Binlerce Satırlık HTS Verisinden Anlamlı Bulgular Nasıl Çıkarılır?

Bir HTS dosyası açıldığında ilk bakışta görülen şey çoğu zaman yalnızca uzun bir tablodur.

Binlerce satır, yüzlerce telefon numarası, farklı tarih ve saatler, IMEI bilgileri, baz istasyonu kayıtları ve iletişim süreleri…

Bu verilerin her biri belirli bir iletişim hareketini gösterir. Ancak HTS analizinin asıl amacı satırları tek tek okumak değil, bu kayıtlar arasındaki anlamlı ilişkileri ortaya çıkarmaktır.

Çünkü bir HTS kaydının gerçek değeri, çoğu zaman tek başına taşıdığı bilgide değil; diğer kayıtlarla birlikte oluşturduğu örüntüde ortaya çıkar.

Peki binlerce satırlık ham veri, nasıl anlamlı bir teknik bulguya dönüştürülür?

Çok fazla veri, her zaman çok fazla bilgi anlamına gelmez

Bir dosyada yüz binlerce kayıt bulunabilir. Ancak bu kayıtların tamamı inceleme açısından aynı öneme sahip değildir.

Bazı numaralar yalnızca bir kez görülürken bazıları yüzlerce kez iletişim kurmuş olabilir. Bazı cihazlar tek bir hatla ilişkilendirilirken aynı IMEI’nin farklı dönemlerde birden fazla numarayla kullanıldığı görülebilir.

Aynı şekilde bazı baz istasyonları yalnızca olağan günlük hareketleri gösterirken belirli bir tarih ve saatte gerçekleşen baz–zaman kesişimleri olay açısından daha önemli olabilir.

Bu nedenle HTS analizinde temel soru:

“Dosyada kaç kayıt var?”

değildir.

Asıl soru şudur:

“Bu kayıtların hangileri olay açısından anlamlı bir ilişki oluşturuyor?”

İlk aşama: Veriyi analize hazırlamak

Anlamlı bir analiz yapabilmek için önce verinin doğru hazırlanması gerekir.

Farklı operatörlerden gelen HTS dosyaları aynı sütun yapılarına, tarih biçimlerine veya iletişim türü tanımlarına sahip olmayabilir.

Bir dosyada arayan numara “A numarası”, başka bir dosyada “Calling Number” olarak adlandırılabilir. Tarih ve saat bazı kayıtlarda ayrı sütunlarda, bazı kayıtlarda ise aynı alan içinde bulunabilir.

Bu nedenle analizden önce:

Sütunlar eşleştirilir,

Numara biçimleri standartlaştırılır,

Tarih ve saat formatları düzenlenir,

Gelen ve giden iletişim yönleri belirlenir,

Arama, SMS ve veri kayıtları ayrıştırılır,

Eksik veya hatalı satırlar kontrol edilir,

Tekrar eden kayıtlar tespit edilir,

Dosyalar arasında ortak bir veri yapısı oluşturulur.

Bu aşamada yapılacak bir hata, sonraki analizlerin tamamını etkileyebilir.

Örneğin aynı numaranın bir dosyada ülke koduyla, diğerinde ülke kodu olmadan yazılması iki farklı kişi gibi değerlendirilmesine neden olabilir.

Bu nedenle veri hazırlama, HTS analizinin görünmeyen fakat en kritik aşamalarından biridir.

İncelenen hatlarla diğer numaralar birbirinden ayrılmalıdır

Bir HTS dosyasında geçen her telefon numarası, doğrudan incelenen kişiye ait değildir.

Örneğin dört şüpheli hatta ait kayıtlarda binlerce farklı telefon numarası bulunabilir. Bu numaraların bir bölümü aile bireylerine, iş arkadaşlarına, kurumlara, çağrı merkezlerine veya tek seferlik iletişim kurulan kişilere ait olabilir.

Bu nedenle öncelikle:

İncelenen ana hatlar,

Bu hatların iletişim kurduğu diğer numaralar,

Ortak irtibatlar,

Yalnızca sınırlı sayıda görülen bağlantılar

birbirinden ayrılmalıdır.

Bu ayrım yapılmadan oluşturulan analizler, binlerce numarayı aynı önemde göstererek asıl ilişkilerin görünmesini zorlaştırabilir.

İletişim yoğunluğu ne anlatır?

Bir numaranın başka bir numarayla iletişim kurması tek başına olağan bir kayıt olabilir.

Ancak aynı iki hat arasında:

Kısa sürede çok sayıda görüşme yapılması,

İletişimin belirli saatlerde yoğunlaşması,

Uzun süre iletişim kurulmazken olay öncesinde ani bir hareket oluşması,

Görüşmelerin düzenli aralıklarla tekrar etmesi,

Aramaların sürekli cevapsız kalması veya çok kısa sürmesi

farklı değerlendirmeler gerektirebilir.

