Pencitraan Disk dan Forensik Sistem File

Pencitraan forensik membuat salinan media penyimpanan bit demi bit sekaligus mempertahankan integritas bukti. Bukti asli tidak boleh diubah—gunakan salinan dengan pemblokir penulisan. Buat hash untuk bukti asli dan salinannya guna memverifikasi reproduksi yang sama persis.

Pemblokir penulisan perangkat keras secara fisik mencegah perintah penulisan mencapai kandar bukti. Pemblokir penulisan perangkat lunak seperti dc3dd dan FTK Imager mencegah penulisan pada tingkat OS. Selalu gunakan pemblokir penulisan sebelum menghubungkan kandar bukti untuk mencegah perubahan bukti secara tidak sengaja.

dd membuat citra disk mentah. dc3dd menambahkan pelaporan kemajuan, hashing, dan keluaran terpisah—hal yang penting untuk kandar berukuran besar. Gunakan bs=4096 untuk kinerja yang lebih baik. Pastikan hash citra cocok dengan hash bukti untuk menunjukkan integritas.

FTK Imager menyediakan GUI untuk pencitraan disk Windows. Perangkat ini mendukung E01 (Expert Witness Format), yang memampatkan citra dan menyimpan hash, detail akuisisi, serta catatan pemeriksa di header berkas—standar forensik untuk bukti.

FAT32 menyimpan metadata berkas dalam entri direktori dan rantai alokasi dalam File Allocation Table. Berkas yang dihapus meninggalkan entri direktori dengan penanda 0xE5; rantai FAT diisi dengan nol, tetapi kluster data mungkin masih tersisa. Alat pemulihan menggunakan sisa-sisa tersebut.

NTFS menyimpan semua metadata dalam Master File Table (MFT). Setiap rekaman MFT menjelaskan satu berkas. $LogFile mencatat perubahan untuk pemulihan setelah kerusakan. $UsnJrnl (jurnal perubahan) mencatat setiap operasi berkas—sumber informasi yang sangat berharga untuk rekonstruksi linimasa, bahkan setelah penghapusan.

Autopsy dan Sleuth Kit memulihkan berkas yang dihapus dengan memindai entri MFT yang masih utuh beserta kluster data yang telah dibatalkan alokasinya, serta menggunakan teknik ekstraksi berkas—mengidentifikasi byte penanda berkas dalam data kluster mentah tanpa bergantung pada metadata sistem berkas.

Ekstraksi berkas memulihkan berkas berdasarkan header dan footer, yaitu byte penanda, dari ruang yang tidak dialokasikan. JPEG dimulai dengan FF D8 FF. PDF dimulai dengan 25 50 44 46. ZIP dimulai dengan 50 4B 03 04. Scalpel dan PhotoRec adalah alat ekstraksi utama.

Autopsy membuat linimasa dari waktu MAC (Diubah, Diakses, Berubah) dan entri $UsnJrnl. Saring data di sekitar waktu dugaan penyusupan untuk melihat berkas apa yang dibuat, diubah, atau dihapus—sehingga tindakan penyerang dapat direkonstruksi secara kronologis.

Windows Registry mencatat perangkat lunak yang terpasang, perangkat USB (USBSTOR), dokumen terbaru, pengguna yang terakhir masuk, dan persistensi melalui kunci run. Registry Explorer dan RegRipper mengekstrak serta mengurai sarang registri dari citra disk untuk menganalisis artefak.

Riwayat peramban, kuki, berkas tembolok, dan data formulir disimpan dalam basis data SQLite. Chrome menggunakan LevelDB. Ekstraksi artefak ini mengungkap aktivitas pengintaian penyerang, persiapan eksfiltrasi, dan saluran perintah berbasis web.

Forensik disk dimulai dengan pembuatan citra yang sesuai prinsip forensik menggunakan pemblokir penulisan dan verifikasi hash. MFT NTFS, $UsnJrnl, sarang registri, basis data peramban, serta rekonstruksi berkas dari ruang yang tidak teralokasi secara bersama-sama memungkinkan rekonstruksi aktivitas penyerang pada sistem yang telah disusupi.