Mata Kuliah: Digital Forensic for Military Purposes
SKS: 3 SKS
Pertemuan: 04
Topik: Akuisisi dan Duplikasi Data Forensik
Pengampu: Anindito, S.Kom., S.S., S.H., M.TI., CHFI
Akuisisi forensik berbeda dari copy file biasa terutama karena:
A. Akuisisi forensik menggunakan kabel USB yang lebih cepat
B. Akuisisi forensik membuat salinan bitwise dari seluruh media termasuk deleted data dan slack space
C. Akuisisi forensik hanya menyalin file yang berukuran besar
D. Akuisisi forensik memerlukan koneksi internet
E. Akuisisi forensik hanya bisa dilakukan di laboratorium
Fungsi utama write blocker dalam proses akuisisi forensik adalah:
A. Mempercepat proses penyalinan data
B. Mengkompresi data agar lebih kecil
C. Mencegah penulisan data ke media bukti sehingga integritas terjaga
D. Mengenkripsi data selama proses transfer
E. Memformat media penyimpanan sebelum akuisisi
Metode akuisisi yang menyalin seluruh isi media penyimpanan secara bit-by-bit termasuk unallocated space, HPA, dan DCO disebut:
A. Logical acquisition
B. Sparse acquisition
C. Physical acquisition
D. Remote acquisition
E. Selective acquisition
Manakah yang BUKAN merupakan keunggulan format E01 (EnCase) dibandingkan format raw (dd)?
A. Mendukung kompresi data
B. Menyimpan metadata kasus (examiner, case number)
C. Memiliki CRC per data block
D. Bersifat open source dan bebas lisensi
E. Ukuran file image lebih kecil karena kompresi
Berdasarkan Order of Volatility (RFC 3227), urutan pengumpulan data yang benar dari paling volatile ke paling stabil adalah:
A. Hard Disk → RAM → CPU Register → Network State
B. CPU Register → RAM → Network State → Hard Disk
C. RAM → Hard Disk → CPU Register → Archival Media
D. Network State → CPU Register → RAM → Hard Disk
E. Archival Media → Hard Disk → RAM → CPU Register
Live acquisition HARUS dilakukan ketika:
A. Media penyimpanan menggunakan file system FAT32
B. Komputer sudah dalam keadaan mati
C. Full disk encryption aktif dan key hanya tersedia di RAM
D. Kapasitas hard disk sangat besar
E. Bukti disimpan dalam USB flash drive
Format image forensik yang mendukung kompresi, metadata, DAN enkripsi secara bersamaan adalah:
A. Raw (dd)
B. E01 (EnCase)
C. SMART
D. AFF4 (Advanced Forensics Format 4)
E. VMDK
Algoritma hash yang direkomendasikan sebagai standar utama untuk forensik digital saat ini adalah:
A. MD5
B. SHA-1
C. CRC32
D. SHA-256
E. MD4
Laptop ditemukan dalam sleep mode dengan BitLocker aktif. Langkah pertama yang PALING TEPAT dilakukan adalah:
A. Cabut baterai dan hard disk untuk dead acquisition
B. Matikan laptop dengan menekan tombol power
C. Akuisisi RAM terlebih dahulu untuk mendapatkan encryption key
D. Jalankan chkdsk untuk memeriksa integritas disk
E. Login ke Windows menggunakan password administrator
Mengapa SSD lebih sulit untuk data recovery forensik dibandingkan HDD?