Örneğin iki hat aylar boyunca hiç iletişim kurmamışken belirli bir olaydan önceki iki saat içinde on kez görüşmüş olabilir.

Tek tek bakıldığında bunlar yalnızca on ayrı arama kaydıdır.

Zaman çizelgesi üzerinde birlikte incelendiğinde ise olay öncesinde oluşan ani bir iletişim yoğunluğu görünür hâle gelir.

Ancak iletişim yoğunluğu tek başına suç veya şüphe göstergesi değildir. İş ilişkileri, aile bağları veya olağan günlük iletişim davranışları da benzer yoğunluklar oluşturabilir.

Önemli olan, bu hareketin kişinin normal iletişim örüntüsünden ayrışıp ayrışmadığını değerlendirmektir.

Ortak irtibatlar görünmeyen bağlantıları ortaya çıkarabilir

İki kişi birbirini hiç aramamış olabilir. Bu nedenle yalnızca doğrudan iletişim kayıtlarına bakıldığında aralarında bir bağlantı görülmeyebilir.

Ancak her iki kişinin de aynı üçüncü numarayla düzenli biçimde iletişim kurduğu fark edilebilir.

Örneğin:

Hat A → Hat C

Hat B → Hat C

Hat A ile Hat B arasında doğrudan bir görüşme bulunmasa bile Hat C üzerinden ortak bir temas noktası ortaya çıkar.

Daha geniş bir analizde:

Hat A → Hat C → Hat D → Hat B

şeklinde dolaylı iletişim zincirleri de görülebilir.

Bu ilişkiler uzun tablolar içinde kolaylıkla gözden kaçabilir. Bağlantı ağı üzerinde gösterildiğinde ise hangi numaraların merkezde olduğu, hangi hatların farklı grupları birbirine bağladığı ve ortak temasların nerede yoğunlaştığı daha anlaşılır hâle gelir.

IMEI analizi cihaz ilişkilerini görünür hâle getirir

Telefon numarası SIM kartla, IMEI ise kullanılan cihazla ilişkilidir.

Bu nedenle aynı IMEI’nin farklı numaralarla ilişkilendirilmesi önemli bir teknik bulgu olabilir.

Örneğin:

Hat A → IMEI X → 1–10 Mayıs

Hat B → IMEI X → 15–25 Mayıs

Bu kayıtlar, aynı cihazın farklı zamanlarda iki ayrı hatla kullanılmış olabileceğini gösterir.

Bu durum tek başına olağan dışı değildir. Kullanıcı hattını değiştirmiş, cihazını başka birine vermiş veya yeni bir numaraya geçmiş olabilir.

Ancak kullanım dönemlerinin çakışması, cihazın kısa aralıklarla çok sayıda farklı hatla ilişkilendirilmesi veya IMEI değişiminin olayla aynı dönemde gerçekleşmesi daha ayrıntılı inceleme gerektirebilir.

Burada önemli olan yalnızca:

“Aynı IMEI bulundu.”

demek değildir.

Asıl değerlendirilmesi gereken:

Hangi hatların aynı IMEI ile ilişkilendirildiği,

Kullanımın hangi tarihlerde gerçekleştiği,

Kullanım dönemlerinin çakışıp çakışmadığı,

Hatların baz ve iletişim hareketlerinin birbirini destekleyip desteklemediğidir.

Baz ve zaman birlikte değerlendirilmelidir

Baz istasyonu bilgisi, hattın belirli bir kayıt anında ilişkilendirildiği hücresel altyapıyı gösterir.

Ancak baz bilgisi çoğu durumda kesin GPS konumu veya açık adres anlamına gelmez.

Bu nedenle iki hattın aynı baz istasyonuyla ilişkilendirilmesi tek başına:

“Bu kişiler kesin olarak yan yanaydı.”

sonucunu oluşturmaz.

Daha doğru değerlendirme için:

Kayıtların tarih ve saatleri,

Baz veya hücre bilgileri,

Bazların kapsama özellikleri,

Kayıtlar arasındaki zaman farkı,

Önceki ve sonraki baz hareketleri,

Benzer kesişimlerin tekrar sayısı

birlikte incelenmelidir.

Örneğin:

Hat A → Baz X → 19.42

Hat B → Baz X → 19.46

kayıtları, iki hattın dört dakika arayla aynı baz istasyonuyla ilişkilendirildiğini gösterir.

Tek bir kesişim tesadüf olabilir. Ancak farklı tarihlerde tekrarlanan yakın zamanlı baz kesişimleri, daha ayrıntılı incelenmesi gereken bir örüntü oluşturabilir.

Zaman çizelgesi olayın öncesini ve sonrasını gösterir

HTS analizinde yalnızca olay anına bakmak her zaman yeterli değildir.

