CGNAT ve GPRS kayıtları nasıl okunur?

HTS dosyalarının en az anlaşılan bölümü ağ katmanıdır. GPRS ve CGNAT kayıtları çoğu incelemede ya hiç açılmaz ya da yanlış okunur. Oysa mobil veri üzerinden yürüyen bir soruşturmada asıl bilgi buradadır.

CGNAT neden var?

IPv4 adresleri tükendi. Operatörler her aboneye ayrı bir genel IP adresi veremiyor. Çözüm, çok sayıda aboneyi tek bir genel IP adresinin arkasına yerleştirmek: Carrier-Grade NAT, yani CGNAT.

Pratikte bu, aynı anda yüzlerce — bazen binlerce — abonenin internete aynı IP adresiyle çıkması demektir. Aboneler birbirinden port numarası ile ayrılır: operatör her aboneye o genel IP üzerinde belirli bir port aralığı tahsis eder ve bu tahsisi kayda geçer.

Buradan çıkan sonuç, adli açıdan belirleyicidir:

CGNAT altında bir IP adresi tek başına hiçbir aboneyi göstermez.

Bir servis sağlayıcıdan "şu IP adresinden erişildi" bilgisi geldiğinde, o bilgi tek başına bir hattı işaret etmez. Aboneyi tekilleştirmek için üç bilginin bir arada olması gerekir:

1. Genel IP adresi
2. Kaynak port numarası
3. Saniye hassasiyetinde zaman damgası

Bu üçlüden biri eksikse, sonuç bir kişiyi değil bir kümeyi gösterir.

Zamanın kritik önemi

Port tahsisi kalıcı değildir. Aynı port, dakikalar içinde başka bir aboneye yeniden tahsis edilebilir. Bu yüzden zaman damgası yalnızca "hangi gün" değil, hangi saniye hassasiyetinde olmalıdır.

Burada saat dilimi sorunu doğrudan devreye girer. Servis sağlayıcıdan gelen kayıt UTC, operatör kaydı yerel saat olabilir. Üç saatlik bir kayma, tamamen başka bir abonenin işaret edilmesine yol açar — ve bu hata sessizdir, hiçbir uyarı vermez. Bu yüzden CGNAT eşleştirmesinden önce zaman standardının doğrulanması zorunludur.

GPRS kaydı ne söyler?

GPRS kaydı, veri oturumlarını gösterir: cihaz ne zaman veri kullandı, hangi baz istasyonundan bağlandı, oturum ne kadar sürdü.

CGNAT kaydının çoğu zaman taşımadığı bir şeyi taşır: konum. Bu yüzden ikisi birbirini tamamlar.

CGNAT kaydı, bir IP hareketinin hangi hatta ait olduğunu söyler. GPRS kaydı, o hattın o sırada nerede olduğunu söyler. İkisi eşleştirildiğinde, bir IP hareketinin hangi konumdan yapıldığı ortaya çıkar.

Eşleştirme genellikle şu üç ölçüt üzerinden kurulur: aynı numara, aynı baz kimliği ve birkaç saniyelik tolerans içinde aynı zaman. Tolerans gereklidir, çünkü iki kaydın zaman damgaları farklı sistemlerde üretilir ve tam saniyeye kadar örtüşmeyebilir.

Ortak hedef IP

Farklı numaraların aynı hedef IP adresine bağlanmış olması, aralarında bir ilişki kurmak için kullanılabilir mi?

Dikkatli olmak gerekir. Hedef IP çoğunlukla bir servis sağlayıcıya aittir: bir mesajlaşma uygulamasının sunucusu, bir sosyal medya platformu, bir CDN. Milyonlarca kullanıcı aynı hedef IP'ye bağlanır ve bu hiçbir şey anlatmaz.

Bu analiz ancak hedef IP olağandışı olduğunda anlamlıdır: bilinen bir servise ait olmayan, dar bir kullanıcı kitlesi olan bir adres. O durumda, aynı adrese bağlanan az sayıda numaranın kesişmesi gerçek bir bulgudur.

Ayrıca bu analizde zaman kriteri bulunmadığını akılda tutun: iki numara aynı IP'ye aylar arayla bağlanmış olabilir. Kesişim, eş zamanlılık anlamına gelmez.

Uçtan uca iletişim tahmini

Bir cihazın kaynak IP–port çifti, başka bir cihazın hedef IP–port çiftiyle eşleşiyorsa, iki cihaz doğrudan haberleşmiş olabilir. Bu, uçtan uca (P2P) iletişimin kayıt üzerinden tahmin edilmesidir.

"Tahmin" kelimesi burada özellikle seçilmiştir. Bu analiz kesin sonuç vermez:

• Aynı port, kısa süre içinde başka bir oturumda yeniden kullanılmış olabilir.
• Aradaki bir sunucu, trafiği yönlendirmiş olabilir.
• Zaman damgalarındaki küçük kaymalar yanlış eşleşme üretebilir.

Bu nedenle P2P bulgusu, raporda ihtimal dilinde sunulmalı ve mümkünse başka bir veriyle desteklenmelidir.

Uygulamada dikkat edilecekler

GPRS satırları irtibat sayımına karışmasın. Cihaz arka planda sürekli veri kullanır. GPRS satırlarını "iletişim" olarak sayarsanız binlerce anlamsız kayıt elde edersiniz.

Takılı oturumlara dikkat. Veri oturumu uzun süre açık kaldığında baz bilgisi güncellenmeyebilir. Bu, cihaz yer değiştirdiği hâlde eski bazda görünmesine yol açar ve şehir değişimi analizlerini bozar.

Port aralığı tahsisini isteyin. Operatörden gelen CGNAT kaydında port bilgisi yoksa, IP üzerinden yapılan hiçbir tekilleştirme geçerli değildir. Bu, veriyi tamamlatmak için geri dönülmesi gereken bir eksikliktir — analizle kapatılamaz.

IP'yi kişiye değil hatta bağlayın. CGNAT eşleştirmesi bir aboneyi işaret eder, o hattı o sırada kimin kullandığını değil. Bu ayrım, cihaz incelemesiyle kapatılmadığı sürece raporda korunmalıdır.