A. SSD memiliki kapasitas yang lebih besar
B. SSD tidak mendukung format image E01
C. TRIM dan garbage collection menghapus data secara otomatis di background
D. SSD menggunakan file system yang berbeda dari HDD
E. SSD tidak kompatibel dengan write blocker
Tool yang BUKAN digunakan untuk akuisisi RAM (memory dump) adalah:
A. Belkasoft RAM Capturer
B. WinPMEM
C. FTK Imager (Memory Capture)
D. Wireshark
E. DumpIt
Dalam proses verifikasi hash setelah akuisisi, jika hash media sumber TIDAK cocok dengan hash forensic image, maka:
A. Image tetap valid karena perbedaan hash adalah hal normal
B. Integritas image diragukan dan bukti mungkin ditolak pengadilan
C. Lakukan akuisisi ulang dengan block size yang berbeda
D. Hash tidak relevan dalam forensik modern
E. Gunakan MD5 sebagai pengganti SHA-256
Perintah dcfldd yang benar untuk melakukan akuisisi forensik dengan hashing otomatis adalah:
A. dcfldd if=/dev/sdb of=evidence.dd hash=md5,sha256
B. dcfldd copy /dev/sdb evidence.dd --hash
C. dcfldd clone /dev/sdb --output=evidence.dd
D. dcfldd image /dev/sdb -o evidence.dd -verify
E. dcfldd /dev/sdb > evidence.dd | sha256sum
Dalam konteks akuisisi RAID 5, tantangan utama yang dihadapi investigator forensik adalah:
A. RAID 5 tidak mendukung physical acquisition
B. Perlu mengetahui strip size, disk order, dan pola parity rotation
C. RAID 5 menggunakan enkripsi hardware yang tidak bisa didekripsi
D. Hanya satu disk yang menyimpan data, sisanya cadangan
E. RAID 5 tidak kompatibel dengan FTK Imager
Logical acquisition cocok digunakan dalam situasi:
A. Investigasi lengkap yang memerlukan deleted file recovery
B. Analisis slack space dan unallocated space
C. Triage cepat untuk mengidentifikasi bukti relevan pada live system
D. Akuisisi HPA (Host Protected Area)
E. Investigasi malware yang bersembunyi di boot sector
Data yang TIDAK dapat diperoleh melalui memory dump (RAM acquisition) adalah:
A. Encryption key yang sedang aktif
B. Koneksi jaringan yang sedang berlangsung
C. Data pada archival tape yang offline
D. Running processes dan DLL yang dimuat
E. Plaintext dari file terenkripsi yang sedang dibuka
Keunggulan hardware write blocker dibandingkan software write blocker adalah:
A. Harganya lebih murah
B. Bekerja independen dari sistem operasi sehingga lebih reliable
C. Mendukung lebih banyak format file
D. Kecepatan transfer data lebih lambat
E. Tidak memerlukan kalibrasi
Sparse acquisition paling tepat digunakan ketika:
A. Investigator memerlukan salinan 100% identik dari media
B. Disk berkapasitas sangat besar dan fokus investigasi hanya pada area tertentu
C. Media penyimpanan dalam kondisi rusak total
D. Investigator tidak memiliki write blocker
E. Sistem operasi sudah terhapus
Dalam Acquisition Log, informasi yang WAJIB dicantumkan meliputi:
A. Nomor kasus, serial number media, hash value, dan nama examiner
B. Hanya nama examiner dan tanggal akuisisi
C. Hanya hash value saja
D. Nomor IP address server dan MAC address router
E. Password administrator dan login credentials
Remote acquisition penting dalam konteks militer terutama karena:
A. Seluruh aset digital militer disimpan di satu lokasi terpusat
B. Aset digital tersebar di berbagai Kodam, Lantamal, dan Lanud dengan jarak berjauhan
C. Investigator forensik militer tidak dilatih untuk field operation
D. Remote acquisition tidak memerlukan izin komandan
E. Koneksi internet di unit militer selalu stabil dan cepat
Jelaskan mengapa copy-paste file biasa tidak dapat menggantikan akuisisi forensik! Sebutkan minimal tiga perbedaan utama!
Sebutkan dan jelaskan lima prinsip dasar akuisisi forensik!
Jelaskan perbedaan antara hardware write blocker dan software write blocker! Dalam situasi apa masing-masing lebih tepat digunakan?
Jelaskan tiga metode akuisisi forensik (physical, logical, sparse) dan kapan masing-masing metode digunakan!
Bandingkan dead acquisition dan live acquisition! Jelaskan keuntungan, kerugian, dan situasi yang tepat untuk masing-masing!
Jelaskan Order of Volatility berdasarkan RFC 3227! Mengapa urutan ini penting dalam live acquisition? Berikan contoh data pada setiap tingkat volatilitas!
Bandingkan tiga format image forensik utama (Raw/dd, E01, AFF4) dari aspek kompresi, metadata, hash terintegrasi, open source, dan enkripsi! Rekomendasikan format mana yang paling tepat untuk skenario militer dan jelaskan alasannya!
Jelaskan mengapa memory forensics (RAM acquisition) sangat penting dalam investigasi modern! Sebutkan empat jenis data yang hanya tersedia di RAM dan tool yang dapat digunakan untuk akuisisi RAM!
Jelaskan properti fungsi hash kriptografis yang membuatnya cocok untuk verifikasi integritas dalam forensik! Mengapa SHA-256 direkomendasikan menggantikan MD5?
Jelaskan prosedur lengkap akuisisi forensik menggunakan FTK Imager dari awal hingga verifikasi! Sebutkan setiap langkah dan parameter penting yang perlu diperhatikan!
Jelaskan lima tantangan akuisisi pada media SSD (TRIM, garbage collection, wear leveling, over-provisioning, hardware encryption) dan dampaknya terhadap data recovery forensik!
Seorang investigator menemukan laptop militer dengan SSD NVMe, BitLocker aktif, dan kondisi sleep mode. Jelaskan strategi akuisisi lengkap langkah demi langkah, termasuk urutan prioritas, tools yang digunakan, dan potensi risiko di setiap langkah!