Olaydan önce ve sonra oluşan iletişim hareketleri de önemlidir.

Örneğin belirli bir olaydan:

İki saat önce iletişim yoğunluğu artmış,

Olay sırasında iletişim tamamen durmuş,

Olaydan hemen sonra belirli numaralar tekrar aranmış,

Aynı zaman aralığında cihaz veya baz değişikliği gerçekleşmiş

olabilir.

Bu kayıtlar zaman sırasına yerleştirildiğinde, tek tek satırlarda görülmeyen bir davranış akışı ortaya çıkar.

Örnek bir zaman çizelgesi:

18.40 → Hat A, Hat B’yi aradı

18.47 → Hat B, ortak irtibat Hat C ile görüştü

19.05 → Hat A ve Hat B aynı baz bölgesinde kayıt üretti

19.20 → Hat A farklı bir IMEI ile ilişkilendirildi

Bu kayıtların hiçbiri tek başına kesin bir sonuç oluşturmaz. Ancak aynı zaman çizelgesi üzerinde değerlendirildiğinde olay açısından incelenmesi gereken bir ilişki dizisi ortaya çıkabilir.

Anomali ile kesin sonuç aynı şey değildir

HTS analizinde normal davranıştan ayrışan kayıtlar anomali olarak değerlendirilebilir.

Örneğin:

Beklenmeyen IMEI değişimi,

Aynı IMEI’nin farklı hatlarda görülmesi,

Olay öncesinde ani iletişim yoğunluğu,

Tekrarlayan baz–zaman kesişimleri,

Olağan dışı saatlerde iletişim kurulması,

Karşılığı bulunmayan gelen veya giden aramalar,

Belirli bir ortak irtibatta yoğunlaşma

analistin dikkatini çekebilir.

Ancak anomali:

“Suç tespit edildi.”

anlamına gelmez.

Anomali, normal örüntüden ayrılan ve daha ayrıntılı incelenmesi gereken bir işarettir.

Örneğin aynı IMEI’nin iki farklı hatla kullanılması cihaz paylaşımından kaynaklanabilir. Gece saatlerinde yoğun iletişim, kişinin çalışma düzeniyle ilişkili olabilir. Aynı baz bölgesinde tekrar görülmek, kişilerin aynı bölgede yaşamasından kaynaklanabilir.

Bu nedenle her anomali bağlamıyla birlikte değerlendirilmelidir.

Bulgular farklı veri türleriyle doğrulanmalıdır

Güçlü bir HTS analizi, yalnızca tek bir veri alanına dayanmaz.

Bir bulgunun anlamı, farklı kayıtların birbirini desteklemesiyle güçlenir.

Örneğin iki hat için:

Ortak irtibat bulunması,

Aynı IMEI ile ilişki görülmesi,

Yakın zamanlı baz kesişimleri oluşması,

Olay öncesinde iletişim yoğunluğu yaşanması

birlikte değerlendirildiğinde, yalnızca tek bir ortak arama kaydından daha kapsamlı bir teknik tablo ortaya çıkar.

Ancak bu tablo da diğer delillerden bağımsız biçimde kesin hüküm oluşturmaz.

HTS bulguları gerektiğinde:

Cihaz incelemesi,

Mesajlaşma kayıtları,

Kamera görüntüleri,

Finansal hareketler,

Tanık beyanları,

Dosyadaki diğer adli ve hukuki deliller

ile birlikte değerlendirilmelidir.

Yanlış eşleşmeler nasıl önlenir?

Büyük veri setlerinde yapılan analizlerde benzer numaralar, eksik kayıtlar veya standartlaştırılmamış alanlar yanlış ilişkilere neden olabilir.

Bu nedenle her bulgu için dayanak kayıtların görülebilmesi önemlidir.

Bir sistem:

“Hat A ile Hat B arasında ortak IMEI ilişkisi var.”

diyorsa analist şu bilgileri de görebilmelidir:

İlgili IMEI numarası,

Hatların kullanım tarihleri,

İlk ve son kayıt zamanları,

Çakışan kullanım dönemleri,

İlişkiyi oluşturan ham kayıtlar.

Benzer şekilde:

“İki hat arasında baz–zaman kesişimi var.”

sonucu gösteriliyorsa kullanılan bazlar, zaman farkı ve eşleşmenin hangi kayıtlara dayandığı açıkça görüntülenebilmelidir.

Analiz sonucunun dayanak veriye bağlanması, bulgunun kontrol edilebilir ve raporlanabilir olmasını sağlar.

Binlerce satır nasıl önceliklendirilir?

Bir HTS dosyasındaki bütün kayıtları aynı anda incelemek mümkün değildir. Bu nedenle analiz sırasında kayıtların önem derecesine göre önceliklendirilmesi gerekir.

