🎯 Capaian Pembelajaran

Setelah pertemuan ini, mahasiswa mampu:

1. Menjelaskan prinsip dasar akuisisi forensik dan write-blocking
2. Membedakan metode akuisisi physical, logical, dan sparse
3. Mengidentifikasi format image forensik (raw/dd, E01, AFF4)
4. Memahami perbedaan live acquisition dan dead acquisition
5. Melakukan akuisisi volatile data dan memory forensics
6. Menerapkan verifikasi integritas menggunakan fungsi hash
7. Menjelaskan tantangan akuisisi pada SSD, enkripsi, dan RAID

📋 Agenda Hari Ini

🔍 Apa itu Akuisisi Forensik?

Tahap paling kritis dalam investigasi:

• ❌ Kegagalan → bukti tidak diterima pengadilan
• ⏱️ Sering dalam tekanan waktu tinggi
• 🎖️ Konteks militer: insiden di Kodam, medan operasi

Copy Biasa vs Akuisisi Forensik

⚖️ Lima Prinsip Akuisisi

1. Keutuhan Bukti — Data asli tidak boleh berubah
2. Verifikasi — Hash cryptographic untuk validasi
3. Dokumentasi — Seluruh proses tercatat
4. Repeatability — Proses dapat diulangi
5. Chain of Custody — Alur penanganan terdokumentasi

🛡️ Write-Blocking

Jenis Write Blocker

📊 Metode Akuisisi Forensik

Gambar: Tiga metode utama akuisisi forensik

💽 Physical Acquisition

• ✅ Mencakup deleted files dan slack space
• ✅ Menyalin HPA (Host Protected Area) dan DCO
• ✅ Salinan identik dari media asli
• ⏱️ Waktu paling lama, ruang paling besar
• 🏆 Gold standard untuk investigasi lengkap

Logical & Sparse Acquisition

Perbandingan Metode Akuisisi

⚡ Dead vs Live Acquisition

Kapan Live Acquisition?

Tiga kondisi utama:

1. Full Disk Encryption aktif
   BitLocker/VeraCrypt key hanya di RAM → shutdown = data terkunci
2. Sistem kritis tidak boleh mati
   Server C2 militer, sistem komunikasi operasional
3. Bukti volatile diperlukan
   Fileless malware, koneksi C2 aktif, injeksi memori

📉 Order of Volatility (RFC 3227)

⬆️ Akuisisi dari paling volatile ke paling stabil!

🧠 Akuisisi RAM (Memory Dump)

Data penting yang hanya ada di RAM:

🛠️ Tools Akuisisi RAM

📁 Format Image Forensik

Gambar: Perbandingan tiga format image forensik utama

Format Raw (dd)

• ✅ Kompatibilitas universal — semua tools mendukung
• ✅ Ukuran image = ukuran media sumber
• ✅ Direct mounting sebagai virtual disk
• ❌ Tidak ada kompresi → ukuran besar
• ❌ Tidak ada metadata kasus terintegrasi

Ekstensi: .dd, .raw, .img, .001

Format E01 (EnCase)

Struktur E01:

1. Header — Informasi kasus, examiner, catatan
2. Data Blocks — Data terkompresi (32KB/64KB chunks)
3. CRC per Block — Verifikasi integritas per chunk
4. Hash Footer — MD5/SHA-1 keseluruhan

Format AFF4

• 🔓 Open source dan bebas lisensi
• 📦 Multi-algoritma kompresi (snappy, zlib, lz4)
• 🔏 Digital signatures untuk autentikasi
• 🔐 Mendukung enkripsi
• 📂 Multiple image sources dalam satu container

Perbandingan Format Image

🔐 Verifikasi Integritas: Hash

Properti penting:

• Deterministic — Input sama → output selalu sama
• One-way — Tidak bisa dibalik
• Collision resistant — Sulit menemukan 2 input = 1 hash
• Avalanche effect — 1 bit berubah → hash sangat berbeda

Algoritma Hash Forensik

Proses Verifikasi Hash

1. Pre-acquisition: Hitung hash media sumber
2. Post-acquisition: Hitung hash forensic image
3. Comparison: Kedua hash harus IDENTIK

🛠️ FTK Imager

Tool akuisisi forensik gratis dari Exterro:

• Physical dan logical acquisition
• Memory capture (RAM dump)
• Format output: Raw, SMART, E01, AFF
• Hashing otomatis (MD5, SHA-1, SHA-256)
• Preview evidence tanpa mounting