Jelaskan tantangan dan prosedur akuisisi forensik pada sistem RAID 5 server militer! Bandingkan pendekatan akuisisi melalui RAID controller vs akuisisi individual disk + rekonstruksi!
Desain prosedur operasi standar (SOP) akuisisi forensik untuk unit respons siber militer yang mencakup persiapan toolkit, prosedur di lapangan, verifikasi, dan dokumentasi! Pertimbangkan kendala operasional di medan!
Seorang pengacara pembela menantang validitas bukti digital dengan argumen: (1) tidak ada hardware write blocker yang digunakan, (2) hanya MD5 yang digunakan untuk hashing, dan (3) acquisition log tidak lengkap. Analisis setiap argumen dan jelaskan bagaimana investigator seharusnya mempersiapkan diri untuk menghadapi tantangan semacam ini!
Latar Belakang:
Tim CSIRT Kodam XIV/Hasanuddin mendeteksi aktivitas mencurigakan pada server utama data personel militer pada tanggal 20 Januari 2026 pukul 02:30 WIT. Sistem IDS mencatat anomali berupa koneksi outbound ke IP asing yang tidak dikenal. Server tersebut masih berjalan (live) dan menyimpan data sensitif personel termasuk data penugasan dan riwayat dinas.
Informasi Teknis:
Tugas:
Prioritasi (15 poin): Tentukan urutan akuisisi berdasarkan Order of Volatility! Jelaskan alasan urutan yang Anda pilih dan data apa yang akan diperoleh dari setiap tahap!
Risiko dan Mitigasi (15 poin): Identifikasi minimal lima risiko yang mungkin terjadi selama proses akuisisi dan jelaskan langkah mitigasi untuk masing-masing!
Latar Belakang:
Tim forensik militer diterjunkan ke sebuah lokasi yang digunakan sebagai pusat komunikasi ilegal yang diduga mendukung aktivitas terorisme. Operasi penggerebekan berhasil mengamankan lokasi pada tanggal 25 Januari 2026 pukul 06:00 WIB. Komandan lapangan memberikan waktu maksimal 3 jam sebelum lokasi harus dikosongkan karena pertimbangan keamanan.
Perangkat yang Ditemukan:
Peralatan Forensik yang Tersedia:
Tugas:
Penanganan Perangkat Tidak Sempat (10 poin): Untuk perangkat yang mungkin tidak sempat diakuisisi dalam 3 jam, jelaskan prosedur seize fisik yang benar termasuk packaging, labeling, dan transportasi!
| No | Jawaban | Penjelasan |
|---|---|---|
| 1 | B | Akuisisi forensik membuat salinan bitwise dari seluruh media, termasuk deleted data, slack space, dan area tersembunyi — copy biasa hanya menyalin file aktif |
| 2 | C | Write blocker mencegah penulisan data ke media bukti, menjaga integritas data asli agar tidak berubah selama proses akuisisi |
| 3 | C | Physical acquisition menyalin seluruh isi media secara bit-by-bit termasuk semua area: partisi, unallocated space, HPA, dan DCO |
| 4 | D | E01 adalah format proprietary dari Guidance Software (OpenText), bukan open source. AFF4 yang bersifat open source |
| 5 | B | Urutan RFC 3227: CPU Register (paling volatile) → RAM → Network State → Running Processes → Disk → Archival Media (paling stabil) |
| 6 | C | Live acquisition wajib saat FDE aktif karena encryption key hanya ada di RAM — shutdown menyebabkan key hilang dan data terkunci permanen |
| 7 | D | AFF4 adalah satu-satunya format yang mendukung kompresi, metadata, DAN enkripsi sekaligus. E01 tidak mendukung enkripsi, raw tidak mendukung ketiganya |
| 8 | D | SHA-256 adalah standar yang direkomendasikan saat ini. MD5 dan SHA-1 sudah deprecated karena collision vulnerability |
| 9 | C | Akuisisi RAM harus dilakukan pertama untuk mendapatkan BitLocker FVEK sebelum sistem dimatikan — mematikan = key hilang permanen |
| 10 | C | TRIM memberi tahu SSD controller untuk menghapus blok tidak terpakai, dan garbage collection menghapus data secara background tanpa perintah OS |
| 11 | D | Wireshark adalah tool analisis network traffic (packet capture), bukan tool akuisisi RAM. Yang lain semua adalah RAM capture tools |
| 12 | B | Hash mismatch berarti integritas image diragukan — data mungkin termodifikasi dan bukti kemungkinan besar ditolak pengadilan |
| 13 | A | Sintaks dcfldd yang benar: dcfldd if=[sumber] of=[tujuan] hash=[algoritma] untuk akuisisi dengan hashing otomatis |
