Digital Forensics & IR
Panduan komprehensif forensik digital: kerangka kerja investigasi (NIST SP 800-86), formulir & integritas Chain of Custody (CoC), urutan volatilitas data, analisis memori & disk, teknik anti-forensik, serta aspek legal di mata hukum.
1. Definisi & Kerangka Kerja DFIR (NIST SP 800-86)
Digital Forensics adalah penerapan prinsip-prinsip sains dan hukum untuk menemukan, mengekstraksi, mendokumentasikan, dan menganalisis bukti digital dari sistem komputer sedemikian rupa sehingga valid dan dapat diterima sebagai alat bukti sah di pengadilan (admissible in court).
4 Fase Metodologi NIST SP 800-86:
- Collection (Pengumpulan): Mengidentifikasi, mengamankan, dan mengakuisisi data dari berbagai sumber bukti potensial sesuai urutan volatilitas.
- Examination (Pemeriksaan): Memproses data biner dalam jumlah masif menggunakan tool forensik otomatis guna mengekstraksi artefak penting.
- Analysis (Analisa): Mengkorelasikan artefak yang ditemukan untuk menjawab pertanyaan 5W1H (Who, What, When, Where, Why, How).
- Reporting (Pelaporan): Menyusun laporan forensik tertulis yang objektif, jelas, dan dapat dipahami oleh jaksa, hakim, atau manajemen eksekutif.
Prinsip ISO/IEC 27037:
- Auditability: Seluruh tahapan investigasi wajib dicatat rinci sehingga pihak independen dapat mereproduksi hasil yang sama persis (reproducibility).
- Repeatability: Alat dan metode yang digunakan harus menghasilkan output identik jika diulang pada bukti yang sama.
- Justifiability: Setiap tindakan yang diambil investigator (misal mematikan server atau melakukan live memory capture) harus memiliki landasan teknis yang dapat dipertanggungjawabkan.
2. Chain of Custody (Rantai Bukti Digital)
Definisi Chain of Custody (CoC):
Dokumen kronologis resmi yang mencatat secara tanpa celah alur pemindahan kepemilikan, lokasi penyimpanan, tanggal/waktu, alasan pengambilan, dan pihak yang menangani barang bukti digital sejak pertama kali disita di TKP hingga dihadirkan di persidangan. Cacat pada formulir CoC dapat menyebabkan bukti digital dinyatakan gugur / tidak sah di pengadilan.
Format Baku Formulir Chain of Custody
| Field Dokumen | Data yang Wajib Diisi | Contoh Isian Forensik |
|---|---|---|
| Case Number | Nomor register kasus resmi kepolisian / SOC incident | CIRT-2026-OCT-0941 |
| Evidence ID / Barcode | Kode unik penomoran barang bukti fisik | ITEM-SSD-01 |
| Item Description | Merek, model, nomor seri (Serial Number), kapasitas penyimpanan | Samsung 980 PRO NVMe SSD 1TB (S/N: S5GXNX0T123456) |
| Acquisition Source | Lokasi fisik tepat bukti disita & nama pemilik laptop | Laptop Lenovo ThinkPad X1 Ruang Direksi Lantai 3 |
| Cryptographic Hash Initial | Nilai hash MD5 dan SHA-256 yang dihitung saat akuisisi | SHA256: e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 |
| Acquired By | Nama lengkap, NIP/ID, dan jabatan investigator | Bripka Momo Chan, S.Kom, CHFI (Forensic Lead) |
| Transfer Log | Tanggal/Jam, Dilepas oleh, Diterima oleh, Alasan perpindahan bukti | 16-Okt-2026 14:30 WIB | Dari: Investigator | Ke: Ruang Bukti Kering Bersuhu Khusus | Alasan: Penyimpanan Aman |
3. Order of Volatility (RFC 3227)
Bukti digital memiliki umur simpan yang berbeda-beda sebelum hilang akibat reboot, shutdown, atau tertimpa data baru. RFC 3227 menginstruksikan investigator untuk mengakuisisi bukti dari yang paling mudah menguap (volatile) ke yang paling persisten:
| Prioritas | Jenis Data / Lokasi | Tingkat Volatilitas | Alat Akuisisi Standar |
|---|---|---|---|
| 1 (Tertinggi) | CPU Registers, CPU Cache memory | Pecahan mikrodetik (hilang instan) | Hardware JTAG / In-circuit debugger |
| 2 | RAM (Random Access Memory), Routing tables, ARP Cache, Proses berjalan, Koneksi jaringan aktif | Detik hingga menit (hilang saat power off) | DumpIt, LiME (Linux), FTK Imager CLI, WinPmem |
| 3 | Data Temp / Swap File, Virtual Memory file (pagefile.sys, hiberfil.sys) | Dapat tertimpa saat reboot | Live forensics parser |
| 4 | Hard Disk Drive (HDD), Solid State Drive (SSD), Flash memory | Persisten (berbulan-bulan) | Hardware Write Blocker + Guymager / Tableau / FTK |
| 5 (Terendah) | Log jarak jauh (Remote SIEM, Splunk), Media tape backup kaset, Printout fisik | Sangat persisten | API Log collector, WORM Storage (Write Once Read Many) |
4. Evidence Preservation & Forensic Imaging
Hardware Write Blocker (Wajib!)
Ketika menghubungkan disk tersangka ke workstation forensik, Hardware Write Blocker wajib disisipkan di antara disk tersangka dan komputer analisis. Write Blocker meneruskan sinyal baca (Read commands) namun mencegat dan membuang semua sinyal tulis (Write commands) agar sistem operasi analis tidak mengubah satu bit pun timestamp file (MACB timestamps).
Format Image: RAW DD vs E01 (Expert Witness)
- RAW / DD (Bit-stream): Salinan sektor demi sektor tanpa kompresi dan tanpa metadata header. Universal, dapat dibuka oleh tool apapun.
- E01 (EnCase Image File Format): Standar de-facto industri forensik. Menyimpan data disk dengan kompresi, mencatat metadata kasus (investigator, case name, serial number), dan menyertakan checksum CRC per 64 sektor serta hash SHA-1/MD5 internal otomatis.
5. Forensic Toolkits & Analisis Artefak Sistem
| Software Tool | Kategori Forensik | Peran & Artefak Utama yang Ditelusuri |
|---|---|---|
Volatility 3 |
Memory (RAM) Forensics | Menemukan proses tersembunyi (windows.pslist vs windows.psscan), inject DLL malware (windows.malfind), koneksi C2 server (windows.netscan). |
Autopsy / SleuthKit |
Disk File System Forensics | Mengurai NTFS Master File Table ($MFT), memulihkan file terhapus (carving), memeriksa UserAssist, Prefetch (.pf), dan Web Browsing History. |
Wireshark / TShark |
Network Forensics | Analisa packet capture (PCAP): mendeteksi DNS tunneling, beaconing HTTP, ekstraksi credential plaintext (FTP/Telnet), dan ekstraksi file executable dari aliran TCP. |
FTK Imager |
Evidence Acquisition | Membuat bit-stream image (E01/DD) fisik dan logikal, verifikasi integritas hash MD5 & SHA-1, pratinjau struktur direktori tanpa merusak media. |
6. Teknik Anti-Forensics & Aspek Hukum Digital Evidence
Metode Anti-Forensik yang Kerap Dihadapi:
- Timestomping: Memodifikasi atribut waktu MACB (Modified, Accessed, Created, Born) di
$STANDARD_INFORMATIONNTFS untuk mengelabui garis waktu (timeline). Dideteksi dengan membandingkannya terhadap atribut waktu di$FILE_NAMEattribute yang tidak terpengaruh API biasa. - Slack Space & Unallocated Space Hiding: Menyembunyikan payload rahasia di sisa ruang cluster yang tidak terpakai oleh file kecil.
- Secure Wiping: Menimpa sektor disk dengan pola acak (DoD 5220.22-M 7-pass wiping) yang membuat data tidak dapat dipulihkan bahkan dengan mikroskop magnetik.