Forensik Jaringan dan Memori

Forensik jaringan menangkap dan menganalisis lalu lintas jaringan untuk merekonstruksi komunikasi Attacker, mengidentifikasi pergerakan lateral, dan mendeteksi eksfiltrasi data. Berbeda dengan forensik titik akhir, yang memeriksa bukti yang mungkin telah dirusak pada host yang disusupi, bukti jaringan lebih sulit diubah oleh Attacker setelah kejadian — mereka tidak dapat menghapus secara retroaktif paket yang sudah ditangkap oleh penyadap jaringan atau sistem pemantauan aliran. Forensik jaringan melengkapi forensik titik akhir untuk memberikan gambaran serangan yang lengkap.

Capture paket (PCAP) merekam semua lalu lintas jaringan pada tingkat paket, termasuk isi payload secara utuh. Alat yang digunakan antara lain Wireshark (berbasis GUI dan banyak digunakan), tcpdump (berbasis baris perintah dan dapat dibuat skripnya), serta Zeek (sebelumnya Bro, menghasilkan Log pada tingkat protokol dari PCAP). Capture paket secara utuh membutuhkan banyak ruang penyimpanan; jaringan berkecepatan tinggi mungkin memerlukan perangkat capture khusus. Analisis PCAP dapat mengungkap: kredensial pada protokol teks jelas, pola beaconing C2, data yang dieksfiltrasi, dan koneksi pergerakan lateral.

NetFlow (dan padanan sumber terbukanya, IPFIX) merekam metadata tentang percakapan jaringan tanpa menangkap isi payload: IP sumber/tujuan, port sumber/tujuan, protokol, jumlah byte, jumlah paket, dan stempel waktu. NetFlow jauh lebih hemat penyimpanan daripada PCAP penuh dan sesuai untuk penyimpanan jangka panjang (90–365 hari). Selama forensik, NetFlow dapat mengidentifikasi: sistem mana yang berkomunikasi selama periode insiden, eksfiltrasi data (jumlah byte keluar yang besar), dan beaconing C2 (koneksi kecil yang teratur ke IP eksternal).

Log kueri DNS merupakan sumber forensik yang sangat berguna karena sebagian besar komunikasi C2 dan pengunduhan malware memerlukan resolusi DNS. Indikator aktivitas DNS berbahaya meliputi: kueri ke Domain yang baru didaftarkan atau bereputasi rendah, kueri dalam jumlah besar ke satu Domain (malware DGA yang mencoba banyak nama yang dihasilkan), DNS tunneling (nama subdomain yang luar biasa panjang atau memiliki entropi tinggi dan digunakan untuk mengeksfiltrasi data), serta kueri ke Domain yang terkait dengan keluarga malware yang Known. DNS sering tetap dicatat meskipun pemeriksaan lalu lintas HTTP terbatas.

Saluran Command and Control (C2) antara server yang dikendalikan Attacker dan sistem yang disusupi memiliki pola khas. Beaconing menghasilkan koneksi periodik yang teratur (misalnya setiap 30 detik) yang dapat dikenali dalam NetFlow sebagai banyak paket kecil ke IP eksternal yang sama pada interval teratur. Jitter menambahkan pengacakan pada interval beacon untuk menghindari deteksi. Analis mencari keteraturan statistik pada waktu koneksi untuk mengidentifikasi beaconing di tengah kebisingan lalu lintas web normal.

Forensik memory menganalisis dump RAM untuk mengekstrak bukti aktivitas berbahaya yang mungkin tidak ada di disk. Volatility Framework (sumber terbuka) merupakan alat standar industri untuk analisis memory. Kemampuan utamanya meliputi: membuat daftar proses yang sedang berjalan beserta hubungan induk-anaknya, mengidentifikasi Code yang disisipkan ke dalam proses Legitimate, mengekstrak koneksi jaringan yang Open saat akuisisi, memulihkan isi sarang registri dari memory, dan mengekstrak kunci enkripsi yang tersimpan di RAM.