| 14 | B | RAID 5 menggunakan data striping + distributed parity, sehingga investigator perlu mengetahui strip size, disk order, dan parity rotation untuk rekonstruksi |
| 15 | C | Logical acquisition cocok untuk triage cepat karena hanya menyalin file aktif — cepat dan memberikan gambaran awal bukti yang ada |
| 16 | C | Data pada archival tape offline tidak bisa diperoleh melalui RAM dump — hanya data yang sedang aktif di memori yang dapat di-capture |
| 17 | B | Hardware write blocker bekerja pada level hardware/firmware, independen dari OS — tidak terpengaruh bug OS atau driver vulnerability |
| 18 | B | Sparse acquisition ideal untuk disk berkapasitas besar dengan fokus investigasi pada area atau tipe file tertentu saja |
| 19 | A | Acquisition log wajib mencantumkan nomor kasus, identifikasi media (S/N), hash value (pre dan post), nama examiner, tanggal/waktu, tool, dan metode |
| 20 | B | Aset digital militer tersebar di berbagai satuan (Kodam, Lantamal, Lanud) dengan jarak berjauhan, sehingga remote acquisition menjadi kritis |
Perbedaan Copy Biasa dan Akuisisi Forensik:
| Aspek | Copy Biasa | Akuisisi Forensik |
|---|---|---|
| Cakupan | Hanya file dan folder yang terlihat oleh OS | Seluruh sektor disk termasuk deleted files, slack space, HPA, DCO |
| Metode | Copy-paste melalui file system | Bit-by-bit duplication pada level raw device |
| Verifikasi | Tidak ada mekanisme verifikasi integritas | Hash cryptographic (SHA-256) untuk membuktikan salinan identik |
| Metadata | Timestamp berubah (created, modified, accessed) | Metadata asli terjaga karena menggunakan write blocker |
| Admissibility | Tidak diterima sebagai bukti di pengadilan | Diterima sebagai bukti karena proses terdokumentasi dan terverifikasi |
Copy biasa mengubah metadata file (seperti access time) dan tidak mencakup area yang tidak terlihat oleh OS, sehingga bukti penting seperti deleted files, file fragments di slack space, dan data di unallocated space hilang.
Lima Prinsip Dasar Akuisisi Forensik:
Keutuhan Bukti (Evidence Integrity): Data asli tidak boleh berubah selama proses akuisisi. Menggunakan write blocker (hardware atau software) untuk mencegah modifikasi. Setiap tindakan harus meminimalkan dampak terhadap bukti.
Verifikasi (Verification): Menggunakan hash cryptographic (SHA-256) untuk membuktikan bahwa forensic image identik dengan media sumber. Hash dihitung sebelum dan sesudah akuisisi, keduanya harus cocok.
Dokumentasi (Documentation): Seluruh proses akuisisi harus tercatat dalam acquisition log termasuk waktu, tool, metode, serial number media, dan hash value. Dokumentasi menjadi bukti bahwa proses dilakukan dengan benar.
Repeatability: Proses harus dapat diulangi oleh investigator lain dengan menghasilkan output yang sama (untuk dead acquisition). Ini memenuhi persyaratan scientific method dan peer review.
Chain of Custody: Dokumentasi kronologis tentang siapa yang menangani bukti, kapan, dan untuk tujuan apa, dari pengambilan hingga presentasi di pengadilan.
Hardware Write Blocker:
Software Write Blocker:
Tiga Metode Akuisisi Forensik:
Physical Acquisition: Menyalin seluruh media penyimpanan secara bit-by-bit termasuk semua partisi, unallocated space, slack space, HPA, dan DCO. Menghasilkan salinan identik dari media asli. Digunakan untuk investigasi lengkap yang memerlukan recovery deleted files dan analisis mendalam.
Logical Acquisition: Menyalin file dan folder yang terlihat oleh sistem operasi saja, tanpa deleted data atau unallocated space. Lebih cepat dan menghasilkan image berukuran lebih kecil. Digunakan untuk triage cepat, live system yang tidak boleh dimatikan, dan ketika fokus investigasi sudah jelas.
Sparse Acquisition: Menyalin area tertentu dari media berdasarkan kriteria spesifik (rentang sektor, tipe file, atau lokasi tertentu). Merupakan kompromi antara physical dan logical. Digunakan untuk disk berkapasitas sangat besar dengan fokus investigasi pada area tertentu saja.