Prosedur Akuisisi FTK Imager

Langkah Akuisisi Physical:
═══════════════════════════════════════
1. Koneksikan media via write blocker
2. File → Create Disk Image
3. Pilih source: "Physical Drive"
4. Pilih drive sumber (VERIFIKASI!)
5. Add destination → format E01
6. Isi metadata kasus:
   - Case Number, Evidence Number
   - Examiner Name, Notes
7. Centang "Verify images after created"
8. Klik Start → Tunggu selesai
9. Verifikasi hash → MATCH ✅
10. Dokumentasikan hasil

🐧 Akuisisi dengan dd (WSL/Linux)

# Akuisisi dengan dd
sudo dd if=/dev/sdb of=/mnt/cases/evidence.dd \
  bs=4096 conv=noerror,sync status=progress

# Akuisisi dengan dcfldd (+ hashing)
sudo dcfldd if=/dev/sdb of=/mnt/cases/evidence.dd \
  bs=4096 hash=md5,sha256 \
  hashlog=/mnt/cases/evidence.hashlog

Verifikasi Hash via CLI

# Hitung hash media sumber
sudo md5sum /dev/sdb > source_md5.txt
sudo sha256sum /dev/sdb > source_sha256.txt

# Hitung hash dari image
md5sum evidence.dd > image_md5.txt
sha256sum evidence.dd > image_sha256.txt

# Bandingkan hash
diff source_md5.txt image_md5.txt
diff source_sha256.txt image_sha256.txt

# Hasil yang diharapkan: TIDAK ADA OUTPUT
# (berarti file identik)

⚡ Tantangan SSD

SSD menghadirkan tantangan unik dalam forensik:

🔐 Tantangan Media Terenkripsi

💻 Skenario: Laptop BitLocker + Sleep

1. JANGAN MATIKAN! BitLocker key di RAM
2. 🧠 Akuisisi RAM → jalankan RAM Capturer dari USB
3. 🔑 Ekstraksi key → Volatility plugin bitlocker
4. 💽 Physical acquisition → dekripsi dengan FVEK
5. 📝 Dokumentasi lengkap semua langkah

Mematikan laptop = key hilang = data TIDAK BISA DIAKSES

💾 Tantangan RAID

🌐 Remote Acquisition

Penting dalam konteks militer:

• Aset tersebar di Kodam, Lantamal, Lanud
• Tim forensik terbatas (tidak selalu hadir fisik)
• Respon cepat sebelum bukti hilang

📝 Acquisition Log

╔════════════════════════════════════╗
║    FORENSIC ACQUISITION LOG        ║
╠════════════════════════════════════╣
║ Case Number  : [Nomor Kasus]       ║
║ Evidence Item: [Nomor Bukti]       ║
║ Date/Time    : [Tanggal & Waktu]   ║
║ Examiner     : [Nama & NIP]        ║
║                                    ║
║ SOURCE: [Device Type, Model, S/N]  ║
║ METHOD: [Physical/Logical/Memory]  ║
║ TOOL  : [Nama Tool + Versi]       ║
║ FORMAT: [Raw/E01/AFF4]            ║
║                                    ║
║ HASH VERIFICATION:                 ║
║ Source SHA-256: [hash]             ║
║ Image  SHA-256: [hash]             ║
║ Match: [YES/NO]                    ║
╚════════════════════════════════════╝

🎖️ Skenario: Operasi Triage Militer

Perangkat yang tidak sempat di-image → seize fisik untuk lab

🧠 Quiz Time!

Pertanyaan 1:

Apa fungsi utama write blocker dalam akuisisi forensik?

🧠 Quiz Time!

Pertanyaan 2:

Format image forensik yang mendukung kompresi, metadata, DAN enkripsi adalah?

💡 AFF4 adalah satu-satunya format yang mendukung ketiga fitur sekaligus!

🧠 Quiz Time!

Pertanyaan 3:

Laptop dengan BitLocker aktif ditemukan dalam sleep mode. Langkah PERTAMA yang harus dilakukan?

⚠️ Mematikan laptop = BitLocker key HILANG = data terkunci permanen!

🧠 Quiz Time!

Pertanyaan 4:

Mengapa SSD lebih sulit untuk data recovery dibanding HDD?

📝 Ringkasan

📅 Pertemuan Berikutnya

• Analisis volatile data dengan Volatility 3
• Windows Event Logs forensics
• Prefetch files dan evidence of execution
• Artefak sistem Windows untuk investigasi

📚 Referensi

1. Casey, E. (2022). Digital Evidence and Computer Crime (4th Ed.). Academic Press. Chapter 5-6
2. Phillips, A., et al. (2022). Guide to Computer Forensics and Investigations (6th Ed.). Cengage. Chapter 3.
3. Nikkel, B. (2021). Practical Forensic Imaging (2nd Ed.). No Starch Press. Chapter 1-3, 7-8.
4. RFC 3227: Guidelines for Evidence Collection and Archiving
5. NIST SP 800-86: Guide to Integrating Forensic Techniques