18.00
bulanratububul
Tulisan ini merupakan lanjutan dari :
1. Pemrosesan Barang Bukti
Terdapat perdebatan dalam komunitas forensik untuk melakukan plug suatu sistem, misalnya apakah diperlukan untuk mematikan mesin. Sistem operasi bersangkutan akan merupakan kuncinya. Jika ada suatu usaha compromise atau penyusupan, penyelidikan diarahkan pada proses yang ada di memori, sistem file yang dipetakan melalui jaringan, koneksi mencurigakan lainnya pada host tersebut dan port apa yang sedang dipergunakan.
Panduan umum pemrosesan barang bukti berikut diambil dari :
· Shut down computer perlu dipertimbangkan kerusakan proses yang berjalan di background.
· Dokumentasikan konfigurasi hardware dari sistem: perhatikan bagaimana komputer di set up karena mungkin akan diperlukan restore kondisi semula pada tempat yang aman.
· Pindahkan sistem komputer ke lokasi yang aman.
· Buat backup bit dari hard disk dan floppy.
· Uji otentifitas data pada semua perangkat penyimpanan.
· Dokumentasikan tanggal dan waktu yang berhubungan dengan file computer.
· Buat daftar keyword pencarian karena terdapat tool forensik yang bisa dipergunakan untuk pencarian informasi yang relevan.
· Evaluasi swap file.
· Evaluasi file slack, terdiri dari dump memori yang terjadi selama file ditutup.
· Evaluasi unallocated space (erased file). Fungsi undelete di DOS bisa dipergunakan untuk melakukan restore
· Pencarian keyword pada file, file slack, dan unallocated space
· Dokumentasikan nama file, serta atribut tanggal dan waktu
· Identifikasikan anomali file, program dan storage
· Evaluasi fungsionalitas program untuk mengetahui kegunaannya
· Dokumentasikan temuan dan software yang dipergunakan
· Buat copy dari software yang dipergunakan
Merupakan keputusan sulit berespon pada insiden sedemikian agar tidak mengakibatkan korupsi data. Hal ini sangat bergantung pada sistem operasinya. Karena barang bukti bisa berada pada file tapi bisa juga pada file slack, erased atau swap. Misal pada Windows saat start akan membuka file baru yang menyebabkan overwrite data sebelumnya.
Berikut adalah lima tahapan pemrosesan barang bukti. Asumsinya di sini adalah semua ijin untuk mempergunakan mesin (PC, Server, Tape, dan lainnya) sudah dimiliki secara hukum:
1. Persiapan
Sebelum penyelidikan, pastikan persiapan yang diperlukan. Beberapa panduan:
- Sterilkan semua media dari virus.
- Pastikan semua tool forensik bisa dipergunakan secara resmi.
- Periksa kerja semua peralatan lab
- Pilih ahli forensik yang tepat yang mampu memberikan kesaksian dan penjelasan yang baik pada persidangan. Misal untuk menerangkan hal-hal teknis yang asing bagi orang lain.
2. Snapshot
Beberapa panduan:
- Foto lingkungan
- Catat rinciannya.
- Foto barang bukti, misal monitor dan PC.
- Dokumentasikan konfigurasi hardware
- Labeli barang bukti sesuai metodologi anda
- Foto barang bukti lagi setelah dilabeli
- Dokumentasikan apa yang terjadi
3. Transport
Dengan asumsi ijin resmi sudah diperoleh, tindakan untuk transportasi adalah:
- Lakukan pengemasan dengan aman.
- Foto dan dokumentasikan penanganan barang bukti meninggalkan tempat transport sampai ke lab pengujian .
Sumber :http://www.idsirtii.or.id/content/files/IDSIRTII-Artikel-ForensikKomputer.pdfhttp://www.pmsommer.com/digifootprint07.pdfhttp://budi.insan.co.id/courses/el695/projects/report-firrar.rtfhttp://irmarr.staff.gunadarma.ac.id/Downloads/files/11616/IT+Forensics.dochttp://deathwhyy.blogspot.com/2011/03/digital-forensik-investigasi.html
Selanjutnya :
Kelas 4IA07
Posted in 