Örneğin sistem şu başlıkları öne çıkarabilir:

En fazla iletişim kurulan numaralar,

En sık görülen ortak irtibatlar,

Birden fazla hatla ilişkilendirilen IMEI’ler,

Kullanım zamanı çakışan cihazlar,

Tekrarlayan baz–zaman kesişimleri,

Olay saatine yakın iletişim hareketleri,

Karşılıklı kaydı bulunmayan çağrılar,

Normal kullanım örüntüsünden ayrılan hareketler.

Böylece analist yüz binlerce satırı tek tek taramak yerine, öncelikle dikkat edilmesi gereken ilişkilere odaklanabilir.

Görselleştirme neden önemlidir?

Uzun tablolar sayısal ayrıntıları gösterir; ancak ilişkileri anlamayı zorlaştırabilir.

Aynı veriler:

İlişki ağı,

Zaman çizelgesi,

Harita,

IMEI–hat eşleşme tablosu,

İletişim yoğunluğu grafiği,

Baz–zaman kesişim listesi

üzerinde gösterildiğinde daha anlaşılır hâle gelir.

Örneğin yüzlerce arama satırını okumak yerine, hangi numaranın iletişim ağının merkezinde olduğunu bir ilişki grafiğinde görmek daha kolaydır.

Görselleştirme analistin yerine karar vermez. Ancak veriler arasındaki bağlantıları daha hızlı fark etmesine yardımcı olur.

Teknik bulgu nasıl raporlanmalıdır?

HTS analizinin son aşaması yalnızca bir sonuç yazmak değildir. Bulguların nasıl elde edildiğinin ve hangi kayıtlara dayandığının açıklanması gerekir.

Bir teknik bulgu raporlanırken şu bilgiler yer alabilir:

İncelenen hatlar,

Kullanılan veri kaynakları,

İncelenen tarih aralığı,

Uygulanan filtreler,

Kullanılan zaman toleransı,

Tespit edilen ilişki veya anomali,

Bulguyu oluşturan kayıtlar,

Teknik sınırlamalar,

Sonucun kesinlik düzeyi.

Örneğin:

“Hat A ile Hat B’nin birlikte hareket ettiği tespit edilmiştir.”

yerine:

“Hat A ve Hat B’nin 12–18 Mayıs tarihleri arasında altı farklı zamanda, en fazla beş dakika farkla aynı veya yakın baz bölgelerinde kayıt ürettiği belirlenmiştir.”

ifadesi daha ölçülebilir ve denetlenebilir bir teknik bulgu sunar.

HTS analizi neyi yapmamalıdır?

HTS analizi, veride bulunmayan bir sonucu üretmemelidir.

Analiz sırasında:

Tek bir kayıttan kesin hüküm çıkarılmamalı,

Baz bilgisi GPS konumu gibi değerlendirilmemeli,

Her ortak IMEI şüpheli kabul edilmemeli,

İletişim yoğunluğu doğrudan suç göstergesi sayılmamalı,

Eksik kayıtlar kesin yokluk olarak yorumlanmamalı,

Olasılık ile doğrulanmış bulgu birbirine karıştırılmamalıdır.

Doğru analiz yalnızca dikkat çekici kayıtları bulmakla kalmaz; bu kayıtların hangi sınırlar içinde yorumlanabileceğini de gösterir.

HTS Asistanı’nın yaklaşımı

HTS Asistanı, ham HTS verisini yalnızca tablo hâlinde göstermek yerine kişi, numara, IMEI, IMSI, baz, zaman ve iletişim ilişkilerini birlikte değerlendirmeyi amaçlar.

Sistem:

Farklı dosyaları ortak bir veri yapısına dönüştürür,

İncelenen hatları diğer numaralardan ayırır,

İletişim ilişkilerini çıkarır,

Ortak irtibatları belirler,

IMEI–hat ilişkilerini zaman içinde karşılaştırır,

Baz–zaman kesişimlerini görünür hâle getirir,

Olağan kullanım örüntüsünden ayrılan kayıtları işaretler,

Bulguları dayanak kayıtlarla birlikte sunar.

Amaç, analistin yerine karar vermek değildir.

Amaç; yüz binlerce satır içinde gözden kaçabilecek ilişkileri, kesişimleri ve teknik tutarsızlıkları daha hızlı, karşılaştırılabilir ve denetlenebilir hâle getirmektir.

Çünkü HTS analizinde asıl mesele daha fazla veri görmek değil, veriler arasındaki anlamlı bağlantıları bulmaktır.

Bir kayıt bir olayı gösterir.

Kayıtlar arasındaki ilişkiler ise olayın daha geniş teknik tablosunu ortaya çıkarır.

Bağlantıları analiz et, gerçeği ortaya çıkar.