Malware dalam memory menunjukkan pola tertentu yang dapat diidentifikasi oleh plugin Volatility. Process injection (Code yang disisipkan ke dalam proses Legitimate seperti svchost.exe) muncul sebagai regions memory dengan permissions eksekusi dalam proses yang biasanya tidak memilikinya. Hollow processes (cangkang proses Legitimate yang Code aslinya digantikan oleh Code berbahaya) menunjukkan ketidaksesuaian antara nama proses dan Code sebenarnya dalam memory. Kernel rootkits mungkin menyembunyikan proses dari daftar proses, tetapi Volatility dapat mendeteksinya dengan membandingkan daftar proses yang berjalan dengan daftar struktur proses mentah milik kernel.

Forensik memory sangat efektif untuk memulihkan kredensial. Windows menyimpan kredensial dalam memory proses LSASS (Local Security Authority Subsystem Service) untuk keperluan Single Sign-On. Alat seperti Mimikatz memanfaatkan hal ini dengan membaca memory LSASS untuk mengekstrak kata sandi teks jelas dan hash NTLM. Secara forensik, Volatility dapat mengekstrak informasi yang sama dari dump memory yang diperoleh untuk penyelidikan — sehingga mengungkap kredensial apa yang tersimpan dalam cache pada sistem yang disusupi dan membantu menentukan cakupan potensi pergerakan lateral.

Analisis forensik yang paling kuat menggabungkan bukti jaringan dan memory. Memory menunjukkan proses apa yang sedang berjalan dan Code apa yang dikandungnya; forensik jaringan menunjukkan dengan siapa proses tersebut berkomunikasi. Jika suatu proses terlihat dalam analisis memory Volatility, memiliki koneksi jaringan yang terlihat dalam PCAP, terhubung ke Domain yang ditandai dalam Log DNS, dan sesuai dengan IP eksternal dalam NetFlow — pertemuan bukti ini memberikan atribusi aktivitas berbahaya dengan tingkat keyakinan tinggi serta mendukung narasi serangan yang lengkap.

Stempel waktu yang akurat sangat penting untuk menghubungkan bukti forensik jaringan dan titik akhir. Jika jam server menyimpang 15 menit dibandingkan dengan jam firewall, penghubungan peristiwa berdasarkan stempel waktu akan menghasilkan linimasa yang keliru. Keandalan bukti forensik jaringan hanya setara dengan sinkronisasi waktu perangkat yang menghasilkan Log. Organisasi harus mengonfigurasi NTP (Network Time Protocol) yang konsisten di semua perangkat yang relevan dengan keamanan dan mendokumentasikan setiap perbedaan waktu yang diketahui selama penyelidikan.

Sebagian besar komunikasi C2 modern menggunakan enkripsi TLS, sehingga analis forensik jaringan tidak dapat membaca isi payload secara langsung. Namun, lalu lintas terenkripsi tetap mengungkap metadata: pola waktu koneksi (beaconing), anomali sertifikat (sertifikat yang ditandatangani sendiri dari infrastruktur Attacker, kolom CN yang tidak cocok), sidik jari JA3 (sidik jari klien TLS yang dapat mengidentifikasi keluarga malware tertentu terlepas dari tujuannya), dan karakteristik jabat tangan TLS yang tidak biasa. Alat seperti Zeek mengekstrak sidik jari JA3 secara otomatis dari koneksi TLS, sehingga memungkinkan deteksi malware yang Known tanpa mendekripsi lalu lintas.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari: capture paket dan NetFlow menyediakan bukti jaringan yang saling melengkapi — PCAP menampilkan isi secara utuh, sedangkan NetFlow menampilkan metadata dalam skala besar, beaconing C2 muncul sebagai koneksi periodik yang teratur dan dapat dideteksi melalui analisis statistik waktu koneksi, serta Volatility Framework menganalisis dump RAM untuk mendeteksi process injection, mengekstrak koneksi jaringan, dan mengidentifikasi malware yang bersembunyi dalam proses Legitimate. Selamat karena telah menyelesaikan modul-modul forensik — berikutnya adalah manajemen Risk dan kerangka kerja keamanan.