Perbandingan Dead Acquisition dan Live Acquisition:
| Aspek | Dead Acquisition | Live Acquisition |
|---|---|---|
| Kondisi | Sistem mati, disk dilepas | Sistem masih berjalan |
| Keuntungan | Konsisten, repeatable, integritas tinggi, risiko kontaminasi rendah | Volatile data terjaga, encryption key di RAM tersedia, aktifitas real-time tercapture |
| Kerugian | Volatile data hilang, encrypted volume terkunci | Integritas lebih rendah, tidak fully repeatable, proses OS tetap berjalan mengubah state |
| Repeatability | Tinggi — hash selalu konsisten | Rendah — state sistem berubah tiap detik |
Situasi untuk Dead Acquisition:
Situasi untuk Live Acquisition:
Order of Volatility (RFC 3227):
| Urutan | Sumber Data | Volatilitas | Contoh Data |
|---|---|---|---|
| 1 | CPU Register/Cache | Sangat tinggi (nanoseconds) | Instruction pointer, temporary values |
| 2 | RAM (Memory) | Tinggi (hilang saat shutdown) | Encryption keys, running processes, network connections, malware injected |
| 3 | Network State | Tinggi (berubah real-time) | ARP cache, routing table, active connections (netstat) |
| 4 | Running Processes | Tinggi (berubah terus) | Process list, open files, loaded DLLs |
| 5 | Disk / Storage | Rendah (persisten) | Files, logs, registry, databases |
| 6 | Archival Media | Sangat rendah (stabil) | Backup tapes, optical media, offline storage |
Pentingnya urutan ini dalam live acquisition:
Perbandingan Format Image Forensik:
| Fitur | Raw (dd) | E01 (EnCase) | AFF4 |
|---|---|---|---|
| Kompresi | Tidak | Ya (zlib) | Ya (multi: snappy, zlib, lz4) |
| Metadata | Tidak | Ya (case info, examiner) | Ya (extensible, RDF) |
| Hash terintegrasi | Tidak | MD5/SHA-1 per block | SHA-256+ |
| Open source | Ya | Tidak (proprietary) | Ya |
| Enkripsi | Tidak | Tidak | Ya |
| Kompatibilitas | Sangat tinggi (universal) | Tinggi (semua tool forensik) | Sedang (growing) |
| Split file | Ya (.001, .002) | Ya (auto-split) | Ya (multiple streams) |
Rekomendasi untuk Skenario Militer:
Pentingnya Memory Forensics:
Memory forensics kritis karena banyak bukti penting hanya ada di RAM dan hilang permanen saat sistem dimatikan. Dalam investigasi modern, penyerang semakin banyak menggunakan teknik “living off the land” dan fileless attack yang tidak meninggalkan jejak di disk.
Empat Jenis Data yang Hanya Tersedia di RAM:
Encryption Keys: BitLocker Full Volume Encryption Key (FVEK), VeraCrypt master key, Wi-Fi passwords, TLS session keys. Tanpa key ini, data terenkripsi tidak dapat diakses.
Fileless Malware: Kode malware yang hanya berjalan di memori (PowerShell in-memory execution, DLL injection, process hollowing) tanpa pernah ditulis ke disk. Restart = malware hilang tanpa jejak.
Network Connections: Koneksi C2 (Command & Control) aktif, remote IP dan port, session data. Informasi ini kritis untuk attribution dan menentukan scope serangan.
Decrypted Data: File terenkripsi yang sedang dibuka tersimpan dalam bentuk plaintext di RAM. Menutup file = plaintext hilang dari memori.
Tools Akuisisi RAM:
Properti Hash Kriptografis untuk Forensik:
Deterministic: Input yang sama selalu menghasilkan output yang sama. Ini memungkinkan verifikasi berulang — siapa pun yang menghitung hash dari image yang sama akan mendapatkan hasil identik.
One-way (Pre-image Resistance): Tidak mungkin membalikkan hash digest ke input asli. Ini menjamin bahwa hash tidak mengungkapkan konten data.
Collision Resistance: Sangat sulit menemukan dua input berbeda yang menghasilkan hash sama. Ini menjamin keunikan — jika hash cocok, data identik.
Avalanche Effect: Perubahan 1 bit pada input menghasilkan hash yang sangat berbeda (~50% bit berubah). Ini memastikan bahkan modifikasi terkecil terdeteksi.
Mengapa SHA-256 menggantikan MD5:
Prosedur Akuisisi dengan FTK Imager:
Lima Tantangan Akuisisi SSD:
TRIM: Perintah dari OS yang memberitahu SSD controller bahwa blok data tidak lagi digunakan. Controller kemudian menghapus blok tersebut saat idle, menghilangkan kemungkinan recovery. Dampak: deleted files pada SSD dengan TRIM aktif hampir mustahil dipulihkan, berbeda dengan HDD di mana deleted files masih ada di unallocated space.
Garbage Collection: Proses internal SSD controller yang menghapus dan mengkonsolidasi blok data di background tanpa perintah dari OS. Ini berjalan saat SSD idle. Dampak: data dapat terhapus bahkan tanpa aksi pengguna atau OS — semakin lama SSD dibiarkan menyala, semakin banyak data yang hilang.
