Pengumpulan Bukti dan Rantai Penguasaan

Bukti digital yang dikumpulkan selama respons insiden dapat digunakan dalam proses hukum, tindakan HR, atau peninjauan regulasi. Bukti harus dikumpulkan, dipertahankan, dan didokumentasikan sesuai prosedur yang benar untuk menjaga agar bukti tersebut dapat diterima serta tetap utuh.

Kategori bukti:

• Volatil: isi RAM, proses yang sedang berjalan, koneksi jaringan — hilang saat mulai ulang
• Nonvolatil: citra media penyimpanan, berkas catatan, catatan basis data
• Jaringan: tangkapan paket, catatan NetFlow
• Aplikasi: catatan akses, catatan audit, surel

Kumpulkan data volatil sebelum mematikan sistem:

Buat citra forensik (salinan bit demi bit) dari media penyimpanan. Gunakan pemblokir penulisan untuk mencegah perubahan apa pun pada sumber asli. Verifikasi dengan nilai hash:

Pemblokir penulisan adalah perangkat keras atau perangkat lunak yang mencegah penulisan apa pun ke media bukti selama pembuatan citra. Tanpa pemblokir penulisan, proses pembuatan citra itu sendiri dapat mengubah cap waktu akses atau metadata lainnya sehingga mencemari bukti.

Rantai penguasaan mendokumentasikan setiap orang yang menangani bukti, kapan, dan untuk apa. Hal ini mencakup:

• Identitas dan deskripsi bukti
• Tanggal/waktu pengumpulan
• Dikumpulkan oleh (nama, tanda tangan)
• Lokasi penyimpanan
• Catatan pemindahan (siapa yang menerimanya, kapan)

Memelihara bukti:

• Simpan sumber asli dalam kantong bukti yang tersegel dan berlabel
• Bekerjalah hanya pada salinan yang telah diverifikasi
• Simpan di lokasi yang aman dan dikendalikan aksesnya
• Dokumentasikan nilai hash untuk memverifikasi keutuhan
• Jangan pernah bekerja dari media bukti asli

Catatan sering menjadi bukti paling berharga. Pertahankan:

Saat litigasi atau penyelidikan regulator diperkirakan akan berlangsung, keluarkan penahanan hukum — arahan untuk mempertahankan semua catatan yang berpotensi relevan. Hal ini menangguhkan jadwal retensi data normal. Kegagalan mempertahankan bukti dapat mengakibatkan tuduhan pemusnahan bukti.

Alat forensik umum:

• Autopsy/Sleuth Kit — forensik media penyimpanan
• Volatility — analisis memori
• Wireshark — analisis tangkapan paket
• FTK Imager — pembuatan citra media penyimpanan
• SIFT Workstation — distribusi forensik berbasis Ubuntu

Perangkat seluler memerlukan penanganan khusus: aktifkan mode pesawat untuk mencegah penghapusan jarak jauh, lalu masukkan perangkat ke dalam tas Faraday untuk memblokir sinyal. Gunakan alat forensik seluler (Cellebrite, Oxygen Forensic) yang memahami sistem berkas seluler dan struktur data aplikasi.

Mengapa memori volatil (RAM) harus dikumpulkan sebelum jenis bukti lainnya?

Pengumpulan bukti harus mengikuti prosedur yang benar agar dapat diterima sebagai bukti. Kumpulkan data volatil (RAM, proses, koneksi) terlebih dahulu — data tersebut hilang saat mulai ulang. Gunakan pemblokir penulisan untuk membuat citra media penyimpanan. Pertahankan dokumentasi rantai penguasaan. Hitung nilai hash untuk segala sesuatu guna membuktikan keutuhan. Penahanan hukum menangguhkan penghapusan data. Bekerjalah hanya pada salinan yang telah diverifikasi, jangan pernah pada sumber asli.