Urutan Volatilitas dan Akuisisi Bukti

Forensik digital adalah penerapan metode ilmiah untuk mengumpulkan, menjaga, menganalisis, dan menyajikan bukti digital dengan cara yang dapat diterima secara hukum. Penyidik forensik merekonstruksi linimasa serangan, mengidentifikasi akar masalah insiden, serta memulihkan data yang dihapus atau disembunyikan. Bidang ini beroperasi berdasarkan persyaratan prosedural yang ketat karena bukti yang ditangani secara tidak benar — bahkan secara teknis — dapat ditolak dalam proses hukum. Forensik menjembatani dunia teknis dan hukum.

Urutan volatilitas menentukan urutan pengumpulan bukti digital, dari yang paling volatil (paling cepat menghilang) hingga yang paling tidak volatil (bertahan lebih lama). Penyidik forensik selalu mengumpulkan data paling volatil terlebih dahulu karena data tersebut akan hilang saat sistem dimatikan atau dinyalakan ulang. Pengumpulan dalam urutan yang salah dapat menghancurkan bukti yang sebenarnya masih bisa diperoleh. Standar RFC 3227 menyediakan urutan volatilitas yang banyak digunakan untuk prosedur forensik.

Perolehan Memory (perekaman RAM) adalah salah satu tindakan forensik yang paling bernilai dan sensitif terhadap waktu. RAM berisi: proses yang sedang berjalan beserta argumennya, versi terdekripsi dari file terenkripsi yang sedang digunakan, tabel koneksi jaringan, kredensial pengguna yang disimpan sementara oleh OS, kunci enkripsi yang berada di Memory, serta perangkat lunak berbahaya tanpa file yang hanya ada di RAM. Memory harus diperoleh saat sistem masih menyala — pemuatan ulang atau penghentian sistem akan menghancurkan bukti ini sepenuhnya. Alat yang dapat digunakan mencakup Magnet RAM Capture, WinPmem, dan LiME (untuk Linux).

Pencitraan disk membuat salinan forensik bit demi bit dari perangkat Storage, termasuk semua data, file yang dihapus, ruang yang belum dialokasikan, dan metadata sistem file. Untuk mencegah perubahan tidak sengaja pada bukti asli, pemblokir penulisan dipasang di antara disk bukti dan stasiun kerja forensik — alat ini meneruskan perintah baca, tetapi memblokir setiap perintah tulis. Dengan demikian, bukti asli tidak diubah selama perolehan, sehingga integritasnya tetap terjaga untuk proses hukum.

Pencirian kriptografis merupakan dasar integritas bukti forensik. Setiap bukti harus diberi Hash saat dikumpulkan menggunakan SHA-256 (atau MD5 untuk kompatibilitas dengan sistem lama). Hash tersebut dicatat dalam dokumentasi rantai penguasaan bukti. Setiap kali bukti diakses atau dipindahkan, Hash dihitung ulang — jika Hash tersebut cocok dengan nilai asli, bukti tidak mengalami perubahan. Pengadilan mensyaratkan pembuktian integritas ini untuk menerima bukti digital. Ketidakcocokan Hash berarti bukti telah diubah dan mungkin tidak dapat diterima.

Forensik langsung (daring) mengumpulkan bukti dari sistem yang sedang berjalan — merekam data volatil sebelum sistem dimatikan. Cara ini diperlukan saat analisis Memory volatil dibutuhkan, saat sistem tidak dapat dibuat luring, atau saat perangkat lunak berbahaya tanpa file tidak akan terlihat di disk. Forensik mati (luring) menganalisis sistem yang telah dimatikan menggunakan citra disk, sehingga prosesnya lebih aman dan terkendali. Insiden modern sering memerlukan kombinasi keduanya: rekam data volatil secara langsung, lalu matikan sistem dan buat citra disk untuk analisis yang lebih mendalam.