Wear Leveling: Controller SSD memindahkan data antar blok secara otomatis untuk meratakan penggunaan sel NAND, memperpanjang umur SSD. Dampak: lokasi fisik data berubah tanpa sepengetahuan OS, sehingga analisis level sektor menjadi tidak konsisten dan physical imaging berulang mungkin menghasilkan hash berbeda.
Over-provisioning: Area cadangan yang dialokasikan oleh manufacturer (7-28% dari total kapasitas) untuk wear leveling dan penggantian bad blocks. Area ini tidak visible oleh OS atau tools standar. Dampak: data sensitif yang dipindahkan ke area ini tidak bisa diakses dengan tools forensik konvensional.
Hardware Encryption (Self-Encrypting Drive/SED): Beberapa SSD memiliki enkripsi hardware transparan yang aktif secara default. Dampak: jika ATA password terlupakan atau firmware dimodifikasi, data tidak bisa didekripsi meskipun berhasil di-image secara physical.
Strategi Akuisisi Laptop Militer (SSD NVMe + BitLocker + Sleep Mode):
Langkah 1 — Dokumentasi Awal (5 menit):
Langkah 2 — Akuisisi RAM (15-20 menit):
Langkah 3 — Ekstraksi BitLocker Key dari RAM (di lab):
windows.bitlocker.BitlockerLangkah 4 — Evaluasi Keputusan Shutdown:
Langkah 5 — Physical Acquisition SSD (30-60 menit):
Langkah 6 — Dekripsi dan Analisis:
Langkah 7 — Dokumentasi Lengkap:
Akuisisi Forensik RAID 5 Server Militer:
Tantangan RAID 5:
Pendekatan 1: Akuisisi melalui RAID Controller (Recommended):
Keuntungan:
Prosedur:
Kelemahan:
Pendekatan 2: Image Individual Disk + Rekonstruksi:
Keuntungan:
Prosedur:
Kelemahan:
Rekomendasi untuk Militer: Lakukan KEDUA pendekatan jika waktu memungkinkan — akuisisi logical melalui controller sebagai primary, lalu image individual disk sebagai backup.
SOP Akuisisi Forensik Unit Respons Siber Militer:
Fase 1 — Persiapan Toolkit (Sebelum Deployment):
Fase 2 — Prosedur di Lapangan:
Fase 3 — Verifikasi:
Fase 4 — Dokumentasi:
Kendala Operasional di Medan:
Analisis Tantangan Hukum terhadap Bukti Digital:
Argumen 1: Tidak ada hardware write blocker:
Dampak: tanpa write blocker, OS mungkin telah memodifikasi media bukti (timestamp update, journal write, antivirus scan). Ini meragukan integritas bukti asli.
Analisis: argumen ini KUAT dan merupakan kelemahan serius. Meskipun software write blocker mungkin digunakan, hardware write blocker memberikan perlindungan yang lebih dipercaya secara hukum karena independen dari OS.
Respons investigator:
Argumen 2: Hanya MD5 yang digunakan:
Dampak: MD5 sudah deprecated karena collision vulnerability (Wang et al., 2004). Pengacara bisa berargumen bahwa data mungkin telah dimanipulasi dengan collision attack.
Analisis: argumen ini CUKUP KUAT secara teoritis, meskipun practical preimage attack (memodifikasi evidence sehingga menghasilkan hash MD5 yang sama) masih sangat sulit. Namun, standar profesional sudah mensyaratkan SHA-256.
Respons investigator:
Argumen 3: Acquisition log tidak lengkap:
Dampak: acquisition log yang tidak lengkap melemahkan chain of custody dan mempertanyakan profesionalisme investigator. Tanpa dokumentasi lengkap, sulit membuktikan bahwa proses dilakukan dengan benar.
Analisis: argumen ini SANGAT KUAT karena documentation trail adalah fondasi admissibility bukti digital. ISO 27037 dan NIST SP 800-86 mensyaratkan dokumentasi komprehensif.
Respons investigator:
Persiapan Menghadapi Tantangan Serupa:
1. Prioritasi Berdasarkan Order of Volatility (15 poin):
| Urutan | Target | Alasan | Data yang Diperoleh |
|---|---|---|---|
| 1 | RAM (128 GB) | Paling volatile, hilang saat shutdown, berisi key BitLocker | Encryption keys, active processes, network connections, fileless malware, injected DLLs |
| 2 | Network State | Koneksi ke IP asing masih aktif | Active connections (netstat), routing table, ARP cache, DNS cache — kritis untuk identifikasi C2 server |
| 3 | Running Processes | Proses mencurigakan masih berjalan | Process list, open files, loaded modules, command history |
| 4 | Disk/Storage (RAID 5) | Persisten tapi perlu BitLocker key dari RAM | Log files, malware artifacts, exfiltrated data indicators, event logs |
| 5 | Backup (3 hari lalu) | Sebagai baseline untuk perbandingan | Clean state sebelum intrusi untuk comparison analysis |
Urutan ini memastikan data paling volatile diamankan terlebih dahulu, terutama RAM yang berisi BitLocker key dan bukti koneksi C2 yang sedang berlangsung.
