinin belirlenmesi, herhangi bir zararlı yazılım veya aracın kullanılıp kullanılmadığının belirlenmesi, hangi sistemlerin etkilendiğini ve nasıl etkilendiğini, saldırganın neyi başardığını veya hedeflediğini (hasar değerlendirmesi), olayın devam edip etmediğini belirleyerek sonuç odaklı ve yukarıda belirtilen olay müdahale (Incident Response) safhalarını işleterek fail ya da faillerin belirlenmesine yönelik çalışmalar yapılır. 
Olay, müdahale sürecinin safhalarından anlaşıldığı üzere IP adresi inceleme safhasında sorulan soruların sadece bir kısmına cevap olabilecek niteliktedir. 

IP adresini bilmek suçluyu bulmak için yeterli mi?
Bir diğer bilişim suçu türü ise sosyal paylaşım hesaplarının başkalarınca ele geçirilmesi, kişilerin verilerinin bu mecralar üzerinden yayılması, tehdit, hakaret ve şantaj gibi suçlardır. Bu nitelikli suçlarda ise IP adresinin belirlenmesi ve bu IP adresine ilişkin sahipliğin ortaya çıkarılması bir başlangıç noktası olarak değerlendirilmelidir. Çünkü, adli bilişim safhalarının uygulanmasıyla gerçekleştirilen incelemelerde elde edilen IP adresinin her zaman gerçek saldırgana ait olmayabilir. Örneğin; saldırgan öncelikle kendisini gizleme, izleri manipüle etme gibi yöntemleri kullanabilir. Kullandığı IP adresi, VPN (Virtual Private Network – Sanal Özel Ağ) nitelikli olabilir, internet kullanımını kafe, otel, alış-veriş merkezi gibi konumlardan gerçekleştirebilir veya bir başkasının ağına rızası dışında girerek erişimini oradan gerçekleştirmiş olabilir. 

Bu durumlar tespiti zorlaştıran unsurlar olarak karşımıza çıkmaktadır. Konaklama merkezi, kafe, alışveriş merkezi gibi konumlarda toplulukların kullanımına sunulan internet hizmeti üzerinden gerçekleştirilen şüpheli işlemlerde ağ üzerinde yapılandırılan günlük olay kayıtlarının (LOG) düzenli toplanması ve saklanması şüpheli işlemin kim tarafından gerçekleştirildiğinin belirlenmesinde önemlidir. 

Dünyada ve ülkemizde IPv4 adres sayısının sınırlı olmasından, uygulanan NAT/CGNAT yöntemiyle aynı IP adresinin birden fazla kullanıcıya verilmesi ihtimalinden ve yukarıda açıklanan diğer gerekçelerden dolayı bir suçun tespitinde IP adresi tek başına yeterli değildir. IP adresiyle birlikte kullanıcılara tahsis edilen ve birbirinden farklı olan port numaraları da belirlenmelidir. Ayrıca, dijital materyallerin incelenmesi, ağda bulunan cihazlara ait kayıtların incelenmesi gibi destekleyici delilere ihtiyaç vardır. IP adresi bir suçun veya olayın araştırılması için iyi bir başlangıç olabilir.