Teknik Asas Forensik Digital

Peraturan utama dalam forensik digital ialah ketidakbolehubahan: jangan sekali-kali mengubah bukti asal. Sebarang perubahan, walaupun kecil, boleh menjejaskan integriti dan kebolehterimaan bukti.

Sentiasa gunakan salinan data. Ini bermaksud mencipta pendua peranti storan bit demi bit dan menangkap data tidak kekal tanpa mengubah sistem yang sedang berjalan lebih daripada yang benar-benar diperlukan.

Data tidak kekal ialah maklumat yang hanya wujud semasa sistem sedang berjalan dan hilang apabila sistem dimatikan atau dimulakan semula. Contohnya termasuk:

• Memori sistem (RAM)
• Proses yang sedang berjalan
• Sambungan rangkaian dan port terbuka
• Pengguna yang telah log masuk

Data ini mesti dikumpulkan terlebih dahulu kerana sifatnya sangat mudah hilang. Alat digunakan untuk mengekstrak maklumat ini daripada sistem yang sedang berjalan.

Walaupun kita tidak akan menjalankan kod secara langsung, memahami perintah biasa membantu mengenal pasti data tidak kekal:

• netstat -an: Menunjukkan sambungan rangkaian yang aktif.
• ps aux: Menyenaraikan proses yang sedang berjalan.
• who: Memaparkan pengguna yang telah log masuk.
• ipconfig (Windows) / ifconfig (Linux): Menunjukkan konfigurasi antara muka rangkaian.

Perintah ini memberikan gambaran keadaan semasa sistem.

Data tidak kekal terus tersimpan walaupun selepas sistem dimatikan. Ini terutamanya merujuk kepada data yang disimpan pada pemacu keras, SSD, pemacu USB dan sebagainya.

Untuk memelihara bukti ini, imej forensik (salinan bit demi bit) bagi keseluruhan peranti storan dicipta. Imej ini bukan sahaja merangkumi fail aktif, tetapi juga fail yang dipadam, ruang tidak diperuntukkan dan metadata sistem fail.

Selepas mengumpulkan sebarang bukti digital (tidak kekal atau kekal), integritinya mesti disahkan. Proses ini dilakukan menggunakan pencincangan kriptografi.

Fungsi cincangan menjana rentetan unik bersaiz tetap (sejenis “cap jari”) daripada satu blok data. Jika walaupun satu bit berubah dalam data asal, nilai cincangan akan berubah sepenuhnya.

Anda mengira cincangan bukti asal dan salinannya. Jika kedua-duanya sepadan, anda telah membuktikan bahawa salinan itu sama dengan yang asal dan tidak diusik.

Mengekalkan rantaian penjagaan amat penting untuk memastikan bukti boleh diterima dalam prosiding undang-undang. Rantaian ini ialah rekod terperinci dan mengikut kronologi tentang siapa yang mempunyai akses kepada bukti, bila akses itu berlaku dan untuk tujuan apa.

Setiap pemindahan, pemeriksaan atau peristiwa penyimpanan yang berkaitan dengan bukti mesti didokumentasikan dengan tepat. Ini membuktikan bahawa bukti telah dilindungi daripada akses atau perubahan tanpa kebenaran.

Semasa mengumpulkan bukti digital:

• Asingkan sistem: Putuskan sambungan daripada rangkaian untuk mengelakkan pencerobohan atau kehilangan data selanjutnya.
• Dokumentasikan segala-galanya: Ambil foto, catatan dan rekodkan semua tindakan.
• Gunakan penyekat tulis: Alat perkakasan atau perisian yang menghalang sebarang penulisan pada pemacu bukti asal.
• Utamakan: Kumpulkan data tidak kekal sebelum data kekal.
• Sahkan: Sentiasa gunakan pencincangan untuk memastikan integriti salinan.

Syabas! Dalam pelajaran ini, kita telah membincangkan teknik asas untuk mengumpul dan memelihara bukti digital. Anda telah mempelajari tentang:

• Kepentingan ketidakbolehubahan dan penggunaan salinan.
• Mengutamakan pengumpulan data tidak kekal.
• Mencipta imej forensik bagi data kekal.
• Menggunakan pencincangan untuk mengesahkan integriti bukti.
• Mengekalkan rantaian penjagaan yang ketat.

Teknik ini penting untuk sebarang tindak balas dan siasatan insiden yang berkesan.