2. Strategi Akuisisi (20 poin):
Keputusan: Live Acquisition WAJIB karena:
Tahap-tahap:
a) RAM Acquisition (128 GB, ~15-20 menit):
b) Network State Capture (5 menit):
c) Process/System State Capture (10 menit):
d) Disk Acquisition melalui RAID Controller (4-8 jam):
e) BitLocker Handling:
f) Verifikasi:
3. Risiko dan Mitigasi (15 poin):
| No | Risiko | Mitigasi |
|---|---|---|
| 1 | RAM dump gagal karena anti-cheat/security software memblokir kernel access | Siapkan multiple tools (WinPMEM, Belkasoft, DumpIt). Disable endpoint protection jika diizinkan |
| 2 | Server crash selama live acquisition menyebabkan semua volatile data hilang | Prioritaskan RAM dump first. Jika crash, segera lakukan dead acquisition pada RAID |
| 3 | Penyerang mendeteksi aktivitas forensik dan melakukan anti-forensics (wipe) | Isolasi server dari jaringan (jika diizinkan) setelah network state capture. Monitor aktivitas real-time |
| 4 | Kapasitas media tujuan tidak cukup untuk 8TB RAID + 128GB RAM | Siapkan minimal 2× kapasitas total. Gunakan E01 kompresi. Bawa cadangan media |
| 5 | BitLocker key tidak ditemukan di RAM dump (key sudah di-flush) | Cek BitLocker Recovery Key di Active Directory. Hubungi admin IT Kodam untuk recovery key backup |
| 6 | Live imaging pada RAID menyebabkan penurunan performa server | Lakukan di luar jam operasional peak. Informasikan ke admin IT untuk monitoring performa |
4. Template Acquisition Log (15 poin):
╔══════════════════════════════════════════════════╗
║ FORENSIC ACQUISITION LOG ║
╠══════════════════════════════════════════════════╣
║ Case Number : KODAM-XIV/CSIRT/2026-001 ║
║ Evidence Item : EV-001 (RAM Dump) ║
║ Date/Time Start: 2026-01-20 03:15 WIT ║
║ Date/Time End : 2026-01-20 03:35 WIT ║
║ Examiner : [Nama Investigator / NIP] ║
║ Witness : [Nama Saksi / Jabatan] ║
║ ║
║ SOURCE INFORMATION: ║
║ Device Type : Server Dell PowerEdge R750 ║
║ Serial Number : [S/N dari label server] ║
║ OS : Windows Server 2022 ║
║ RAM Capacity : 128 GB ║
║ Status : Running (Live) ║
║ ║
║ ACQUISITION DETAILS: ║
║ Method : Live RAM Acquisition ║
║ Tool : WinPMEM v4.0.rc1 ║
║ Format : Raw memory dump (.mem) ║
║ Output File : KODAM14_RAM_20260120.mem ║
║ Output Size : 128,849,018,880 bytes ║
║ Destination : Seagate External 4TB (S/N: xxx) ║
║ ║
║ HASH VERIFICATION: ║
║ SHA-256 (image): [64 character hex string] ║
║ MD5 (image) : [32 character hex string] ║
║ Note : Source hash N/A (live RAM dump) ║
║ ║
║ NOTES: ║
║ Server tetap berjalan selama akuisisi. ║
║ BitLocker aktif pada volume D: ║
║ Koneksi outbound ke IP asing tercatat aktif. ║
║ ║
║ Examiner Signature: _______________ ║
║ Witness Signature : _______________ ║
╚══════════════════════════════════════════════════╝
(Log terpisah dibuat untuk setiap evidence item: RAM, Network State, Disk Image)
1. Perencanaan Triage — Timeline 180 Menit (20 poin):
| Waktu | Aktivitas | Target | Justifikasi |
|---|---|---|---|
| 0:00-0:15 | Dokumentasi foto seluruh lokasi dan semua perangkat | Semua (16 item) | Dokumentasi visual wajib sebelum menyentuh apapun — dibutuhkan untuk chain of custody dan konteks |
| 0:15-0:30 | RAM dump laptop sleep mode (SSD #1) | Volatile data kritis | Laptop sleep = RAM masih ada. SSD + kemungkinan FDE = RAM priority. Paling volatile |
| 0:30-0:50 | RAM + logical acquisition Desktop PC (chat terenkripsi visible) | Active session data | Layar menampilkan chat terenkripsi = bukti kritis sedang terbuka. Capture RAM (chat keys) + screenshot layar + logical acquisition folder chat |
