Dasar-Dasar Forensik dan Rantai Penguasaan Bukti

Forensik digital adalah pemulihan, pelestarian, dan analisis bukti digital secara disiplin agar temuan tetap dapat dipertanggungjawabkan saat diperiksa, termasuk di pengadilan.

Forensik digital bukan sekadar pemulihan data. Persyaratan utamanya adalah dapat dipertanggungjawabkan: setiap tindakan harus didokumentasikan, dapat diulangi, dan tidak memihak.

• Identifikasi sumber bukti yang relevan
• Pelestarian tanpa perubahan
• Analisis menggunakan metode yang tervalidasi
• Penyajian dalam laporan yang jelas dan dapat direproduksi

Saat menangani insiden yang sedang berlangsung, kumpulkan bukti dari sumber yang paling mudah berubah hingga yang paling stabil. Data yang paling cepat menghilang harus diambil terlebih dahulu.

• Register CPU dan cache
• Tabel perutean, cache ARP, daftar proses, dan koneksi jaringan
• RAM (memori)
• Sistem berkas sementara
• Disk
• Pencatatan jarak jauh dan media arsip

RFC 3227 menetapkan prinsip ini. Jika Anda mengambil citra disk terlalu dini, artefak RAM yang sedang aktif akan hilang selamanya.

Rantai penguasaan barang bukti adalah catatan kronologis terdokumentasi yang menunjukkan siapa yang menangani bukti, kapan, mengapa, dan apa yang dilakukan terhadapnya.

Satu celah saja dapat membuat bukti tidak dapat diterima di pengadilan. Setiap pemindahan harus dicatat.

• Siapa yang mengumpulkan dan menerima barang tersebut
• Apa barang tersebut (nomor seri, hash, deskripsi)
• Kapan setiap serah terima terjadi
• Di mana barang tersebut disimpan
• Mengapa penguasaan barang berubah

Hash kriptografis membuktikan bahwa bukti tidak berubah. Hitung hash saat pemerolehan dan hitung ulang nanti; nilai yang cocok membuktikan integritas.

Gunakan SHA-256 sebagai standar modern. MD5 dan SHA-1 masih muncul dalam alat lama, tetapi lemah terhadap benturan; banyak laboratorium mencatat keduanya untuk verifikasi silang.

Pemblokir penulisan dipasang di antara penyelidik dan kandar bukti, memungkinkan pembacaan sekaligus secara fisik atau logis menolak penulisan. Dengan demikian, sumber asli tidak pernah diubah selama pemerolehan.

• Pemblokir penulisan perangkat keras adalah perangkat yang dipasang sebaris dan lebih disukai untuk pekerjaan pengadilan
• Pemblokir penulisan perangkat lunak mengatur OS agar menggunakan pemasangan hanya-baca

Bahkan memasang kandar secara normal dapat memperbarui stempel waktu akses, sehingga pemblokir wajib digunakan untuk media asli.

Aturan emasnya: analisis salinan yang telah diverifikasi dan pertahankan sumber asli. Sumber asli disimpan sebagai barang bukti dan sesedikit mungkin disentuh.

Praktik terbaik adalah membuat setidaknya dua salinan: satu citra kerja untuk analisis dan satu master arsip yang tidak disentuh. Hash keduanya harus cocok dengan sumber.

Catatan yang dibuat saat kejadian juga merupakan bukti. Catat tindakan saat Anda melakukannya, bukan berdasarkan ingatan setelahnya.

• Beri stempel waktu pada setiap tindakan (gunakan UTC agar tidak ambigu)
• Foto adegan dan keadaan perangkat
• Catat nama dan versi alat
• Catat setiap kejanggalan atau kesalahan

Jika tidak dicatat, secara efektif tindakan tersebut dianggap tidak pernah terjadi di pengadilan.

Sebelum menyentuh apa pun, pastikan kewenangan hukum: surat perintah, persetujuan, otorisasi internal, atau peraturan yang berlaku. Melampaui cakupan dapat mencemari seluruh perkara dan membuat penyelidik terkena tanggung jawab hukum.

Forensik tunduk pada yurisdiksi. Data lintas negara, harapan privasi karyawan, dan hukum perlindungan data (GDPR, KVKK) semuanya membatasi apa yang boleh Anda kumpulkan dan caranya.

Temuan harus dapat diulangi: pemeriksa lain yang menggunakan alat tervalidasi pada bukti yang sama seharusnya mencapai kesimpulan yang sama.

Itulah sebabnya laboratorium menggunakan alat yang telah terbukti baik dan versinya dikelola (telah diuji oleh CFTT NIST jika memungkinkan), serta mendokumentasikan versi alat. Skrip khusus atau yang belum diperiksa melemahkan pertanggungjawaban.

Komputer kerja khusus dan terisolasi mencegah kontaminasi silang serta kebocoran bukti yang tidak disengaja ke jaringan.

• Terisolasi sepenuhnya dari jaringan atau dilindungi firewall secara ketat
• Media target yang sudah disterilkan (dihapus + diverifikasi) untuk citra
• Kumpulan alat yang tervalidasi (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Akses yang dicatat

Integritas harus dapat dibuktikan bukan hanya saat akuisisi, tetapi sepanjang penyimpanan. Hitung ulang nilai hash secara berkala dan setelah setiap transfer, lalu bandingkan dengan nilai acuan akuisisi.

• Segel yang menunjukkan adanya manipulasi pada media fisik
• Penyimpanan bukti dengan akses terkendali dan pencatatan
• Nilai hash yang dicatat pada setiap serah terima dalam rantai penguasaan

Jika nilai hash berikutnya berbeda dari nilai asli, bukti tersebut dianggap telah disusupi dan temuannya dipersoalkan.

Uji pemahaman Anda tentang urutan akuisisi.

Anda telah mempelajari dasar-dasar forensik yang dapat dipertanggungjawabkan:

• Urutan volatilitas menentukan urutan pengumpulan
• Rantai penguasaan bukti mendokumentasikan setiap serah terima
• Pembuatan nilai hash (SHA-256) membuktikan integritas
• Pemblokir penulisan melindungi data asli
• Selalu bekerja pada salinan yang telah diverifikasi
• Dokumentasi, ruang lingkup hukum, dan keterulangan membuat bukti dapat diterima di pengadilan

Berikutnya: menerapkan prinsip-prinsip ini menjadi citra perangkat penyimpanan aktual dan pemulihan artefak.