HTS analizi nasıl yapılır? Uçtan uca yöntem

HTS analizi, teknik bir işlem gibi görünse de esasen bir yöntem meselesidir. Aynı dosyadan iki farklı inceleyicinin birbirine zıt sonuçlar çıkarması, çoğu zaman kullanılan araçtan değil, atlanan adımlardan kaynaklanır.

Aşağıdaki sıra, bir dosyanın alınmasından raporun yazılmasına kadar izlenmesi gereken adımları anlatıyor.

1. Dosyanın bütünlüğünü doğrulayın

Analize başlamadan önce elinizdeki verinin ne olduğunu bilmeniz gerekir:

• Kapsanan tarih aralığı talep edilen aralıkla örtüşüyor mu? Operatör bazen talep edilenden dar bir aralık gönderir.
• Hangi kayıt tipleri geldi? GSM var ama mesaj yoksa, "hiç mesajlaşma yok" demek yerine "mesaj kaydı gelmemiş" demek zorundasınız. Bu ikisi bambaşka cümlelerdir.
• Beklenen hatların hepsi var mı? Çok hatlı dosyalarda bir numaranın kaydı hiç gelmemiş olabilir.

Bu adımda bulunan bir eksiklik, raporda mutlaka yazılmalıdır. Verinin eksikliği, analizin değil dosyanın özelliğidir; ama okuyan kişi bunu bilmezse eksikliği bulguya çevirir.

2. Veriyi tek bir standarda getirin

Farklı kaynaklardan gelen kayıtlar aynı düzende değildir. Normalleştirme adımında en az şunlar yapılmalıdır:

• Zaman standardı. Bütün kayıtlar aynı zaman dilimine çevrilmelidir. Bu adımda yapılan bir saat kayması, bütün ortak baz ve ardışıklık analizlerini sessizce bozar. Ayrıntı için HTS verisinde zaman ve saat dilimi.
• Numara biçimi. 0532…, 90532…, +90532… aynı hattı gösterir. Tek biçime indirilmezse aynı numara farklı kişiler gibi görünür.
• Kayıt tipi ayrımı. GSM, mesaj, GPRS ve CGNAT ayrı tablolarda tutulmalıdır. Hepsini birleştirip saymak yanlış sonuç üretir.
• Tekilleştirme. Aynı iletişim birden fazla dosyada geliyorsa, sayımlardan önce mükerrer satırlar ayıklanmalıdır.

3. Hedef listesini kurun

Hedef listesi, analizin geri kalanının üzerine kurulduğu zemindir. Yalnızca soruşturmaya konu numaraları değil, aynı kişiye ait olduğu anlaşılan diğer numaraları da kapsamalıdır.

Bir kişinin birden fazla hattı olması olağandır. Abone kayıtlarında aynı kimlik numarası veya aynı ad soyad ile görünen, ancak hedef listesinde yer almayan numaralar bu aşamada tespit edilmelidir. Aksi hâlde "A ile B hiç görüşmemiş" sonucuna varırsınız — oysa B'nin ikinci hattıyla her gün görüşmüştür.

Aynı şekilde IMEI ekseninden bakmak da gerekir: iki farklı numaranın aynı cihazda kullanılmış olması, hedef listesini genişletmek için güçlü bir gerekçedir.

4. Sorguları doğru sırayla çalıştırın

Sorgu sırası rastgele değildir. Genel kabul gören sıra şudur:

Önce genel bakış. Dosyanın hacmi, tarih dağılımı, iletişim tiplerinin oranı. Burada gördüğünüz anormallik (örneğin belirli bir haftada trafiğin sıfırlanması) sonraki soruların yönünü belirler.

Sonra irtibat. Kim kiminle, kaç kez, hangi yönde görüşmüş. Bu analiz numara, ad soyad ve kimlik numarası ekseninde ayrı ayrı çalıştırılmalıdır; tek eksen yeterli değildir.

Sonra ortak temas. İki veya daha fazla hedefin aynı üçüncü kişiyle teması, doğrudan görüşme olmasa bile bir bağlantıya işaret edebilir.

Sonra konum. Ortak baz analizi, nokta–çap sorguları, günlük şehir dağılımı. Konum analizleri en sona bırakılır, çünkü en fazla yanlış yoruma açık olan kısımdır ve önceki adımların çerçevesi olmadan tek başına anlamlı değildir.

Gerekirse ağ katmanı. GPRS ve CGNAT kayıtları varsa IP–port eşleştirmesi; uçtan uca iletişim tahmini. Ayrıntı için CGNAT ve GPRS analizi.

5. Her bulgunun sağlamasını yapın

Bir sorgu sonucu çıktı diye bulgu olmaz. Her bulgu için üç soruyu cevaplayın:

1. Bu sonuç kaç satıra dayanıyor? Tek bir kayda dayanan bir "ortak baz" bulgusu, istatistiksel olarak rastlantıdan ayırt edilemez.
2. Aynı sonucu başka bir yoldan doğrulayabiliyor muyum? Adres metni üzerinden bulunan bir ortak baz, koordinat üzerinden de çıkıyor mu?
3. Alternatif açıklama ne olurdu? İki kişinin aynı bazdan sinyal vermesinin en sıradan açıklaması, aynı caddeden geçmiş olmalarıdır. Bulguyu sunmadan önce bu açıklamayı elemeniz gerekir.

Bu üç soru, "veriye baktım" ile "veriyi analiz ettim" arasındaki farktır.

6. Diğer delillerle karşılaştırın

HTS bulgusu tek başına ayakta durmaz. Olay saati ile kamera kayıtları, araç geçiş kayıtları, tanık beyanları, cihaz incelemesi sonuçları ve varsa diğer dijital izler aynı zaman ekseninde karşılaştırılmalıdır.

Bu karşılaştırma iki yönlü çalışır: HTS verisi diğer delilleri destekleyebileceği gibi, onlarla çelişerek bir varsayımı da çürütebilir. İkinci durum en az birincisi kadar değerlidir.

7. Yöntemi raporlayın, sonucu değil

Bir bilirkişi raporunun savunulabilirliği, ulaştığı sonuçtan çok o sonuca nasıl varıldığının gösterilebilmesine bağlıdır. Rapor, her bulgu için hangi sorgunun hangi parametrelerle çalıştırıldığını içermelidir: tarih aralığı, zaman toleransı, çap değeri, hedef listesi.

Karşı taraf aynı parametrelerle aynı dosyayı çalıştırdığında aynı sonuca ulaşabilmelidir. Ulaşamıyorsa, o bulgu rapordan çıkmalıdır.

Rapor yapısı için HTS raporu nasıl yazılır yazısına, sık düşülen tuzaklar için HTS analizinde sık yapılan hatalar yazısına bakabilirsiniz.