| 0:50-1:05 | Image 5× USB flash drive (8-128GB) + MicroSD 256GB | Removable media | Kapasitas kecil = akuisisi cepat via write blocker. Sering menyimpan dokumen penting. Total ~700GB, imaging ~15 menit |
| 1:05-1:20 | Akuisisi data smartphone (3 unit) | Mobile data | Smartphone menyala = volatile. Logical acquisition menggunakan FTK Imager/ADB. Aktifkan airplane mode dahulu |
| 1:20-1:50 | Image External HDD 1TB (via write blocker) | Bulk storage | Physical acquisition E01 dengan kompresi. ~30 menit untuk 1TB |
| 1:50-2:30 | Image External HDD 2TB (via write blocker) | Bulk storage | Physical acquisition. ~40 menit untuk 2TB |
| 2:30-2:40 | Capture router config dan log | Network evidence | Export running config, DHCP leases, connected device history, system logs |
| 2:40-2:55 | Label, packaging, dan sealing semua perangkat | Chain of custody | Evidence bag, label anti-tamper, numbering |
| 2:55-3:00 | Final check dan serah terima ke komandan | Dokumentasi | Verifikasi checklist lengkap, sign-off |
Catatan Prioritas:
2. Strategi per Perangkat (20 poin):
a) Laptop Sleep Mode (SSD NVMe #1):
b) Desktop PC (menyala, chat terenkripsi):
c) Laptop Mati (SSD NVMe #2):
d) 3× Smartphone:
e) 5× USB + MicroSD (total ~700GB):
f) 2× External HDD (1TB + 2TB):
g) Router Wi-Fi:
3. Penanganan Perangkat Tidak Sempat (10 poin):
Prosedur Seize Fisik:
Dokumentasi: foto perangkat in-situ sebelum dipindahkan, catat kondisi (menyala/mati, LED, kabel)
4. Checklist Dokumentasi Lapangan (15 poin):
╔══════════════════════════════════════════════════════╗
║ CHECKLIST DOKUMENTASI FORENSIK LAPANGAN ║
╠══════════════════════════════════════════════════════╣
║ ║
║ INFORMASI OPERASI ║
║ □ Nomor Operasi : ________________________ ║
║ □ Tanggal/Waktu : ____/____/____ | ____:____ WIB ║
║ □ Lokasi : ________________________ ║
║ □ Koordinat GPS : ________________________ ║
║ □ Komandan Operasi : ________________________ ║
║ □ Tim Forensik : ________________________ ║
║ ║
║ DOKUMENTASI VISUAL ║
║ □ Foto panorama lokasi (4 arah) ║
║ □ Foto close-up setiap perangkat in-situ ║
║ □ Foto layar perangkat yang menyala ║
║ □ Foto serial number / label setiap device ║
║ □ Foto kabel dan koneksi antar perangkat ║
║ □ Sketsa layout ruangan dengan posisi perangkat ║
║ ║
║ IDENTIFIKASI PERANGKAT (isi per item) ║
║ □ Evidence No : EV-____ ║
║ □ Tipe : □ Laptop □ Desktop □ Server ║
║ □ Smartphone □ USB □ HDD □ Lainnya ║
║ □ Merk/Model : ________________________ ║
║ □ Serial No : ________________________ ║
║ □ Kondisi : □ Menyala □ Sleep □ Mati ║
║ □ Enkripsi : □ Ya □ Tidak □ Tidak diketahui ║
║ □ Foto diambil: □ Ya (No: ____) ║
║ □ Akuisisi : □ RAM □ Physical □ Logical □ Seize ║
║ □ Hash (jika diakuisisi): ________________________ ║
║ ║
║ CHAIN OF CUSTODY AWAL ║
║ □ Diamankan oleh : ______________ | ____:____ WIB ║
║ □ Diserahkan ke : ______________ | ____:____ WIB ║
║ □ Disimpan di : ________________________ ║
║ □ Tanda tangan penyerah : ______________ ║
║ □ Tanda tangan penerima : ______________ ║
║ □ Tanda tangan saksi : ______________ ║
║ ║
║ CATATAN KHUSUS ║
║ ________________________________________________ ║
║ ________________________________________________ ║
║ ________________________________________________ ║
║ ║
║ VERIFIKASI AKHIR ║
║ □ Semua perangkat terdokumentasi ║
║ □ Semua image terverifikasi hash ║
║ □ Semua evidence bag tersegel ║
║ □ Checklist lengkap ditandatangani ║
║ ║
║ Penanggung Jawab: ______________ | ____:____ WIB ║
╚══════════════════════════════════════════════════════╝
This repository is licensed under the Creative Commons Attribution 4.0 International (CC BY 4.0).
Commercial use is permitted, provided attribution is given to the author.
© 2026 Anindito