Selama insiden aktif yang melibatkan banyak sistem terdampak, penyidik harus melakukan triase — menentukan prioritas sistem yang harus diperiksa terlebih dahulu. Kriteria triase mencakup: sistem dengan akses tertinggi (pengendali domain, basis data), sistem yang paling mungkin menyimpan persistensi penyerang, sistem dengan aktivitas berbahaya paling baru, dan sistem dengan dampak bisnis terbesar. Pengumpulan tingkat triase menggunakan telemetri EDR dan pengumpulan artefak tertarget, bukan pencitraan disk penuh, sehingga banyak sistem dapat dianalisis dengan cepat secara bersamaan.

Perekaman paket (PCAP)** file merekam seluruh lalu lintas jaringan pada tingkat paket. Selama insiden, bukti PCAP dapat mengungkap: kredensial yang dikirim dalam teks biasa, perintah yang diberikan ke sistem yang telah disusupi melalui kanal C2, data yang dieksfiltrasi (transfer keluar berukuran besar), perpindahan lateral (pola koneksi internal), dan sumber pengunduhan perangkat lunak berbahaya. PCAP diperoleh menggunakan Wireshark, tcpdump, atau penyadap jaringan. Perolehan PCAP memerlukan otorisasi karena merekam seluruh lalu lintas pada suatu segmen, yang mungkin mencakup komunikasi istimewa.

Lingkungan Cloud menghadirkan tantangan forensik yang unik. Akses fisik ke perangkat keras yang mendasarinya tidak tersedia — penyedia Cloud mengendalikan lapisan hipervisor. Citra disk mesin virtual dapat dibuat snapshot melalui API Cloud. Data logging (CloudTrail, Azure Monitor) merupakan sumber bukti utama untuk insiden Cloud. Perolehan Memory terbatas pada teknik yang didukung penyedia Cloud atau introspeksi VM. Yurisdiksi bukti dapat menjadi rumit jika server Cloud berada di negara yang berbeda dari lokasi terjadinya insiden. Memahami batasan ini sangat penting untuk penyelidikan insiden Cloud.

Penyidik forensik menggunakan alat khusus yang dirancang untuk menangani bukti dengan benar. Autopsy (sumber terbuka) dan FTK (Forensic Toolkit) (komersial) menganalisis citra disk dan mengekstrak artefak. Volatility menganalisis dump Memory untuk mengekstrak proses, koneksi jaringan, dan artefak perangkat lunak berbahaya. Magnet AXIOM menangani forensik digital dan seluler. Wireshark menganalisis file PCAP. X-Ways Forensics adalah perangkat alat komersial yang ringan tetapi bertenaga. Penyidik harus menggunakan alat yang telah divalidasi untuk memastikan integritas bukti.

Kesiapan forensik berarti organisasi telah mengambil langkah-langkah sebelum insiden untuk memastikan bukti digital dapat dikumpulkan secara efisien dan diterima secara hukum. Komponennya mencakup: logging menyeluruh yang dikonfigurasi pada semua sistem penting, penyimpanan log yang cukup lama untuk mendukung penyelidikan (90–365 hari), prosedur penanganan bukti yang terdokumentasi, penanggap pertama terlatih yang memahami bahwa bukti tidak boleh diganggu, alat forensik yang telah disiapkan atau tersedia dalam waktu singkat, serta otorisasi hukum yang telah ditinjau sebelumnya (misalnya persetujuan karyawan terhadap kebijakan pemantauan).

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari: urutan volatilitas mengharuskan RAM dan proses yang sedang berjalan direkam terlebih dahulu karena keduanya hilang saat sistem dimatikan, pemblokir penulisan mencegah perubahan apa pun pada bukti asli selama pencitraan disk, dan pencirian SHA-256 saat pengumpulan serta verifikasi memastikan integritas bukti agar dapat diterima secara hukum. Berikutnya kita akan membahas rantai penguasaan bukti dan penerimaan secara hukum.